Hackerlık: Açığı Bulmak ile Zarar Vermek Arasındaki Çizgi

Hacker denince akla genellikle karanlık bir odada, birkaç tuşla bütün sistemleri ele geçiren biri geliyor. Filmler bu görüntüyü seviyor ama gerçek dünyada konu bundan daha karmaşık. Bir sistemin nasıl çalıştığını anlamak, zayıf noktalarını fark etmek ve bunları kötüye kullanmak aynı şey değil. Bu haftaki konumuz, tam da bu ayrım: Teknik bilgi ne zaman güvenliğe katkı sağlar, ne zaman başkalarının hayatına müdahaleye dönüşür?

Aynı bilgi, farklı amaçlar

Bir güvenlik açığı, yetkisiz kişilerin verilere ulaşmasına veya bir hizmetin işleyişini bozmasına yol açabilir. Bu açıkları bulan herkesin amacı zarar vermek değildir. Etik hackerlıkta bilgi, sistemi daha güvenli hâle getirmek için kullanılır. Ancak burada belirleyici olan yalnızca kişinin kendisini “iyi niyetli” görmesi değildir.

Sistemin sahibinden izin alınması ve çalışmanın sınırlarının açıkça belirlenmesi gerekir. NCSC'nin sızma testi rehberi de testin kapsamının, zamanının ve olası etkilerinin önceden planlanmasını vurguluyor. Yani internete açık bir site görmek, onu istediğimiz gibi denemeye yetkili olduğumuz anlamına gelmez. “Sadece merak ettim” demek de başkalarının verilerini riske atmayı haklı çıkarmaz.

Açığı bulduktan sonra ne oluyor?

Bir sorunu fark etmek kadar, onu nasıl bildirdiğimiz de önemli. Açığı sosyal medyada gösteriye çevirmek veya kanıt toplamak adına insanların bilgilerini kopyalamak, sorunun etkisini büyütebilir. Daha sorumlu yaklaşım, kurumun belirlediği bildirim kanalını kullanmak ve izin verilen sınırlar içinde kalmaktır.

CISA'nın güvenlik açığı bildirim politikaları üzerine açıklaması, kurumların hangi sistemlerde ne tür araştırmalara izin verildiğini ve sorunların nereye bildirileceğini açıkça belirtmesinin önemini anlatıyor. Bu yaklaşım, araştırmacı ile kurum arasındaki belirsizliği azaltıyor. Yine de bir bildirim kanalının bulunması, sınırsız test izni verildiği anlamına gelmiyor.

Sorumluluk sadece kullanıcıda mı?

Bir veri sızıntısının ardından bütün sorumluluğu “dikkatsiz kullanıcıya” yüklemek kolay. Oysa verilerimizi toplayan şirketlerin ve kamu kurumlarının da bu bilgileri koruma sorumluluğu var. Bize göre güvenlik, yalnızca bir olay yaşandıktan sonra yapılan “gerekli önlemler alındı” açıklamasından ibaret olmamalı. Asıl mesele, bu önlemlerin önceden alınması ve sorun ortaya çıktığında şeffaf davranılması.

NCSC de sızma testinin tek başına bütün güvenlik sorunlarını çözmediğini belirtiyor. Bir testten geçmek, sistemin sonsuza kadar güvenli kalacağı anlamına gelmiyor. Güncellemeler, düzenli kontroller ve bulunan açıkların giderilmesi devam eden bir iş.

Bize düşen tarafı

Günlük hayatta da yapabileceklerimiz var: Hesaplar için farklı ve güçlü parolalar kullanmak, iki aşamalı doğrulamayı açmak ve yazılımları güncel tutmak bunlardan bazıları. Bunlar kusursuz koruma sağlamaz ama güvenliği yalnızca başkasından beklemek yerine kendi payımıza düşeni yapmamızı sağlar.

Sonuçta hackerlık meselesini sadece “çok iyi bilgisayar kullanmak” diye görmek eksik kalıyor. Bizce asıl fark, bir açığı bulabilecek bilgiye sahip olmakla birlikte, o bilginin sınırlarını da bilmektir. Bir sisteme girebilmek beceri gösterebilir; girmeye hakkımız olup olmadığını düşünmek ise sorumluluk gerektirir.