İnsan, süreç, teknoloji

Açılış

Ankara'daki hastanenin sunucu odasına geçen yıl kartlı geçiş sistemi takıldı. Kapı yalnız bilgi işlem personelinin kartıyla açılıyor, her giriş saatiyle kaydediliyordu. Bora sistemin raporlarını ilk kez açtığında şaşırdı: bir hafta boyunca neredeyse hiç giriş kaydı yoktu. Oysa odaya her gün birileri giriyordu.

Sebebi koridorda duruyordu. Kapı bir yangın tüpüyle aralık tutuluyordu. Temizlik ekibinin kartı yoktu ve odanın her sabah silinmesi gerekiyordu. Klima teknisyeni haftada iki kez geliyordu ve her seferinde bilgi işlemden birini bulmak yarım saat sürüyordu. Bir gün biri tüpü kapının arasına koymuş, sonra herkes bunu alışkanlık hâline getirmişti. Kimse kötü niyetli değildi; herkes işini yapmaya çalışıyordu.

Teknoloji kusursuzdu ve neredeyse hiçbir işe yaramıyordu. Bora o hafta şunu fark etti: kapıyı satın almıştı ama kapıdan kimin, hangi işle, nasıl geçeceğini hiç tasarlamamıştı. Bu ders o eksik iki parçayı adlandırıyor.

Tek fikir

Her güvenlik önlemi üç ayak üzerinde durur: onu kullanan insanlar, onu işleten süreç ve onu mümkün kılan teknoloji. Ayaklardan biri eksikse öbür ikisinin gücü önlemi ayakta tutmaya yetmez.

Nasıl çalışır

Savunma döngüsünü anlatırken her adıma sahip ve takvim atamıştık. Sahip bir insandır, takvim bir süreçtir, uyarıyı gönderen ise teknolojidir. Bu üçlü güvenlik alanında o kadar sık anılır ki bazen bir slogan gibi tekrarlanır; ama arkasındaki fikir sağlamdır ve bir önlemin neden çalışmadığını bulmanın en hızlı yoludur.

Teknoloji ayağı en görünür olandır: güvenlik duvarı, şifreleme, kartlı kapı, parola yöneticisi, yedekleme yazılımı. Satın alınabilir, kurulabilir, faturası vardır. Bu yüzden kurumlar güvenliğe genellikle buradan başlar.

Süreç ayağı, teknolojinin nasıl ve ne zaman kullanılacağını söyleyen kurallar ve iş akışlarıdır: kim hangi yetkiyi alır, ayrılan çalışanın hesabı ne zaman kapanır, ödeme hesabı değişikliği nasıl doğrulanır, yedek ne sıklıkla denenir. Süreç çoğu zaman bir belgede yazılıdır, ama asıl önemli olan belgenin değil, işin gerçekten öyle yapılmasıdır.

İnsan ayağı, bu süreçleri uygulayan ve teknolojiyi kullanan kişilerdir: bilgileri, alışkanlıkları, iş yükleri ve teşvikleri. Bir kural insanların işini imkânsız hâle getiriyorsa insanlar kuralın etrafından dolaşır. Bunun nedeni çoğu zaman kötü niyet değil, işi yetiştirme baskısıdır.

İnsan ayağının ne kadar ağır bastığını ölçülmüş bir bulgu gösteriyor.

Bu bulgu çoğu zaman "insan en zayıf halkadır" diye özetlenir. Özet yanlış değil ama eksik ve tehlikeli bir sonuca kapı açar: insanları suçlamaya. Oysa yüzde altmış sekizin arkasındaki insanlar çoğu zaman, kendilerine sunulan süreç ve teknolojinin içinde mantıklı davranan insanlardır.

Kolay yolu seçmenin kurumlardaki en yaygın hâlinin bir adı var.

Hastanedeki yangın tüpü bir tür gölge süreçti. Resmî süreç temizlik ve teknik bakım için bir yol öngörmemişti, insanlar kendi yollarını kurmuştu. Kartlı kapı sorunu çözmek yerine yalnız görünmez kılmıştı.

Sahada

Savunma

Bu dersin savunması bir teşhis aracıdır. Bir önlem beklendiği gibi çalışmıyorsa üç soruyu sırayla sor. Teknoloji gerçekten işini yapıyor mu? Teknolojinin nasıl kullanılacağını söyleyen bir süreç var mı ve gerçekten uygulanıyor mu? Süreci uygulaması beklenen insanlar onu biliyor mu, uygulayabiliyor mu ve uygulamaları için bir gerekçeleri var mı?

Bora bu üç soruyu kapıya sorduğunda cevabı hemen buldu: teknoloji tamam, süreç eksik, insanlar kendi yollarını kurmuş. Çözüm yeni bir kilit değildi. Temizlik ekibine yalnız sabah sekiz ile dokuz arasında geçerli kartlar verildi, klima teknisyeninin ziyaretleri için kayıtlı bir refakat düzeni kuruldu ve kapı aralık kaldığında bilgi işlemin telefonuna uyarı gidecek biçimde ayarlandı. Üç ayak aynı anda düzeltildi.

Yeni bir önlem tasarlarken ise üç ayağı baştan birlikte düşün. Bir teknoloji alacaksan, onu kimin hangi süreçle işleteceğini satın almadan önce yaz. Bir süreç yazacaksan, onu uygulayacak insanların iş yükünü ve kullanacakları araçları gerçekten gör. Bir eğitim vereceksen, eğitimin anlattığı davranışın mevcut araçlarla gerçekten yapılabilir olduğundan emin ol; "şüpheli e-postayı bildirin" eğitimi, bildirmek için kolay bir düğme yoksa çoğu zaman sonuçsuz kalır.

Kullanılabilir güvenliğin pratik kuralı şudur: güvenli yolu en kolay yol yap. Parola yöneticisi, uzun ve ayrı parolaları akılda tutmaktan daha kolay hâle getirir. Tek tıkla bildirim düğmesi, şüpheli e-postayı bildirmeyi silmekten daha kolay hâle getirir. Hızlı bir resmî paylaşım yolu, gölge BT'yi gereksiz kılar.

Son olarak bir olay yaşandığında suçlu aramak yerine ayağı ara. "Kim tıkladı?" sorusu bir kişiyi bulur ve kurumu hiçbir şekilde güçlendirmez. "Hangi süreç ve hangi araç bu tıklamayı mümkün ya da olası kıldı?" sorusu ise bir sonraki olayı önler.

Uygulama

Bu uygulamada bir önceki derste kurduğun döngü tablosunu üç ayak gözüyle yeniden okuyacaksın.

Bu alıştırmanın amacı kendini suçlamak değil. Gölge yolu seçtiysen muhtemelen bir sebebi vardı; o sebebi yazmak, resmî ya da güvenli yolun neyi eksik bıraktığını görmenin yoludur.

Defter: Döngü tablosundaki her işin yanında İ, S, T harfleri; eksik ayağı eklenmiş en az bir iş; bir gölge BT örneği ve onu seçme nedenin.

Hata köşesi

Etik ve sınırlar

Bu ders iki etik yük taşıyor. Birincisi çalışan tarafındadır: resmî yol işini zorlaştırsa da, işverenin güvenlik kontrollerini atlatmak için kendi yetkini aşamazsın. Kurum verisini onaysız bir kişisel hesaba taşımak, iyi niyetle yapılsa bile verinin sahibinin izni olmadan işlenmesi anlamına gelebilir ve kişisel veri içeriyorsa hukuki sonuç doğurabilir. Doğru davranış, sorunu yetkili kişiye bildirmek ve resmî yolun düzeltilmesini istemektir. İkincisi güvenliği tasarlayanlar tarafındadır: insanları suçlayan bir dil, onları olayları gizlemeye iter. Bir hatayı bildiren kişiyi cezalandıran kurum bir sonraki hatayı duymaz. Sorumluluk adil bir sınır ister: kasıtlı ihlal ile dürüst hata aynı muameleyi görmez.

Kapanış

1. Her güvenlik önlemi insan, süreç ve teknoloji ayakları üzerinde durur; birinin eksikliği öbür ikisini boşa çıkarır.
2. Ölçülmüş verilere göre ihlallerin büyük kısmında kötü niyetli olmayan bir insan unsuru vardır, ama bu hataların çoğu kötü tasarlanmış süreç ve araçlardan beslenir.
3. Güvenli yol en kolay yol olmadığında insanlar gölge yollar kurar; savunma, suçlu aramak yerine eksik ayağı bulmak ve güvenli yolu kolaylaştırmaktır.

Üç soru

1. Bir şirket herkese parola yöneticisi lisansı alıyor, ama altı ay sonra çalışanların çoğunun onu hiç açmadığı görülüyor. Üç ayaktan hangileri eksik olabilir?
2. Gölge BT neden yalnız bir kural ihlali olarak değil, bir belirti olarak okunmalıdır?
3. Bir oltalama e-postasına tıklayan çalışanı bulmak yerine sorulması gereken soru nedir ve neden?

Yanıtlar

1. Teknoloji ayağı var, ama süreç ve insan ayakları eksik görünüyor. Kimin, ne zaman, hangi hesaplar için yöneticiyi kullanacağını söyleyen bir geçiş süreci, kuruluma yardım eden biri ve neden gerekli olduğunu açıklayan kısa bir anlatım olmadan araç kullanılmaz. Ayrıca araç mevcut işleri zorlaştırıyorsa, kullanılabilirlik sorunu da araştırılmalıdır.
2. Çünkü insanlar onaysız bir yolu genellikle resmî yol işlerine uymadığı için seçer. Gölge BT, resmî sürecin ya da aracın yavaş, karmaşık ya da eksik olduğunu gösterir. Yalnız yasaklanırsa saklanır; nedeni bulunup resmî yol düzeltilirse ortadan kalkar.
3. Sorulması gereken, hangi süreç ve aracın bu tıklamayı mümkün ya da olası kıldığıdır: e-posta neden süzülmedi, bildirim düğmesi var mıydı, kritik işlemler ikinci bir kanaldan doğrulanıyor muydu? Kişiyi bulmak kurumu güçlendirmez ve sonraki hataların gizlenmesine yol açar; eksik ayağı bulmak bir sonraki olayı önler.

Sonraki derse köprü

Bu derste bir çalışanın kurum kontrollerini kendi başına atlatamayacağını, bir sorunu ancak yetkili kişiye bildirebileceğini söyledik. Bu sınır yalnız işyeri kuralı değil, hukukun da çizdiği bir sınır. Kime ait bir sisteme kimin, hangi yetkiyle dokunabileceğini ilk derste kısaca andık; sıradaki derste izin ve yetki kavramlarını bilişim suçlarıyla ve kişisel verilerin korunmasıyla birlikte ele alıyor ve akademinin etik sözleşmesini yazıyoruz.