İzin, yetki ve yasa

Açılış

Kaan bir akşam üniversiteden arkadaşı Mert'in mesajını aldı. Mert, okulun öğrenci bilgi sisteminde kendi not dökümüne bakarken bir hata yüzünden başka bir öğrencinin notlarını görmüştü. Heyecanlıydı: "Bunu biraz daha kurcalayıp kaç kişinin bilgisinin açık olduğunu bulalım, sonra da okula gösterelim. İyilik yapmış olacağız."

Kaan ertesi sabah bunu Gülay Hanım'a anlattı. Gülay Hanım önce Mert'in niyetinin iyi olduğunu kabul etti. Sonra tek bir soru sordu: Okul ona o sistemi incelemesi için izin verdi mi? Vermediyse, Mert'in "biraz daha kurcalamak" dediği şey, iyilik niyetiyle başlasa da, başkasının sistemine yetkisiz olarak girmek olurdu. İlk anda bir hatayı fark etmek ile o hatanın içinde dolaşmak aynı şey değildi.

Kaan o gün güvenlik mesleğinin en önemli çizgisini öğrendi. Bu ders o çizgiyi çiziyor: neye, kimin izniyle dokunabilirsin, ve çizginin öbür tarafında yasa ne diyor.

Tek fikir

Bir sisteme dokunma hakkını teknik erişim değil, o sistemin sahibinin verdiği yetki belirler. Parolayı bilmek, açığı görmek ya da iyi niyetli olmak izin yerine geçmez; Türk hukukunda izinsiz girmek, kalmak, bozmak ve veriyi değiştirmek ayrı ayrı suçtur.

Nasıl çalışır

Önceki derslerin etik bölümlerinde bu çizgiye birkaç kez değdik. Bu derste onu açıkça yazıyoruz, çünkü akademinin bundan sonraki her uygulaması bu çizginin berisinde duracak.

Yetkinin üç boyutu vardır ve üçü birden önemlidir. Kim veriyor: yetkiyi ancak sistemin sahibi ya da sahibin yetkilendirdiği biri verebilir; bir çalışanın arkadaşı, bir sistem yöneticisinin tanıdığı ya da bir müşteri başkasının sistemine yetki veremez. Ne kadar veriyor: yetki bir kapsamla gelir; bir bilgisayarı tamir etme yetkisi, içindeki dosyaları okuma yetkisi değildir. Ne zamana kadar veriyor: yetki süreyle sınırlıdır; bir projede verilen erişim proje bitince sona erer.

Bu boyutlardan biri eksikse ortada yetki yoktur, yalnız erişim vardır. Parolayı bilmek bir erişim imkânıdır. Bir hatanın başka birinin verisini göstermesi bir erişim imkânıdır. Yetki ise bir karardır ve o kararı başkası verir.

Türk hukuku bu çizgiyi ceza kanununun bilişim alanındaki suçlara ayrılmış onuncu bölümünde çizer.

Bu kanıtın Mert için anlamı açıktır. Bir hata yüzünden başka bir öğrencinin notunu görmek, kendi iradesi dışında olmuş olabilir. Ama o hatayı kullanarak başka kayıtlara bakmaya devam etmek, maddenin "orada kalmaya devam etme" ifadesine yaklaşır. Niyetin iyi olması, girişin hukuka uygun olduğunu göstermez.

244. madde ise erişilebilirlik ve bütünlük köşelerini korur: bir sistemin işleyişini engellemek ya da bozmak, içindeki verileri bozmak, yok etmek, değiştirmek, erişilmez kılmak, sisteme veri yerleştirmek ya da var olan verileri başka bir yere göndermek suçtur. Bir kamu kurumunun ya da bir bankanın sistemine yönelik olduğunda ceza artırılır. Bir sistemin "dayanıp dayanmadığını görmek için" ona yüklenmek bu maddenin alanına girer.

245/A maddesi güvenlik öğrencilerinin sıkça sorduğu bir soruya dokunur: güvenlik araçları yasak mı? Madde, münhasıran, yani yalnızca bu bölümdeki suçları işlemek için yapılmış cihaz ve programları hedef alır. Savunmada da kullanılan araçlar, ağ tarayıcıları ya da trafik analiz programları gibi, bu nitelikte değildir; ama aynı araç izinsiz bir sisteme yöneltildiğinde suç aracın kendisinden değil, eylemden doğar. Bu ayrımın somut bir olayda nasıl yorumlanacağı hukukçuların işidir; bu ders hukuki danışmanlık yerine geçmez.

Çizginin bir de öbür yüzü var: sistemleri koruması gerekenlerin yükümlülüğü.

Böylece çizginin iki tarafı da hukuken tanımlanır. Sistemin sahibi onu korumakla yükümlüdür; sahibi olmayan, izni olmadan ona dokunamaz.

Sahada

Savunma

Bu dersin savunması iki yönlüdür: kendini çizginin doğru tarafında tutmak ve sistemin sahibi olarak çizgiyi açıkça çizmek.

Kendini doğru tarafta tutmanın kuralı basittir: bir sisteme dokunmadan önce yetkinin üç sorusunu cevapla. Bu sistemin sahibi kim ve bana bu işi o mu, ya da onun yetkilendirdiği biri mi verdi? Yetkim tam olarak neyi kapsıyor? Ne zaman bitiyor? Cevaplardan biri belirsizse dur ve sor. İş hayatında bu yetkiyi yazılı almak, hem seni hem kurumu korur. Bir açık fark edersen, onu kurcalamadan, gördüğünü olduğu gibi not edip sistemin sahibine bildir.

Sistemin sahibi olarak çizgiyi çizmek ise yükümlülüğünün parçasıdır. Erişim verdiğin herkes için yetkinin kapsamını ve süresini yaz, iş bitince erişimi kapat. Dış hizmet sağlayıcılarla yaptığın sözleşmelere güvenlik ve gizlilik yükümlülüklerini koy. Bir açığı fark eden dürüst bir kişinin sana kolayca ulaşabilmesi için bir bildirim yolu aç; bunun için internette yaygınlaşan bir standart da var: sitenin belirli bir konumunda güvenlik iletişim bilgisini gösteren küçük bir metin dosyası. Bunu Modül 17'de ayrıntılı göreceğiz.

Son olarak kendi verilerin ve hesapların için de aynı yetki düşüncesini uygula. Ailende ya da işyerinde parolanı kimlerle paylaştığını, bir zamanlar kime erişim verdiğini ve o erişimin hâlâ gerekip gerekmediğini düzenli olarak gözden geçir. Paylaşılmış bir parola, ilişkiler değiştiğinde verilmiş bir yetki gibi kalır; onu geri almanın yolu parolayı değiştirmektir.

Uygulama

Bu uygulama iki parçalı. Önce akademinin etik sözleşmesini deftere kendi el yazınla geçireceksin, sonra kendi yetki haritanı çıkaracaksın.

Haritayı doldururken muhtemelen bir şey fark edeceksin: ikinci sütundaki izinlerin çoğu hiç açıkça konuşulmamıştır. Annenin telefonunu kurarken ya da işyerinde bir yazıcıyı ayarlarken kimse sana kapsam söylememiştir. Bunu bir eksiklik olarak not et; ileride bu izinleri açıkça konuşmak bu akademinin önereceği ilk alışkanlıklardan biri olacak.

Defter: Tarihli "Etik sözleşme" sayfası; "Yetki haritam" tablosu, ikinci sütundaki her satırda izni veren kişi ve kapsamı; kapsamı hiç konuşulmamış izinlerin işaretli listesi.

Hata köşesi

Etik ve sınırlar

Bu ders akademinin etik sözleşmesidir ve geri kalan her dersin etik bölümü ona dayanır. Sözleşmenin özü tek bir cümledir: bir sisteme ancak sahibinin verdiği izin ve yetki ölçüsünde dokunulur. Bu cümle yasanın da sınırıdır ama yasadan geniştir: yasanın yakalamadığı durumlarda da, bir arkadaşın telefonuna bakmak ya da bir iş arkadaşının açık bıraktığı ekranı okumak gibi, aynı ilke geçerlidir. Akademinin hiçbir dersi bu sınırı aşmanı istemeyecek; bir uygulama sana başkasına ait bir sistemi işaret ediyor gibi görünürse yanlış okumuşsundur, dur ve tekrar oku. Hukuki bir olay yaşıyorsan bu ders yol gösterir ama bir avukatın değerlendirmesinin yerini tutmaz.

Kapanış

1. Bir sisteme dokunma hakkını teknik erişim değil, sahibinin verdiği yetki belirler; yetki kim verdiği, neyi kapsadığı ve ne zaman bittiğiyle tanımlanır.
2. Ceza kanunumuzdaki bilişim suçları bölümü izinsiz girmeyi ve kalmayı, sistemi bozmayı ve veriyi değiştirmeyi ayrı ayrı suç sayar; bakmak bile yeter, iyi niyet izin yerine geçmez.
3. Kişisel verilerin korunması kanunu veri sorumlusuna teknik ve idari tedbir alma ve ihlali bildirme yükümlülüğü yükler; sahibin görevi korumak, sahibi olmayanın görevi izinsiz dokunmamaktır.

Üç soru

1. Bir çalışan, eski bir iş arkadaşından duyduğu yönetici parolasıyla şirket sunucusuna girip "sadece bakıyor". Bu durumu yetkinin üç boyutuyla değerlendir.
2. Bir bilgisayar teknisyenine arızalı dizüstü bilgisayarını tamir etmesi için veriyorsun. Teknisyenin bilgisayardaki fotoğraflarını açıp bakması neden yetkisizdir?
3. Bir web sitesinde başka kullanıcıların bilgilerini istemeden gördün. Ne yapmalı, ne yapmamalısın?

Yanıtlar

1. Yetkiyi sistemin sahibi, yani şirket ya da şirketin yetkilendirdiği kişi verir; eski iş arkadaşı bu yetkiyi veremez. Çalışanın yetkisi kendi işinin gerektirdiği sistemlerle ve işlemlerle sınırlıdır ve yönetici erişimini kapsamaz. Parolayı bilmek bir erişim imkânıdır, yetki değildir; değiştirmeden bakmak da hukuka aykırı giriş olarak değerlendirilebilir.
2. Teknisyene verilen yetkinin kapsamı arızayı gidermektir. Fotoğrafları açmak bu kapsamın dışındadır; yetkinin bir işe verilmiş olması, cihazdaki her şeye erişim hakkı vermez. Bu aynı zamanda bir mahremiyet ihlalidir ve teknisyenin işletmesi açısından kişisel verilerin amaç dışı kullanılması sorununu doğurur.
3. Gördüğünü genişletmeye çalışmadan hemen durmalı, ne gördüğünü, ne zaman ve hangi sayfada gördüğünü not etmeli ve sitenin sahibine, varsa güvenlik bildirim adresinden, yoksa resmî iletişim kanalından bildirmelisin. Başka kayıtlara bakmak, veriyi kaydetmek, paylaşmak ya da açığı kamuya duyurmak yapılmamalıdır.

Sonraki derse köprü

Bu derste defterine iki yeni sayfa ekledin: etik sözleşme ve yetki haritası. Defterinde artık bir varlık tablosu, üç köşe sütunları, saldırgan profilleri, bir savunma döngüsü ve şimdi bunlar var. Sıradaki atölyede bu dağınık sayfaları akademi boyunca tutacağın tek bir güvenlik defteri düzenine sokuyoruz: hangi bölüm nerede duracak, neyi ne sıklıkla güncelleyeceksin ve aylık güvenlik turunda neye bakacaksın.