Sosyal medyada herkese açık verilere dikkat!

 Sosyal medya hackerlarının eğlence için kullanıcı verilerini çaldığı dünyası: Açık verileri çalmak suç mu? Çalınan veriler nasıl kullanılabilir?

Sosyal medya profil sayfanızda hangi kişisel bilgilerinizi paylaşıyorsunuz?

İsminiz, yaşadığınız, yer ya da yaşınızı mı?

Yoksa işiniz, medeni durumunuz ve profil fotoğrafınızı mı?

Kullanıcıların paylaşma konusunda rahat hissettiği özel bilgiler, kişiden kişiye değişiyor.

Çoğu insan, herkese açık olan profil sayfalarının aynı zamanda kamu malı sayıldığını kabul etmiş durumda.Peki bütün bilgilerinizin bir hacker ya da bilgisayar korsanı tarafından listelenerek milyonlarca kullanıcının verilerinden oluşan devasa bir veri tabanına konduğunu, ardından en çok para ödemeyi kabul eden siber suçluya satıldığını öğrenseniz ne hissederdiniz?

Geçen ay dünyanın dört bir yanından 700 milyon Linkedln kullanıcısının veri tabanını "eğlence olsun diye" toplayan ve kendisine 'Tom Liner' lakabını takan bir bilgisayar korsanı tam da bunu yapmıştı. Bu verileri daha sonra yaklaşık 5 biner dolara sattı.

Bu ve benzer olaylara, sosyal medyada 'veri kazıma' adı veriliyor.

Kamuya açık olarak paylaştığımız profillerimizdeki temel bilgilerin daha iyi korunmasının gerekip gerekmediği konusu tartışmalara yol açıyor.

Geçtiğimiz ay 'Tom Liner' lakaplı bir bilgisayar korsanı meşhur bir hacker forumunda LinkedIn kullanıcıları ile ilgili şu mesajı paylaştı:

"Selam, elimde 2021'e ait 700 milyon kayıt var."

Bu paylaşımda, hem milyonlarca verinin bir kopyasına ait bir link, hem de başka bilgisayar korsanlarının doğrudan ona ulaşıp, bu veri tabanı için teklif verebileceği bir davet vardı.

Mutlu müşteriler

Bilgisayar korsanlarının dünyasında bu verilerin satışa açılması elbette büyük tartışma yarattı.

Tom lakaplı bu bilgisayar korsanı elindeki çalıntı verileri, 'birçok' mutlu müşteriye yaklaşık 5 bin dolara sattığını söylüyor.

Müşterilerinin kim olduğunu ve neden bu bilgileri satın almak istediğini anlatmasa da, daha ileri düzeyde ve kötü niyetli bilgisayar korsanlığı için verilerin kullanılıyor olabileceği yorumunu yapıyor.

Bu gelişme sonrası, siber güvenlik ve gizlilik uzmanları, büyük çaplı veri 'kazıma' olaylarının yaygınlaşacağı kaygılarında haklı çıkığ çıkmayacaklarını araştırıyor.

Bilgisayar korsanları, söz konusu veri tabanlarını internette sunucularına ya da sosyal ağ internet sitelerine sızarak değil, kullanıcılar hakkında özgürce ulaşabildikleri her ne bilgi varsa, bunları çeşitli platformların kamuya açık yüzünü otomatik programlarla kazarak üretiyorlar.

Teoride bu verilerin çoğunluğu, basitçe kullanıcıların kişisel sosyal medya profilleri açıldıktan sonra, bazı bilgiler seçilip toplanarak da oluşturulabilir. Ki bunca veriyi böyle bir yöntemle toplamak ise yüzyıllar alır.

Bu yıl yaşanan büyük veri hırsızlığı ya da 'kazıma' olayları ise şu şekilde:

- Nisan'da bir bilgisayar korsanı 500 milyona yakın kişisel bilgiden oluşan başka bir veri tabanı 'kazıdı'

- Aynı haftada bir başka bilgisayar korsanı Clubhouse'dan 1.3 milyona yakın profilden çaldıklarından oluşturduğu veri tabanını bir forumda bedavaya paylaştı

- Yine Nisan ayında 533 milyon Facebook kullanıcısının kişisel bilgileri, eski ve yeni çalıntı veriler kullanılarak toplandı ve bir hacker forumunda bağış karşılığında paylaşıldıFacebook'a yönelik bu son siber saldırının başrolünde, bilgisayar korsanı 'Tom Liner' vardı.

'Çok karmaşık bir iş'

Tom, 700 milyonluk LinkedIn veri tabanını oluştururken, daha önce bir Facebook listesi yaratırken başvurduğu yöntemin "neredeyse tamamen aynısını" kullanmış.

Sürecin birkaç ay sürdüğünü söyleyen Tom, "Çok karmaşık bir işti. LinkedIn'in API'ını (uygulama programlama ara yüzü) hacklemem gerekti. Bir kerede çok fazla kullanıcı verisi talep edersen sistem sana yasak getiriyor" diyor.

Sosyal ağların çoğu bazı şirketler ile, pazarlama ya da uygulama geliştirme amacıyla platformlarına erişmeleri için API ortaklığı yapıyor.

Bunu keşfeden siber güvenlik sitesi PrivacySharks, veri tabanının paylaşılan bedava kopyasını incelediğinde, çok sayıda isim, e-mail adresi, cinsiyet, telefon numarası gibi bilgilerle karşılaştı.

'Veri ihlali yok'

LinkedIn yetkililerine göre, şirketin elindeki kanıtlar Tom Liner'ın API'larını kullanmadığını gösteriyor.

Şirketin açıklamasında "LinkedIn'den ve diğer kaynaklardan alınan bilgiler kazınarak" bu veri tabanının oluşturulduğu belirtilirken, "Bu, LinkedIn'in veri ihlali değildir ve LinkedIn üyelerine ait hiçbir özel bilgi ifşa edilmemiştir. LinkedIn'den veri kazımak ise bizim Hizmet Kullanım Şartlarımız'ın bir ihlalidir ve üyelerimizin gizliliğinin korunması için sürekli olarak çalışmayı sürdürüyoruz" ifadeleri yer aldı.

Nisan ayında benzer bir olayla sarsılan Facebook da, meseleyi bir veri kazıma olayı olarak niteleyerek konuyu kapamıştı.

Ancak bilgisayar korsanlarının bu veri tabanlarından ciddi paralar kazanıyor olması bazı siber güvenlik uzmanlarını kaygılandırıyor.

'Karmaşık bilgiler çalındı'

SOS Intelligence şirketinin kurucusu ve CEO'su Amir Hadzipasic gece gündüz hacker forumlarını tarıyor. Amir Hadzipasic ve ekibi, 700 milyonluk LinkedIn veri tabanının çalınıp açık artırmaya çıkarıldığını duyar duymaz, söz konusu verilerin analizini yapmaya girişmiş.

Hadzipasic, "Bu gibi büyük çaplı sızıntılar, coğrafik konum ve özel telefon numarası ya da e-mail adresleri gibi karmaşık bilgileri içermeleri nedeniyle kaygı yaratıyor. API zenginleştirme hizmetlerinin sunduğu bilgilerin miktarı birçok kişi için şaşırtıcıydı" diyor.

LinkedIn verilerini satın alan bilgisayar korsanlarının büyük ihtimalle bu bilgileri şirket patronları gibi üst düzey profilleri hedef almak için kullanacağı yorumunu yapan Hadzipasic, veri tabanındaki çok sayıda e-mail adresinin de e-mail üzerinden toplu kimlik hırsızlığı yapmak için kullanabileceğini ekliyor.

'Veriler halka açık'

Çalışmalarının büyük bölümünü hacklenen veri tabanlarındaki içerikleri incelemeye ayıran siber güvenlik uzmanı Troy Hunt, bu kazıma olaylarından o kadar da kaygılı değil.

İnternet sitesi haveibeenpwned.com üzerinden çalışmalarını yürüten Hunt, bu olayları halka açık profillerin paylaşılmasının bir sonucu olarak kabul etmemiz gerektiği görüşünde.

"Yaşanan olaylar kesinlikle veri ihlali kapsamında değil. Bu verilerin çoğu zaten herkese açık" diyen Hunt, sözlerine şöyle devam ediyor:

Bu vakaların her biri için sorulması gereken, verilerden ne kadarının kullanıcının isteği üzerine herkesin erişimine açık olduğu ve ne kadarının erişime açık olmasının beklentilerin ötesine geçtiği.

Tory Hunt da, Amir Hadzipasic'in sosyal ağların API programları üzerindeki denetim mekanizmalarını geliştirmesi gerektiği, bu olayların üstünün örtülemeyeceği konusundaki görüşüne katılıyor.

Hunt, "Facebook ve diğer platformların duruşuna karşı çıkmıyorum. Ancak teknik olarak belki doğru olsa bile, yaşanan olaylara 'burada bir sorun yok' yanıtını vermekle, bu kullanıcı verilerinin ne kadar değerli olduğu konusunu atladıklarını ve belki de bu veri tabanlarının yaratılmasında oynadıkları rolü önemsiz gösterdiklerini düşünüyorum" diyor.

Eylemleri nedeniyle, sosyal medya ağları Tom'a fikri mülkiyet hırsızlığı ya da telif hakkı ihlalinden dava açabilir.

Siber güvenlik sektöründe yıllık 62 bin euro maaşlı bir işe nasıl girilir?

 Dünya genelinde siber güvenlik alanında çalışacak işçi açığı oldukça yüksek bir seviyede. Peki yıllık maaşları 62 bin euro (636 bin TL) civarında olan bu sektöre nasıl girilebilir? BBC'den John P. Mello Jnr. sektörün önde gelen isimlerine sordu.

Oscar Anaya'nın ilk başarılı hacklemelerinden biri, 11 yaşında kız kardeşiyle paylaştığı bilgisayarında olmuş. "Kardeşim ilginç bir oyun oynuyordu ve benim oynamamı istemiyordu. Bu yüzden oyuna şifre koymuştu" diyor.

Pes etmeyen Anaya, bilgisayarı pek çok defa üst üste açıp kapatarak Windows XP'nin Güvenli Mod'da açılmasını sağlamış.

"Bu sayede yönetici şifresiyle giriş yapıp programa koyulan şifreyi kaldırdım. Kardeşim eve geldiğinde çok şaşırmış, bunu nasıl başardığımı anlayamamıştı" diye anlatıyor.

Bu hackleme Anaya'nın bilgi teknolojileri (IT) sektöründe siber güvenlik uzmanı olarak çalışmasıyla sonuçlanan yolun ilk taşını döşemiş.

Bu, müzik prodüktörlüğünden güvenlik alarmı takmaya ve son olarak da program hacklemeye kadar giden bir yol olmuş.

"Her şeye 'Bu amacı dışında nasıl kullanılabilir' gözüyle bakarım. Dijital dünyada da bir şeyleri amaçlandığı şekilden farklı olarak kullanmak hackerlığın temelidir" diyor.

Siber güvenlik alanında çalışmanın hayalini kursa da, eşi onu bu konuda cesaretlendirene kadar bunu imkansız bir hayal olarak görüyormuş.

Fakat 2019'da IBM'in bir eğitim programına katıldıktan sonra şirketin X-Force Red adlı donanım hackleme ekibine katılmış.

Yeni işi, donanımları hacklemeye çalışarak zayıf noktalarını tespit etmek.

Araya'nın hikayesi farklı sektörlerden gelen insanların siber güvenlik sektöründe iş bulabileceğinin bir örneği.

Bu, maaşların iyi olduğu bir sektör. (ISC)'ye göre 2019'da bu sektörde 4 milyon çalışan açığı vardı. Bu, bir sonraki yıl 3,1 milyona düşse de devam ediyor.

ABD merkezli danışmanlık şirketi Automation Workz'ün kurucusu ve yöneticisi olan Ida Byrd-Hill "Bu çok büyük bir sektör. Bütün bu siber saldırılar ve veri sızdırmalar, siber güvenlik çalışanlarına ne kadar ihtiyaç olduğunu gösteriyor" diye anlatıyor.

(ISC)² yöneticisi Clar Rosso da "Şirketlerin aradıkları özellikler değişmeye başlıyor. Siber güvenlik alanındaki yetenek eksikliğinin farkına varan şirketler kimi işe alacakları konusunda daha farklı düşünmeye başladı" diyor ve ekliyor:

"Siber güvenlik çalışanlarına teknik bilgilerin sonradan da öğretilebileceğini, o yüzden teknik bilgiler dışındaki şeylerin daha önemli olduğunu düşünüyorlar. Bunlar analitik ve eleştirel düşünebilme, problem çözebilme, birey ve takım olarak iyi çalışabilme gibi yetenekler."

Rosso, yakın zamanda yapılan bir araştırmanın, siber güvenlik çalışanlarının yarısının IT veya bilgisayar dışındaki alanlardan geldiğini gösterdiğini söylüyor.

Sektörün en büyük şirketlerinden bazıları da o yolda. Denetim ve danışmanlık şirketi Deloitte'ın İngiltere siber güvenlik şefi Wil Wockall "Siber güvenliğe giriş yolları çok farklılaşabilir. Bazılarının teknik konularda eğitimi veya diploması var ama bizim işe aldığımız kişilerin çoğu teknik olmayan işlerden geliyor" diyor:

"Biz yetenek geliştirmeye odaklanıyoruz. Şirketimizde bir insanın kariyeri boyunca hem teknik hem diğer yeteneklerini geliştirebilmek için programlarımız var." Bu geniş bir sektör. Güvenlik alanında yapılabilecek birbirinden farklı işler var.

"Son 20 yılda sektör epeyce değişti. Artık çalışanlar bir hangarda kapüşonlarını takıp teknik şeyler yapan kişiler değil. Sonuçta bu bir işletme olduğu için işletme yetenekleri olan insanların önemi artıyor."

Sektöre dışardan gelen kişilerin arasında şirketlerin kendi güvenliklerini test etmek için tuttukları beyaz şapkalı (etik) hackerlar, güvenlik adımlarını denetleyen kişiler veya tehdit istihbarat analistleri de var.

Güvenlik hizmetleri sunan Red Canary şirketinin işe alım bölümünden Melanie Kruger "Bu farklı kariyerlerin farklı özellikleri oluyor. Bazılarında mühendislik bilgisi, bazılarında ise veri işleme ve analiz yetenekleri öne çıkıyor" diyor:

"Hangi yolun doğru olduğuna karar vermek için mevcut işinizde kullanmaktan en çok hoşlandığınız yeteneklerinizin bir listesini çıkarmanızı tavsiye ederim."

Siber güvenlik alanındaki işçi açığı kısa süre içinde kapanmayacağı için uzmanlar işe alımda değerlendirilen adayların sayısını artırmanın gerekliliğini vurguluyor.

Yüksek teknoloji işlerini listeleyen Dice'ın sahibi olan DHI Group'un teknoloji şefi Paul Farnsworth "Yakın disiplinlerden insanları alarak onları yeniden eğitmek bu açığı gidermek için daha iyi bir yöntem" diyor.

Sertifikalı Bilgi Sistemleri Güvenlik Uzmanları (CISSP) sınavını hazırlayan ABD merkezli (ISC)² kuruluşuna göre Avrupa'da siber güvenlik uzmanlarının yıllık ortalama maaşı 62 bin euro (636 bin TL).

İşçi bulma şirketi Robert Half'tan Jim Johnson da şirketlerin bu alanda işçi bulmak için daha fazla şey yapması gerektiğini söylüyor:

"Şirketler kendi topluluklarıyla, okullarıyla ve yerel ağlarıyla ilişkiye geçerek daha fazla yetenek geliştirmeli.

"Bunun bir yolu da öğrencilere staj veya kısa süreli çalışma imkanı sunmak. Bu öğrencilerin gelişimini hızlandıracaktır."

IBM'in güvenlik departmanında yetenek avcılığı yapan Heather Ricciuto da IBM'in birkaç yıl önce, bu alanda önceden olduğu gibi sıradan bir şekilde işe alım yapmanın yeterli olmadığını fark ettiğini anlatıyor.

"En iyi okullardan mezun olan lisans ve yüksek lisans mezunlarını işe almanın yeterli olmadığını anladık. Geleneksel olarak değerlendirmediğimiz aday profillerine de yönelmemiz gerektiğini fark ettik" diyor:

"Lise, kolej, özel kurs ve ücretsiz online eğitim mezunlarını, kendi kendini yetiştirmiş kişileri de işe almaya başladık. Ayrıca bir staj programı başlattık.

"Dünyada o kadar çok siber güvenlik çalışanı açığı var ki bütün bu işleri üniversite mezunlarıyla dolduramıyoruz. Gerekli işler için aranan yeteneklere sahip yeterli mezun yok."

Deloitte'tan Wil Rockall da farklı arka planlara sahip kişileri işe almanın çok önemli olduğunu vurguluyor:

"Tek bir yanıtı olan tek bir problemle uğraşmıyoruz. Sürekli değişen dinamik bir ortamda çalışıyoruz. Saldırganlar müşterilerimizi hedef almanın birbirinden farklı yollarını buluyor.

"Bu yüzden değişik şekillerde düşünebilen, farklı yaklaşımlara sahip kişileri işe almak bu tehditlerle daha iyi başa çıkmamızı sağlıyor."

Siber korsanlara fidye ödenmeli mi?

 2021 yılında düzenlenen en büyük fidye yazılımı saldırısı; siyasetçiler, siber güvenlik uzmanları ve şirket yöneticileri arasında yeni bir tartışmaya yol açtı.

Siber saldırılara maruz kalan şirketler ya da diğer kuruluşlar, bilgisayar ağlarının kontrolunu yeniden sağlamak için fidye ödemesi yapmak ya da geri getirilemeyecek verileri kaybetme ve kurumsal faaliyetlere yeniden başlama kapasitesini yitirmek pahasına fidye ödemesi yapmayı reddetmek arasında bir seçim yapmaya zorlanıyor.

Başkan Joe Biden, özellikle fidye yazılımı saldırıları tehdidini kontrol altına alması için artan baskılara yanıt olarak Çarşamba günü üst düzey ulusal güvenlik yetkilileri ve uzmanlarla yeni taktik ve uygulamaları görüşmek üzere biraraya geldi.

Beyaz Saray Sözcüsü Jen Psaki, görüşmeden sonra gazetecilere yaptığı açıklamada, yetkililerin Başkan Biden'a "fidye yazılımlarıyla mücadele konusunda devam etmekte olan çalışmaları hakkında bilgi verdiğini" söyledi. Psaki, Başkan'ın "her türlü fidye yazılımı ağına ve bu ağlara yataklık yapanlara yanıt verme hakkını saklı tuttuğunu" kaydetti.

ABD'de 4 Temmuz Bağımsızlık Günü'nün kutlandığı haftasonunda Amerikan yazılım tedarikçisi Kaseya firmasını ve firmanın dünya genelindeki binden fazla müşterisini hedef alan siber saldırı, Rusya'da faaliyet gösterdiğine inanılan siber çetelerin benzer saldırılarını izledi.

Haziran ayında ABD'nin en büyük et işleme firması JBS'ye düzenlenen saldırının sorumlusu olarak gösterilen REvil siber çetesi, son saldırının da sorumluluğunu üstlendi. REvil, 1 milyondan fazla sistemi fidye yazılımıyla enfekte ettiğini iddia etti. Çete, fidye yazılımından etkilenen sistemlere erişim sağlamak için "ortak" bir anahtar karşılığında kripto para olarak 70 milyon dolar tutarında fidye ödemesi talep ediyor. Siber güvenlik firması Recorded Future'a göre bu miktar, şimdiye kadar siber korsanların talep ettiği en yüksek tutarlı fidye.​

''Felaket bir durum''

Siber güvenlik uzmanları, İsveç'teki market zincirinden Yeni Zelanda'daki ana okullarına fidye yazılımı saldırısından etkilenen şirket ve iş yerlerinin fidye ödemek için birlik olması olasılığını düşük görüyor. Bu durum, fidye yazılımı saldırısına maruz kalanların içine düştüğü çıkmazı gözler önüne seriyor.

Güvenlik ve Teknoloji Enstitüsü Başkanı Philip Reiner, "Hiçbir şirket, faaliyetlerine devam etmek için kapılarını açık tutmak ya da suçlulara para vermek gibi bir ikileme düşmek istemez. Bu, bir CEO ya da yönetim kurulu açısından felaket bir durum" dedi.

ABD Federal Soruşturma Dairesi (FBI) Başkanı Christopher Wray, fidye yazılımı saldırılarının hedef aldığı şirket ve kuruluşların verilerine yeniden erişebilmek için siber saldırganlara fidye ödemesinde bulunmaması, bunun yerine hemen yetkililere başvurması gerektiğini kaydediyor.

Et işleme şirketi JBS USA, Kuzey Amerika ve Avustralya'daki faaliyetlerini geçici süreliğine durdurmak zorunda kalmasına neden olan 30 Mayıs'taki siber saldırıyı düzenleyenlere 11 milyon dolar ödeme yağmıştı. Yakıt boru hattı firması Colonial Pipeline da 7 Mayıs'ta düzenlenen ve ABD'nin doğusundaki en büyük yakıt boru hattının kapanmasına yol açan saldırının sorumlularına 4 milyon 400 bin dolar ödedi. FBI, daha sonra Colonial'ın ödediği fidyenin büyük çoğunluğunu geri aldı.

Fidye yazılımı saldırısı düzenleyenler, hedef aldıkları şirket ya da kuruluşların bilgisayar sistemini kilitliyor ve genellikle kripto para formundaki fidye ödemesi yapılana kadar sisteme erişimi engelliyor. Saldırının çapına göre bu durum bir şirketin faaliyetlerinin tamamını durdurmasına yol açabiliyor.

Fidye yazılımı saldırıları son birkaç yıldır hem sıklaştı hem de daha çok hasara yol açar hale geldi. Bunun nedeni kripto para birimlerinin yükselişiyle birlikte gizli görünümlü ödemelerin yapılabilmesi ve beceri düzeyi düşük siber suçluların bile fidye saldırıları düzenlemesini sağlayan iş modeli.

Siber suçluların hastane ve okul gibi kritik hizmet sunan kurumları giderek daha çok hedef alması, ABD ve diğer Batılı ülkelerin fidye yazılımlarını bir ulusal güvenlik tehdidi olarak kabul etmesine neden oldu. Beyaz Saray'dan hafta başında yapılan açıklamada fidye yazılımları, "Biden yönetimi için bir ulusal ve ekonomik güvenlik önceliği" olarak nitelendi.

Siber saha ve gelişmekte olan teknolojilerden sorumlu ulusal güvenlik danışman vekili Anne Neuberger, partilerüstü Ulusal Başsavcılar Birliği'ne geçen ay yaptığı açıklamada, Biden yönetiminin fidye yazılımlarıyla mücadelede dört kollu bir strateji benimsediğini söyledi. Bu strateji tehdit unsurlarını ve bu unsurların altyapısını dağıtmak, fidye yazılımı saldırısı düzenleyen suçluları koruyan ülkeleri sorumlu tutmak, kripto para cinsinden suç nitelikli parasal işlemleri takip etmek ve hükümetin fidye ödemelerine ilişkin uygulamalarını gözden geçirmeyi kapsıyor.​

Fidye yasaklanmalı mı?

Biden yönetimi yetkililerinin karşı karşıya oldukları en zor sorulardan biri, fidye yazılımı saldırılarına maruz kalan şirketlerin ve diğer kurumların ödeme yapmasını yasaklayıp-yasaklamamak. Fidye ödenmesinin yasaklanması gerektiğini savunanlara göre fidye yazılımları kar amacı güttüğü için bu yazılımların mali fayda yönünün ortadan kaldırılması, suçluları da ortadan kaldırır. Ancak ödeme yapılmasına izin verilmesini savunanlar, yasakların, şirketlerin faaliyetlerini yeniden oluşturmaya çalışmasına zarar vereceği görüşünde.

Neuberger, ABD'de refah düzeyi ve rekabetçiliğin ilerletilmesine odaklanan partilerüstü kurum Silverado Policy Accelerator tarafından geçen hafta düzenlenen sanal etkinlikte, "Bu çok zor bir karar. Titizlikle üzerinde düşünülmesi gerekiyor" dedi.

Neuberger ayrıca ABD'deki kritik altyapının büyük çoğunlukla özel sektörün mülkiyetinde ve işletiminde olduğunu, bu durumun, hükümetin fidye ödenip-ödenmemesi gibi kararları dayatma yetkisini kısıtladığını söyledi.

Neuberger, Biden yönetiminin fidye ödemelerini yasaklamak yerine hükümetin şirket ve kurumların fidye ödemesini engellemek için bazı teşvikler sunma seçeneğini değerlendirdiğini kaydetti.

"Fidye yazılımına hedef olan şirketlerin işi zor. Bir şirketin bu zor duruma düşmesine yol açan bir süreç var" diyen Neuberger, "Bu süreci gerçekten yeniden şekillendirmek için ne gibi teşvikler sunabiliriz?" ifadelerine yer verdi.

Biden yönetimi bir yandan da fidye ödemelerinin gizli tutulup-tutulamayacağına ilişkin uygulamayı değerlendiriyor. Neuberger, fidye yazılımı saldırılarına maruz kalanların çoğu siber çetelerle gözlerden uzak şekilde sessizce anlaştığı ve fidye ödemesi yaptığını kamuoyu önünde açıklamadığı için bu tür saldırıların gerçek kapsamının tam olarak bilinmediğini söylüyor. Bu arada bazi Kongre üyeleri, şirketlerin herhangi bir siber saldırı ya da fidye ödemesini hükümete bildirmesini zorunlu hale getirecek bir yasa hazırlanması için baskı yapıyor.

Senato İstihbarat Komisyonu Başkanı Demokrat Partili Virginia Senatörü Mark Warner, geçen ay NBC televizyonunda yayınlanan Meet the Press programında, "Daha fazla şeffaflığa ihtiyacımız var çünkü şirketler fidye yazılımı saldırısına uğradıklarını bildirmemekle kalmıyor, fidye ödemesi yaptıklarını da açıklamıyor" dedi.

Yeni sanal tehdit: Ses klonlama...

 İnsan sesi, ses klonlama yöntemiyle birebir kopyalanarak kullanılabiliyor. Kopyalanan ses, dolandırıcılar ve siber haydutların elinde tehlikeli bir silaha dönüşüyor.

Ses klonlama işleminin yapılabilmesi için kaydedilen sesin bilgisayar yapay zeka yazılımına yüklenmesi gerekiyor. Bu aşamadan sonra yazılım, klavye ile yazılan her kelimeyi bu ses ile söyleyebiliyor.

TRT Haber'deki habere göre; Siber güvenlik uzmanı Dr. Soner Çelik, ses klonlamaya dair şunları söyledi:

"Öncelikle geçmişi 1997 yılına dayanan, aslında 'deep fake' teknolojisini barındırıyor. 'Deep learning' dediğimiz makine öğrenmesi. Burada temel olarak sahte videolarla görsel ve işitsel olarak gerçeğinin neredeyse birebir benzeri videolar ve görüntüler, sesler elde edilmeye çalışılıyor. Aslında ses klonlama günümüzde saldırganlar tarafından kullanılan yeni bir tehdit türü."

Dolandırıcılar ses klonlama yöntemiyle büyük şirketleri hedef alıyor. Şirketin yönetici veya ortaklarından biri gibi arayarak para istiyor.

"Uluslararası meseleler krize dönüştürülebilir"

Çelik, "Gerek liderler olsun gerek vatandaşlar olsun ses kayıtlarının taklidi yapılarak büyük kitleler harekete geçirilip insanlar etkilenebiliyor. Taklit ses videolarıyla devletler arası, uluslararası meseleler bir kriz haline dönüştürülebilir." dedi.

Sanat dünyasında risk

Sanat dünyası da ses klonlama işleminin tehdit ettiği alanlardan biri. Telif hakkı, kişisel verilerin korunması gibi birçok alan da ses klonlamaya karşı güncellemelere ihtiyaç duyuyor.

İnsan var oldukça kişisel verilerin korunması ihtiyaç

 KVKK Başkanı Bilir, herhangi bir ihlal olmaksızın herkesin kendisi hakkında veri işlenip işlenmediğini öğrenme hakkına sahip olduğunu belirterek, kuruma veri ihlali gerekçesiyle yapılan 8 bin 728 başvurudan 7 bin 25'inin sonuçlandırıldığını açıkladı.

Siber saldırılar nedeniyle, internet sitelerinin kullanıcılarının özel bilgilerinin sızdırılmasına ilişkin örnekler artıyor.

Türkiye'de "Yemek Sepeti", dünya genelinde ise sosyal paylaşım sitesi "Facebook" bu ihlallerden etkilenen internet siteleri arasında yer aldı.

Her iki siteyle ilgili ihlal bildirimlerinin ardından Kişisel Verileri Koruma Kurumu (KVKK) devreye girerek inceleme başlattı.

Kişisel Verileri Koruma Kurumu Başkanı Faruk Bilir, gündemdeki ihlal iddiaları, kişisel verilerin gizliliğinin önemi ve kurumun çalışmaları konusunda, 7 Nisan Kişisel Verileri Koruma Günü öncesinde soruları cevapladı.

Özel hayatın gizliliği ile doğrudan bağlantılı olan kişisel verilerin korunması hakkının, temel bir insan hakkı olduğu gerçeğinden yola çıkarsak, ülkemizin bu konudaki yaklaşımı nedir, Türkiye'de kişisel verilerin korunmasına yönelik düzenlemeler nelerdir, bununla ilgili temel çerçeveyi anlatır mısınız?

Bilindiği gibi teknolojik gelişmeler, son yıllarda kişisel veriler üzerinde son derece etkili olmuş, kişisel veri işleme faaliyetleri büyük bir hız kazanmıştır. Bu ivmeyle birlikte tüm dünyada mahremiyet hakkının önemi de daha yakından anlaşılmıştır. Ülkemiz de bu gelişmelere kayıtsız kalmamış, kişisel verilerin korunması alanında da birtakım reformlar gerçekleştirmiştir.

Bu reformlara, bu yeniliklere baktığımız zaman aslında kişisel verilerin korunması, genel mevzuat çerçevesinde 2005 yılında yürürlüğe giren Türk Ceza Kanunu ve diğer mevzuatlar kapsamında koruma altına alınmıştır. Ancak bu konudaki asıl dönüm noktası, 2010 Anayasa değişikliği olmuştur. Anayasa'nın 20'nci maddesine, "Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir." ifadesi eklenmesiyle, kişisel verilerin korunmasını isteme hakkı bir anayasal hak olarak tanınmış ve anayasal güvence altına alınmıştır. Tabii anayasa değişikliğinin bir kazanımı olarak 6698 sayılı Kişisel Verilerin Korunması Kanunu 7 Nisan 2016 tarihinde yürürlüğe girmiştir. Kanunla birlikte aslında ülkemizde kişisel verilerin korunması alanında yeni bir dönem başlamıştır diyebiliriz.

İlgili kanundan bahsettiniz. Bu kanun hayatımızda neleri değiştirdi? Kanunun toplum ve bireye kazandırdıkları nelerdir?

Aslında kanun, kişisel verileri işlemeyi yasaklamamış ancak hukuka uygun şekilde veri işlemenin çerçevesini çizmiştir. Kanunla birlikte, ülkemizde veri işleme faaliyetleri disiplin ve düzen altına alınmaya çalışılmıştır. Bu kanun, aslında günlük hayatımıza da dokunan, alışkanlıklarımızı değiştirmemize neden olan bir kanundur. Kişisel verilerin gelişigüzel işlenmesi veya paylaşılması yerine, hukuka uygun işlenmesini, bilinçli paylaşılmasını veya gerektiğinde paylaşılmamasını düzenleyen bir kanundur. Diğer taraftan kanunla, kişisel veriler üzerinde kontrol ve denetim hakkı getirilmiştir. Kişiler, kanunla sahip oldukları haklar vasıtasıyla bu denetimi yapabilmektedirler.

Kişisel verilerin korunmasına Avrupa ülkelerine nazaran çok daha sonra başlandı ülkemizde. Buna rağmen Türkiye'de kısa bir zaman diliminde, konuya ilişkin birçok adım atıldı. Bu süreçte görev üstlenen birisi olarak bulunulan noktayı nasıl değerlendiriyorsunuz?

Kişisel verilerin korunması Avrupa'da 70'li yıllardan itibaren hukuki düzenlemelerin konusu olmaya başlamıştır. Özellikle Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ile birlikte Avrupa'da uygulama birliği sağlanmıştır. Biz de şu anda KVKK Genel Veri Koruma Tüzüğü uyum çalışmalarını hassasiyetle devam ettiriyoruz. Kanunun yürürlüğe girmesinden bu yana kurumumuz, kendisine verilen görev ve yetkiler çerçevesinde kişilerin temel hak ve hürriyetlerinin korunması ile toplumun tüm kesimlerinde kişisel verilerin korunması alanında farkındalık oluşturulmaya yönelik birtakım çalışmalar yürütmekte. Bu anlamda, toplumdaki bilincin her geçen gün daha da arttığı ve özellikle kişisel veri işlenen tüm sektörlerde kanuna uyum noktasında gayret gösterilmesini memnuniyet verici bir gelişme olarak değerlendirebiliriz.

Sizin de söylediğiniz gibi her ne kadar ülkemizde kişisel verilerin korunması alanındaki çalışmalar Avrupa ülkelerine göre daha sonraki bir tarihte başlanmış olsa da kurumun yaptığı çalışmaların etkisiyle, günümüzde kişisel verilerin korunması konusunda ciddi bir ilerleme sağladığımızı da söyleyebilirim. Elbette kişisel verilerin korunması teknolojik gelişmelerden etkilenen, güncellik gerektiren, dinamik yapıya sahip olan bir alandır. Bu açıdan yolumuz uzun olsa da paydaşlarımızla birlikte atacağımız adımlarla hep birlikte daha iyi noktalara geleceğimizi düşünüyorum.

7 Nisan günü ülkemizde kişisel verilerin korunmasına dikkat çekmek amacıyla Kişisel Verileri Koruma Günü ilan edildi. Kişisel Verileri Koruma Günü bu yıl kaçıncı kez kutlanacak? Bu günün amacı nedir?

1 Eylül 2018 tarihli Resmi Gazete'de yayımlanan Milli Eğitim Bakanlığı Eğitim Kurumları Sosyal Etkinlikler Yönetmeliğinde 7 Nisan gününün "Kişisel Verileri Koruma Günü" olarak kutlanması kararlaştırılmıştır. Bu tarihten itibaren 7 Nisan'da kurumumuz bu günün anlam ve önemini ifade eden etkinlikler düzenlemektedir. Kişisel Verileri Koruma Günü, bu yıl üçüncü kez kutlanacaktır.

Bu günün amacını şöyle sıralayabiliriz kişisel verilerin korunması konusundaki farkındalığı artırmak, veri koruma bilincini zihinlere yerleştirmek, veri koruma kültürünün bireyler, kurum ve kuruluşlar arasında yaygınlaşmasını sağlamak, ülkemizin geleceği olan çocuklar ve gençlerin ilgisini bu yöne çekmek ve onların veri koruma kültürüyle yetişmelerini sağlamak da yine bu günün amaçları arasındadır.

7 Nisan Kişisel Verileri Koruma Günü'nün yanı sıra 28 Ocak Uluslararası Veri Koruma Günü var. İkisi arasındaki fark nedir?

108 sayılı Sözleşme, bizim de taraf olduğumuz ve bu ilk uluslararası bağlayıcı belge olma niteliğini taşıdığı için sözleşmenin imzaya açıldığı 28 Ocak 1981 tarihi baz alınarak bugün, yani 28 Ocak günü Uluslararası Veri Koruma Günü olarak kutlanmakta. 7 Nisan ise ülkemize özgü, kurumumuz ve Milli Eğitim Bakanlığı iş birliği içerisinde, konuya dikkat çekmek ve farkındalık oluşturmak amacıyla Kişisel Verileri Koruma Günü olarak ilan edilmiştir. Bu bize özgüdür.

Kişisel Verileri Koruma Günü dolayısıyla bu yıl hangi etkinlikler düzenlenecek, hangi mesajları vereceksiniz?

 Nisan etkinlikleri kapsamında makale, slogan ve karikatür yarışmaları düzenlendi. Bu sonuçları biz ilan ettik ve ödülleri de 7 Nisan günü yapacağımız programda vereceğiz, takdim edeceğiz. Kişisel Verileri Koruma Günü vesilesiyle 7 Nisan'da çevrim içi bir etkinlik düzenleyeceğiz. Bu etkinlikte genel olarak kişisel verilerin korunmasına ilişkin güncel gelişmeleri ele alacağız. Ayrıca sosyal medyada çocukların mahremiyetinin korunması gibi konular da etkinlikte yer alacak. Kurum olarak kişisel verilerin korunması konusunda güvenliğin ancak farkındalıkla mümkün olabileceğine inanıyoruz ve düşünüyoruz. Buradan hareketle sosyal medyada yeni bir farkındalık kampanyası başlatarak bir kez daha "Farkında ol, güvende kal" diyeceğiz.

Kişisel Verileri Koruma Kurumu hangi amaçla, ne zaman kuruldu? Kurumun karar organı olan Kişisel Verileri Koruma Kurulu kaç üyeden oluşuyor?

7 Nisan 2016 tarihinde yürürlüğe giren kanunla birlikte ülkemizde insan haklarını koruma mekanizmalarından biri olarak Kişisel Verileri Koruma Kurumu kuruldu. Kurumun kurulma amaçları arasında kişisel verilerin hukuka uygun olarak işlenmesini sağlamak, veri işlemede uyulması gereken usul ve esasları düzenlemek, kişisel verilere ilişkin ilgili kişilerin haklarının ihlal edilmesi durumunda gerek ihbar yoluyla gerek şikayet yoluyla bu ihbar ve şikayetleri karara bağlamak. Kurul 9 üyeden oluşmakta, kurul üyeleri 12 Ocak 2017 tarihinde yemin ederek görevine başladı.

KİŞİLERİN VERİLERİNİN İŞLENMESİ

Kişisel Verilerin Korunması Kanunu vatandaşlara hangi hakları sağlıyor? Hangi durumlarda veri ihlali yapıldığına karar veriyorsunuz? İhlal durumlarında vatandaşlar nasıl başvuru yapabiliyor?

Her şeyden önce bu kanunda gerçek kişilere getirilen haklar tek tek sayılmıştır. Kanunun 11'inci maddesinde şu şekilde belirtiyor; öncelikle veri işlenip işlenmediğini öğrenme. Kişi herhangi bir ihlal olmaksızın kendisi hakkında veri işlenip işlenmediğini öğrenme hakkına sahip. Eğer işlenmişse bilgi talep etme hakkına sahip, buna erişim de diyebiliriz. Bu veri işlemenin amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme hakkına sahip. Bu veriler aktarılmışsa aktarıldığı kişileri öğrenme hakkına sahip. Eksik veya yanlış işlenmişse bunların düzeltilmesini isteme hakkına sahip. Bu veriler yine işlenmişse silinmesini veya yok edilmesini isteme hakkına sahip. Bu işlenen veriler yoluyla kendisi aleyhine bir sonuç doğurulmuşsa bu işleme, itiraz etme hakkına sahip. Kanunda aynen şöyle ifade ediliyor, işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme. Yani herhangi bir şekilde kişi hakkında bir profilleme yapılmışsa ve kişi hakkında olumsuz sonuç doğuruyor ise buna itiraz etme hakkına sahiptir. Kanuna, hukuka aykırı veri işlemeden dolayı bir zarar meydana gelmişse bu zararın giderilmesini talep etme hakkına sahip.

Hakların kullanılması noktasında kanun, veri sorumlusuna başvuru ve kurula şikayet olmak üzere iki aşamalı bir başvuru usulü getirmişti. Veri sorumlusuna başvuru zorunlu, yani ilgili şirkete veya kamu kurumuna başvuru yapması gerekiyor. Kurula şikayet ise isteğe bağlı. Ama veri sorumlusuna başvuru yolu tüketilmeden kurula başvuru yapılamaz kural olarak. Şunun da altını özellikle çizmek istiyorum, vatandaşlar herhangi bir şekilde veri ihlali veya veri güvenliği ihlali meydana gelmeden de kanunda belirtilen haklarını kullanmak için başvuruda bulunabilirler.

Kişisel verilerle ilgili süreci düzenleyen 6698 sayılı Kanun kapsamında veri sorumlusuna vatandaşlar başvurarak kişisel verilerinin silinmesi talebinde bulunabiliyorlar. Diğer yandan unutulma hakkı var. Unutulma hakkı çerçevesinde kişiler, arama motorları üzerinden çıkan sonuçların indeksten kaldırılmasına yönelik taleplerde de bulunabiliyor. Bu iki işlem; yani verilerin silinmesi hakkı ile unutulma hakkı arasındaki fark nedir, bunu açıklayabilir misiniz?

Unutulma hakkını biz şu şekilde tanımlıyoruz; bireyin geçmişte hukuka uygun olarak yayılmış ve doğru nitelikteki bilgilerin hem işleme hukukuna uygun olacak hem bilgiler doğru olacak, doğru bilgilerin zamanın geçmesine bağlı olarak erişimden kaldırılmasını ya da gündeme getirilmemesini talep etme hakkı olarak nitelendirebiliriz. Kişisel verilerin silinmesi ise teknik bir tabir. Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesidir. Bu ikisi hakkında şöyle bağlantı kurulabilir; unutulma hakkı üst bir kavramdır, istisnai bir haktır. Belirli kriterler çerçevesinde kullanılabilir. Silme hakkı ise unutulma hakkını sağlayan bir araçtır. Yani silme hakkı, yok edilmesini isteme hakkı, bu yöntemler unutulma hakkına hizmet eder. Dolayısıyla silme işlemi veri işlenmesini gerektiren sebepler ortadan kalktıktan sonra resen veya şikayet üzerine, talep üzerine gerçekleştirilen bir uygulamadır. Kanunda silme hakkı düzenlenmiş ama unutulma hakkı doğrudan isim olarak yok fakat bu hem Anayasa'daki silme hakkı hem kanundaki silme hakkı çerçevesinde değerlendirilebilir. Nitekim bununla ilgili de kurulun bir kararı var.

8 BİN 728 BAŞVURUNUN 7 BİN 25'İ SONUÇLANDI

Kişisel Verileri Koruma Kuruluna bugüne kadar kaç başvuru yapıldı, bu başvurulardan kaç tanesi sonuçlandırdı? Ayrıca çalışmalarınızla ilgili diğer istatistiksel bilgilerden söz edebilir misiniz?

Bugüne kadar 8 bin 728 başvuru kurula intikal etti. Bunlardan 7 bin 25'i sonuçlandırıldı. Şikayet ve ihbar başvurusu, bunlara yurt içi ve yurt dışı dahil. Yine kuruma 457 veri ihlal bildirimi iletildi, bu bildirimlerden 81 tanesi kurumun internet sayfasında ilan edildi. Kurul bunu takdir ediyor. Kişi bakımından, etkilenen veriler bakımından, risk bakımından bunun duyurulması gerekiyorsa kurul bu konuda bir karar veriyor ve kurumun internet sayfasında ilan ediliyor. Yine birtakım görüş talepleri özellikle kanunla ilgili olarak hukuki görüş talepleri kurula intikal ediyor. Şu ana kadar da 521 hukuki görüş talebi karşılandı. Yine kanunda idari yaptırım, para cezası uygulamaya yetkisi var kurulun, bugüne kadar yaklaşık 41 milyon lira idari yaptırım uygulandı.

45 BİN VERİ SORUMLUSU, SİCİL BİLGİ SİSTEMİNE BİLDİRİMİNİ TAMAMLADI

Veri Sorumluları Sicil Bilgi Sistemi'ne veri sorumlularının zorunlu kayıt yaptırması gerekiyor. Süre 2021 yılı sonuna kadar uzatıldı. Bugüne kadar kaç veri sorumlusu sisteme kayıt yaptırdı?

Tüm dünyada olduğu gibi ülkemizde de etkisini devam ettiren pandemi nedeniyle kısa adıyla VERBİS'e, Veri Sorumluları Sicil Bilgi Sistemi'ne kayıt yükümlülüğünün gereği gibi yerine getirilmesi hususunda zorluklar yaşandığı gerekçesiyle, sizin de belirttiğiniz gibi kayıt süresi, yıl sonuna kadar, 2021 yılı sonuna kadar uzatıldı. Şu ana kadar VERBİS'e yaklaşık 88 bin civarında veri sorumlusu kayıt başvurusu yapmış, yaklaşık 45 bin veri sorumlusu, bildirimini tamamlamış durumdadır. Ayrıca bugüne kadar VERBİS üzerinden 850 bin civarında sorgulama yapılmıştır.

VERBİS'e kayıt; çalışan sayısı, mali bilanço ve ana faaliyet konusu bakımından belirli kriterleri taşıyan veri sorumluları için, kanuna uyum ise bütün veri sorumluları için bir yükümlülüktür. Şöyle söylemek daha doğru olur, VERBİS'e kayıt yükümlülüğünü yerine getirmek, kanuna uyumun yalnızca bir parçasıdır. Dolayısıyla VERBİS'e kayıt yaptırmakla kanuna bütünüyle uyum sağlandığı söylenemez. Yine bir veri sorumlusu, VERBİS'e kayıt yükümlülüğü bulunmasa dahi kanunda belirtilen diğer yükümlülükleri eksiksiz bir biçimde yerine getirmesi gerekir. Bu açıdan kanuna uyum eşittir VERBİS gibi bir yaklaşımın gerçeği yansıtmadığını belirtmek isterim.

İNSAN VAR OLDUKÇA KİŞİSEL VERİLERİN KORUNMASI İHTİYAÇ 

Kurumun, kişisel verilerin korunması konusunda veri sorumlusu konumundaki gerçek veya tüzel kişilerden beklentileri nelerdir?

Net olarak şunu ifade edebilirim; kanun bir veri sorumlusundan ne bekliyor ise kurum da ne eksik ne fazla aynısını bekliyor. Veri sorumluları hukuka uygun veri işlemeyi ve veri güvenliğini temin etmeyi ön planda tutmalıdır. Bireyin mahremiyetine saygı, temel konulardan biri olmalıdır. Bu kapsamda kişisel veri güvenliğini sağlayabilmek için alınan teknik ve idari tedbirler yeterli düzeyde olmalı ve özenle uygulanmalıdır. Kişisel verilerin güvenliğinin ve siber güvenliğin 7 gün 24 saat esasına dayalı olduğunu unutmamak gerekir. Risk temelli bir yaklaşım benimseyerek sürdürülebilir veri koruma politikalarını uygulamak gerekir diye düşünüyorum.

Kanuna uyum, yalnızca bireylerin kişisel verilerinin güvence altında olmasını değil, aynı zamanda şeffaflığın, hesap verebilirliğin ve güven ilişkisini tesis edecek verimli ekonomik ilişkilerin kurulmasını da sağlamaktadır. Bu bağlamda, kişisel verilerin korunması alanında yeterli farkındalığa sahip, mal ve hizmet sunumlarını bu hususu dikkate alarak tasarlayan ve bireylere haklarını kullandırma noktasında gerekli kolaylığı sağlayan şirketlerin sadece itibarı değil, rekabet gücü de artacaktır. Ulusal ve uluslararası ölçekte rekabet gücünün artması için veri korumanın öneminin yeterince kavranması ve bunu sağlamaya yönelik adımların atılması gerekmektedir. Çünkü kişisel verilerin korunması anlık, günlük veya dönemsel değildir. Süreklidir. İnsan var oldukça kişisel verilerin yolculuğu devam edecek ve bu verilerin korunmasına ihtiyaç duyulacaktır.

Türkiye'de faaliyet gösteren uluslararası veri sorumlularına yönelik bir düzenleme var mı, bu şirketlerin yükümlülükleri neye göre tanımlanıyor?

Kanunun kapsam maddesi olarak yani hangi kişisel veriler ya da nerede işlenen kişisel veriler sorusunu sorduğumuz zaman Türkiye'de veri işlemede bu kanun uygulanacaktır. Bunun için veri sorumlusunun Türkiye'de yerleşik olmasıyla yurt dışında yerleşik olması arasında genel olarak bir fark yoktur. Dolayısıyla burada önemli olan kanunların uygulanmasıyla ilgili olarak mülkilik, Türk Ceza Kanunu'nda, Kabahatler Kanunu'nda belirtilmiş. Dolayısıyla Türkiye'nin, Türkiye sınırları içerisinde veri işlemede uygulanacak bir kanundur. Ama bu veri işlemeyi Türkiye'de kurulu bir şirket de yapabilir, yurt dışında kurulu bir şirkette yapabilir. Hepsi bu kanuna tabiidir ve sorumludurlar.

Veri sorumlularıyla ilgili süreç işliyor. VERBİS'e toplamda kaç kayıt başvurusu yapılmasını bekliyorsunuz?

Burada 3 kategori var. Kamu kurumları, özellikle hastaneler ya da eczaneler, münhasıran özel nitelikli veri esas ana faaliyet kişisel veri işleyenler. Ve ciro çalışan sayısı bakımından bir kategori var. Yani üç kategoride bizim elimizdeki verilere göre yaklaşık 400 bin kayıt yapılması gerekiyor. Tabii bu yaklaşık bir rakam ama bizim genel olarak edindiğimiz bilgiler ve elimizdeki dokümanlara göre 400 bin kayıt yapılmasını bekliyoruz.

GEREKSİZ VERİ PAYLAŞIMINDAN KAÇININ!

Kişisel verilerin korunmasına yönelik yeterli duyarlılığın oluştuğunu, farkındalığın oluştuğunu düşünüyor musunuz? Veri sorumlularında ve vatandaşlarda yeterli duyarlılık oluştu mu? Mevcut durumu nasıl değerlendiriyorsunuz?

Tabii yeni bir kanun, yeni bir kurum. Aslına bakarsanız 3 yıldır bir faaliyet söz konusu. Elbette tam olarak bir farkındalığın sağlandığı söylenemez. Ama ülkemizde bu alanda yaşanan gelişmeler ya da teknolojik gelişmeler bu konudaki farkındalığın gittikçe arttığını söyleyebiliriz. Ama yeterli mi, tabii ki istediğimiz noktada değil. Ben bu farkındalığın ilerleyen süreçte daha fazla oluşacağını düşünüyorum.

"Kişisel veri" derken kişiyi doğrudan veya dolaylı tanımlayan bilgiler, kişiye ait olan bilgiler. Bunlara sahip çıkmaları gerekiyor. Gerçekten insan değerlidir, o insanın verileri de değerlidir. Dolayısıyla gelişigüzel paylaşmaktan sakınmak gerekiyor. Bu konuda sorgulayıcı olmamız gerekiyor. Her isteyen kişiye kişisel verileri paylaşmadan bunun amacını sorgulamamız gerekiyor. Bu amacı doğrultusunda kullanılıp kullanılmayacağından emin olmamız gerekiyor. Biz hep kurum farkındalık toplantılarında şunu söylüyoruz, "Kişisel veriler sizindir. Size ait olan sizde kalsın." Elbette veri paylaşılabilir ya da aktarılabilir ama bizim altını çizdiğimiz husus gereksiz, ölçüsüz veri paylaşımından sakınmalarıdır. Dolayısıyla bunlar bize ait olan veriler, bilgiler olduğu için bunlara sahip çıkmamız ve kontrol ile denetimin bizde olması gerekmektedir.

Dijital ayak izi nasıl silinir?

 Uzmanlar, internet kullanımının yoğunlaştığı ve veri ihlallerinin arttığı bu dönemde, kullanıcılara dijital ayak izlerini azaltmaları yönünde uyarıyor

Dijital ayak izi kurumların veya bireylerin çevrimiçi etkileşimde bulundukları zaman geride bıraktıkları iz bilgisi için kullanılan bir tanımlama. Kullanıcıların sosyal medya içerikleri, çeşitli çevrimiçi ödeme işlemleri, konum geçmişi, gönderilen e-postalar, anında mesajlaşma platformları aracılığıyla gönderilen mesajlar bunlar dijital ayak izlerini oluşturan verilerden sadece bazıları.

HER KULLANICI HEDEF OLABİLİR

İnternette gizliliğinize nasıl yaklaştığınıza ve sosyal medya alışkanlıklarınızın ne olduğuna bağlı olarak, bu veriler kapsamlı bir profilinizi oluşturmak için toplanıp kullanılabiliyor. Bu veriler, tehdit aktörleri tarafından her türlü kötü amaç için kullanılabilir ya da karanlık ağdaki pazarlarda satılabiliyor.

Dahası, aşırı paylaşım yapma eğilimindeyseniz bu bilgiler çevrimiçi siber zorbalar ya da dolandırıcılar tarafından suistimal edilebilir. Güvenli internet kullanımının önemine dikkat çeken siber güvenlik kuruluşu Eset’in uzmanları, djital ayak izlerinin nasıl azaltılabileceğine yönelik şu önerilerde bulundu:

SOSYAL MEDYA HESAPLARINIZI VE GİZLİLİK AYARLARINIZI DENETLEYİN

İlk olarak sosyal medya hesaplarınızın gizlilik ayarlarını ayrıntılı bir şekilde ele alın. Hesaplarınızı kimlerin görüntüleyebileceğini ve bilgilerinizin ne kadarının görülebileceğini sınırlandırın. Geçmişteki ve günümüzdeki tüm paylaşımlarınızı kontrol edin; tanımadığınız kişilerin sizin 10 yıl önceki tatil fotoğraflarınıza bakmasına izin vermeyin. Bu işlem dijital ayak izinizin azaltılmasına yardımcı olmanın yanı sıra, eski paylaşımların gelecekte sizin peşinize düşülmesinin önlenmesine de yardımcı olabilir.

Paylaşımlarınızı kontrol edip güvenlik ve gizlilik ayarlarını kullanarak profilinizi kilitledikten sonra, arkadaş listenizi düzenlemenin zamanı gelmiş demektir. İşe eklediğinizi bile hatırlamadığınız yabancılardan başlayın ve ardından, pek de tanımadıklarınıza ya da artık konuşmadıklarınıza geçin.

SAHİP OLDUĞUNUZ DİĞER HESAPLARI KONTROL EDİN

Birçok insanın onlarca ve belki de yüzlerce farklı çevrimiçi hesabı var. Büyük olasılıkla bir ya da iki kez kullandığınız çok sayıda alışveriş sitesi, spor takip programları, yemek pişirme uygulamaları ya da oyunlar için kayıt yaptırdınız. Her birinde adlarınız, doğum tarihiniz, vücut ölçüleriniz ve telefon numaralarınız gibi çeşitli bilgiler saklanıyor. İşleri kolaylaştırmak için sosyal medya hesapları ya da e-posta adreslerimizde genelde tek oturum açma (SSO) seçeneklerini kullanıyoruz. İster Google, ister Facebook, ister “Sign in with Apple” özelliğini kullanıyor olun, tümü size hangi üçüncü taraf uygulamaların hesap erişimi olduğuna göz atma seçeneği veriyor. Artık kullanmadığınız ya da muhafaza etmeye değmeyen hesapları silmek için bu listeyi kullanabilirsiniz.

BÜLTEN ABONELİKLERİNİZİ GÖZDEN GEÇİRİN

Dijital ayak izinizi azaltmanın bir diğer yolu da, almakta olduğunuz çeşitli bültenlere ait aboneliklerinizi iptal etmektir. Birçok abonelik birlikte hareket ederek çeşitli hizmetler ve çevrimiçi pazarlar için hesaplar oluşturur ve bunlar ürünlerle ilgili indirimler ve uygulama için aboneliklerle sizi e-posta bombardımanına tutarlar. Bu da şirketlerin hakkınızda sahip oldukları ve yanlış ellere düşebilecek ek veriler demektir.

SOSYAL MÜHENDİSLİĞE İZİN VERMEYİN

Sizin ile ilgili araştırma yapabilecek kötü niyetli kişilerin ekranın hemen arkasında olabileceğini aklınızdan hiç çıkarmayın. Kişisel verilerinizi her yerde paylaşmayın. Bilgilerin, farklı platformlardan parça parça bir araya getirilerek anlamlı bir bütün oluşturulabileceğini unutmayın.

Alman istihbaratı WhatsApp yazışmalarını okuyabilecek

 Almanya'da Federal Meclis'ten geçen yasa kapsamında artık istihbarat kurumları WhatsApp ve benzeri uygulamalarda yapılan yazışmaları okuyabilecek

Almanya'da istihbarat kurumlarına WhatsApp ve benzeri uygulamalardan yapılan şifreli yazışmaları okuma imkanı veren yasa tasarısı Federal Meclis’ten geçti.

Almanya'da hükümetin hazırladığı ve daha önce Bakanlar Kurulu'ndan geçen tasarı 280'e karşı 355 oyla kabul edildi, 4 milletvekili çekimser kaldı.

Böylelikle özellikle ülkenin iç istihbarat servisi Alman Anayasayı Koruma Teşkilatına (BfV) WhatsApp ve benzeri uygulamaları izleme imkanı verilecek ve BfV’nin kişileri takip etmesinin önündeki engeller kalkacak.

"TERÖRİSTLER ARTIK BİRBİRLERİYLE TELEFONDA KONUŞMUYOR"

Alman hükümeti bu yasayla özellikle aşırı sağla mücadelede BfV ile Askeri İstihbarat Servisi (MAD) arasındaki iletişimi iyileştirmeyi de hedefliyor.

Sosyal Demokrat Parti Milletvekili Uli Grötsch, Federal Meclis'te yaptığı konuşmada yasayı savunarak, "Teröristler ve aşırılık yanlıları artık birbirleriyle telefonda konuşmuyor, kısa mesajları da yazmıyorlar. Bunların yerine mesajlaşma servisleri aracılığıyla şifreli biçimde iletişim kuruyorlar" dedi.

Hristiyan Demokrat Birlik Partisi (CDU) Milletvekili Michael Brand da saldırıya uğrayan bir hukuk devletinin uygun şekilde ve kararlılıkla kendini savunması gerektiğini vurguladı.

"YASA, ANAYASAYA AYKIRI"

Muhalefet partileri ise yasayı vatandaşların haklarına müdahale olarak değerlendirdi.

Sol Parti Milletvekili Andre Hahn, yasanın Anayasa'ya aykırı olduğunu belirtirken, Yeşillerden Konstantin von Notz, bu şekilde hiçbir saldırının engellenmeyeceğini savundu.