İş dünyasında istihbarata karşı koyma

İşte UNDEX Genel Müdürü İbrahim Yılmazer'in kaleme aldığı yazı;

Uzunca bir zamandır bilginin “güç” olarak değerlendirildiği bir çağda yaşıyoruz. Fakat bilginin “nasıl kullanıldığı” sorusundan bağımsız olarak yapılan bu değerlendirme büyük risk ve zafiyetlerin ıskalanmasına sebep olmaktadır. Richard Feynman'ın “Nasıl kullanacağınızı bilmiyorsanız ne kadar kaynağınızın olduğunun önemi yok…” minvalindeki “bilmenin (bilginin)” kritikliğini vurgulayan sözüne katılmakla beraber, madalyonun öteki yüzünü çevirerek, gücünüz olan “bilginizi” aleyhinizde kullanabilecek rakip veya düşmanlarınızdan koruyamadığınız takdirde ne kadar “ölümcül” risklerle karşı karşıya kalabileceğinize işaret etmek istiyorum.

Bu makalenin amacı, ülkemizde genellikle sadece “devlet işi” olarak algılanan “istihbarat” mesleğinin özel sektördeki yansımalarına değinerek, sahibine güç katan bilginin aynı zamanda ne tür zafiyetler ortaya çıkarabileceği ve bu zafiyetlerin giderilmesine yönelik başvurulan “istihbarata karşı koyma (counterintelligence)” disiplini hakkında temel bir anlayış sağlamaktır. Nitekim istihbarata karşı koymanın iş dünyasındaki rolü,ticari sırları ve fikri mülkiyeti korumak için karar alıcıları (yönetimleri) nasıl desteklediği vb. hususlar açıklanacaktır.

Batı'da, istihbaratın iş dünyasındaki önemi erken tarihlerde anlaşılmış ve “competitive intelligence (rekabetçi istihbarat)”, “business intelligence (ticari istihbarat)”, “corporate intelligence (kurumsal istihbarat)” gibi kavramlar geliştirilerek, “devlet işi” olarak ortaya çıkan bir disiplin özel sektörün istifadesine sunulmuştur. Fakat istihbari imkân ve kabiliyetlerden her zaman etik ve legal sınırlar içinde faydalanılmadığı da hemen akla geliveren bir gerçektir. Bu noktada istihbaratın gayri meşru yöntemlerini (rüşvet, şantaj, ideolojik istismar vb.) kullanan “casusluk (espiyonaj)”, “ticari casusluk”, “endüstriyel casusluk” gibi karanlık alanları hesaba katılmalıdır.

E. Rowan, 1981'de, Protective Security (A South African Approach) adlı kitabında şunları yazmıştır: “Çok az insan endüstriyel casusluğun gerçekten var olduğuna inanır ve maalesef bunlar konunun temel unsurlarını tanımlayabilecek kadar bilgi sahibi değillerdir. Endüstriyel casusluğun gerçekleştiği yerde, koruma ve güvence yoktur...” Aslında 1981'den beri ticari kuruluşların pek çoğunun bu tehdidin gerçekliğini fark edemediklerini ve neyin, neden korunması gerektiğini anlayamadıklarını söylemek mümkündür. Pek çok şirket güvenlikleri konusunda halen bekçiler, kamera sistemleri ve nispeten yeni olarak ISO27001 Bilgi Güvenliği Standardı ve siber güvenlik uzmanları ile yetinmektedir. Evet, bunların hepsi önemli ve kıymetli tedbirlerdir. Fakat bu makalede sadece fiziki müştemilatı veya bilişim sistemlerini değil, insanları da “hackleyen” daha “yıkıcı” ve “uzmanlık gerektiren” bir tehditten bahsedilmektedir ve dolayısıyla bu tedbirlere bir “istihbarata karşı koyma planı” da entegre edilmelidir.

Ticari ve endüstriyel nitelikli casusluğa örnek olarak açık kaynaklarda bazı vakalar bulunmaktadır. Ancak bilinmelidir ki, ifşa olmuş bir casusluk hikayesi ya başarısızlıkla sonuçlanmış ya da sponsorunun amacına ulaşmasıyla sona erdirilmiş ve bilahare açığa çıkmıştır (ki bu dahi bir başarısızlıktır ve muhtemelen hesaplanandan daha yüksek bir maliyet doğurmuştur). Cari ve başarılı faaliyetler ise doğasındaki gizlilik icabı olarak bizim bilemediklerimiz veya açık kaynaklara yansımayanlardır. (Bu arada, yakın tarihte bir Türk teknoloji şirketinin uzun mesailer ve milyonlarca dolar sarf ettiği ARGE projesinin Avrupalı bir şirket tarafından çalındığına dair bir sohbete kulak misafiri olduğumu itiraf etmeliyim.Zannedilmesin ki, bu tehditler uzaklarda, Vahşi Batı'da veya Uzak Doğu'da bir yerlerde bulunuyor!)

Ticari ve endüstriyel casusluk faaliyetleri için dünyanın en çok hedeflenen alanlarından biri elbette Silikon Vadisi'dir.Bu durum,özellikle, rekabet avantajları vehayatta kalmaları ellerindeki bilgiye bağlı olan yüksek teknoloji şirketlerinin daha çok tedbirli olmaları gerektiği anlamına gelmektedir. Fakat rakipleri için kıymetli bilgiye sahip herhangi bir kurum veya kuruluş da hedef olabilmektedir.Yazılım, donanım, biyoteknoloji, havacılık, telekomünikasyon, ulaşım ve motor teknolojisi, otomotiv, enerji, savunma sanayii, sivil toplum kuruluşları, akademi, tarım, perakende vefinans sektörleri casusluk vakalarına sıkçatesadüf edilebilen sektörlerdir.

Şirketler rakipleri hakkında bilgi edinmek için her zaman büyük gayret göstermişlerdir. Bunlar ekseriyetle kataloglardaki fiyatları incelemek, bir şirketin rakipleri hakkında potansiyel müşterilerin görüşlerini dinlemek gibi basit eylemler ise de iş dünyasında bilgi toplamak yeni bir şey değildir. Fakat “bilgi toplamak” ile “istihbarat üretmek” arasındaki temel fark bilginin işlenerek niteliğinin yükseltilmesi ve istihbaratın sistematik olmasıdır. Artık dünya çapındaki şirketler, rakipleri hakkında “yeni anlayış kazandırabilen” ve “eyleme geçirilebilir bilgileri ihtiva eden” istihbarata giderek daha fazla bağımlı hale gelmektedirler. Bu bağımlılık zaman zaman legal ve etik sınırları aşan bilgi toplama yöntemlerini kullanmayı ve rakibin ticari sırları, patentleri, formülleri, fiyatlandırma stratejileri, müşteri bilgileri, personel kayıtları, sözleşmeleri, raporları, araştırmaları, çalışma prosedürleri vb. gizli bilgilerini çalmayı da beraberinde getirmektedir.

İstihbarat veKarşı Koyma İhtiyacı

Kısaca istihbarat, meşru ve gayri meşru bilgi toplama yöntemlerini kullanabilen ve “istihbarat çarkı” denilen modeli uygulayan gri bir alandır. Bu çarkın modellediği süreçte ilkin istihbarat ihtiyaçları tespit edilir ve bilgi toplama çalışmaları yönlendirilir, bilgi toplanır, toplanan bilgiler işlenir ve “istihbarat” kıymetine yükseltilir ve son olarak üretilen istihbarat karar alıcılara sunulur ve kullanılır. Gri alandan beyaz alana geçildiğinde sadece açık kaynaklardan bilgi derlemek ve işlemek söz konusudur. Bu önemlidir ve şirket yöneticilerinin isabetli kararlar alabilmesi için gereklidir. Nitekim “rekabetçi istihbarat”, “ticari istihbarat” veya “kurumsal istihbarat” diye isimlendirilen disiplinler burada konumlanır. Fakat “casus” veya “ajan” kelimelerinin geçtiği herhangi bir faaliyet illegaldir, “içerden bilgi (insider information)” teminini hedefleyen tamamen siyah bir alandır.

Bütün casusluk faaliyetlerinde, siber veya gerçek alemde yürütülmesinden bağımsız olarak, “insan” en önemli faktördür. Siber alem, çeşitli yazılım ve donanımlar ile nispeten kontrol edilebilmektedir. Ancak gerçek alemde bu tür faaliyetlerin tespiti ve engellenmesi için“paternleri” ve “anormallikleri” yakalayan çabuk, dikkatli ve eğitimli bir “kurumsal refleksin”mevcudiyetine ihtiyaç duyulmaktadır. Ayrıca şirketler ve devletlernezdinde en kritik bilgiler geleceğe dönük planlamaların öncülü olan niyetlerdir. Casusların esas hedefi olan bu niyetler dijital veya fiziki ortamlarda bulunabilirse de daha çok zihinlerde saklıdır ve öğrenilmeleri için bir insanın başka bir insanı manipüle ederek konuşturması (bilgi sızdırması) veya çeşitli motivasyonlarla konuşmaya (ajanlığa veya taraf değiştirmeye) ikna etmesi gerekir. Siber veya teknik bilgi toplama yöntemleri bunu yapamaz, bu yöntemlerde inisiyatif her zaman karşı taraftadır. Karşı taraf, ihtiyaç duyduğunuz bilgiyi siber ve teknik yöntemlerin erişebildiği ortamlarda saklamıyor olabilir veya bu yöntemlerle elde ettiğiniz büyük bilgi yığınları içinde aradığınızı bulmak, “samanlıkta iğne aramak” kadar zor ve maliyetli olabilir. Fakat casuslar, F. W. Rustman'ın dediği gibi, sorunuzun yanıtını bulurlar. Bu yüzden bekçiler, kamera sistemleri, ISO27001 standardı ve siber güvenlik uzmanları sizi yeteri kadar koruyamayabilir. Doğrudan “insana” odaklanan “istihbarata karşı koyma” disiplinine ait “koruyucu güvenlik tedbirleri” üzerine çalışılmalı ve mevcut güvenlik tedbirlerine eklemlenecek olan kurumsal bir plan ve program geliştirilmelidir.

Esasında ISO27001 standardı, sadece fiziki mülkiyetin korunmasına odaklanangeleneksel ve statik güvenlik anlayışını, dinamik ve bilgi tabanlı bir anlayışla revize etme ihtiyacını karşılamaya yönelik atılan önemli ve devrimsel bir adımdır. Ancak fazlasıyla “bilişim” odaklıdır ve ne yazık ki modern organizasyonların ve işletmelerin korunması, uygun teknolojilerin kurulmasından, doğru sigorta poliçelerinin satın alınmasından, veri ağlarının ve kritik altyapının korunmasından daha fazlasını içermektedir. Bu sebeple, istihbaratçılık mesleğine ait tecrübeler ışığında insani zafiyetleri mümkün olduğunca izale edebilen, şüpheli insani ilişkileri hesaba katan, gevezeleri, ticari fuarları, hızlı gelişen dostlukları, küskün eski personeli, akademik etkinlikleri, fırsatçıları vb. dikkate alan bir kurumsal refleks, yani kültür ve sistem geliştirilmelidir.

İstihbarata Karşı KoymaNedir?

İstihbarata karşı koyma; madalyonun öteki yüzü veya Ying-Yang sembolündeki diğer dilimdir, istihbarata engel olma ve karşı koyma çabalarının sistematik bütünüdür. Ticari istihbarata karşı koymanın en temel amacı, şirketinizdeki değerli bilgi varlıklarını adeta bir mücevheri korur gibi korumak, yetkisiz ve suiistimal edebilecek kişilerin eline geçmesini engellemek, potansiyel tehditleri bertaraf etmek ve elbette toplam güvenliği artırmaktır.Sadece saldırgan ve illegal bilgi toplamaya (casusluk) karşı değil, aynı zamanda bir şirkete zarar verebilecek ve onun pazarında rekabet etme kabiliyetini etkileyebilecek açık ve legal toplama çabalarına karşı da koruma sağlamaktır.

Ticari istihbarata karşı koyma refleksi tehlike sinyallerini tespit edecek, elektronik dinleme gibi illegal faaliyetleri önleyecek, bir şirketin kendisi hakkında yayınladığı bilgileri dikkatli bir şekilde kontrol edecek ve rakiplerin bilgi toplamasını zorlaştırarak ticari ve rekabetçi istihbarat çabalarına karşı savunmasız alanları koruyacaktır.

İstihbarata karşı koymanın hem pasif hem de aktif bileşenleri vardır. Pasif bileşenler bir rakibin yapabileceği “düşmanca” şeyleri önlemeyi amaçlar ve farkındalık eğitimleri, teknik gözetime karşı önlemler, güvenlik programları, sızma testleri ve sadakat testleri gibi savunmacı ve önleyici tedbirleri içerir. Aktif bileşenler ise bir tehdit veya düşmanca teşebbüs tespit edildikten ve tanımlandıktan sonra, devam eden butehditkâr eylemi ortadan kaldırmak için hukuki işlemler, rakibi yanıltma vb. çalışmaları kapsamaktadır. Ayrıca bir tehdit henüz belirmemişken dahi rakiplerin düşmanca niyet taşıyıp taşımadıklarını, yeteneklerini, bütçelerini ve potansiyel bilgi kaynaklarını saptamaya yönelik işler de bu kapsamda düşünülmelidir.

Eğitim ve Farkındalık Şartı

Yukarıda, istihbarat ve casusluk faaliyetlerinde “insan” faktörünün ehemmiyetine değinmiştim. İnsandaki zafiyetlerin (neredeyse) çoğu eğitimle giderilebilirken, ilginçtir ki, ülkemizde güvenlikle ilgili eğitimlere ve farkındalık çalışmalarına yeteri kadar önem verilmemekte ve şirketler buçalışmalar için ayıracakları zamanı ve finansmanı fuzuli görebilmektedir. Aslında bunun nedeni yineeğitimsizlik ve bu makalede bahsedilen konulara yabancılıktır. Fuzuli gördükleri (nispeten düşük) maliyetler bahane edilerekmaruz kalınan “farkında olmayış hali”yüzünden, geçmişte IBM'in çok gizli ve kelimenin tam anlamıyla “milyarlarca dolarlık” Adirondack projesinin Hitachi tarafından bir IBM çalışanına 650.000 $ ödenerek çalınması örneğindeki gibi, kendileri açısından “ölümcül” olabilecek finansal riskleriüstlenme cesaretini (!) gösterebilmektedirler. Dolayısıyla ticari ve endüstriyel casuslukla mücadelede alınabilecek en önemli tedbirin personel ve yöneticileri bu konuda eğiterek “kurumsal farkındalık geliştirmek” olduğunu söylemek mümkündür.

Bu kapsamda, bir anekdot olarak vurgulamalıyım ki, şirketinize yönelen istihbari tehditler her zaman amatör ve kolayca baş edebileceğiniz alt seviye çalışanlar üzerinden gelmeyebilir. Ticari ve endüstriyelcasusluk dünyasında asıl hedefler “yüksek profil” olarak nitelendirilen yönetim kurulu üyeleri, genel müdürler vb. kişilerdir. Hal böyle iken, elbette, bu kişilerden bilgi temin etmeye çalışanlar da benzer statüdedirler veya rol icabı bu statüleri oynayabilecek düzeyde eğitimli, uzman ve teatral yeteneklerdir. Fransız Gizli Servisi DGSE'nin eski direktörü Claude Silberzahn'ın daha 1996 yılında ne dediğine bakınız: “Fransa'da devletin görevi sadece yasa yapmak değil, aynı zamanda ticaret yapmaktır. Fransa devleti onlarca yıl boyunca sol eliyle piyasaları idare ederken, sağ eliyle de kendi ticarethaneleri için istihbarat edinmek üzere gizli servisleri kullanmıştır.” Evet, bu tür yapılara mensup tehditlerle karşılaşmanızson derece muhtemel olduğu gibi, bu tehditleri tanımlayabilmeniz için eğitim ve farkındalık şarttır.

İstanbul'da bir kuruluşun çalışanlarına yönelik düzenlediğimiz bir seminerden sonra, casusların neler yapabildiğini ve şirketlerin neler kaybedebildiğini anlayan yönetim kurulu başkanının esprili değerlendirmesi şöyle olmuştur: “O zaman biz köyümüze geri dönelim!” Casuslar dünyasını tanımak ve tanımamak arasında keskin ve şaşırtıcı bir farkın varlığı aşikardır. Ancak tabii ki “köye dönmek” eve hırsız girecek diye evi yıkmaya benzer. Makalenin başında özellikle belirtildiği üzere, güvensizliği yaratan şey tedbirsizliktir, evin varlığı veya eve hırsızın girmesi ihtimali değildir.

Tanımlayıcı Göstergeler: Paternler ve Anormallikler

Kamuoyuna açıklamadığınız projeler, stratejiler, gizli işler ve ticari sırlarınız hakkında bilgi sahibi rakipler
Şirket sırlarınızı ve projelerinizi irdeleyen araştırma, makale, tez vb. çalışmaların mevcudiyeti
Davet etmediğiniz halde, çeşitli bahanelerle, şirket binalarınıza girmek isteyen denetçiler, tamirciler, pazarlamacılar, teknisyenler
İhalelerde çok küçük marjlarla aynı rakip(ler)e düzenli olarak kaybetmek
İş yerlerinde keşfedilen elektronik dinleme ve gözetleme cihazları
Olağandışı bilgi talepleri, şirket binalarını veya tesislerini ziyaret etme istekleri
Rakip bir şirkette çalışmak üzere işten ayrılan kilit personel
Dizüstü bilgisayar, harici disk vb.ekipman ve bilginin şüpheli şekilde çalınması
Ürünlerinize veya tasarımlarınıza çok benzeyen ürünlerin piyasaya sürülmesi
Dikkat çeken gözetleme faaliyetleri, “garip” bilgi talepleri veya “manidar” anketler hakkında personelinizin ihbarları
Rakiplerin ticari istihbarat birimleri kurması
Rekabet analizi ile ilgilenen analistlerin rakipler tarafından işe alınması

Bu göstergeler kurumsal ihtiyaçlara göre özelleştirilebilir. Gerçekten korunması gereken bilgi varlıklarına sahip olan kurum ve kuruluşların istihbarata karşı koyma birimi tesis etmesi veya halihazırdaki güvenlik departmanlarını bu konuda uzman yeteneklerle güçlendirmesi düşünülebilir. Nitekim casusluk faaliyetlerini her zaman tek bir bakışla ve kısa bir çalışmayla saptama imkânı bulunamayabilir. Bu sebeple, mümkünse, periyodik tetkikler yapacak ve sürekli müdekkik kalarak istihbarata karşı koyma fonksiyonunu icra edecek uzmanlar istihdam edilmeli veya dışarıdan hizmet ve danışmanlık desteği alınmalıdır. Şirketinizin böyle bir hizmete olan ihtiyacını somutlaştırabilmeniz için size şu öz-değerlendirme sorularını tavsiye ederim:

Ne korunmalıdır?
Kimden korunmalıdır?
Korunması ne kadar mümkündür?
Korunmazsa sonuçları ne olur?
Korumanın bedeli nedir?

Eğer bu sorulara ciddi ve spesifik cevaplar verebiliyorsanız, güvenlik biriminizle istişare ederek işe başlayabilirsiniz. Cevaplarınıza ilişkin tatmin edici önlemlerinizin olmadığı sonucuna varırsanız, dışarıdan hizmet ve destek alabileceğiniz profesyonelleri veya şirketleri aramalısınız.

Özel istihbarat ve karşı koyma sektörü dünyada hızla gelişmektedir.Bu kapsamda; Espionage Research Institute (ERI), Business Espionage Controls & Countermeasures Association (BECCA), American Society of Industrial Security (ASIS), the Society of Competitive Intelligence Professionals (SCIP) gibi kuruluşlara ait çalışmaların incelenmesinde fayda vardır.

İstihbarata karşı koymanın temel önermelerinden biri “tesadüf diye bir şeyin yokluğu” veya “tesadüflerin öylece gerçekleşmediği” yönündedir. Her ne kadar Türkiye'de önemi yeterince anlaşılamamış gibi görünse de umulur ki şirketlerimiz çok fazla “tesadüf” ve tehdit paterni ya da anormallik ile karşılaştığını fark ettiğinde çok geç kalınmamış olsun.

Vaka Örnekleri

Enerji teknolojileri şirketi American Superconductor'da (AMSC) gerçekleşen casuslukvakası bu makalenin amacını destekleyen iyi bir örnektir. Çinli bir enerji şirketi olan Sinovel, hizmet aldığı AMSC tarafından geliştirilen ve rüzgâr türbinlerinden gelen elektrik akışını düzenleyen bir yazılımın kaynak kodlarını çalmayı başarmıştır. AMSC'nin Avusturya ofisinde baş mühendis olarak görev yaparken yazılımı çaldığı iddia edilen eski çalışan Dejan Karabaseviç, Avusturya mahkemesinde ticari sırları çalmaktan suçlu bulunmuş ve 2011'de bir yıl hapis cezasına çarptırılmıştır. Savcılara göre Çinli firma, Karabaseviç'i AMSC'nin şifreli kaynak kodlarını bir flash-diske yüklemesi ve ardından e-postayla Çin'deki Sinovel yöneticilerine göndermesi konusunda ikna etmiştir. Karabeseviç'e bu hizmeti karşılığında 1,7 milyon dolar ödeme taahhüt edilmiş, kadınlar sunulmuş, Pekin'de bir daire verilmiş ve Vietnamlı kız arkadaşının hesabına para yatırılmıştır. Sinovel, kaynak kodlarını çaldıktan sonra AMSC'den hizmet almayı bırakmış ve daha sonraFBI, AMSC'nin genel merkezinden sadece 65 km uzaktaki bir Sinovel rüzgâr türbininde çalıntı bir yazılım keşfettiğini söylemiştir. Bu casusluk vakası AMSC'nin gelirinin 3/4'ünü kaybetmesine, piyasa değerinin 1 milyar dolardan fazla düşmesine ve 900 çalışanından yarısını işten çıkarmasına neden olmuştur. AMSC'nin CEO'suDaniel McGahn bir açıklamasında “kullanılan tekniklerin adeta casusluk romanlarından çıktığını” ifade etmiş, avukat John W. Vandreuil ise Sinovel'in AMSC'ye saldırısını “kurumsal cinayete teşebbüsten başka bir şey değil” olarak nitelendirmiştir.

Bazı ülkelerin belirli sektörlerdeki şirketlerin telefon görüşmelerini devlet kontrolündeki hizmet sağlayıcılar aracılığıyla dinlediği söylenmektedir. Mesela Japonya'da, Uluslararası Ticaret ve Sanayi Bakanlığı'nın Japon ulusal telefon şirketiyle yaptığı bir anlaşma kapsamında ülkedeki Amerikan firmalarının telefonlarını dinlediği iddia edilmektedir. Dolayısıyla yabancı ülkelerde faaliyet gösteren şirketlerin istihbarat ve casusluk konusunda daha dikkatli olması gerektiği anlaşılmalıdır.

Bir Rus şirket, İngiltere'de faaliyet gösteren rakibine ait hassas bilgileri çalmak için rakip firma çalışanı bir İngiliz muhasebecinin vatanseverlik duygularını istismar ederek, kendilerini İngiliz istihbaratı olarak tanıtan ticari casuslara bilgi vermesini sağlamıştır. Muhsebeci olaya “devlet meselesi” saikiyle yaklaşmış, firmasının gizli bilgilerini gönül rahatlıyla paylaşmıştır. Ülkemizde de zaman zaman sahte polis ve savcılar ya da istihbarat memurları tarafından gerçekleştirilen dolandırıcılık vakalarına şahit olunmaktadır.

Son olarak, General Motors ve Volkswagen arasında gerçekleşen vaka, casusluğun bir başka yöntemi olan “taraf değiştirme” operasyonlarını örneklemektedir. Jose Ignacio Lopez, otomobil montaj sürecinde yarattığı devrim sayesinde General Motors'a 1 milyar dolar tasarruf sağlamış ve Lopez, Kuzey Amerika Faaliyetleri başkanlığına getirilerek yükseltilmiştir. Fakat çok geçmeden 10 kadar üst düzey yardımcısını da yanına alarak ani bir kararla işten ayrılmış ve General Motors'tan kazandığı 1,6 milyon dolarlık ücretin yaklaşık 5 katına üst düzey yönetici olarak Volkswagen'e geçmiştir. General Motors'un açtığı davadaki iddianemeye göre söz konusu yöneticilerin toplu taraf değiştirmesi aslında General Motors'un ticari sırlarını çalmayı hedefleyen bir senaryodur. Bu senaryonun Volkswagen'in başkan yardımcısı Ferdinand Piech'in altı ay boyunca bizzat yönettiğive General Motors'a ait çok hassas bilgileri elde ettiği bir endüstriyel casusluk vakası olduğu anlaşılmıştır.