Bir otomobil düşünün… Kameraları var, sensörleri var, çevresini algılıyor. Konumunu biliyor, yazılımla yönetiliyor. Peki ya bir gün yalnızca bizi taşıyan bir araç değil, kontrolü başkasının elinde olan bir güvenlik riskine dönüşürse?
TUSAŞ Motor Sanayii (TEI) Genel Müdürü Prof. Dr. Mahmut Faruk Akşit'in yabancı elektrikli araçların kritik savunma sanayii tesislerine girişine ilişkin açıklaması, işte bu soruyu önümüze koydu. Akşit, araçlardaki kamera ve sensörlerin çevrenin haritasını çıkarabildiğine, yazılımın kontrolünün üreticide bulunmasının güvenlik riski doğurabileceğine dikkat çekti. Yapay zekâ destekli savaş simülasyonlarında otomobillerin güdümlü füze gibi kullanılabileceğini de ifade etti.
Peki gerçekten yalnızca otomobilleri mi konuşuyoruz?
Ya mesele, cebimizde taşıdığımız telefondan evimizde çalışan robot süpürgeye, bilgisayarımızdan kullandığımız yapay zekâ sistemlerine kadar uzanıyorsa?
Ya geleceğin güvenlik meselesi, farkında olmadan hayatımıza aldığımız teknolojilerin içinde saklıysa?
Akıllı cihaz mı, görünmeyen birer sensör mü?
Bugün bir otomobilin kamerası yolu görüyor, navigasyonu konumumuzu biliyor, telefonumuz hareketlerimizi algılayabiliyor. Evimizdeki robot süpürge odaların haritasını çıkarabiliyor. Akıllı saatimiz günlük hareketlerimizi kaydedebiliyor. Bilgisayarımızda kullandığımız yazılımlar ise çalışmalarımızdan, tercihlerimizden ve alışkanlıklarımızdan izler taşıyabiliyor.
Bunların her biri hayatımızı kolaylaştıran teknolojiler. Ancak aynı zamanda veri üreten sistemler.
Bir robot süpürge düşünün. Evin içinde dolaşıyor, odaların sınırlarını belirliyor, engelleri algılıyor ve temizlik rotası oluşturuyor. Peki oluşturduğu harita nerede tutuluyor? Hangi veriler cihazda kalıyor, hangileri üreticinin sistemlerine aktarılıyor?
Bir akıllı telefon düşünün. Konum, kamera, mikrofon ve çeşitli sensörlerle donatılmış. Peki bu cihazın hangi verilere erişebildiğini, hangi uygulamaların bunları kullandığını ve verilerin hangi koşullarda paylaşıldığını ne kadar biliyoruz?
Bir otomobil düşünün. Kritik bir tesisin çevresinden geçiyor, çevresini algılayabiliyor ve yazılımla yönetiliyor. Peki bu sistemlerin ürettiği veriler, güvenlik açısından hassas bir ortamda nasıl değerlendirilmeli?
Bu soruların her birine ayrı ayrı cevap vermek zorundayız. Çünkü bir cihazın veri toplaması, otomatik olarak casusluk yaptığı anlamına gelmez. Fakat veri toplama kapasitesinin ne olduğu ve bu verilerin nasıl yönetildiği bilinmiyorsa, ortada değerlendirilmesi gereken bir güvenlik meselesi vardır.
Üstelik akıllı ev cihazları üzerine yapılan teknik araştırmalar, bazı ürünlerdeki güvenlik açıklarının uzaktan erişim ve kontrol riskleri doğurabildiğini ortaya koydu. Yani tartıştığımız mesele bütünüyle hayal ürünü değil. Ancak buradan bütün cihazların aynı biçimde tehlikeli olduğu sonucunu da çıkaramayız.
Asıl mesele cihazın nerede üretildiğinden önce, ne yaptığı, neyi bildiği ve kimin kontrolünde olduğudur.
Komplo teorisi mi, stratejik ihtimal mi?
Bazen bir soruyu sormak için elimizde kesinleşmiş bir saldırı olması beklenir. Oysa güvenlik anlayışı böyle çalışmaz.
Bir savunma sanayii tesisinin çevresini algılayabilen bir araç, tek başına bir tehdit kanıtı değildir. Fakat o aracın yazılımına müdahale edilip edilemeyeceği, hangi verilere eriştiği ve bağlantılı sistemlerinin nasıl denetlendiği bilinmeden riskin yok sayılması da doğru değildir.
Aynı mantığı cep telefonlarına, bilgisayarlara, akıllı kameralara ve robotik sistemlere uygulayalım.
Ya bir gün kritik bir tesiste kullanılan bağlantılı cihazlardaki güvenlik açıkları, tesisin dijital altyapısına ulaşmak için bir giriş noktası hâline gelirse? Ya farklı cihazların ürettiği veriler bir araya getirilerek normal şartlarda tek başına elde edilemeyecek bilgiler çıkarılırsa? Ya kriz anında ihtiyaç duyduğumuz bir yazılımın güncellenmesi, çalışması veya kontrolü bizim dışımızdaki bir aktörün kararlarına bağlı kalırsa?
Bunlar gerçekleştiği kanıtlanmış olaylar olarak değil, güvenlik planlamasında cevaplanması gereken senaryolar olarak ele alınmalıdır.
İşte düşünülmeyeni düşünmek tam da budur.
Bir ihtimali dile getirmekle onu gerçek ilan etmek arasında fark vardır. Stratejik akıl, bu farkı korurken olası riskleri de görmezden gelmez.
Akşit'in açıklamasının önemi de burada yatıyor. Kritik tesislerde güvenliği yalnızca fiziksel giriş çıkışlarla sınırlı görmüyor; sensörleri, yazılımları ve kontrol yetkisini de meselenin bir parçası olarak ele alıyor.
Çünkü artık yalnızca kapıları değil, kapıların arkasındaki dijital dünyayı da korumak zorundayız.
Teknolojik bağımsızlık, veri egemenliğidir
Bugün ülkeler arasındaki rekabet yalnızca toprak, enerji ve askerî güç üzerinden yürümüyor. Yazılım, veri, yapay zekâ ve dijital altyapılar da stratejik gücün önemli parçaları hâline geliyor.
Bir ülke kendi otomobilini üretebilir. Fakat o otomobilin kritik yazılımlarını denetleyemiyorsa, veri yönetimini kontrol edemiyorsa ve güvenlik açıklarına gerektiğinde müdahale edemiyorsa bağımsızlığını hangi ölçüde sağlamış olur?
Aynı soru telefonlar için de geçerli. Bilgisayarlar için de… İşletim sistemleri, güvenlik yazılımları, haberleşme altyapıları ve yapay zekâ modelleri için de…
Yerli ve millî otomobil üretmek elbette önemlidir. Ancak hedefimizi yalnızca otomobil üretimiyle sınırlayamayız. Yerli ve millî telefon, bilgisayar, işletim sistemi, siber güvenlik yazılımı ve yapay zekâ sistemleri geliştirmek de aynı stratejik bakışın parçası olmalıdır.
Burada mesele, yabancı olan her teknolojiyi reddetmek değildir. Yerli bir ürün de güvenlik açıkları taşıyabilir; yabancı bir ürün de güçlü güvenlik standartlarına sahip olabilir. Belirleyici olan, sistemlerin bağımsız biçimde test edilebilmesi, yazılımın denetlenebilmesi, verilerin nasıl işlendiğinin bilinmesi ve kritik durumlarda kontrolün kimde olduğudur.
Yerli teknolojiye yatırım yapmak, işte bu kabiliyetleri geliştirmek açısından stratejik bir değer taşır.
Kendi yazılımını geliştiren, kendi güvenlik sistemlerini test eden, kendi yapay zekâsını eğitebilen ve kritik altyapılarını yönetebilen bir ülke, yalnızca teknoloji tüketmez; teknolojinin geleceğine de yön verir.
Teknolojiyi satın almak başka, teknolojik kaderini belirlemek başkadır.
Bugünden yarını görmek
Savunma sanayii tesislerinde yabancı akıllı araçlara yönelik kısıtlamalar, bu çerçevede değerlendirilmelidir. Kritik bir alanda kullanılan sistemlerin güvenlik açısından incelenmesi, gerekli görüldüğünde sınırlandırılması ve denetlenmesi anlaşılabilir bir tedbirdir.
Bu yaklaşımın otomobillerle sınırlı kalmaması gerekir. Kritik tesislerde kullanılan telefonlar, bilgisayarlar, kablosuz ağ cihazları, kameralar ve diğer bağlantılı sistemler de risk temelli güvenlik değerlendirmelerine tabi tutulmalıdır.
Aynı zamanda yerli üreticilerden de yüksek güvenlik standartları istenmeli; yazılım denetimi, veri güvenliği ve siber dayanıklılık sürekli geliştirilmelidir. Çünkü güvenlik, yalnızca üretim yeriyle değil, doğrulanabilir teknik kabiliyetlerle sağlanır.
Türkiye'nin önünde önemli bir fırsat var: Teknolojiyi yalnızca kullanan değil, onu geliştiren, denetleyen ve gerektiğinde bağımsız biçimde yönetebilen bir ülke olmak.
Bunun için otomobilimiz de yerli olmalı, yazılımımız da… Bilgisayarımız, güvenlik sistemlerimiz ve yapay zekâ altyapımız da bu hedefin parçası olmalı.
Unutmayalım; bir ülkenin güvenliği yalnızca sınırlarında başlamaz. Verisinde, yazılımında, haberleşme altyapısında ve kritik sistemleri üzerindeki kontrolünde de başlar.
Bugün sıradan gördüğümüz bir cihaz, yarın çok daha büyük bir teknolojik ekosistemin parçası olabilir. Bugün önemsiz sandığımız bir veri, yarın anlamlı bir stratejik bilgiye dönüşebilir.
Bu nedenle her ihtimali tehdit ilan etmeyelim. Ama hiçbir ihtimali de sırf henüz gerçekleşmedi diye düşünce alanımızın dışında bırakmayalım.
Çünkü stratejik akıl, tehlike kapıya dayandığında çözüm aramak değil, o kapının neden korunması gerektiğini bugünden görebilmektir.
Bugünden yarını görmek, tam da budur.
Ömer Selim Subaşı/TİMETÜRK
