Teknik Süreklilik mi, Mevzuat Uyumu mu? BT Yönetimi ve Denetimlerinde Öncelik Çatışması

Bilgi teknolojileri (BT) sistemlerinin denetlenmesi; kurumların sürdürülebilirliği, güvenliği ve mevzuat uyumu açısından kritik bir öneme sahiptir. Ancak BT denetimleri sırasında, çoğu zaman teknik ekiplerin gerçek iş dinamikleri ve sahadaki zorlukları yeterince dikkate alınmaz. Uzun yıllar BT yönetimi deneyimi olan bir iç denetçi olarak, bu konuda bazı gözlemlerimi paylaşmak istiyorum.

Bir BT uzmanı için sistemlerin kesintisiz çalışması temel önceliktir. Sistem sürekliliği sağlanmadan güvenlik, performans veya mevzuat uyumu gibi konulara odaklanmak pratikte mümkün değildir. Sağlıklı bir altyapı kurulduktan sonra performans iyileştirmeleri ve güvenlik tedbirleri geliştirilir. Ancak yasal zorunluluklar ve mevzuata tam uyum çoğu zaman üçüncü öncelik olarak konumlanır.

Bu durum, BT çalışanlarının mevzuatı önemsiz gördüğü anlamına gelmez. Aksine çoğu teknik uzman, düzenlemelerin öneminin farkındadır. Ancak yoğun iş temposu ve görev çeşitliliği, mevzuat uygulamalarını "ekstra iş yükü" gibi hissettirebilir.

BT personelinin sorumlulukları yalnızca teknik sistemlerin kurulumu ve işletilmesiyle sınırlı değildir. Aynı zamanda:

• Kullanıcı desteği sağlamak,
• Yönetici taleplerini yerine getirmek,
• İhale, tedarik ve satın alma süreçlerine destek vermek,
• Sürekli değişen teknolojileri takip edip uygulamak gibi görevler de üstlenirler.

Bu iş yükü, özellikle yeterli insan kaynağı olmayan ortamlarda birkaç kişinin üzerine yıkılmakta ve doğal olarak önceliklerin zorunlu teknik işlere verilmesine neden olmaktadır. BT uzmanının en büyük tatmini, kurduğu sistemlerin başarıyla çalıştığını görmekten gelir; ancak bu emek çoğu zaman görünmez kalır.

BT alanında mevzuata uyum sağlanabilmesi için yalnızca teknik bilgiden fazlası gereklidir: Güçlü bir kurumsal irade ve yönetsel destek.

Genellikle, BT birimi tarafından yeni bir kural veya kontrol uygulamaya konulduğunda, kurum içinden muafiyet talepleri gelmeye başlar. Eğer yönetim, bu noktada BT birimine yeterli desteği sağlamazsa, teknik personel geri adım atmak zorunda kalır. Bu da sürdürülebilir bir uyum kültürünün gelişmesini engeller.

BT denetimleri yalnızca mevzuata uygunlukla sınırlı kalmayıp, aynı zamanda mevcut iş süreçlerinin ve teknik personelin karşılaştığı gerçek zorlukların anlaşılmasını da kapsamalıdır. Teknik ekiplerin iş yükü, öncelikleri ve karşılaştıkları yönetimsel zorluklar dikkate alınmadan yapılacak denetimler, eksik veya yüzeysel sonuçlar doğurabilir.

Bu nedenle BT denetçileri:

• Teknik süreçlerin doğasını,
• Operasyonel yoğunluğu,
• Kurumsal kültürün etkilerini

daha derinlemesine analiz etmek ve bulguları bu bağlam içinde değerlendirmek durumundadır.

BT denetimlerinin başarılı olabilmesi için sadece belgelerin eksiksiz olması yetmez. Aynı zamanda teknik ekiplerle empati kurmak, iş yüklerini ve önceliklerini anlamak gerekir. Bu anlayış, hem denetimin güvenilirliğini artırır hem de kurum içinde daha sağlıklı bir uyum kültürünün oluşmasına katkı sağlar.

Unutulmamalıdır ki; güçlü bir BT altyapısı, ancak saha gerçekleriyle uyumlu, yönetim desteğiyle beslenen ve sürdürülebilir denetim yaklaşımıyla büyüyebilir.

Serdar Kocaoğlu

Yazının devamı..

Cypherpunk Hareketinden Bitcoin'e Merkeziyetsiz Teknolojilerin Yükselişi

Merkeziyetsizlik ve Cypherpunk Hareketi

P2P (Peer-to-Peer) ağları, BitTorrent, Tor ve Bitcoin gibi teknolojiler, internetin merkezi otoritelerden bağımsız olarak işleyebileceği fikrine dayanmaktadır. Bu fikir, 1980'ler ve 1990'larda ortaya çıkan Cypherpunk hareketinden büyük ölçüde ilham almıştır. Bu teknolojiler kronolojik olarak incelendiğinde, Bitcoin ve diğer kripto paralara uzanan sürecin zaman içinde nasıl gelişip olgunlaştığını anlamak mümkün olacaktır.

Cypherpunk Hareketi ve İlk Adımlar 

Cypherpunk hareketi, 1980'lerin sonlarında, özellikle dijital gizlilik, şifreleme ve bireysel hakların korunması konularına odaklanan bir grup aktivist ve kriptograf tarafından kuruldu. Bu hareket, merkezi otoritelerin vatandaşların kişisel bilgilerine erişimini kısıtlamak ve bireylerin gizliliğini korumak için kriptografi kullanımını savunuyordu.

- David Chaum: Kripto para fikrinin babası sayılan Chaum, kriptografinin dijital gizliliği nasıl koruyabileceğini araştıran ilk kişilerden biridir. 1982 yılında, "Untraceable Electronic Mail, Return Addresses, and Digital Pseudonyms" adlı makalesiyle anonim iletişim sistemlerini tanıttı ve 1990'da dijital para birimi olan eCash'i geliştirdi. eCash, merkeziyetsiz olmasa da dijital para birimlerinin öncüsü sayılmaktadır.

- Adam Back: 1997'de Bitcoin madenciliği sürecinde de kullanılan Hashcash'i icat etti.

- Wei Dai: 1998'de b-money adlı kripto para birimi sistemini tasarladı.

- Nick Szabo: 1998 yılında, bit-gold adını verdiği merkezi olmayan dijital para birimi için bir mekanizma tasarladı.

- Hal Finney: PGP Corporation'da çalıştı. 2004 yılında, Bitcoin'den önceki ilk yeniden kullanılabilir iş kanıtı sistemini yarattı. Ocak 2009'da, Satoshi Nakamoto tarafından test amacıyla gönderilen ilk Bitcoin işleminin alıcısıydı.

Cypherpunk E-posta Listesi

1990'ların başında kurulan Cypherpunk e-posta listesi, bu hareketin merkezi iletişim aracıydı. Bu liste, dünya çapında kriptografi, gizlilik ve dijital özgürlük konularında fikir alışverişinde bulunan pek çok önemli figürün buluşma noktası oldu. Bu tartışmalar, gelecekte geliştirilecek birçok teknolojinin temellerini attı.

P2P Ağlarının Doğuşu ve BitTorrent (2000'ler)

1990'ların sonlarından itibaren, internet kullanımının yaygınlaşmasıyla birlikte P2P ağlarına duyulan ihtiyaç da arttı. Bu ihtiyaç, büyük dosyaların merkezi sunuculara gerek kalmadan paylaşılmasını sağlamak üzere tasarlanmış protokollerin geliştirilmesine yol açtı.

Napster ve İlk P2P Ağları

- Napster (1999): Shawn Fanning ve Sean Parker tarafından geliştirilen Napster, müzik dosyalarının P2P yöntemiyle paylaşılmasını sağlayan ilk büyük çaplı uygulamalardan biriydi. Napster, müzik endüstrisinde büyük bir tartışma yarattı ve telif haklarıyla ilgili ciddi hukuki sorunlarla karşı karşıya kaldı, ancak P2P ağlarının potansiyelini gösterdi.

BitTorrent'in Gelişimi

- BitTorrent (2001): Bram Cohen tarafından geliştirilen BitTorrent, P2P ağlarının verimliliğini artıran yeni bir protokoldü. BitTorrent, dosyaları küçük parçalara bölerek kullanıcılar arasında dağıtır ve böylece dosya paylaşımını hızlandırır. BitTorrent, merkezi bir sunucuya ihtiyaç duymadan büyük veri dosyalarının paylaşılmasını sağlayarak internetin veri paylaşım şeklini değiştirdi.

Tor: Anonimlik için Bir Araç (2000'ler)

Tor (The Onion Router), ABD Deniz Araştırma Laboratuvarı'ndan Paul Syverson, Michael G. Reed ve David Goldschlag tarafından 1990'ların ortalarında geliştirildi. Başlangıçta ABD hükümeti tarafından kullanılmak üzere tasarlanan Tor, daha sonra sivil kullanıcılar için de erişilebilir hale getirildi.

Tor'un Gelişimi ve Yaygınlaşması

- 2002: Tor ağı ilk kez halka açıldı. Kullanıcıların internet üzerinde anonim olarak gezinmelerine olanak tanıyan bu ağ, çevrimiçi gizliliği artırmak için önemli bir araç haline geldi.

- 2006: Tor Projesi, kar amacı gütmeyen bir kuruluş olarak kuruldu. Bu aşamadan sonra Tor, dünya genelinde sansürden kaçınmak isteyen kullanıcılar ve gizlilik savunucuları tarafından yoğun bir şekilde kullanılmaya başlandı.

Bitcoin ve Blockchain: Merkeziyetsiz Finansın Doğuşu (2008 - Günümüz)

Bitcoin, ilk merkeziyetsiz dijital para birimi olarak 2008 yılında yine bir Cypherpunk olan Satoshi Nakamoto takma adını kullanan bir kişi ya da grup tarafından tanıtıldı. Eşler arası (P2P) bitcoin ağındaki düğümler, işlemleri kriptografi yoluyla doğrular ve bunları, merkezi bir denetim olmaksızın blokzincir olarak adlandırılan kamuya açık bir dağıtık deftere kaydeder. Düğümler arasında mutabakat, bitcoin blokzincirinin güvenliğini garanti eden, iş kanıtına dayalı ve hesaplama açısından yoğun bir süreç olan madencilik yöntemiyle sağlanır.

Bitcoin'den önce, 1990'larda David Chaum'un elektronik parasıyla başlayan çeşitli dijital nakit teknolojileri piyasaya sürüldü. Hesaplamalı bulmacaların çözümlerinin bir değere sahip olabileceği fikri ilk olarak 1992 yılında kriptograflar Cynthia Dwork ve Moni Naor tarafından önerildi. Konsept, 1997'de spam kontrolü için bir çalışma kanıtı programı (proof-of-work) olan Hashcash'i geliştiren Adam Back tarafından bağımsız olarak yeniden keşfedildi. 

Dağıtılmış dijital kıtlık temelli kripto para birimleri için ilk öneriler 1998'de Cypherpunklar Wei Dai (b-money) ve Nick Szabo'dan (bit gold) geldi. 2004 yılında Hal Finney, yeniden kullanılabilir iş kanıtına dayalı ilk para birimini geliştirdi ancak bu girişimler başarılı olmadı. Chaum'un konsepti, merkezi kontrol gerektiriyordu ve hiçbir banka imza atmak istemiyordu, Hashcash'in çifte harcamaya karşı koruması yoktu, b-money ve bit gold ise Sybil saldırılarına karşı dayanıklı değildi.

Bitcoin'in Gelişimi ve İlk Yılları

- 2008: Satoshi Nakamoto, "Bitcoin: A Peer-to-Peer Electronic Cash System" adlı makalesini yayınladı. Bu belge, Bitcoin'in temel prensiplerini açıkladı ve kriptografik olarak güvenli, merkezi olmayan bir dijital para birimi fikrini tanıttı.

- 2009: Bitcoin ağının ilk bloğu olan Genesis Block kazıldı ve Bitcoin ağı resmi olarak hayata geçti. İlk yıllarında Bitcoin, sınırlı bir kullanıcı kitlesi tarafından biliniyordu ve yalnızca meraklıları arasında kullanılıyordu.

- 2010: İlk Bitcoin işleminde, Laszlo Hanyecz adlı bir programcı 10.000 Bitcoin karşılığında iki pizza satın aldı. Bu işlem, Bitcoin'in ilk ticari kullanımı olarak tarihe geçti.

Bitcoin'in Yükselişi ve Kripto Para Ekosisteminin Gelişimi

- 2011 ve Sonrası: Bitcoin'in değeri artmaya başladı ve medyanın ilgisini çekti. Bu dönem, diğer kripto paraların (altcoinler) ortaya çıkışına da tanık oldu.

- 2017: Bitcoin'in değeri, tarihi zirvelere ulaştı ve finansal dünyada büyük bir ilgi uyandırdı. Aynı zamanda, blockchain teknolojisi finans dışındaki alanlarda da kullanılmaya başlandı.

- 2020'ler: Bitcoin ve blockchain, finansal sistemlerin yanı sıra sanat, tedarik zinciri yönetimi, veri güvenliği gibi çeşitli alanlarda uygulanmaya başladı. Bitcoin, artık dijital altın olarak kabul edilen bir değer saklama aracı olarak görülüyor.

Cypherpunklar, kriptografi ve merkeziyetsiz sistemlerin bireysel özgürlükler için ne kadar güçlü araçlar olabileceğini gösterdi. Gelecekte bu teknolojilerin daha da yaygınlaşması, daha fazla önem kazanması ve merkeziyetsizlik, anonimlik, gizlilik konularında daha fazla teknolojik inovasyonun bu mirası sürdürmesi muhtemeldir. 

Serdar Kocaoğlu

22.08.2024

Yazının devamı..

e-postalarda kriptolama mekanizmasını anlamak

Kriptolu bir mail gönderirken kullanılan mekanizma, güvenli ve gizli iletişim sağlamak için genellikle asimetrik şifreleme (public key encryption) ve simetrik şifreleme (symmetric encryption) kombinasyonunu içerir. Bu mekanizmayı anlamak için sürecin adımlarına göz atalım:

1. Hazırlık

Anahtar Çifti Oluşturma

• Her kullanıcının bir çift anahtarı vardır: bir açık anahtar (public key) ve bir gizli anahtar (private key).
• Açık anahtar herkese açıktır, gizli anahtar ise sadece sahibinde kalır.

2. E-posta Gönderme

Simetrik Şifreleme Anahtarının Oluşturulması

• Gönderen, mesajı şifrelemek için rastgele bir simetrik anahtar (oturum anahtarı) oluşturur. Simetrik anahtar, mesajı şifrelemek için kullanılan geçici bir anahtardır.

Mesajın Şifrelenmesi

• Mesaj, simetrik anahtar kullanılarak şifrelenir. Bu işlem simetrik şifreleme algoritmaları (örneğin, AES) ile yapılır.

Simetrik Anahtarın Şifrelenmesi

• Simetrik anahtar, alıcının açık anahtarı ile şifrelenir. Bu adımda asimetrik şifreleme kullanılır.

Şifreli Mesaj ve Şifreli Simetrik Anahtarın Gönderilmesi

• Şifreli mesaj ve alıcının açık anahtarı ile şifrelenmiş simetrik anahtar e-posta olarak alıcıya gönderilir.

3. E-posta Alma ve Okuma

Simetrik Anahtarın Çözülmesi

• Alıcı, kendi gizli anahtarını kullanarak simetrik anahtarı çözer. Bu adımda asimetrik şifreleme kullanılır.

Mesajın Çözülmesi

• Alıcı, elde ettiği simetrik anahtarı kullanarak şifreli mesajı çözer. Bu adımda simetrik şifreleme algoritması kullanılır ve mesaj okunabilir hale gelir.

Sürecin Adımları Özetle

1. Gönderen, simetrik bir anahtar oluşturur.
2. Mesaj, bu simetrik anahtarla şifrelenir.
3. Simetrik anahtar, alıcının açık anahtarıyla şifrelenir.
4. Şifreli mesaj ve şifrelenmiş simetrik anahtar, alıcıya gönderilir.
5. Alıcı, kendi gizli anahtarıyla simetrik anahtarı çözer.
6. Alıcı, çözülen simetrik anahtarla mesajı çözer ve okur.

Güvenlik Sağlamanın Nedenleri

• Gizlilik: Mesaj, yalnızca alıcının çözebileceği şekilde şifrelenir.
• Kimlik Doğrulama: Alıcı, gönderenin gerçekten kim olduğunu doğrulamak için dijital imzalar kullanabilir.
• Bütünlük: Mesajın gönderim sürecinde değişmediği doğrulanabilir.
• İnkar Edilemezlik: Gönderen, gönderdiği mesajı inkar edemez.

Bu mekanizma, PGP (Pretty Good Privacy) veya S/MIME (Secure/Multipurpose Internet Mail Extensions) gibi e-posta güvenlik protokolleri ile uygulanır ve güvenli elektronik iletişim sağlar.

Yazının devamı..