Bildirim geldiğinde kimi arayacaksınız?

Okul servisini düşünün. Şoför yeni bir güzergâh öğrenmeden önce kimse çocuklara 'kaza olursa ne yapacaksınız' diye sormaz; ama her servis aracında bir ilk yardım çantası ve acil durum numarası vardır. Çünkü kriz anında karar verilemez, sadece hazırlıkla yapılmış karar uygulanır. Siber güvenlikte bu çantayı çoğumuz takmayı unutuyoruz.

Bunu bu hafta bir haber hatırlattı. Apple, ticari casus yazılımla hedeflendiğinden şüphelenilen kullanıcılara yaklaşık 100 ülkede yeni bir bildirim dalgası gönderdi; bildirimde 99 ülkeden söz ediliyor. Alıcılar arasında Türkiye'de görev yapan bir gazeteci de var ve kendisi bunun bu yıl aldığı üçüncü bildirim olduğunu söyledi. Apple kimin yaptığını söylemiyor; araştırmacı Costin Raiu de günlüklerde kimin sorumlu olduğunu gösteren bir ele geçirme izi görmediğini belirtti.

Bir an telefonunuza böyle bir mesaj geldiğini düşünün. İlk tepkiniz ne olurdu? Çoğu insan ya mesajı yok sayar ya da telefonu bir köşeye atar ya da en kötüsü, aynı telefondan en yakın arkadaşına 'bana bir şey geldi' diye yazar. Üçü de yanlış yönler değil, sadece hazırlıksız olmanın doğal sonuçları.

Kurumlarda tablo daha karmaşık. Bildirimi alan kişi bir yönetici, bir basın sorumlusu veya bir avukat olabilir. Bu insan kime haber verecek? BT'ye mi, ona 'siz hiçbir şey yapmayın' diyen bir hukuk birimine mi, yoksa kimseye söylemeyip utançla mı bekleyecek? İyi bir güvenlik kültürü, bu soruya bildirimden önce cevap vermiş olan kültürdür.

Bir de görünmeyen taraf var: utanç. Bildirimi alanların çoğu önce kendini sorguluyor. Ne yaptım, hangi bağlantıya tıkladım, kim benimle ilgileniyor? Oysa bu bildirimin içinde bir suç ya da kusur yok. Raiu'nun da belirttiği gibi, kimin sorumlu olduğu bile belirsiz; yani çalışanın cevaplayamayacağı bir soruyu ona yüklemek, sadece onu susturur. Apartman yönetiminde de böyle olur: Su kaçağını ilk fark eden kişi suçlanırsa, bir dahaki sefere kimse haber vermez.

Üç şeyi önerebilirim. Birincisi, bildirimin bir suçlama değil, bir veri olduğunu en baştan söyleyin. Hedef olmak çalışanın hatası değil; kimin ilgisini çektiğinin bir göstergesi. Utanç bildirimi geciktirir, gecikme de işi zorlaştırır. İkincisi, cihazı hemen sıfırlamayın, adli inceleme için ayırın; ama çalışana bu sırada çalışabileceği temiz bir cihaz verin. İnsanı hem korumak hem de çalıştırmak, bu işin kimsenin konuşmadığı yarısı. Üçüncüsü, bu kişinin aile ve çocuklarının cihazlarını da konuşun; hedefe alınan kişinin evdeki herkes bir ağ olarak görünüyor olabilir.

Evdeki tarafı da unutmayalım. Bildirimi alan kişi çoğu zaman aynı telefonu ailesiyle paylaştığı bir ağda kullanıyor; çocukların tabletleri, eski bir televizyon kutusu, kimsenin hatırlamadığı bir kamera. Güvenlik, kurumun kapısında bitmiyor. Bu yüzden iyi bir müdahale planında çalışana 'evdeki cihazlarınızı da birlikte gözden geçirelim' diyebilen bir cümle olmalı; bunu bir denetim gibi değil, bir yardım teklifi gibi söylemek gerekiyor.

Bunların hiçbiri teknoloji satın almayı gerektirmiyor; bir toplantı, bir telefon numarası ve bir paragraf yazı yetiyor. Bunu yazmak yarım saat sürer; yazılmamış olması ise birinin yalnız kalması demek.

Bugün bir yönetici telefonuna böyle bir uyarı düşse, elinde ne olurdu? Cevabınız 'bir WhatsApp grubu' ise, bugün yarım saatinizi buna ayırın.