21. yüzyıl tarihin hiçbir döneminde olmadığı ölçüde güvenlik sorunlarının ve krizlerin yaşandığı bir dönemi kapsamaktadır. Her dönemde güç vasıtalarının kuvvet çarpanı olan bilgi 1980’lerin ikinci yarısında başlayan Bilgi Çağı ile birlikte doğrudan bir güç vasıtası halini almıştır. Bilgi bir güç olduğu ölçüde güvenliği de kapsayan yönüyle öne çıkmaktadır. Bilgi güvenliği terimi bilginin gizliliği, bütünlüğü ve erişilebilirliği üçlemesi ile sınırlı bir yaklaşımı içerir. Bilginin oluşum evrelerini ve süreçlerini içermeyen bu sonuç merkezli yaklaşım meselenin epistemolojik boyutunu göz ardı etmesi nedeniyle bilginin güvenliği kavramının geliştirilmesini zorunlu kılmaktadır. Bu makalede bilginin güvenliği teriminin kavramsal çerçevesi ortaya konmaya çalışılmıştır. Bu maksatla önce bilgi güvenliği tanımları üzerinde durulmuş, daha sonra bilginin oluşum süreç ve katmanları tanımlanmıştır. Böylece bilgi güvenliği ile bilginin güvenliği terimleri arasındaki fark tartışılmıştır. Bu tartışmadan sonra bilginin oluşumunun gerçekleştiği süreç ve katmanların güvenliğinin ne ölçüde sağlanabileceği analiz edilmiştir.
1. Giriş
Alvin Toffler’in daha 1980’de işaret ettiği üzere insanlığın gelişim evrelerinin “üçüncü dalga“sına karşılık gelen aşama, içinde bulunduğumuz bilgi toplumu çağıdır.[1] Bilişim teknolojilerindeki büyük gelişmeleri ifade eden Bilgi Çağı’nın ilk adımlarının atıldığı 1980’li yılların ikinci yarısından bu zaman kadar geçen 40 yıl zarfında muazzam aşamalar kaydedilmiştir. Her dönemde güç vasıtalarının kuvvet çarpanı olan bilgi 1980’lerin ikinci yarısında başlayan Bilgi Çağı ile birlikte doğrudan bir güç vasıtası halini almıştır.
Bilginin başlı başına bir kuvvet kullanma biçimi olarak ortaya çımasında başlıca üç etken belirleyici olmuştur.[2] Bunlardan ilki bilgi ortamının daha önce hiç olmadığı ölçüde bir küreselleşme yaratacak ölçüde yaygınlık kazanmasıdır. Thomas Friedman’ın betimlemesiyle “Bilginin demokratikleşmesi“[3] olarak da isimlendirilen bu durumla ilişkili olarak ikinci etken devlet dışı aktörlerin bilgi ortamını kullanabilme kapasitelerini devletler ölçüsünde kullanabilme seviyesine taşımalarıdır. Üçüncü etken ise bilgi ile güç arasındaki iç içe geçmişliğin bu ortamda daha fazla artmış olmasıdır.
Yukarıdaki saptama kabul edilebilir olmakla beraber “hangi bilginin“ kullanıldığına dair yönüyle eksiktir. Bilginin devlet tekelinden çıkması ve kitlelere yayılması dünyanın; bilgiyi üreten, üretilen bilgiyi kullanan, bilgiyi kullanamayanlardan oluştuğu gerçeğini ortadan kaldırmamaktadır. Bu durumu Immanuel Wallerstein’ın “dünya sistemi kuramı“[4] ile benzeşim içermekteyse de ondan farklı olarak coğrafi alanlara değil bireylere içkindir. Diğer bir ifadeyle aynı toplum içinde bu üç farklı durumu yaşayanların olacağını varsayar. Bilginin kullanılmasıyla ilgili olarak coğrafi sınırlamaya tâbi olmayan bu yaklaşım bilgi üzerinden güç oluşturmanın –dolayısıyla da bilgi savaşımının– her toplumda uygulanabilir olmasını olanaklı kılar.
Diğer taraftan içinde bulunduğumuzu küreselleşmenin son evresinin ve Soğuk Savaş ve onu takip eden 11 Eylül 2001 terörist saldırısının arından giderek daha fazla belirginleşen post-hegemonya sonrası yeni dünya düzenin getirdikleri ile bilginin yeni karakteristikleri arasındaki karşılıklı etkileşim dramatik değişimleri tetiklemiştir. Bu karşılıklı etkileşim halen de devam etmektedir. Bu etkileşim mekanizması şu şekilde çalışmaktadır: Bilgi bir güç vasıtası olarak dünya düzenini şekillendirmektedir, teknoloji bilginin oluşturulma ve yayma süreç ve vasıtalarını şekillendirmektedir.
Bilgi bir güç vasıtası olduğu ölçüde güvenliği de kapsayan yönüyle öne çıkmaktadır. Bilgi, bireysel, ulusal ve uluslararası sistem boyutuyla güvenliği doğrudan etkileyen unsurlar arasında yer alır. Bununla birlikte bu inceleme düzeyleri (level of analysis) ölçeğinde bilginin güvenliği de önem taşır. Bu makalede ifade esilen “bilginin güvenliği“ terimi iki farklı nedenden ötürü “infosec“ ya da “information security“ olarak ifade dilen “bilgi güvenliği“ teriminde farklı özellikler taşır. Bunlardan birincisi burada izah edildiği üzere bilginin güvenliği Yapısalcı Realist ya da neo-realist kuramın kurucusu Kennet Waltz’ın inceleme düzeyleri çerçevesinde konun ele alınıyor olmasıdır. “Bilgi güvenliği“ teriminin salt bilginin kendisiyle ilgili teknik boyutuyla sınırlı yapısının aksine, “bilginin güvenliği“ kavramı, birey, toplum ve devlet ve uluslararası sistem boyutuyla konuyu ele alır. İkinci temel farklılık “bilgi güvenliği“ teriminin bilginin oluşum süreçlerinden ziyade yayınlanma ve kullanılma safhalarıyla ilgileniyor olmasından buna karşın “bilginin güvenliği“ teriminin ise bilgi süreçleri ve bilgi ortamının katmanlarını kapsıyor olmasıdır. Kısaca makalenin temel savı, “bilgi güvenliği“ teriminin kısıtlı kavrama alanı nedeniyle akademik tartışmaların “bilginin güvenliği“ terimine doğru genişletilmesi ve derinleştirilmesine olan ihtiyacı ortaya koymaktır. Gerçi bu ihtiyaç daha önce çeşitli yazarlar tarafından dile getirilmiştir. Örneğin Michael Curry vd. bu ihtiyacı karşılamaya yönelik olarak "InfoSec Process Action Model (IPAM): Systematically Addressing Individual Security Behavior"[5] başlıklı makalelerinde birey düzeyinde analizin önemini vurgulamışlardır. Ancak bu ve benzeri çabalar meseleye kısmi çözümler getirmektedir. Burada yapılmak istenen ise konunun analizini inceleme biriminden inceleme düzeyleri seviyesine çıkarmaktır.
Bu maksatla makalenin birinci ve ikinci bölümlerinde “bilgi güvenliği“ terimi ana hatlarıyla tanımlanmış, bu kapsamda “siber güvenlik“ ve “bilginin güvenliği“ kavramlarıyla olan ilişkisi tartışılmıştır. Müteakiben üçüncü bölümde bilgini oluşum süreci ile bilgi ortamının fiziksel, bilişimsel ve bilişsel boyutları açıklanmıştır. Dördüncü bölümde analiz düzeyleri üzerinden bilinin güvenliğinin çeşitleri üzerinde durulmuştur. Böylelikle, salt inceleme birimi üzerinden oluşturulmuş olan “bilgi güvenliği“ terimi yerine inceleme düzeyleri üzerinden “bilginin güvenliği“ terimi kavramsallaştırılmaya çalışılmıştır. Bilgiye nereden bakılması gerektiği konusunda farklı bir yaklaşımı içeren bu makale güvenlik ve bilgi arasındaki ilişkiyi daha geniş bir perspektifte ve daha derin bir kavrayış ile ele alınması iddiasındadır. Burada genişlik ile kast edilen bilginin güvenliğine yönelik risk, tehdit ve tehlikelerin çeşitliliğidir. Derinlikle kast edilen ise aktörler itibariyle güvenlik-bilgi ilişkisinin kurulmasına dairdir.
2. Bilgi Güvenliği (infosec/information security)
ISO/IEC 27000:2018 (E)’nin tanımına göre bilgi güvenliği: “Bilginin gizliliğinin, bütünlüğünün ve kullanılabilirliğinin korunmasıdır. Bunlara ayrıca özgünlük, hesap verebilirlik, inkâr edilemezlik ve güvenilirlik gibi diğer özellikler de eklenebilir."[6] ABD Committee on National Security Systems (CNSS) belgesi bilgi güvenliğini: “Gizliliği, bütünlüğü ve kullanılabilirliği sağlamak amacıyla bilgi ve bilgi sistemlerinin yetkisiz erişime, kullanıma, ifşa edilmeye, bozulmaya, değiştirilmeye veya yok edilmeye karşı korunması“[7] olarak tanımlamıştır.
The National Institute of Standards and Technology (NIST)'e göre infosec'in temel işlevi, bilgileri ve bilgi sistemlerini yetkisiz erişime ve kullanıma karşı korumaktır. NIST'in tanımına göre izinsiz kullanım, verilerin yok edilmesini, değiştirilmesini veya ifşa edilmesini ve ayrıca bir bilgi sisteminin işleyişinin bozulmasını içerebilir.[8]
Uluslararası bilişim yönetişim şirketi ISACA’ya göre bilgi güvenliği: “Doğru ve eksiksiz bilgiye (bütünlük) gerektiğinde (bulunabilirlik) yalnızca yetkili kullanıcıların (gizlilik) erişmesini sağlar.“[9] Pupkmin’ göre bilgi güvenliği: “Bir kuruluşun fikri mülkiyetini koruma sürecidir.“[10] McDermott ve Geer’e göre bilgi güvenliği: “İşi bilgi riskinin işletmeye maliyetini yönetmek olan bir risk yönetimi disiplinidir.“[11] Anderson ise bilgi güvenliğini “Bilgi riskleri ve kontrollerinin dengede olduğuna dair iyi bilgilendirilmiş güvence duygusu“ olarak tanımlamıştır.[12]
Bilgi güvenliği genellikle verilere yetkisiz veya uygunsuz erişim olasılığının veya bilgilerin yasa dışı kullanımının, ifşasının, kesintisinin, silinmesinin, bozulmasının, değiştirilmesinin, incelenmesinin, kaydedilmesinin veya değerinin düşürülmesinin önlenmesini veya azaltılmasını içerir.[13] Imperva’nın bu kapsamdaki tanımı da benzer özellikleri taşır. Buna göre:
“Bilgi güvenliği, kuruluşların bilgileri korumak için kullandığı araçları ve süreçleri kapsar. Buna, yetkisiz kişilerin iş bilgilerine veya kişisel bilgilere erişmesini engelleyen politika ayarları da dahildir. InfoSec, ağ ve altyapı güvenliğinden test ve denetime kadar çok çeşitli alanları kapsayan, büyüyen ve gelişen bir alandır.“[14]
Bilgi güvenliği hakkında yapılmış olan bu tanımlamalardan anlaşıldığı üzere mesele daha ziyade bilgi inceleme birimi esas alınarak analiz edilmiştir. Bu yaklaşım, bilginin son kullanıcısının, iletişiminin ve sistemlerinin korunmasını esas almaktadır. Bilgi ontolojisini verili ve değişmez olarak inceleme alanı dışında tutan bu türden geleneksel yaklaşımlar konunun kavramsal boyutundan çok pratik yönünü kapsamaktadır. Bu durum konunun kavramsallaştırılmasına, dolayısıyla da akademik bir mimaride ele alınmasına, farklı kuram ve yaklaşımlar geliştirilmesine engel olmaktadır.
Bu makalede bilginin güvenliği kavramının öne çıkarılmasının birinci amacı konunun akademik mimarisinin oluşturulmasıdır. Bu kuramsal çerçeve siber güvenlik-bilgi güvenliği-bilginin güvenliği olmak üzere sırasıyla teknik-taktik-stratejik seviyeleri içermektedir. Bu çerçevede siber güvenliğin bilgi güvenliğinin bir alt konsepti, bilgi güvenliğinin ise bilginin güvenliğinin bir alt konsepti olduğu sonucuna ulaşmaktayız. Bu kavramlar kategorik olarak “bilgi savaşımı (information warfare)“ kavramının alt konularının oluşturmaktadır.
Devamı için...