Tehdit modellemesi: dijital güvenliğe "herkese aynı reçete" ile başlamak neden yanlış?
Güvenlik satın alınan bir ürün değil, kendi riskine göre kurulan bir plandır. Gazeteci, aktivist ve risk altındaki herkes için, neyi kimden koruduğunu belirlemenin sistematik yolu: tehdit modellemesi.
Güncellendi:
Dijital güvenlik tavsiyeleri çoğu zaman aynı kalıptan çıkar: "şu uygulamayı kur, şu VPN'i kullan, şunu kapat." Oysa bir insan hakları avukatının, sınırda cihazına el konabilecek bir gazetecinin ve sıradan bir kullanıcının ihtiyaçları aynı değildir. Herkese aynı reçeteyi vermek, bir kısmını gereksiz zahmete sokar, bir kısmını ise gerçek tehdide karşı korumasız bırakır.
Güvenlik uzmanlarının bu soruna verdiği cevap, satın alınacak bir araç değil bir düşünme yöntemidir: tehdit modellemesi (threat modeling). Kendi durumunu değerlendirip "neyi, kimden, ne kadar korumam gerekiyor" sorularını yanıtlamak. Elektronik Sınır Vakfı'nın (EFF) yaygın kullanılan "güvenlik planı" çerçevesi, bunu beş basit soruda topluyor.
Tehdit modellemesi nedir?
Basitçe, korumaya değer olan şeylerin ve onları kimden koruduğunuzun envanterini çıkarmaktır. Amaç "her şeye karşı %100 güvenlik" değil — böyle bir şey yok zaten. Amaç, sınırlı vaktinizi ve enerjinizi sizin için gerçekten önemli olan risklere yöneltmek; olmayan tehditlerle uğraşıp asıl açığı kaçırmamak.
EFF'in Surveillance Self-Defense kaynağındaki beş soru, bu değerlendirmeyi yapılandırıyor:
1. Neyi korumak istiyorum?
Buna "varlıklar" denir: değerli olan ve korumak istediğiniz şeyler. Mesajlarınız, kişi listeniz, konumunuz, fotoğraflarınız, bir gazeteciyseniz kaynaklarınızın kimliği, bir aktivistseniz örgütlenme bilgileri. Neyi koruduğunuzu netleştirmeden, nasıl koruyacağınıza karar veremezsiniz.
2. Kimden korumak istiyorum?
"Rakip" (adversary) dediğimiz taraf. Bu, sıradan bir dolandırıcı da olabilir, kıskanç bir eski partner de, bir işveren, bir rakip kurum ya da devlet kaynaklı bir aktör de. Her rakibin yeteneği ve motivasyonu farklıdır: rastgele bir dolandırıcıya karşı alacağınız önlemle, gelişmiş casus yazılım kullanabilen bir aktöre karşı alacağınız önlem aynı değildir. Kimden korunduğunuzu bilmek, hangi önlemin gerçekten anlamlı olduğunu belirler.
3. Bu koruma gerçekten ne kadar olası/gerekli?
Yani risk. Her tehdit eşit olası değildir. Bir olayın gerçekleşme ihtimali düşükse ama önlemi de kolaysa, yine de almaya değer. Ama düşük ihtimalli bir tehdit için hayatınızı zorlaştıracaksanız, bu enerjiyi daha olası bir riske ayırmak daha akıllıcadır. Buradaki soru "mümkün mü" değil, "benim durumumda ne kadar olası" sorusudur.
4. Başarısız olursam sonuçları ne kadar kötü?
Bir tehdit gerçekleşirse ne kaybedersiniz? Sıradan bir kullanıcı için bir sosyal medya hesabının çalınması can sıkıcıdır. Bir muhalif ya da kaynağını koruyan bir gazeteci için aynı olayın sonucu birinin özgürlüğü, hatta güvenliği olabilir. Sonuç ne kadar ağırsa, o riske karşı o kadar ciddi önlem gerekir.
5. Bunları önlemek için ne kadar zahmete girmeye razıyım?
Güvenlik her zaman bir denge (trade-off) meselesidir: daha fazla güvenlik genellikle daha fazla zahmet, para ya da rahatlıktan feragat demektir. Kimse sonsuz zahmete katlanamaz. Bu yüzden dürüstçe sormalısınız: hangi önlemleri gerçekten sürdürebilirim? Kağıt üzerinde mükemmel ama uygulanamayacak kadar zahmetli bir plan, hiç plan olmamasından daha kötüdür — çünkü yanlış bir güven verir.
Cevapları bir plana dönüştürmek
Bu beş soruyu yanıtladığınızda, elinizde soyut korkular değil somut bir öncelik listesi olur. "En değerli varlığım kaynaklarımın kimliği, en olası ve en yüksek sonuçlu tehdit cihazıma el konması" diyen bir gazetecinin planı ile, "en çok sosyal medya hesabımı çaldırmaktan korkuyorum" diyen birinin planı bambaşka olur. İlki uçtan uca şifreli iletişime, cihaz şifrelemesine ve el koyma anına hazırlığa yoğunlaşır; ikincisi güçlü şifre ve iki adımlı doğrulamayla büyük ölçüde rahatlar.
Önemli olan, herkesin kopyaladığı bir kontrol listesini değil, kendi cevaplarınızın işaret ettiği önlemleri uygulamaktır.
Tehdit modeli sabit değildir
Son bir nokta: durumunuz değiştikçe modeliniz de değişir. Hassas bir habere başlayan bir gazetecinin, yurt dışına seyahat eden bir aktivistin ya da bir tehdit alan bir kullanıcının riski bir anda yükselir. Bu yüzden tehdit modellemesi bir kereye mahsus bir işlem değil, ara ara tekrarlanan bir alışkanlıktır.
Dijital güvenliğe "hangi uygulamayı kurayım" diye başlamak, arabayı atın önüne koymaktır. Doğru başlangıç noktası şudur: neyi, kimden, ne kadar korumam gerekiyor? Bu sorulara dürüst cevap verdiğinizde, geri kalan her karar kendiliğinden yerine oturur.
