Güvenlik bütçelerinin büyük kısmı duvarlara gider: ateş duvarları, şifreleme, erişim kontrolü, izleme panoları. Bu duvarların hepsi gereklidir; ama saldırganın en sevdiği kapı onların hiçbirine benzemez. O kapı insandır. En güncel yamayı almış sistemde bile, "fatura ektedir, lütfen inceleyin" yazan bir e-postaya tıklayan bir çalışan, bütün o savunmayı birkaç saniyede etkisiz bırakabilir. Siber güvenliğin en zayıf halkası da en güçlü halkası da aynı yerdedir: insan.

İnsan, Hataya Değil Bilgisizliğe Açıktır

Kullanıcıyı suçlamak, güvenlik raporlarının en kolay ve en işe yaramaz bölümüdür. Kimse kötü niyetle kendi kurumuna zarar vermez; insan, hataya değil bilgisizliğe açıktır. Dolandırıcı bunu bilir: acele ettirir, korkutur, yetkili bir dille yazar. "Hesabınız kapatılacak" uyarısı, panik anında düşünme becerisini devre dışı bırakır. Savunmanın ilk adımı, bu taktiği tanımaktır; ikinci adımı, tanıdığından emin olamadığın her iletiye şüpheyle bakmaktır.

Bilinçli kullanıcı, teknolojiden çok davranışla tanınır. İki adımlı doğrulamayı kurar, aynı şifreyi üç yerde kullanmaz, güncellemeyi ertelemez, bilinmeyen bir bağlantıyı açmadan önce gönderene bakar. Bunların hepsi teknik bilgi değil, alışkanlıktır. Güvenlik kültürü de denen şey, tam olarak bu alışkanlıkların toplamıdır.

Kurumun İşi, Kullanıcıyı Suçlamak Değil Yetiştirmektir

Güvenli kültür kurmak, yılın bir gününde verilen eğitimle değil, tekrarlanan küçük hatırlatmalarla olur. Gerçekleşen sahte e-posta tatbikatı, çalışanların değil sürecin sınavıdır; kimse başarısız diye damgalanmamalıdır. Amacın ceza vermek değil öğretmek olduğu, raporların dilinden okunmalıdır: tıklayan çalışanın adı değil, iletiyi bildiren çalışanın adı yazılır. Kurum, hatayı bildireni koruduğunu gösterdiğinde, kullanıcı savunma hattının bir parçası olmayı kabul eder.

Bu kültürün bir de yönetim tarafı vardır: güvenlik, bütçe tablosunda maliyet değil sigorta kalemidir. Duvarların bakımı göründüğü için yapılır; insanın eğitimi görünmediği için ertelenir. Oysa gerçekleşmemiş bir dolandırıcılık girişiminin maliyet tablosuna yazılacak bir satırı yoktur; başarısı sessizdir. Bilinçli kullanıcı, kurumun en sessiz yatırımının getiridir ve onu yetiştirmek, en yeni güvenlik ürününü satın almaktan daha uygundur. Kullanıcıya güvenmeyi öğreten kurum, bir gün o güvenin raporuyla övünür: iletiyi bildiren çalışanın adı, toplantılarda takdirle anılır.

Güvenlik, duvarın kalınlığıyla değil, duvarın arkasındaki insanın uyanıklığıyla ölçülür.

Mesleğimiz açısından da durum aynıdır: yazdığımız kodun girdileri, kullanıcıdan gelen verilerdir; en dikkatli geliştiricinin en büyük zayıflığı, kullanıcıyı tahmin edilebilir saymaktır. Oysa kullanıcı, tahmin edilebilir olmayan bir yaratıktır; savunmayı da ona göre kurmak gerekir. Kullanıcının yapabileceklerini değil, yapabileceklerin en kolayı seçeceğini varsaymak, güvenlik tasarımlarının altın kuralıdır.

En güçlü duvar, teknolojiyle örülen duvar değildir; bilinçli kullanıcının bakışıdır. O bakış, saldırganın en sevdiği kapıyı kapattığında, gerisi bütün mühendisliğin işidir.