Saat tam sabahın 02:14’üydü. Masamda artık soğumuş bir kahve, karşımda ise iki farklı ekran vardı. Sol ekranda ClearVault (kurgusal şirket) için hazırlanmış, tam 340 sayfalık bir uyumluluk (compliance) raporu duruyordu. Her yerinden 'başarılı' ibareleri fışkırıyor, yeşil tikler adeta gözümü alıyordu. Sağ ekranda ise bir terminal penceresi ve Burp Suite açıktı. Sadece on beş dakika önce bulduğum, basit bir yetki aşımı (broken access control) zafiyeti sayesinde, o 'tam uyumlu' sistemin tüm kullanıcı veritabanını dökebileceğimi fark etmiştim. O an bir kez daha emin oldum: Uyumluluk, güvenliğin sadece bir illüzyonudur ve bu illüzyon bizi her geçen gün daha savunmasız bırakıyor.
Sektörde yıllardır süregelen bir tartışma var ama kimse kral çıplak demek istemiyor. SOC2, ISO 27001, PCI-DSS gibi standartlar, şirketlerin yönetim kurullarına 'biz iyiyiz' demesi için harika birer araç. Ancak sahada, mermilerin uçuştuğu o gerçek sızma testi (penetration testing) anlarında, o kağıt parçalarının hiçbir hükmü kalmıyor. Benim pozisyonum net: Uyumluluk odaklı güvenlik yaklaşımı, modern siber savunmanın önündeki en büyük engeldir. Şirketler, bir checklist (kontrol listesi) doldurmayı 'güvenlik' sanmaya başladığında, gerçek saldırganlar için en büyük açık kapıyı bırakmış oluyorlar.
Neden bu kadar sert konuşuyorum? Çünkü defalarca aynı senaryoyu yaşadım. Bir keresinde, her türlü denetimden alnının akıyla çıkmış bir finans devinde, sırf CI/CD pipeline (sürekli entegrasyon ve dağıtım hattı) üzerindeki bir yapılandırma hatası (misconfiguration) yüzünden tüm Terraform dosyalarına erişebildiğimi gördüm. Denetçiler o hattın varlığından haberdardı ama sadece 'parola politikası' kontrol edilip geçilmişti. (Not: O denetçinin raporu onayladığı gün, ben sisteme sızmak için sadece bir curl isteği kullanmıştım, bu da benim kişisel ironim olsun.) İşte sorun burada başlıyor; uyumluluk statiktir, saldırı yüzeyi ise her saniye değişir.
Karşı argümanı duyar gibiyim: 'Sedat, bu standartlar olmasa kaos olurdu, en azından bir taban (baseline) oluşturuyorlar.' Haklısınız, standartlar bir kurumun hijyen seviyesini belirler. Diş fırçalamak gibidir; fırçalamazsanız dişiniz çürür ama diş fırçalamak sizi bir maraton koşucusu yapmaz. Sorun, kurumların diş fırçalayıp 'ben artık olimpiyat atletiyim' demesinde. Uyumluluk bir tavan değil, taban olmalıydı ama biz onu bir hedef haline getirdik. Şirketler bütçelerini 'gerçekten hacklenmemeye' değil, 'denetimden geçmeye' harcıyorlar. Bu bir önceliklendirme hatasıdır.
Bir DevSecOps pratisyeni olarak bu durumun pipeline'lara nasıl yansıdığını görüyorum. Ekip, SAST (static application security testing) aracı çalışsın ve rapor versin diye uğraşıyor ama çıkan 500 tane 'false positive' (yanlış alarm) kimsenin umurunda değil. Önemli olan o aracın orada 'çalışıyor' olarak görünmesi. Bu, güvenlik değil, güvenlik tiyatrosudur (security theater). Gerçek bir sızma testi uzmanı, o raporlara bakmaz; o, sistemin mantık hatalarına (logic flaws), iş akışındaki boşluklara ve insanların yorgunluk anlarına odaklanır. Denetçiler ise sadece kutucukları işaretler.
Bu arada, çoğu denetçinin (auditor) aslında kod okumayı bilmediğini, sadece doğru klasörde doğru dosyanın olup olmadığına baktığını hepimiz biliyoruz ama sektörün nezaketi gereği susuyoruz. Ben susmak istemiyorum çünkü bir gece ClearVault (kurgusal şirket) benzeri bir yapıda gerçekten kritik bir veri sızıntısı olduğunda, o yeşil tikler kimseyi kurtarmayacak.
Çözüm ne peki? 'Uyumlu olalım ama güvenli kalalım' demek yetmez. Yaklaşımı kökten değiştirmeliyiz. Güvenliği bir 'durum' (state) olarak değil, bir 'süreç' (process) olarak görmeliyiz. Yılda bir kez yapılan denetimler yerine, sürekli sızma testi (continuous pentesting) ve otomatize edilmiş güvenlik doğrulamaları gelmeli. Kırmızı ekip (Red Team) tatbikatları, uyumluluk raporlarından on kat daha değerlidir çünkü onlar size sadece açık kapılarınızı değil, o kapıların neden açık kaldığını da gösterir.
Şimdi o geceye, 02:14’e geri dönelim. O terminal ekranındaki akan verilerle yan taraftaki süslü PDF raporu arasındaki uçurum, aslında bizim mesleki dürüstlüğümüzün test edildiği yer. Eğer siz de sadece 'denetimi geçelim yeter' diyenlerdenseniz, bir gün karşınıza benim gibi biri —veya daha kötüsü, niyetini terminalin karanlığında gizleyen bir saldırgan— çıktığında o raporların hiçbir işe yaramadığını acı yoldan öğreneceksiniz.
Sizden ricam şu: Bir sonraki güvenlik toplantınızda, checklist'leri bir kenara bırakın ve kendinize şu soruyu sorun: 'Eğer yarın sabah tüm denetim belgelerimiz yok olsaydı, sistemimizi gerçekten ne kadar savunabilirdik?' Cevap sizi korkutuyorsa, doğru yoldasınız demektir. O kahve bir gün mutlaka soğuyacak ama sistemin ateşi hiç sönmemeli.