Asansörün kapısında yeşil bir etiket var. Küçük, plastik, kenarı hafifçe kalkmış. Üzerinde son kontrolün tarihi yazılı. Bir yıl geçtiğinde o etiketin anlamı değişir; artık güvence vermekten çok yeni bir kontrolün vaktinin geldiğini hatırlatır. Binmeden önce görürsün. Orada durmasının bir sebebi vardır.

Aynı gün, aynı saatte telefonunu açıp bankanın uygulamasına giriyorsun. Parmak izi, şifre, giriş. Ekranda alın terin, yılların birikimi, ailenin rızkı duruyor. İnsan bazen elinde olmadan düşünüyor: Acaba içerideki bu akış ne kadar güvende, görünmeyen bir gedik açılırsa kim fark eder Peki bu görünmez kasanın güvenlik bakımından en son ne zaman bağımsız bir göz tarafından sınandığını gösteren bir işaret var mı Vatandaşın kapısında durup görebileceği, baktığında kolayca anlayabileceği bir etiket yok. Her iki alan da doğrudan hayatımıza dokunuyor; birinde emanetin kontrol edildiğini gösteren mühür kapıda, diğerinde denetimin sonucu kullanıcının gözünün önünde değil.

Peki asansördeki o küçük etiket bize neden güven veriyor Çünkü arkasında üç temel dayanak var: zorunlu periyodik kontrol, yetkilendirilmiş muayene kuruluşu ve görünür bilgi etiketi. Türkiye'de asansörlerin yılda en az bir kez kontrol edilmesi zorunlu. Kontrol sonucuna göre yeşil, mavi, sarı veya kırmızı etiket veriliyor. Sarı etiket kusuru, kırmızı etiket ise can güvenliğini tehdit eden durumu gösteriyor. Bu renklerin karşılığı da mevzuatta belirlenmiş takip ve yaptırım süreçleriyle destekleniyor.

Elbette telefonumuzdaki uygulamalar ve kurumların altyapıları da büsbütün denetimsiz değil. Kişisel Verileri Koruma Kurumu, veri ihlallerinin bildirilmesini zorunlu tutuyor. TÜRKAK ise yapay zekâ yönetim süreçleri için ISO/IEC 42001 standardı kapsamında akreditasyon hizmeti veriyor.

Ne var ki sahadaki tabloya baktığımızda ilginç bir durumla karşılaşıyoruz. İhlali öğrenen veri sorumlusu, en geç 72 saat içinde Kurula resmi bildirim tutanağını sunuyor. Aynı saatlerde milyonlarca insan, son denetimden bu yana defalarca güncellenip kabuk değiştirmiş bir uygulamanın kapısından içeri adım atmaya devam ediyor.

(Yangın çıktıktan sonra tutulan zabıt ile binanın temelini her mevsim yoklamak aynı şey midir)

İşte bu yüzden, yalnızca kriz anında bildirim yapılmasını bekleyen değil; denetimin düzenli yapıldığını ve sonucunda hangi güvenlik seviyesine ulaşıldığını kullanıcıya baştan gösterebilen açık bir düzene ihtiyacımız var.

Fakat böyle bir düzeni kurarken asansör örneğini olduğu gibi kopyalayamayız; çünkü asansörle telefonumuzdaki uygulama arasında çok temel bir hız farkı var. Apartmandaki asansörün yapısı bir yıl içinde kendi kendine değişmez. Halat zamanla aşınır, kapı ayarı bozulur, parçalar yavaş yavaş eskir. Telefonumuzdaki uygulamalar ise bambaşkadır; birkaç hafta içinde gelen yeni güncellemelerle, eklenen veri bağlantılarıyla ve arka planda çalışan yapay zekâ modelleriyle tamamen farklı bir yapıya dönüşebilir. Ocak ayında yapılan bir kontrolün sonucu, aralık ayında aynı güvenceyi vermeyebilir. Kapıdaki etiket yerinde durur, içerideki yapı çoktan değişmiştir.

Denetim simülakrı dediğimiz yanılsama tam da burada başlar. Düşünce dünyamızda ve kadim tecrübemizde bunun aslında bir adı daha vardır: Suret-i İtimat. Yani denetim yapılmış görünür, dışarıdaki mühür ve görüntü yerli yerinde durur; fakat denetimin yapıldığı günkü şartlar değiştiği hâlde sonuç güncellenmez. İçerideki değişim hızlandıkça, geçmişte atılmış en sağlam imzanın bile hükmü zaman karşısında erir. Kâğıt üzerinde güvence vardır; gerçek hayatta karşılığı zayıflamıştır.

Öyleyse bu yanılsamayı nasıl aşacağız Çözüm, bütün kurumlara aynı takvimi dayatmak değil, taşınan emanetin ağırlığına göre risk esaslı bir denetim düzeni kurmaktır. Milyonlarca insanın parasını tutan bir bankanın ödeme altyapısıyla mahalledeki küçük bir esnafın muhasebe yazılımı aynı güvenlik yükünü taşımaz. Kritik altyapılar ve yüksek etkili ağlar daha sıkı ve sürekli izlenmeli; küçük işletmelerin denetimi ise maliyetleri gözeten, uygulanabilir aralıklarla yürütülmeli. Güvenlik standardı herkes için korunmalı, denetimin sıklığı ise yapının taşıdığı riske göre belirlenmeli.

İşin uzmanları arka planda bu riskleri ölçerken, sade vatandaşın ekrana baktığında göreceği etikette üç temel bilgi yeterlidir: denetimin tarihi, geçerlilik durumu ve güvenlik seviyesi. Yeşil, sarı, kırmızı. Asansördeki dört renkten maviyi burada dışarıda bırakıyoruz; çünkü hafif kusur kullanıcının kararını değiştirmiyor. Yeşil, belirlenen güvenlik şartlarının karşılandığını; sarı, giderilmesi gereken eksiklikler bulunduğunu; kırmızı ise ciddi ve acil risk taşındığını göstermeli. Acil biçimde istismar edilebilen bir güvenlik açığında ara aşamalar beklenmemeli, gerekli müdahale derhâl başlatılmalı.

Doğal olarak burada akla şu soru gelebilir: Kusurları böyle renklerle ilan etmek, kötü niyetli kişilere davetiye çıkarmaz mı Tam da bu nedenle, etiketin üzerinde güvenlik açığının adı, yeri veya teknik ayrıntısı kesinlikle bulunmamalı. Bu bilgiler yalnızca denetçi, kurumun yetkilileri ve ilgili düzenleyici kuruluşların mahremiyetinde kalmalı. Çünkü şeffaflık, kalenin savunma düzenini kem gözlere anlatmak değildir. Vatandaşın bilmesi gereken tek şey, kullandığı yapının denetlenip denetlenmediği ve tespit edilen kusurların giderilip giderilmediğidir.

Etiketin renkleri elbette sadece ekranda duran birer sembolden ibaret kalmamalı, arkası somut adımlarla doldurulmalı.