Güvenliği Nasıl Tanımlar#

Bruce Schneier’in en net katkılarından biri, güvenliği “mutlak” bir durum olmaktan çıkarmasıdır. Ona göre güvenlik, risk yönetimidir.

Yani soru şu değildir: “Bu sistem kırılır mı?”

Asıl soru şudur: “Bu sistemin kırılma ihtimali, getirdiği faydaya ve maliyete değer mi?”

Bu bakış açısı, risk analizi kavramını güvenliğin merkezine koyar. %100 güvenlik yoktur, evet. Hatta bunu şu yazımda kendi çerçevemden anlatmıştım. Ama makul güvenlik vardır. Ve bu makullük, tehdit modeliyle belirlenir.

Kriptografi ve Schneier’in Katkıları#

Schneier’in teknik dünyadaki ağırlığı kriptografiden gelir. Blowfish ve Twofish gibi algoritmalar, güvenliğin matematiksel tarafındaki katkılarını temsil eder. Ancak Schneier’i diğer kriptograflardan ayıran nokta şudur:

“Kriptografi güçlü olabilir ama onu kullanan sistem aptalsa, sonuç yine güvensizdir.”

Bu yüzden Schneier, kriptografiyi tek başına bir kurtarıcı olarak görmez. Anahtar yönetimi, kullanıcı hatası, yanlış yapılandırma ve süreç eksikliği gibi konuların kriptografiyi anlamsız kılabildiğini sürekli vurgular.

Güvenlik Tiyatrosu Eleştirisi#

Bruce Schneier’in en bilinen kavramlarından biri güvenlik tiyatrosudur. Bu kavram, insanlara güvende oldukları hissini veren ama gerçekte riski azaltmayan önlemleri tanımlar.

Havaalanı güvenlikleri bunun klasik örneğidir. Ayakkabı çıkarmak, sıvı yasakları koymak, sembolik kontroller… Schneier’e göre bunların çoğu gerçek tehditleri engellemez, sadece psikolojik rahatlama sağlar.

Burada sormamız gereken zor soru şudur: Bu önlem gerçekten riski mi azaltıyor, yoksa sadece görünür mü kılıyor?

İnsan Faktörü ve Davranışsal Güvenlik#

Schneier’in belki de en rahatsız edici ama en doğru tespiti şudur:
İnsanlar güvenlik konusunda rasyonel davranmaz. Bunu Kevin Mitnick analizinde farklı bir çerçevede konuşmuştuk.

Yani kolay olanı seçeriz. Hızlı olanı tercih ederiz. Riskleri küçümser, faydayı abartırız. Bu yüzden güvenlik tasarımı, ideal kullanıcıyı değil gerçek insanı baz almalıdır.

Bu yaklaşım, Kevin Mitnick çizgisiyle aynı yerde buluşur ama Schneier bunu romantize etmez. Sosyal mühendisliği bir “sanat” değil, öngörülebilir bir insan davranışı olarak görür.

Politika, Gözetim ve Güven#

Bruce Schneier zamanla teknik alanın dışına taşmıştır. Devlet gözetimi, mahremiyet, kitlesel izleme ve dijital haklar konularında açıkça pozisyon alır.

Özellikle şu noktada nettir: Toplumlar güvenlik adına özgürlüklerinden vazgeçtiklerinde, çoğu zaman ne daha güvenli olur ne de daha özgür.

Bu görüşü onu politik olarak tartışmalı bir figür haline getirmiştir. Ama Schneier için bu kaçınılmazdır. Çünkü güvenlik, yalnızca teknik değil toplumsal bir tercihtir.

Eleştiriler ve Zayıf Noktaları#

Schneier sık sık “fazla teorik” olmakla eleştirilir. Bazıları onun sahadaki operasyonel gerçekleri küçümsediğini düşünür. Ayrıca devlet tehditlerine karşı bireysel güvenlik önlemlerini yetersiz bulması, pratikçi kesimi rahatsız eder.

Ancak bu eleştirilerin ortak noktası şudur: Schneier cevap vermekten kaçmaz. Tartışmayı sever. Çünkü onun derdi haklı çıkmak değil, yanlış soruları ifşa etmektir.

Bruce Schneier’den Alınacak Dersler#

• Güvenlik, teknoloji problemi değil karar problemidir.
• Risk her zaman vardır, mesele onu yönetmektir.
• İnsan davranışı hesaba katılmadan kurulan sistemler kırılmaya mahkumdur.
• Güvenlik hissi ile gerçek güvenlik aynı şey değildir.

Bu kadar güvenlik önlemi gerçekten beni mi koruyor, yoksa beni sakin mi tutuyor?