Hayatımızda Casus mu Var?

“Kabloların kulağı”ndan sensörleşmiş topluma: Mahremiyet, istihbarat ve dijital egemenlik

2003’te “Cebimizde Casus Mu Var?” diye sordum. 2007’de “İçimizde Casus Mu Var?” diyerek personel güvenilirliği ve içeriden tehdide dikkat çektim. Oysa hikâye daha da eskiden, “kabloların kulağı var” dediğimiz TEMPEST ve elektromanyetik sızıntı günlerinden başlamıştı. Şimdi, 2026’da soru çok daha büyük: HAYATIMIZDA CASUS MU VAR?

KABLOLARIN DA KULAĞI VARDI

Bilgi güvenliğiyle uğraşmaya başladığımız yıllarda tehdit bugünkü kadar görünür değildi. Bilgisayar ekranı sessizdi. Kablo hareketsizdi. Fakat güvenlikçi, görünmeyeni düşünmek zorundaydı. Elektronik sistemlerin çalışırken oluşturduğu istem dışı elektromanyetik yayılımlar, uygun şartlarda yakalanıp analiz edildiğinde işlenen bilgi hakkında ipucu verebilirdi.

Bugün NIST terminolojisinde “compromising emanations” olarak tanımlanan bu olgu; haberleşme veya bilgi sistemlerinin işlediği bilgiyi açığa çıkarabilecek istem dışı sinyalleri ifade ediyor. İşte TEMPEST dünyasının temel sorusu buydu: Bilgi, gönderilmediği hâlde dışarı sızabilir mi?

Güvenlik bize çok erken bir ders verdi: Bilgi yalnızca gönderildiği yerden sızmaz; bazen sistemin çalışması bile iz bırakır.

Bu yüzden ekranlama, filtreleme, topraklama, kablo güzergâhları, fiziksel mesafeler ve güvenli bölgeler üzerinde çalışıyorduk. O günün görünmez tehdidi elektromanyetik sızıntıydı. Sonra teknoloji cebimize girdi.

2003: “CEBİMİZDE CASUS MU VAR?”

2003 yılında askerî bir dergide “Cebimizde Casus Mu Var?” başlıklı bir makale yazdım. O gün dikkat çekmek istediğim yeni unsur cep telefonuydu. Henüz bugünkü akıllı telefon ekosistemi, uygulama ekonomisi, sürekli konum servisleri, bulut senkronizasyonu ve yapay zekâ hayatımızın merkezine yerleşmemişti.

Ama güvenlik açısından yeni bir gerçek doğmuştu: İnsan, mikrofonu, haberleşme kabiliyeti ve giderek artan elektronik özellikleri bulunan bir cihazı kendi eliyle cebine koyuyor ve gittiği her yere götürüyordu.

Bugün geriye baktığımızda o soru neredeyse masum kalıyor. Çünkü artık telefon yalnızca telefon değil; kamera, mikrofon, GPS, Wi-Fi, Bluetooth, hareket sensörleri, biyometrik doğrulama, uygulamalar ve bulut servislerinin birleştiği çok sensörlü bir platform.

2007: “İÇİMİZDE CASUS MU VAR?”

Fakat teknoloji ne kadar gelişirse gelişsin güvenliğin değişmeyen bir unsuru vardı: insan. En güçlü kriptoyu kullanabilirsiniz. En iyi TEMPEST tedbirini alabilirsiniz. En kalın duvarı örebilirsiniz. Fakat sistemin içindeki insan güvenilir değilse teknik tedbirlerin hiçbiri tek başına yeterli değildir.

Bu nedenle 2007’de yine askerî bir dergide bu defa “İçimizde Casus Mu Var?” diye sordum. Personel güvenilirliği, kurumsal sızma ve içeriden gelebilecek tehdide dikkat çekiyordum. Yazının ardından tehditlerle ve hakkımda başlatılan bir hukuki süreçle karşılaştım; süreçte savcılık değerlendirmesi lehime sonuçlandı.

Sonraki yıllarda devlet kurumlarına sızmış FETÖ yapılanmasının ortaya çıkardığı tablo, içeriden tehdidin bir devlet için ne kadar ağır sonuçlar doğurabileceğini Türkiye’ye acı biçimde gösterdi.

Bir güvenlik sisteminin en pahalı bileşeni cihaz olabilir; fakat en kritik bileşeni hâlâ insandır.

2026: HAYATIMIZDA CASUS MU VAR?

Bir akşam eve geldiğinizi düşünün. Telefon masada. Akıllı saat bileğinizde. Televizyon internete bağlı. Kapının önünde IP kamera veya görüntülü zil var. Salonda sesli komut alabilen bir cihaz bulunuyor. Robot süpürge odalarda dolaşmış. Otomobil garajda. Kablosuz kulaklık masada. Belki gözünüzde akıllı gözlük, bedeninizde sağlık verisi üreten bir cihaz var.

Ve bütün bu cihazların önemli bir bölümünü internete bağlayan küçük kutu köşede sessizce duruyor: modem ve yönlendirici.

Evinizde gerçekten yalnız mısınız?

Bu bir komplo sorusu değildir. “Her cihaz bizi dinliyor” veya “her üretici casustur” demek teknik analiz değildir. Güvenlikçinin sorusu daha soğukkanlıdır: Cihazın kabiliyeti nedir? Hangi sensörleri vardır? Hangi veriyi üretir? Veri nerede işlenir? Nereye gider? Kim erişebilir? Ne kadar saklanır? Başka hangi verilerle birleştirilebilir? Ele geçirilirse istihbarat değeri nedir?

BİZİ KORUYAN KAMERA, KİMİN GÖZÜ?

Güvenlik kamerasını bizi korusun diye kuruyoruz. Fakat internet bağlantılı IP kamera yalnızca lens değildir; işlemcisi, yazılımı, firmware’i, kullanıcı hesabı, ağ bağlantısı ve çoğu zaman uzaktan erişim imkânı bulunan bir bilgisayardır.

Siber güvenliğin en çarpıcı paradokslarından biri burada ortaya çıkar: Sizi korumak için kurduğunuz cihaz yeterince korunmuyorsa, sizi izlemenin aracına dönüşebilir.

Kritik bir tesiste kamera; girişleri, personel hareketlerini, araçları, plakaları, ziyaretçileri ve vardiya düzenini görebilir. Dolayısıyla CCTV/IP kamera sistemi yalnızca fizikî güvenlik sistemi değildir; aynı zamanda siber güvenlik varlığıdır.

KAPI ZİLİNİN BİLE GÖZÜ VAR

Görüntülü kapı zili, bebek kamerası, evcil hayvan kamerası, akıllı alarm, elektronik kilit, hareket sensörü... İyi amaçlarla hayatımıza giren bu cihazlar yeni bir mahremiyet sorusu doğuruyor. Çünkü sensör alanına yalnızca cihaz sahibi değil; misafir, komşu, çocuk, çalışan ve kapıya gelen görevli de girebilir.

Sensörleşmiş toplumda mahremiyet artık yalnızca “Ben izin verdim mi?” sorusuyla açıklanamayacak kadar karmaşıktır.

OTOMOBİL: TEKERLEKLİ BİLGİ SİSTEMİ

Modern otomobil kamera, radar, GPS, Bluetooth, mobil bağlantı, telematik, sürücü izleme ve telefon entegrasyonunu aynı platformda birleştiriyor. Otomobil artık yalnızca ulaşım aracı değil; hareket eden bir bilgi sistemidir.

Bu risk teorik değildir. ABD Federal Ticaret Komisyonu, Ocak 2026’da General Motors ve OnStar hakkındaki nihai kararında, milyonlarca araçtan hassas konum ve sürüş davranışı verilerinin yeterli bilgilendirme ve açık rıza olmadan toplandığı, kullanıldığı ve satıldığı yönündeki iddiaları karara bağladı.

Bir devlet görevlisinin uzun dönem araç konum verisinin gösterebileceklerini düşünün: ev, iş yeri, rutin güzergâh, ziyaret edilen kurumlar ve hareket örüntüsü. Makam aracını yalnızca fiziksel olarak zırhlamak artık yeterli değildir. Dijital olarak da zırhlamak gerekir.

SAAT, GÖZLÜK, KULAKLIK: GİYİLEBİLİR SENSÖRLER

Akıllı saat hareketi, uykuyu, konumu ve çeşitli sağlık göstergelerini işleyebilir. Akıllı gözlük kamera, mikrofon ve yapay zekâyı insanın görüş alanına taşır. Kablosuz kulaklıklar mikrofon ve ağ bağlantılı ekosistemlerle bütünleşir.

Bir kritik tesiste telefonları toplamak doğru olabilir. Peki saatleri, gözlükleri, bileklikleri ve diğer giyilebilir cihazları ne yapacağız? Yeni güvenlik yaklaşımının adı yalnızca “telefon yasağı” olamaz. Sensör yönetimine geçmek zorundayız.

ROBOT SÜPÜRGE EVİ NE KADAR TANIYOR?

Bazı robot süpürgeler lidar, kamera, kızılötesi veya başka navigasyon sensörleriyle çevresini algılar. Amaç temizliktir; fakat görevini yaparken mekân hakkında veri üretir. Burada doğru soru “Robot süpürge casus mu?” değildir. Doğru soru: Hangi veriyi üretmek zorunda, nerede tutuyor ve kim erişebiliyor?

Siber güvenliğin en güçlü kurallarından biri çok basittir: Toplanmayan veri çalınamaz.

YAZICIYI VE TOPLANTI ODASINI UNUTMAYIN

Modern çok fonksiyonlu yazıcı ağa bağlıdır, belge tarar, belge işler, belleği ve firmware’i vardır. Bir bakanlıkta, savunma şirketinde veya karargâhta o cihazdan geçen belgeleri düşündüğünüzde yazıcı artık büro malzemesi değil, bilgi güvenliği varlığıdır.

Aynı şey video konferans terminali, VoIP telefon, akıllı ekran ve kablosuz sunum cihazı için geçerlidir. Toplantı odası fiziksel olarak boş olabilir; dijital olarak ise kamera, mikrofon ve ağ cihazlarıyla dolu olabilir.

BÜTÜN YOLLAR ROUTER’A ÇIKIYOR

NIST, 2024’te tüketici tipi yönlendiriciler için ayrı bir siber güvenlik profili yayımladı ve router güvenliğinin yalnızca bireyin verisini değil, bütün ağın bütünlük ve erişilebilirliğini korumak açısından kritik olduğunu vurguladı. Bunun nedeni açık: akıllı ev cihazlarının ve uzaktan çalışma sistemlerinin önemli bölümü internete bu geçit üzerinden çıkıyor.

Ağ geçidi zayıfsa, tek bir kutunun güvenliği değil, ona bağlı bütün dijital ekosistem tartışmalı hâle gelir.

SON SINIR: İNSAN BEDENİ

Kalp cihazları, insülin pompaları, hasta monitörleri, işitme cihazları, bağlantılı protezler ve uzaktan hasta takip sistemleri... Teknoloji artık cebimizden çıkıp bedenimize yaklaşıyor.

FDA’nın Şubat 2026 tarihli güncel rehberi, siber risk taşıyan tıbbi cihazlarda güvenli tasarım, etiketleme ve pazara sunum öncesi siber güvenlik dokümantasyonunu doğrudan ürün dayanıklılığının bir parçası olarak ele alıyor.

Bilgisayarınızdaki dosyanın ele geçirilmesi bilgi güvenliği problemidir. İnsan bedenine bağlı bir cihazın bütünlüğü veya erişilebilirliği söz konusu olduğunda ise siber güvenlik hasta güvenliğine dönüşebilir.

Bir zamanlar bilgisayarı koruyorduk. Şimdi insanı koruyoruz.

ASIL KIRILMA: YAPAY ZEKÂ

Telefon konum üretir. Kamera görüntü üretir. Mikrofon ses üretir. Otomobil telemetri üretir. Saat biyolojik ve davranışsal veri üretir. Robot mekânsal veri üretir. Tıbbi cihaz sağlık verisi üretir.

Peki bütün bu verileri kim anlamlandıracak? Yapay zekâ.

Tek başına bir konum kaydı, bir görüntü, bir nabız değeri veya bir güzergâh sınırlı anlam taşıyabilir. Fakat konum + görüntü + ses + sağlık + seyahat + ödeme + iletişim + sosyal medya aynı analiz ortamında birleştiğinde ortaya dijital bir mozaik çıkar.

Yapay zekânın stratejik gücü, bu mozaiğin milyonlarca parçasını insanın yetişemeyeceği ölçekte ilişkilendirebilmesidir. Geleceğin istihbarat rekabetinde değerli olan yalnızca gizli belge değil, büyük veri kümelerinden doğru ve zamanında anlam çıkarabilme kabiliyeti olacaktır.

HUMINT, SIGINT, OSINT… PEKİ YA DATA-INT?

İstihbarat dünyası HUMINT, SIGINT, GEOINT ve OSINT gibi disiplinleri uzun yıllardır kullanıyor. Sensörleşmiş toplum, bunların kesişiminde giderek büyüyen başka bir katmanı gündeme getiriyor: DATA-INT, yani veri istihbaratı.

Bir kişinin nerede olduğu, ne zaman hareket ettiği, hangi aracı kullandığı, hangi cihazlarla etkileştiği ve hangi rutinleri izlediği ayrı ayrı sıradan veriler gibi görünebilir. Bir araya geldiklerinde ise bir hayatın örüntüsünü oluşturabilir.

Geleceğin istihbarat sorusu yalnızca “Kimi dinledik?” değil; “Hangi verileri birleştirdik ve ne sonuç çıkardık?” olacaktır.

DÖRT DÖNEM, TEK GÜVENLİK GERÇEĞİ

Meslek hayatım boyunca bu dönüşümün farklı safhalarını gördüm. Birinci dönemde “kabloların kulağı var” dedik ve elektromanyetik sızıntıyla uğraştık. İkinci dönemde “Cebimizde Casus Mu Var?” diyerek mobil cihaz riskine dikkat çektik. Üçüncü dönemde “İçimizde Casus Mu Var?” diyerek insan unsurunu ve içeriden tehdidi gündeme getirdik.

Şimdi dördüncü dönemdeyiz: Sensörleşmiş toplum.

Ev sensörleşiyor. Otomobil sensörleşiyor. İş yeri sensörleşiyor. Şehir sensörleşiyor. İnsan bedeni sensörleşiyor. Ve bütün bu veri okyanusunun üzerinde yapay zekâ yükseliyor.

NIST’in tüketici IoT yaklaşımında güvenliğin yalnızca cihazın kendisine değil, bütün IoT ürününe uygulanması gerektiğini vurgulaması bu nedenle önemlidir: cihaz, yazılım, ağ, destekleyici sistemler ve hizmetler birlikte düşünülmelidir.

TÜRKİYE İÇİN: MAHREMİYETTEN DİJİTAL EGEMENLİĞE

Bu mesele yalnızca kişisel verilerin korunması başlığında ele alınamaz. Üç katmanı birlikte düşünmeliyiz: vatandaş için mahremiyet, kurum için siber güvenlik, devlet için dijital egemenlik.

Kritik kamu kurumları ve stratejik sektörler için “Sensör ve Bağlantılı Cihaz Güvenliği Politikası” geliştirilmelidir. Satın alma şartnamelerinde yalnızca marka, fiyat ve performans değil; sensör envanteri, veri minimizasyonu, telemetri, veri merkezi coğrafyası, firmware güvenliği, güncelleme zinciri, bulut bağımlılığı, üçüncü taraf yazılım bileşenleri ve kriptografik anahtar yönetimi de sorgulanmalıdır.

Ayrıca insan faktörü hiçbir teknolojik dönüşümün gölgesinde bırakılmamalıdır. Personel güvenilirliği, görev ayrılığı, en az ayrıcalık, kayıt ve denetim mekanizmaları teknik güvenliğin ayrılmaz parçasıdır. Çünkü 2007’de sorduğumuz soru bugün de geçerlidir: Sistemin içindeki insana ne kadar güveniyoruz?

DİJİTAL EGEMENLİĞİN SEKİZ SORUSU

SON SÖZ: ŞİMDİ HAYATIMIZI SORUYORUZ

Yirmi yılı aşkın süre önce “Cebimizde Casus Mu Var?” diye sormuştum. Bugün aynı soru yetmiyor. Çünkü mesele artık cebimize sığmıyor.

Evinizde kaç kamera var? Kaç mikrofon? Kaç konum sensörü? Kaç internete bağlı cihaz? Kaçı buluta bağlanıyor? Kaçının nereye veri gönderdiğini biliyorsunuz? Ve bütün bu küçük veri parçaları bir araya getirildiğinde sizin hakkınızda ne anlatıyor?

Teknolojiye karşı olmak çözüm değildir. Teknolojiyi üretmek, geliştirmek ve kullanmak zorundayız. Ancak gerçek teknolojik bağımsızlık yalnızca cihaz üretmekle ölçülmez. Veriyi, yazılımı, kriptografiyi, bulutu, güncelleme zincirini ve anahtarları kontrol edebilmek gerekir.

1990’larda elektromanyetik sızıntıyı konuşuyorduk. 2003’te cebimizdeki telefonu. 2007’de içerideki insanı. 2026’da ise bütün hayatımızı çevreleyen sensörleri ve onları anlamlandıran yapay zekâyı konuşuyoruz.

Tehdit değişir. Teknoloji değişir. Yöntem değişir. Ama güvenliğin özü değişmez: Bilgiye kim erişebilir ve erişen insana ne kadar güvenebiliriz?

SENSÖRÜN OLDUĞU YERDE VERİ VARDIR.

VERİNİN OLDUĞU YERDE İSTİHBARAT DEĞERİ VARDIR.

İSTİHBARAT DEĞERİNİN OLDUĞU YERDE GÜVENLİK GEREKİR.

DEVLETLER AÇISINDAN BUNUN ADI: DİJİTAL EGEMENLİKTİR.

(E)Tuğg. Halil İbrahim BÜYÜKBAŞ