Finansal güvenlikle ilgili en sık kurulan cümlelerden biri şudur:
“Sistem işliyor.”
Genellikle şu anlama gelir:
– işlemler tamamlanıyor, – sistem hata vermiyor, – kullanıcılar işlem yapabiliyor.
Ama finansal güvenlik açısından asıl soru bu değildir.
Ne işliyor?
Ve daha önemlisi:
Kimi koruyarak işliyor?
Teknik Olarak “İşliyor” Ne Demektir?
Bir sistem teknik olarak işliyorsa:
– kimlik doğrulama tamamlanır, – onay akışları geçilir, – kayıtlar tutulur, – işlem sonuçlanır.
Bu, sistem açısından başarıdır.
Çünkü tasarlanan akış kesintiye uğramamıştır.
Ama bu tanım, güvenliğin yalnızca mekanik tarafını kapsar.
İşleyen Sistem, Korumayan Sistem Olabilir
Birçok finansal kayıp, “sistem çalışmadığı” için değil;
sistem tam da planlandığı gibi çalıştığı hâlde yaşanır.
– kullanıcı doğru uygulamadadır, – doğru şifreyi girmiştir, – doğru adımları izlemiştir.
Sistem açısından her şey olması gerektiği gibidir.
Kayıp yine de oluşur.
Bu noktada “işliyor” demek, korunduğu anlamına gelmez.
“İşliyor” Çoğu Zaman Sürekliliği İfade Eder
Finansal sistemlerde “işliyor” ifadesi genellikle:
– akışın durmaması, – işlemlerin aksamaması, – kullanıcıların engellenmemesi
üzerinden değerlendirilir.
Bu yaklaşımda öncelik şudur:
“Sistem çalışmaya devam etsin.”
Ancak güvenlik, her zaman akışla uyumlu değildir.
Gerçek koruma bazen durmayı gerektirir.
İşleyen Sistem Kararı mı, İşlemi mi Korur?
Bu ayrım kritiktir.
Birçok sistem:
– işlemi korur, – süreci kayıt altına alır, – yetkisiz erişimi engeller.
Ama şu alanı korumaz:
kullanıcının karar anını.
– neden şimdi işlem yapılıyor? – kullanıcı acele mi ediyor? – dış bir yönlendirme var mı?
Sistem bu soruları sormaz.
İşlem yapılabildiği sürece “işliyor” kabul edilir.
Onay Alındığında Sistem Rahatlar
Birçok güvenlik mekanizması, onay alındığında görevini tamamlamış sayar.
– butona basıldıysa, – metin kabul edildiyse, – adım geçildiyse.
Bu noktadan sonra sistem için risk yoktur.
Ama kullanıcı için risk yeni başlıyor olabilir.
Çünkü onay:
– bilinçli olabilir, – refleks olabilir, – korkuyla verilmiş olabilir.
Sistem bu farkı ayırt etmez.
“İşliyor” Demek Kimin Perspektifi?
– geliştiriciye göre işliyordur, – kuruma göre işliyordur, – denetçiye göre işliyordur.
Ancak kullanıcı açısından durum farklı olabilir.
Kullanıcı için “işliyor” demek:
– yanlış yönlendirilmedim mi? – fark etmeden risk almadım mı? – durmam gereken yerde durabildim mi?
Bu sorular olumlu cevaplanmıyorsa, sistemin işlemesi yeterli değildir.
İşleyen Sistem Sessiz Risk Üretebilir
En tehlikeli durum şudur:
Sistem sorunsuz çalışıyordur.
Bu durumda:
– sorgulama azalır, – güven artar, – dikkat düşer.
Sessiz riskler tam da bu ortamda büyür.
Çünkü kimse “bir şeyler ters gidiyor” hissi yaşamaz.
Her şey çalışıyordur.
“Sorun Çıkmadı” ile “Güvende Olmak” Aynı Şey Değildir
Bir sistemin uzun süre sorun çıkarmaması, onun koruyucu olduğu anlamına gelmez.
Bu sadece şunu gösterir:
Henüz sınanmadı.
Finansal güvenlikte gerçek sınav, alışılmadık anlarda ortaya çıkar.
– acele, – panik, – olağandışı talep.
İşleyen sistem, bu anlarda ne yaptığıyla değerlendirilir.
En Büyük Yanılgı
“Sistem çalışıyorsa güvendeyiz.”
Sistemin çalışması, güvenliğin sadece teknik kısmının yerinde olduğunu gösterir.
Davranışsal güvenlik ölçülmüyorsa, “işliyor” demek eksik bir cümledir.
Finansal güvenlikte “işliyor” demek;
– işlemlerin tamamlandığını, – akışın kesilmediğini, – sistemin görevini yaptığını
ifade eder.
Ama bu;
kullanıcının gerçekten korunduğu anlamına gelmez.
Gerçek finansal güvenlik;
sistemin çalışmasından çok, sistemin hangi anda durmayı seçtiğiyle ilgilidir.
Sessiz güç, net etki tam da burada başlar:
“işliyor” demekle yetinmemekte, işliyor gibi görünen şeyin kimi neye karşı koruduğunu sorgulayabilmekte.
