KETUMİYET: İSTİHBARATA KARŞI KOYMANIN İLK SAVUNMA HATTI

İnsanın bildiği her şeyi anlatmak zorunda olmadığını anlaması, kişisel olgunluğunun ötesinde, yaşadığı toplumun ve sorumluluk üstlendiği kurumların güvenliği bakımından da belirleyici bir eşiği ifade eder. Çünkü bilgi, yalnızca öğrenildiği anda değer kazanmaz; kim tarafından bilindiği, hangi koşullarda edinildiği, kimlerle paylaşıldığı ve başka bilgilerle birleştirildiğinde neye dönüşebileceği de onun değerini belirler. Bir insanın zihninde duran ayrıntı, doğru yerde ve doğru zamanda anlamlı bir bilgi olabilirken yanlış kişiye, yanlış bağlamda aktarıldığında bir başkasının hareket kabiliyetini artıran bir imkâna dönüşebilir. Bu nedenle ketumiyet, konuşmayı sevmemek veya kendisini insanlardan uzak tutmak değildir. Ketumiyet, insanın bildikleri üzerindeki sorumluluğunu kavramasıdır.

Modern güvenlik anlayışı çoğunlukla teknolojik sistemleri, savunma kapasitesini, erişim kontrollerini ve kurumsal tedbirleri ön plana çıkarır. Bunların her biri gereklidir; ancak bilgiyle insan arasındaki ilişki doğru yönetilmediğinde en gelişmiş sistemlerin bile tek başına yeterli olması beklenemez. Bir kurumun kapıları kontrollü, bilgisayarları korumalı, belgeleri sınıflandırılmış olabilir. Buna rağmen görev sırasında öğrenilen bir ayrıntı, dikkatsiz bir konuşmayla, ölçüsüz bir paylaşım yoluyla veya kişisel çıkar uğruna açıklanabilir. Burada sorun her zaman teknolojinin yetersizliği değildir. Bazen güvenliğin sınırı, insanın kendi davranışlarına koyabildiği sınırda belirir. Ketumiyetin stratejik önemi tam da bu noktada ortaya çıkar: Korunması gereken bilginin yetkisiz bir kişiye ulaşmasını önlemek, o bilgi kötüye kullanılmadan önce başlayan bir sorumluluktur.

İstihbarata karşı koyma faaliyetleri açısından ketumiyet, en temel koruyucu davranışlardan biri olarak değerlendirilmelidir. Çünkü istihbarat faaliyetlerinin önemli bir boyutu, karar alma süreçlerini, kurumsal kapasiteyi, insan ilişkilerini, teknik imkânları ve hassas bilgileri anlamaya yöneliktir. Bu tür faaliyetler her zaman gizli belgelerin doğrudan ele geçirilmesiyle yürütülmez. Açık kaynaklarda bulunan bilgiler, mesleki açıklamalar, kişisel paylaşımlar ve farklı ortamlardan edinilen ayrıntılar da belirli koşullarda anlamlı bir bütün oluşturabilir. Bununla birlikte her yabancı temasın, her bilgi talebinin veya her dijital paylaşımın düşmanca bir girişim olduğu ileri sürülemez. Güvenlik bilinci, herkesten şüphelenmek değil, bilginin sınırlarını ve paylaşımın sonuçlarını doğru değerlendirmektir. Ketumiyet, bu değerlendirmenin insan davranışına dönüşmüş biçimidir.

Bir ülkenin güvenliği, yalnızca sınırlarında alınan tedbirlerle ölçülemez. Kritik kurumların ürettiği bilginin korunması, karar süreçlerinin güvenilirliği, stratejik projelerde görev alan insanların sorumluluk bilinci ve dijital ortamda sergilenen davranışların niteliği de bu güvenliğin parçasıdır. Devlet adına görev yapan bir kamu personeliyle devlet için kritik bir projede çalışan özel sektör mühendisi farklı statülere sahip olabilir; fakat görevleri gereği eriştikleri bilgilerin korunması konusunda, kendi sorumluluk alanları içinde, ortak bir ilkeyi paylaşırlar. Bilgiye erişim bir görev yetkisi olabilir; onu kişisel itibarın, sosyal üstünlüğün veya maddi menfaatin aracı hâline getirmek ise başka bir meseledir. Ketumiyet, bu iki alan arasındaki sınırın kaybolmasına izin vermemektir.

BİLGİ SAHİBİ OLMAK, HER ŞEYİ ANLATMA HAKKI VERMEZ

İnsan, çoğu zaman bildiği bilginin kendisine kazandırdığı değeri olduğundan fazla hisseder. Bir toplantıda duyduğu ayrıntıyı başkalarına aktararak önemli görünmek, bir projenin bilinmeyen yönlerinden söz ederek mesleki itibar kazanmak veya karar vericilere yakınlığını ima ederek çevresinde nüfuz oluşturmak isteyebilir. Bu davranışların arkasında her zaman kötü niyet bulunması gerekmez. Bazen yalnızca takdir edilme arzusu, bazen sohbet sırasında sınırların unutulması, bazen de kişinin kendi sözlerinin muhtemel etkilerini yeterince düşünmemesi vardır. Ancak niyetin zararsız olması, ortaya çıkan sonucun da zararsız olacağını garanti etmez.

Ketumiyetin ilk şartı, insanın bilgiyle kurduğu ilişkiyi yeniden değerlendirmesidir. Bir şeyi bilmek, onu açıklamak için yeterli gerekçe değildir. Bilginin doğruluğu kadar, paylaşılmasının meşru olup olmadığı da önemlidir. Bir kişi, kendisine anlatılan özel bir meseleyi doğru biçimde aktarabilir; fakat doğruyu söylemiş olması, o bilgiyi açıklamaya hakkı bulunduğunu göstermez. Bir çalışan, görev sırasında öğrendiği bir ayrıntıyı değiştirmeden anlatabilir; ancak bilginin doğru olması, onun kamuya açık olduğu anlamına gelmez. Burada ahlaki ve mesleki sorumluluk, yalnızca yalan söylememekle tamamlanmaz. Başkasına ait olan bilgiyi korumak da dürüstlüğün bir parçasıdır.

Bu ayrım, özellikle kritik görevlerde çalışan insanlar açısından önem taşır. Bir kamu görevlisi, savunma sanayisinde çalışan bir uzman, stratejik bir altyapıyı işleten mühendis veya hassas bir projeye hizmet sunan şirket çalışanı, görevi sırasında farklı düzeylerde bilgi edinebilir. Her bilginin aynı hassasiyette olduğu söylenemez; ancak hangi bilginin korunması gerektiği, yalnızca kişinin kendi kanaatine bırakılamaz. Görev tanımları, yetkilendirme kuralları, sözleşmeler ve ilgili mevzuat bu sınırları belirlemelidir. Kişinin sorumluluğu ise bu sınırları öğrenmek, anlamak ve gerektiğinde açıklığa kavuşturmaktır.

Bir insanın kendisine şu soruyu sorması, çoğu gereksiz açıklamanın önüne geçebilir: Bunu anlatmam gerçekten gerekli mi, yoksa yalnızca anlatabiliyor olduğum için mi anlatıyorum? Bu sorunun cevabı, konuşmanın meşru bir ihtiyaçtan mı yoksa anlık bir arzudan mı kaynaklandığını anlamaya yardımcı olur. Bilginin paylaşılması bir görevin gereğiyse uygun kanallar kullanılmalıdır. Paylaşılması yetkiye bağlıysa izin alınmalıdır. Açıklanması gerekmiyorsa sırf sohbeti sürdürmek, kendini göstermek veya karşı tarafı etkilemek için ortaya dökülmemelidir. Ketumiyet, insanın her sözü sansürlemesi değil, sözünün gerekçesini değerlendirmesidir.

İSTİHBARATA KARŞI KOYMA, BİLGİYİ KAYBETMEDEN ÖNCE BAŞLAR

İstihbarata karşı koyma kavramı çoğu zaman casusların tespiti, gizli faaliyetlerin ortaya çıkarılması ve yetkisiz erişim girişimlerinin önlenmesiyle ilişkilendirilir. Oysa kurumsal güvenliğin önemli bir bölümü, henüz bir ihlal yaşanmadan önce alınan tedbirlerle ilgilidir. Bilginin kimler tarafından görülebileceğinin belirlenmesi, görev gereği ihtiyaç duyulmayan erişimlerin sınırlandırılması, personelin güvenlik bilincinin geliştirilmesi, üçüncü taraflarla yürütülen bilgi paylaşımının denetlenmesi ve risklerin zamanında bildirilmesi bu çerçevenin parçalarıdır. Ketumiyet, bu mekanizmaların yerine geçmez; onları insan davranışı üzerinden tamamlar.

Bir bilginin güvenliği yalnızca bulunduğu yerde korunmasıyla sağlanmaz. Bilgi, insanın hafızasında da taşınır; toplantılarda konuşulur, raporlarda işlenir, yazışmalarda aktarılır ve dijital ortamlarda yeniden üretilir. Bu nedenle bilgi güvenliği, yalnızca belgeyi veya cihazı koruma işi değildir. Bilginin bütün yaşam döngüsünü, yani edinilmesinden kullanılmasına, aktarılmasından saklanmasına kadar uzanan süreci kapsar. İnsan bu sürecin bir parçası olduğuna göre, kendi davranışlarının da güvenliğin bir unsuru olduğunu kabul etmelidir.

İstihbarata karşı koymanın ilk savunma hatlarından biri, korunması gereken bilginin yetkisiz kişilerin eline geçmesini en başta önlemektir. Bu nedenle ketumiyetin önleyici niteliği büyüktür. Bir bilgi açıklanmadan önce onu geri tutmak, açıklama sonrasında doğabilecek zararları gidermeye çalışmaktan çoğu zaman daha etkili olabilir. Elbette her bilgi kaybının önlenmesi mümkün değildir ve ketumiyet tek başına bütün tehditleri ortadan kaldırmaz. Teknik güvenlik, kurumsal denetim, personel güvenliği, hukuki yaptırımlar ve profesyonel karşı istihbarat faaliyetleri vazgeçilmezdir. Ancak insanın gereksiz bilgi paylaşımını alışkanlık hâline getirdiği bir ortamda, diğer tedbirlerin yükü de artar.

Burada önemli olan, güvenliği yalnızca kasıtlı ihlallere karşı düşünmemektir. Bilgi, bazen menfaat karşılığında açıklanır; bazen öfke nedeniyle paylaşılır; bazen de kişi anlattığı ayrıntının önemini kavrayamadığı için istemeden açığa çıkar. Bu davranışların hukuki ve ahlaki ağırlıkları aynı değildir. Kasıtlı ihlalle iyi niyetli hatayı birbirinden ayırmak gerekir. Fakat güvenlik bakımından her iki durumda da bilgi paylaşımının sonuçları önem taşıyabilir. Bu nedenle kurumsal eğitimler, yalnızca düşmanca girişimlere karşı uyarılarla sınırlı kalmamalı; gündelik davranışların nasıl risk oluşturabileceğini de anlatmalıdır.

Ketumiyet, korkuya dayalı bir sessizlik düzeni kurmak için değil, sorumluluğu içselleştirmek için gereklidir. Çalışan, yanlış bir davranışın cezasından çekindiği için değil, koruduğu bilginin hangi değerleri ilgilendirdiğini kavradığı için dikkatli davranmalıdır. Bu anlayışın oluşması ise kurumların açık kurallar koymasına, yöneticilerin örnek olmasına ve güvenlik süreçlerinin adil biçimde uygulanmasına bağlıdır. İnsanlardan ölçülü davranmalarını bekleyen bir kurum, kendisi de bilgi paylaşımında aynı ölçüyü gözetmelidir.

KRİTİK DEVLET KURUMLARINDA BİLGİ DİSİPLİNİ

Savunma, dış politika, güvenlik, istihbarat, enerji, haberleşme, ulaştırma ve kritik kamu hizmetleri gibi alanlarda bilgi güvenliğinin sonuçları geniş bir çevreyi etkileyebilir. Bu kurumlarda korunan şey yalnızca gizli belgelerin içeriği değildir. Personelin güvenliği, kararların hazırlanma süreci, hizmetlerin devamlılığı, teknik kapasite ve kurumlar arası koordinasyon da önem taşıyabilir. Bu nedenle ketumiyet, bireysel bir görgü kuralı olarak değil, kurumsal sorumluluk anlayışının bir parçası olarak ele alınmalıdır.

Bir kurumda görev yapan herkesin her bilgiye erişmesi gerekmez. Görevini yerine getirmek için hangi bilgiye ihtiyaç duyuyorsa, erişiminin de o ihtiyaçla uyumlu olması esastır. Bu yaklaşım, çalışanlara güvensizlik anlamına gelmez; bilgi güvenliğinin kişisel güvene bağımlı kalmamasını sağlar. İnsanlar iyi niyetli olabilir, mesleki yeterlilikleri yüksek olabilir ve kurumlarına bağlılık duyabilirler. Yine de görev gereği ihtiyaç duyulmayan bilgilerin gereksiz yere paylaşılması veya erişime açılması, risk oluşturabilir. Güvenilir kurumlar, insanlara güvenmeyi erişim sınırlarını ortadan kaldırmakla karıştırmaz.

Kurumsal ketumiyetin bir başka boyutu, bilgiyle birlikte sorumluluğun da devredilebilmesidir. Bir çalışanın bildiği her ayrıntıyı kendisine saklaması, kendisini vazgeçilmez hâle getirmesi veya görevden ayrılırken gerekli bilgi aktarımını yapmaması kurumsal hafızayı zayıflatabilir. Ketumiyet, bilginin yetkisiz kişilere aktarılmasını önlerken meşru görev devrini ve kurumsal sürekliliği engellememelidir. Bilgi, kişisel nüfuz oluşturmak için biriktirilen bir güç değil, görevin gereklerine uygun biçimde yönetilmesi gereken bir sorumluluktur.

Kritik kurumlarda yöneticilerin davranışları da belirleyicidir. Bir yönetici, kurumsal başarıları kamuoyuna anlatırken açıklama yetkisini ve bilginin hassasiyetini dikkate almalıdır. Görev alanına ilişkin her ayrıntıyı paylaşmak, kuruma duyulan bağlılığın kanıtı değildir. Bazen en doğru davranış, kamuoyuna verilebilecek bilgiyi yetkili birimlerle değerlendirmek ve açıklamayı belirlenmiş usullere uygun biçimde yapmaktır. Bu yaklaşım, kamuoyunu bilgilendirme sorumluluğunu ortadan kaldırmaz; bilgilendirmenin güvenlikle uyumlu biçimde yürütülmesini sağlar.

Bununla birlikte ketumiyet, kurumsal hataları örtmenin veya hukuka uygun denetimi engellemenin gerekçesi olamaz. Korunması gereken bilgi ile yetkili denetim kapsamında incelenmesi gereken bilgi arasında ayrım yapılmalıdır. Güvenlik gerekçesi, hesap verebilirliğin alternatifi değildir. Bir kurumun güvenilirliği, yalnızca dışarıya ne kadar az bilgi verdiğiyle ölçülmez; hukuka uygun biçimde denetlenebilmesi, sorumlulukların belirlenmesi ve hatalardan ders çıkarabilmesi de önemlidir. Gerçek kurumsal disiplin, hem sırların korunmasını hem de hukuki sorumluluğun yerine getirilmesini gerektirir.

DEVLET İÇİN ÇALIŞAN ŞİRKETLERİN SORUMLULUĞU

Günümüzde devletin kritik kapasitesi, kamu kurumlarının kendi bünyelerinde yürüttüğü faaliyetlerden ibaret değildir. Savunma sanayisi şirketleri, yazılım firmaları, mühendislik kuruluşları, teknik bakım sağlayıcıları, araştırma merkezleri, lojistik işletmeleri ve alt yükleniciler birçok stratejik projenin farklı aşamalarında görev alabilir. Bu durum, güvenlik sorumluluğunun kurumların fiziksel sınırlarının ötesine taşınmasını gerektirir. Devlet adına veya devletle sözleşmeli olarak yürütülen bir işin güvenliği, yalnızca ilgili kamu kurumunun kendi çalışanlarının davranışlarıyla sağlanamaz. Proje kapsamında bilgiye erişen bütün tarafların görevleriyle orantılı sorumlulukları bulunur.

Bir şirketin özel sektör kuruluşu olması, yürüttüğü kritik faaliyetin bilgi güvenliği boyutunu ortadan kaldırmaz. Aynı şekilde devletle iş yapan her şirketin bütün faaliyetlerinin gizli olduğu da söylenemez. Esas olan, projenin niteliğine göre korunması gereken bilgilerin belirlenmesi ve bu bilgilerin hangi koşullarda paylaşılabileceğinin açıkça düzenlenmesidir. Şirket yönetimleri, çalışanlarının hangi bilgilere erişebileceğini, hangi kanalları kullanabileceğini ve hangi açıklamalar için yetki gerektiğini anlaşılır biçimde belirlemelidir. Alt yükleniciler ve hizmet sağlayıcılar da üstlendikleri görev kapsamında uygun güvenlik yükümlülüklerini yerine getirmelidir.

Bir projede çalışan mühendis, teknik destek personeli veya yazılım geliştiricisi, yaptığı işin bütün ayrıntılarını bilmeyebilir. Ancak eriştiği sınırlı bilgiler dahi bazı durumlarda daha geniş bir bağlamın parçası olabilir. Bu nedenle güvenlik, yalnızca en üst düzey yöneticilerin veya gizlilik dereceli belgelere erişen kişilerin sorumluluğu olarak görülmemelidir. Görev kapsamındaki bilgiye erişen herkes, kendi erişim düzeyine uygun güvenlik bilincine sahip olmalıdır. Bu, herkesi aynı ölçüde şüphe altında tutmak değil, herkesin üstlendiği görevin gerektirdiği sorumluluğu anlamasını sağlamaktır.

Şirketlerin kendilerini tanıtma, projelerini duyurma ve başarılarını kamuoyuyla paylaşma ihtiyacı meşrudur. Ancak mesleki görünürlük, korunması gereken bilgilerin sergilenmesine dönüşmemelidir. Bir projede görev almış olmak, o projenin bütün ayrıntılarını tanıtım malzemesi olarak kullanma hakkı vermez. Açıklanabilecek bilgiler, ilgili yetkiler ve sözleşme hükümleri çerçevesinde değerlendirilmelidir. Kurumsal başarı, her ayrıntıyı anlatmakla değil, üstlenilen görevi güvenilir biçimde yerine getirmekle ölçülür.

Bu noktada şirket yöneticilerinin örnekliği belirleyicidir. Çalışanlardan ketumiyet bekleyen bir yönetici, kendi açıklamalarında da aynı ölçüyü gözetmelidir. Ticari rekabet, kişisel itibar veya yeni iş fırsatları uğruna bilgi güvenliğini ikinci plana atmamalıdır. Güvenlik kuralları yalnızca alt kademelere uygulandığında değil, en üst düzeyde tutarlı biçimde benimsendiğinde kurumsal kültüre dönüşür. Devletin kritik projelerinde görev alan şirketlerin güvenilirliği de yalnızca teknik yeterlilikleriyle değil, bilgiye ve sorumluluğa yaklaşımlarıyla değerlendirilmelidir.

DİJİTAL KETUMİYET: GÖRÜNÜR OLMANIN BEDELİNİ ANLAMAK

Dijital çağ, insanın konuşma biçimini değiştirdiği kadar, konuşmanın sonuçlarını da değiştirmiştir. Geçmişte bir sohbetin etkisi çoğunlukla o sohbetin gerçekleştiği çevreyle sınırlı kalırken bugün bir paylaşım kopyalanabilir, farklı platformlara taşınabilir, bağlamından koparılabilir ve uzun süre erişilebilir durumda kalabilir. Dijital ortamda yayımlanan bilgi, onu paylaşan kişinin denetiminden çıkabilir. Bu nedenle ketumiyetin kapsamı artık yalnızca yüz yüze konuşmalarda veya yazılı belgelerde neyin açıklanabileceğini bilmekle sınırlı değildir. Dijital ketumiyet, kişinin çevrim içi davranışlarının bilgi güvenliği ve kişisel sorumluluk bakımından doğurabileceği sonuçları değerlendirmesidir.

Sosyal medya, insanlara kendilerini ifade etme, uzmanlıklarını duyurma ve toplumsal tartışmalara katkıda bulunma imkânı verir. Bu imkânın kendisi bir güvenlik sorunu değildir. Kamu görevlilerinin, mühendislerin, akademisyenlerin ve farklı alanlarda çalışan uzmanların genel bilgi paylaşmaları, mesleki deneyimlerini aktarmaları ve kamu yararına tartışmalara katılmaları mümkündür. Sorun, kamusal ifade ile görev sırasında edinilmiş hassas bilgi arasındaki sınırın kaybolmasıdır. Kişi, mesleki kimliğini tanıtırken veya bir başarıyı paylaşırken farkında olmadan açıklama yetkisi bulunmayan ayrıntıları da görünür kılabilir.

Dijital ketumiyetin temel ilkesi, paylaşım yapmadan önce içeriğin yalnızca ne söylediğini değil, hangi sonuçlara yol açabileceğini de düşünmektir. Bir fotoğraf, bir açıklama, bir konum etiketi veya bir mesleki duyuru kendi başına önemsiz görünebilir. Fakat farklı kaynaklarda bulunan bilgiler bir araya getirildiğinde, başlangıçta amaçlanmayan çıkarımlar yapılabilir. Bu durum her paylaşımın tehlikeli olduğu anlamına gelmez. Ancak dijital ortamın birleştirme ve yeniden yorumlama kapasitesi, özellikle kritik görevlerde çalışanların daha bilinçli hareket etmesini gerektirir.

Dijital ketumiyet, insanın hayatını gizlemesi veya bütün sosyal ilişkilerini sınırlandırması değildir. Kişisel hayatla mesleki sorumluluk arasındaki çizgiyi koruyabilmesidir. Bir çalışan, kişisel görüşlerini açıklayabilir; fakat görev nedeniyle öğrendiği hassas bilgileri bu görüşlerin dayanağı olarak kullanmamalıdır. Bir uzman, mesleki başarısını anlatabilir; ancak korunması gereken ayrıntıları kendisini kanıtlamak için paylaşmamalıdır. Bir yönetici, kurumunun çalışmalarını tanıtabilir; fakat açıklama yetkisi bulunmayan bilgileri kamuoyuna sunmamalıdır. Dijital ketumiyet, ifade özgürlüğünü ortadan kaldırmak yerine, ifadenin sorumlulukla kullanılmasını sağlar.

Görünürlük arzusunun güçlü olduğu bir çağda, her deneyimi paylaşma ihtiyacı insanın muhakemesini zayıflatabilir. İnsanlar bazen yaşadıkları bir olayı anlatırken bunun ne kadar ilgi çekeceğini düşünür, ancak anlatının hangi bilgileri açığa çıkardığını değerlendirmez. Bir iş yerinden paylaşılan görüntü, bir toplantıya ilişkin yorum veya bir projenin ilerleyişi hakkında yapılan açıklama, paylaşan kişi açısından yalnızca kişisel bir anı olabilir. Fakat içeriğin bağlamına göre başka anlamlar taşıması da mümkündür. Bu nedenle dijital ketumiyet, paylaşım öncesinde kısa bir değerlendirme alışkanlığı gerektirir: Bu içerik bana mı ait? Açıklama yetkim var mı? Başka bir kişinin veya kurumun güvenliğini etkileyebilir mi? Yayımlandıktan sonra kontrolümü kaybettiğimde doğabilecek sonuçları kabul edebilir miyim?

Bu soruların her paylaşımda uzun uzun düşünülmesi gerekmez. Amaç, insanı sürekli kaygı içinde yaşatmak değil, dijital davranışlarda sorumluluğu alışkanlığa dönüştürmektir. Özellikle kritik alanlarda görev yapan kişiler için kurumların açık sosyal medya politikaları, eğitimler ve danışılabilecek yetkili birimler oluşturması önemlidir. Çalışanlar hangi bilgilerin paylaşılabileceğini bilmeli; belirsizlik durumunda yardım isteyebilmelidir. Güvenlik, yalnızca yasaklarla değil, doğru davranışı mümkün kılan anlaşılır düzenlemelerle güçlenir.

Dijital ketumiyetin bir diğer boyutu da kişisel veri ve hesap güvenliğidir. İnsanlar yalnızca yazdıklarıyla değil, hesaplarını nasıl korudukları, hangi uygulamalara erişim verdikleri ve bilgilerini hangi hizmetlerde tuttuklarıyla da dijital risklere maruz kalabilirler. Kurumlar, hassas bilgilerin onaylanmamış platformlarda işlenmesini önleyecek kurallar koymalı; çalışanlar da kişisel kolaylık uğruna bu sınırları ihlal etmemelidir. Bir dosyanın hızlıca gönderilebilmesi, her gönderim kanalının uygun olduğu anlamına gelmez. Dijital ortamda ketumiyet, hem içeriğin hem de içeriğin dolaşıma girdiği koşulların sorumluluğunu taşımaktır.

GÖSTERİŞİN KARŞISINDA ÖLÇÜ, BİLGİNİN KARŞISINDA SORUMLULUK

Ketumiyetin zayıfladığı yerlerden biri, insanın sahip olduğu bilgiyi kendi önemini artırmak için kullanmasıdır. Bazı insanlar bilmediklerini anlatmak yerine bildiklerinin ne kadarını açıklayabileceklerini göstererek itibar kazanmaya çalışır. Bir kurumun iç işleyişine yakınlığını ima etmek, bir kararın arka planını bildiğini söylemek veya başkalarının erişemediği ayrıntılara sahip olduğunu göstermek, kişiye kısa süreli bir üstünlük hissi verebilir. Ancak bilgi, insanın kişisel değerini kanıtlamak için kullanıldığında emanet niteliğini kaybetmeye başlar.

Gerçek mesleki yeterlilik, kişinin her bildiğini anlatabilmesiyle ölçülmez. Hangi bilginin hangi koşullarda paylaşılabileceğini ayırt edebilmesi de yeterliliğin parçasıdır. Özellikle uzmanlık ve otorite iddiasının öne çıktığı alanlarda, ketumiyet kişinin sınırlarını bilmesini gerektirir. Bilgi sahibi olmak, her konuda konuşma yetkisi vermez; bir projede görev almak, projenin her ayrıntısını anlatma hakkı doğurmaz; bir karar vericiye yakın olmak, o kişinin görüşlerini başkalarına aktarma serbestisi sağlamaz. Bu sınırlar, kişisel ilişkilerden veya anlık ihtiyaçlardan bağımsız biçimde korunmalıdır.

Ketumiyet aynı zamanda insanın kendisini yönetebilme kapasitesidir. Öfkelendiğinde elindeki bilgiyi karşısındakine zarar vermek için kullanmamak, kırıldığında kendisine emanet edilen sırları açıklamamak, takdir edilmek istediğinde korunması gereken ayrıntıları ortaya dökmemek, kişisel menfaat gördüğünde sorumluluğunu terk etmemek bu kapasitenin örnekleridir. Burada mesele duyguları yok saymak değildir. Duyguların, kişinin üstlendiği sorumluluğu ortadan kaldırmasına izin vermemektir.

Bu nedenle ketumiyet, yalnızca güvenlik alanında çalışanların değil, bilgi taşıyan herkesin geliştirmesi gereken bir davranış disiplinidir. Her insanın hayatında kendisine emanet edilen bilgiler bulunur. Aile içinde öğrenilen bir mesele, iş yerinde duyulan bir değerlendirme, mesleki bir süreçte edinilen ayrıntı veya bir arkadaşın paylaştığı özel bir konu, farklı düzeylerde sorumluluk doğurabilir. Bu bilgilerin tamamı devlet güvenliğiyle ilgili değildir; ancak hepsi, bilginin açıklanması ile açıklanmaması arasında bir muhakeme gerektirir. Ketumiyetin günlük hayatta kazanılması, kritik görevlerde gereken davranışın da daha doğal biçimde uygulanmasına yardımcı olur.

SUSMAK GEREKEN YERDE SUSMAK, KONUŞMAK GEREKEN YERDE KONUŞMAK

Ketumiyetin yanlış anlaşılmaması için önemli bir ayrımın altını çizmek gerekir: Her suskunluk erdem, her açıklama ihlal değildir. Bazen güvenliği korumak için konuşmamak gerekir; bazen de bir tehlikeyi önlemek, hukuka aykırı bir durumu bildirmek veya bir hatanın büyümesini engellemek için konuşmak zorunludur. Ketumiyet, bilginin yetkisiz kişilere aktarılmasını önlerken gerekli bilginin yetkili mercilere ulaşmasını engellememelidir. Kurum içindeki güvenlik açığını bildirmek, görevin gerektirdiği bir açıklamayı yapmak veya hukuka uygun denetime katkı sunmak ketumiyetin karşıtı değildir.

Bu nedenle ketumiyet, koşulsuz sessizlik değil, doğru muhatap ve doğru kapsam bilincidir. Korunması gereken bilgi, yetkisiz kişilerden sakınılmalıdır; ancak hukuki yükümlülükler çerçevesinde yetkili denetim mekanizmalarına aktarılabilmelidir. Gizlilik, yanlışları örtbas etmek için kullanılamaz. Bir kurumun itibarını korumak adına gerçek bir güvenlik sorununu saklamak, kurumsal sorumluluğu yerine getirmek anlamına gelmez. Güvenlik kültürü, yalnızca bilgiyi dışarıya karşı korumakla değil, içeride riskleri zamanında görebilmekle de güçlenir.

Sağlam bir kurumda çalışan, bir risk fark ettiğinde bunu kime ve nasıl bildireceğini bilmelidir. Bildirim mekanizmaları açık, erişilebilir ve adil olmalıdır. Çalışanlar, iyi niyetle dile getirdikleri güvenlik kaygılarının otomatik olarak sadakatsizlik şeklinde yorumlanmayacağını bilmelidir. Elbette her iddia somut bulgularla değerlendirilmelidir; ancak değerlendirme yapılmadan peşin hükme varılması, kurumun kendi sorunlarını görme kapasitesini zayıflatır. Ketumiyet, hakikati saklamak değil, bilginin sorumlu biçimde yönetilmesidir.

Aynı şekilde kamuoyunu bilgilendirme sorumluluğu da korunmalıdır. Devlet kurumları, hukukun ve görevlerinin gerektirdiği ölçüde açıklama yapabilmeli; ancak hassas ayrıntıların paylaşımını yetkili süreçler üzerinden değerlendirmelidir. Bu denge, stratejik iletişimin de temel meselelerinden biridir. Gereksiz kapalılık güvensizlik oluşturabilir; kontrolsüz açıklama ise güvenliği zedeleyebilir. Olgun yaklaşım, her iki riski de dikkate alarak bilgi paylaşımını meşru amaç, yetki ve muhtemel sonuçlar çerçevesinde yönetmektir.

KETUMİYET BİR KARAKTER ÖZELLİĞİNDEN KURUMSAL KÜLTÜRE

Ketumiyetin bireysel bir erdem olarak kalması, kritik kurumların güvenliği için yeterli değildir. Bu anlayışın eğitimlere, görev tanımlarına, erişim politikalarına, sözleşmelere ve yöneticilerin davranışlarına yansıması gerekir. Çalışanlara yalnızca gizlilik yükümlülüklerini imzalatmak, bilgi güvenliği kültürünü oluşturmaz. İnsanların hangi bilgilerin neden korunması gerektiğini anlamaları, belirsiz durumlarda nasıl hareket edeceklerini bilmeleri ve gerektiğinde yetkili birimlere danışabilmeleri gerekir. Güvenlik eğitimi, yasakların sıralandığı bir formalite olmaktan çıkıp günlük davranışları şekillendiren bir öğrenme sürecine dönüşmelidir.

Yöneticiler, bu kültürün yerleşmesinde özel bir sorumluluk taşır. Çalışanlardan ölçülü konuşmalarını bekleyen bir yönetici, kendi davranışlarıyla da aynı standardı göstermelidir. Bilginin korunmasını isteyen bir kurum, bilgi paylaşımının kurallarını açıkça tanımlamalıdır. Hata yapan çalışanlarla kasıtlı ihlal gerçekleştiren kişiler arasında ayrım yapılmalı; olayların nedenleri incelenmeli ve tekrarını önleyecek tedbirler alınmalıdır. Her hatayı aynı şekilde cezalandırmak, çalışanları riskleri bildirmekten uzaklaştırabilir. Hiçbir ihlali ciddiye almamak ise sorumsuzluğu teşvik edebilir. Kurumsal güvenlik, adalet ve tutarlılık gerektirir.

Güvenlik kültürünün başarısı yalnızca kaç ihlal tespit edildiğiyle ölçülemez. Çalışanların riskleri ne kadar erken fark ettiği, erişim yetkilerinin görevlerle ne kadar uyumlu olduğu, tedarikçi ilişkilerinin ne ölçüde güvenli yönetildiği ve olaylardan çıkarılan derslerin uygulamaya ne kadar yansıdığı da önemlidir. Ketumiyet, teknik ve idari önlemlerle birlikte uygulandığında kurumsal dayanıklılığa katkı sağlar. İnsanların doğru davranmasını beklemek gerekir; fakat doğru davranışı mümkün kılacak sistemleri kurmak da kurumların görevidir.

Bu noktada devlet için çalışan şirketlerin sorumluluğu yeniden önem kazanır. Kritik projelerde yer alan işletmeler, bilgi güvenliği kurallarını yalnızca sözleşme yükümlülüğü olarak değil, yürüttükleri işin niteliğinin gereği olarak ele almalıdır. Çalışanların eğitimi, erişimlerin yönetimi, güvenli iletişim, alt yüklenicilerin sorumlulukları ve proje sona erdiğinde yapılacak işlemler bir bütün olarak değerlendirilmelidir. Güvenlik, yalnızca kamu kurumlarının kapısında başlayan bir süreç değildir; kritik bilgiye erişen her meşru çalışma ilişkisinde kendi görev alanına uygun biçimde sürdürülmelidir.

SON SÖZ: BİLGİYİ KORUYAN, ÖNCE KENDİSİNİ YÖNETİR

Ketumiyetin asıl gücü, insanın ne kadar az konuştuğunda değil, konuşma imkânı karşısında ne kadar doğru karar verebildiğinde ortaya çıkar. Her şeyi anlatmak zorunda olmadığını bilen insan, bilgiyi kişisel itibarının malzemesi olmaktan çıkarır. Görevi nedeniyle öğrendiği ayrıntının kendisine ait olmadığını kavrayan çalışan, yetkisini kişisel çıkarıyla karıştırmaz. Dijital ortamda görünür olmanın sonuçlarını değerlendiren kişi, anlık beğeni uğruna uzun vadeli sorumluluğunu tehlikeye atmaz. Kurumunun güvenliğini önemseyen yönetici ise yalnızca çalışanlarından dikkat beklemekle yetinmez; o dikkati destekleyen kuralları ve uygulamaları da oluşturur.

İstihbarata karşı koymanın ilk savunma hatlarından biri, korunması gereken bilginin yetkisiz kişilere ulaşmasını daha en başında önlemektir. Bunun için profesyonel güvenlik mekanizmaları, teknik koruma sistemleri, etkili denetim ve hukuki sorumluluk vazgeçilmezdir. Fakat bütün bu araçların yanında, insanın bilgiye yaklaşımını belirleyen bir disipline de ihtiyaç vardır. Ketumiyet bu disiplinin adıdır. Devlet kurumlarından savunma sanayisi şirketlerine, kritik altyapı işletmelerinden stratejik projelerde görev alan uzmanlara kadar her alanda, görev nedeniyle edinilen bilginin korunması kurumsal güvenilirliğin bir parçasıdır.

Dijital çağ bu sorumluluğu daha da önemli hâle getirmiştir. Çünkü insan artık yalnızca söylediklerinden değil, paylaştığı görüntülerden, açıkladığı ayrıntılardan ve farklı ortamlarda bıraktığı dijital izlerden de bilgi üretir. Bu nedenle dijital ketumiyet, modern güvenlik kültürünün ayrılmaz bir boyutudur. İnsan, paylaşımın kolaylığına aldanmamalı; bilginin dolaşıma girdiğinde kendi denetiminden çıkabileceğini hesaba katmalıdır. Her ayrıntıyı görünür kılmak zorunda olmadığını, her soruya cevap vermek mecburiyetinde bulunmadığını ve her bildiğini açıklamanın dürüstlük anlamına gelmediğini bilmelidir.

Bununla birlikte ketumiyet, hukukun dışına çıkan bir kapalılık anlayışına dönüşmemelidir. Korunması gereken sır ile yetkili denetime açık olması gereken bilgi birbirinden ayrılmalıdır. Güvenlik, hesap verebilirlikle birlikte yürütülmeli; çalışanların riskleri bildirmesi engellenmemeli; gizlilik, sorumluluktan kaçmanın gerekçesi yapılmamalıdır. Gerçek ketumiyet, hem neyi koruyacağını hem de hangi durumda konuşması gerektiğini bilen insanın ölçüsüdür.

Bir kurumun gücü, yalnızca sahip olduğu bilginin miktarıyla değil, o bilgiyi ne kadar güvenli ve sorumlu biçimde yönetebildiğiyle de ölçülür. Bir ülkenin stratejik kapasitesi, yalnızca ürettiği teknolojilerde değil, o teknolojilerin etrafındaki bilgi disiplininde de kendini gösterir. Bu disiplinin insan tarafı ise her gün, çoğu zaman kimsenin fark etmediği küçük kararlarla kurulur: Bir ayrıntıyı paylaşmamak, yetkisiz bir talep karşısında sınırını korumak, dijital bir içeriği yayımlamadan önce düşünmek, görev gereği edinilmiş bilgiyi kişisel menfaate dönüştürmemek ve gerektiğinde doğru kanala başvurmak.

Çünkü güvenlik bazen büyük bir tehdidi durdurmakla, bazen de o tehdide imkân verebilecek küçük bir açıklamayı yapmamakla başlar. Ketumiyet, insanın diline koyduğu bir kilit değil, bilgisine karşı taşıdığı sorumluluktur. İstihbarata karşı koymanın ilk savunma hattı da burada kurulur: Bilgiyi korumayı bilen insan, yalnızca kendisine emanet edileni değil, o bilginin arkasındaki kurumsal güveni, kamu yararını ve ülkenin geleceğini de korumaya katkıda bulunur.

Umut Metehan Avcı