Verinin İki Yüzü: Kişisel Mahremiyet Mi Daha Önemli, Ticari Sır Mı?
Haktan AKDAĞ
Verinin "değerli" oluşu, bakış açısına ve yaratabileceği finansal/operasyonel etkiye göre değişkenlik göstermektedir. Hatta öyle ticari veriler vardır ki bunlardan yola çıkılarak kişisel verilere ve davranışsal eğilimlere dair kritik çıkarımlar yapılabilir.
Tablo 1'e göre kişisel veriler ile ticari veriler arasındaki karşılaştırmayı değer, risk ve sahiplik kapsamında görebilirsiniz:
Tablo 1: Kişisel Veri ve Ticari Veri Karşılaştırması
Parametre
Kişisel Veri (KVKK / GDPR)
Ticari Veri (Ticari Sır / Fikri Mülkiyet)
Temel Değer Kaynağı
Hacim, profil birleştirme, davranışsal tahminleme, kişiselleştirilmiş pazarlama.
Rekabet avantajı, ciro etkisi, üretim/operasyon verimliliği, stratejik karar alma.
Riske/İhlale Yanıt
Regülatif cezalar (idari para cezaları), itibar kaybı, toplu davalar.
Piyasa payı kaybı, fikri mülkiyetin sıfırlanması, finansal çöküş.
Sahiplik & Satış
Bireye aittir; devredilemez veya satılamaz, yalnızca rıza ile işlenebilir.
Şirkete aittir; mülkiyet konusu edilebilir, lisanslanabilir / devredilebilir.
· Kişisel Veri: Mikro düzeyde tek başına değersiz görünebilir (bir kişinin telefon numarası veya alışveriş geçmişi gibi). Ancak büyük veri (Big Data) ölçeğine ulaştığında ve yapay zekâ modelleriyle işlendiğinde kitleleri yönlendirme ve pazar yaratma gücüne sahip olur.
· Ticari Veri: Ölçekten bağımsız olarak tek bir dosya dahi yıkıcı değere sahip olabilir. Bir şirketin kaynak kodları, üretim formülü (ör. Coca-Cola tarifi), müşteri maliyet/fiyatlandırma matrisleri veya gelecek dönem stratejik ihale teklifleri, o şirketin varlığını doğrudan belirler.
Pazar büyüklüğü ve hedefleme açısından kişisel veri; bir şirketin varlığını sürdürmesi ve pazar avantajını koruması açısından ise ticari veri daha kritiktir.
Kişisel Veri vs. Ticari Veri Farkındalık Analizi
Son 10 yılda KVKK (Türkiye) ve GDPR (Avrupa Birliği) gibi yasalar sayesinde kişisel veriler konusunda toplumda ve kurumlarda ciddi bir farkındalık oluştu. Peki aynı farkındalık ticari verilerde var mı?
Kişisel Veri Farkındalığı Neden Yüksek?
Ağır Yasal Yaptırımlar: Yasal düzenlemeler kurumları doğrudan bütçe seviyesinde (ciro üzerinden %4'e varan cezalar) tehdit ettiği için yönetim kurullarının öncelikli gündemi haline geldi. Bireyler "aydınlatma metni", "açık rıza" ve "çerez yönetimi" kavramlarıyla günlük hayatta sürekli karşılaştığı için kendi verisini koruma bilincine ulaştı. Kişisel veri tarafındaki bu yoğun mevzuat baskısı, ne yazık ki şirketlerde bir illüzyon yaratmış durumdadır: Şirketler tüm siber güvenlik ve uyum bütçelerini KVKK/GDPR süreçlerine ayırırken, kendi ticari sırlarını koruma noktasında ciddi zafiyetler göstermektedir.
Ticari Veri Farkındalığındaki Ana Eksiklikler
1. Veri Sınıflandırma Mantığının Olmaması: Şirketler hangi verinin kişisel, hangi verinin "Ticari Sır (Trade Secret)", hangisinin "Hassas İç Bilgi" olduğunu kategorize etmekte zorlanıyor.
2. Gölge BT (Shadow IT) ve Yapay Zekâ Riskleri: Çalışanların şirket içi ticari performans verilerini, finansal raporları, müşteri listelerini veya yazılım kodlarını analiz ettirmek amacıyla açık LLM (Büyük Dil Modelleri) araçlarına yüklemesi, tarihin en büyük ticari veri sızıntısı riskini doğurmaktadır.
3. İç Tehdit (Insider Threat) Farkındalığı: Siber güvenlik harcamaları genelde dışarıdan gelebilecek korsan saldırılarına odaklanır. Oysa ticari verinin kaybı büyük oranda şirket değiştiren çalışanlar veya yetkisiz erişimi olan iç personelin veriyi dışarı çıkarmasıyla gerçekleşir.
4. Tedarik Zinciri ve Entegrasyon Riskleri: Şirketler dışarıdan aldıkları yazılım entegrasyonları, bayilik sistemleri veya ERP erişimlerinde ticari verilerin (stok, fiyatlandırma, reçete verileri) nasıl izole edildiğini denetleme noktasında zayıf kalmaktadır.
Dünyadaki siber güvenlik yaklaşımı "Kişisel Veriyi Korumak" kuralına odaklanmışken, kurumların en büyük finansal kayıpları "Ticari Verinin Sızması veya Çalınması" nedeniyle yaşanmaktadır.
Mevzuat zoruyla sağlanan kişisel veri farkındalığının aksine, ticari veri farkındalığı bir mevzuat zorunluluğu değil, bir hayatta kalma (Business Continuity) meselesidir. Şirketlerin acilen kişisel veri uyum programları ile ticari veri koruma (DLP, veri sınıflandırma, Sıfır Güven / Zero Trust) mimarilerini bütünleşik hale getirmesi gerekmektedir.
Ticari verilerin kaybı veya sızdırılması; geleneksel algının aksine sadece bir şirketin finansal tablosunu etkileyen lokal bir siber güvenlik olayı değildir. Modern dünyada ticari veriler, hem ekonomik güç dengelerini değiştiren ticari istihbaratın hem de milli egemenliği tehdit eden devlet güvenliğinin merkezinde yer alır.
Ticari İstihbarat ve Devlet Güvenliği
Ticari istihbarat kapsamında değerlendirme yapmak gerekirse; ticari istihbaratta amaç, bir rakibin Ar-Ge çıktılarını, maliyet yapılarını, müşteri portföyünü veya stratejik ihale tekliflerini ele geçirerek haksız rekabet avantajı ve milyarlarca dolarlık pazar payı elde etmektir. Yani veri kaybı yaşandığında mağdur şirket Ar-Ge için harcadığı yılları ve bütçeyi kaybederken, veriyi ele geçiren aktör "sıfır geliştirme maliyeti" ile pazara girer.
Bu konuyla ilgili önemli birkaç örnek paylaşmak gerekirse:
· Nortel Networks Çöküşü (Kanada): Bir dönem telekomünikasyon dünyasının en büyük devi olan Nortel, 2000'li yılların başından itibaren sistemlerine sızan endüstriyel casuslar nedeniyle teknik çizimlerini, Ar-Ge raporlarını ve yönetim içi yazışmalarını kaybetti. Yıllar süren bu sessiz sızıntı sonucunda rakipler aynı ürünleri yarı fiyatına pazara sürdü ve Nortel 2009 yılında iflas etti.
· ASML Yarı İletken Casusluğu (Hollanda): Dünyadaki gelişmiş çip üretim makinelerinin neredeyse tek üreticisi olan ASML, eski bir çalışanının litografi sistemlerine ait kritik fikri mülkiyet verilerini çalmasıyla sarsıldı. Yarı iletken teknolojisindeki bu tür ticari veri kayıpları, pazar dengelerini doğrudan değiştirmektedir.
· Renault Sanayi Casusluğu Skandalı (Fransa): Elektrikli araç teknolojisinin henüz emekleme aşamasında olduğu dönemde Renault’nun batarya ve motor tasarım verileri sızdırıldı. Ticari istihbarat operasyonlarının en somut örneklerinden biri olan bu olay, elektrikli araç pazarındaki rekabet haritasını doğrudan etkilemiştir.
Devlet Güvenliği ve Ulusal Güvenlik Kapsamında Değerlendirme
Bir ülkedeki özel veya kamu iştiraki ticari firmaların elindeki veriler; kritik altyapıları (enerji, lojistik, savunma sanayii, gıda) ayakta tutan omurgadır. Bu verilerin çalınması veya sızması, düşman devletlerin veya terör odaklarının ülkenin savunma hattını, lojistik haritasını veya ekonomik dayanıklılığını haritalandırmasına olanak tanır.
Yine bu konudaki önemli örnekleri sıralamak gerekirse:
· F-35 Joint Strike Fighter Projesi: Savunma sanayii yüklenicilerinin (Lockheed Martin ve alt tedarikçilerinin) ticari ağlarına sızılması sonucu terabaytlarca tasarım ve stealth (hayalet) uçak verisi çalındı. Bu ticari/teknik veri kaybı, Doğu Bloku ülkelerinin kendi 5. nesil savaş uçağı programlarını beklenenden çok daha hızlı tamamlamasına yol açarak küresel askeri dengeyi değiştirdi.
· Colonial Pipeline Saldırısı (ABD) - Lojistik ve Enerji Krizi: ABD Doğu Yakası'nın akaryakıt ihtiyacının %45'ini karşılayan boru hattı şirketinin operasyonel ve finansal veri sistemleri fidye yazılımı (ransomware) ile kilitlendi. Ticari bir şirketin veri erişimini kaybetmesi; bölgede benzin istasyonlarının kapanmasına, uçuşların iptal edilmesine ve ABD hükümetinin olağanüstü hal ilan etmesine neden oldu.
· SolarWinds Tedarik Zinciri Saldırısı: Teksas merkezli bir ticari yazılım şirketi olan SolarWinds'in güncelleme sunucularına sızıldı. Şirketin müşterilerine gönderdiği ticari yazılım güncellemesi üzerinden ABD Dışişleri, Savunma, Hazine bakanlıkları ve yüzlerce küresel dev şirketin sistemlerine erişim sağlandı. Ticari bir verinin/yazılımın manipüle edilmesi, doğrudan bir devlet güvenliği krizine dönüşmüştü.
· Ukrayna Enerji Şebekesi (BlackEnergy): Ukrayna'daki özel elektrik dağıtım şirketlerinin (SCADA ve veri sistemlerinin) siber saldırıyla devre dışı bırakılması, kış ortasında yüz binlerce insanın elektriksiz kalmasına neden oldu. Ticari işletim verilerinin kaybı, doğrudan kritik altyapı sabotajına dönüştü.
Genel Değerlendirme
Süreci makro düzeyde analiz ettiğimizde; ticari istihbarat zafiyeti fikri mülkiyet, Ar-Ge, pazarlama stratejisi ve maliyet süreçlerini olumsuz etkileyerek şirketlerin iflasına, pazar payı kaybına, haksız rekabete ve Ar-Ge motivasyonunun çökmesine neden olmaktadır.
Devlet güvenliği açısından da SCADA sistemlerini, savunma tedarik zincirini, enerji ve lojistik verilerini içeren kritik altyapıları korumak hayati öneme sahiptir. Ulusal güvenlik zafiyetleri; ekonomik felç, askeri üstünlüğün yitirilmesi ve diplomatik şantaj gibi sonuçlar doğurabilmektedir.
Dolayısıyla ticari veri kaybı, bir şirketin finansal bilançosunu aşan; ülkenin ekonomik bağımsızlığını ve ulusal güvenliğini doğrudan tehdit eden stratejik bir zafiyettir. Geleneksel güvenlik anlayışı kişisel verileri "yasal ceza almamak" için korurken, ticari verilerin korunması endüstriyel bağımsızlık ve devlet güvenliği için zorunlu bir savunma hattıdır.
Kaynakça
· [1] Nortel Networks Çöküşü: https://intelnews.org/tag/nortel-networks-corporation/
· [2] ASML Çip Teknolojisi Veri Hırsızlığı: https://www.techzine.eu/news/privacy-compliance/101982/former-chinese-employee-steals-sensitive-data-from-asml/
· [3] Colonial Pipeline Saldırısı: https://www.huntress.com/threat-library/ransomware/colonial-pipeline-ransomware
· [4] SolarWinds Tedarik Zinciri Saldırısı: https://www.zscaler.com/resources/security-terms-glossary/what-is-the-solarwinds-cyberattack
