ELEKTRİKLİ ARAÇLAR: YENİ NESİL CASUSLUK MU?

Direksiyon kimin elinde?  Hukuksal sorumluluk kimde?

 Peki, o aracın beynini yöneten yazılım sizin kontrolünüzde değilse, direksiyon gerçekten kimin elinde?

Bir zamanlar otomobil alırken motoruna, yakıt tüketimine, konforuna ve güvenliğine bakardık. Bugün bunların yanına hayati bir soru daha eklemek zorundayız.Bu aracın topladığı veriler kimin eline geçiyor ve gerektiğinde bu araca kim müdahale edebiliyor?

Çünkü yeni nesil otomobiller artık yalnızca bir ulaşım aracı değil. Kameraları, radarları, sensörleri, merkezi işlem birimleri, yapay zeka uygulamaları ve internet bağlantılarıyla hareketli birer bilgisayar. Benim gibi bilgisayarı olmayan evinde internet bağlamayan bir insan için bunlar oldukça tehlikeli işler.
Üstelik mesele yalnızca elektrikli araçlar da değil. Benzinli, dizel ve hibrit modellerin birçoğu da bağlantılı teknolojilerden yararlanıyor.

Aracın önünde kamera, yanlarında çevre görüş sistemleri, içinde sürücüyü takip eden sensörler… Bazı modellerde sekiz, on veya daha fazla kamera ve çeşitli algılayıcılar bulunabiliyor.

Yolu görüyor, trafik işaretlerini tanıyor, çevredeki araçları algılıyor, sürücünün dikkatini takip ediyor, park alanını ölçüyor ve gerektiğinde sürüş sistemlerine bilgi sağlıyor.

Elbette bütün bunlar güvenlik ve konfor için geliştiriliyor.
Ancak bir teknolojinin hangi amaçla üretildiği kadar, hangi amaçlarla kullanılabileceği de önemlidir... Nükleer çalışmalar gibi.

Bir sistemin sizi korumak için topladığı veriler, yeterince korunmazsa bir gün sizin aleyhinize kullanılabilir mi? 
Otomobilin kamerası yol üzerindeki araçları, yayaları, binaları, kavşakları ve çevresindeki diğer unsurları da görüyor.Konum sistemleri aracın nerede bulunduğunu, bağlantı kayıtları bazı hizmetlerin nasıl kullanıldığını, sürüş verileri ise aracın hareket biçimini ortaya koyabilir.
Bu bilgilerin bir bölümü aracın içinde işlenebilir. Bir bölümü kaydedilebilir. Bazı veriler, kullanılan hizmete ve üreticinin uygulamalarına bağlı olarak uzaktaki sunuculara aktarılabilir.

Burada önemli bir ayrıntı var.Her araç bütün görüntüleri sürekli olarak başka bir ülkeye göndermez. Veri toplama ve aktarım biçimi markaya, modele, yazılıma ve kullanıcının ayarlarına göre değişir.
Fakat riskin ciddiye alınması için bütün verilerin sürekli aktarılması gerekmez.

Bir limanın çevresinden geçen araçların görüntüleri, bir enerji tesisinin konumunu gösteren kayıtlar veya belirli bir güzergâha ilişkin hareket bilgileri, farklı kaynaklardan elde edilen başka verilerle birleştirildiğinde anlam kazanabilir.

Şimdi düşünün…
Bir ülkede binlerce bağlantılı araç dolaşıyor. Bu araçlar her gün otoyollardan, kavşaklardan, kamu binalarının önünden, limanların çevresinden ve çeşitli kritik tesislerin yakınından geçiyor.

Bu araçların topladığı veriler hangi koşullarda saklanıyor? Kimler erişebiliyor? Verilerin korunması için hangi denetimler yapılıyor?
Bunlar komplo teorisi değil, cevaplanması gereken güvenlik sorularıdır.

Bir otomobilin kamerası olması, o otomobili casusluk cihazına dönüştürmez. Ancak kameralar, konum sistemleri ve internet bağlantıları üzerinden elde edilebilecek bilgilerin kötüye kullanılması ihtimali de görmezden gelinemez.
Casusluk tehlikesini değerlendirirken yalnızca cihazın adına değil, topladığı veriye, kurduğu bağlantılara ve o veriler üzerindeki kontrolün kimde olduğuna bakmak gerekir.

Yeni nesil otomobillerin bazı işlevleri uzaktan bağlantı ve yazılım güncellemeleriyle yönetilebiliyor. Araç sahipleri telefonları üzerinden otomobillerinin durumunu görebiliyor, bazı işlevleri çalıştırabiliyor ve belirli modellerde park işlemlerini uzaktan başlatabiliyor.

Bunlar kullanıcıya sunulan kolaylıklar.
Ancak aynı zamanda şu soruları da gündeme getiriyor:

Aracın yazılımını kim kontrol ediyor?
Yazılım güncellemeleri hangi güvenlik denetimlerinden geçiyor?
Araç ile üreticinin sistemleri arasındaki bağlantı nasıl korunuyor?

Bir güvenlik açığı ortaya çıkarsa bunun sonuçları ne olabilir?
Üreticinin sistemlerine yetkisiz erişim sağlanırsa hangi işlevler etkilenebilir?

Bu soruların cevabı, otomobilin teknik yapısına göre değişir. İnternete bağlı her aracın direksiyonunun uzaktan çevrilebildiğini veya frenlerinin dışarıdan devre dışı bırakılabildiğini söylemek doğru değildir.

Ancak bağlantılı araçların siber saldırılara karşı korunması, gerçek ve ciddi bir mühendislik meselesidir.
Bir aracın çevresini algılaması başka, hareketlerini yönetmesi başka, bu sistemlerin dışarıdan ele geçirilmesi ise bambaşka bir konudur.

Bu üç başlık bir araya geldiğinde ortaya çıkabilecek risklerin uzmanlar tarafından değerlendirilmesi gerekir.
Peki, biz ne yapıyoruz?

Bir otomobili satın almadan önce menzilini, beygir gücünü, ekran büyüklüğünü ve şarj süresini araştırıyoruz. Peki, yazılım güvenliğini, veri politikasını ve uzaktan erişim imkânlarını aynı ciddiyetle sorguluyor muyuz?

Aracın fiyatını biliyoruz. Peki, dijital anahtarının kimde olduğunu biliyor muyuz?
Son dönemde gündeme gelen açıklamalarda, akıllı araçların kötü niyetli kişilerin elinde bir saldırı aracına dönüşebileceği yönünde uyarılar yapılıyor.

Burada ölçüyü doğru koyalım.
Kamera ve sensörler tek başına bir otomobili silaha dönüştürmez. Otonom sürüş sistemleri de esas olarak ulaşımı daha güvenli ve verimli hâle getirmek amacıyla geliştirilir.

Ancak bir aracın hareketlerini yöneten kritik sistemlerin yetkisiz biçimde kontrol edilmesi, teknik olarak mümkün olduğu koşullarda ciddi sonuçlar doğurabilir.

Bu nedenle güdümlü füze benzetmesini her otomobil için gerçekleşmiş bir gerçek gibi sunmak doğru olmaz. Fakat bu benzetmenin işaret ettiği temel soruyu da geçiştiremeyiz:

Bir araca çevresini algılama ve hareketlerini yazılımla yönetme yeteneği kazandırıyorsanız, bu sistemlerin kötüye kullanılmasına karşı hangi güvenlik önlemlerini aldınız?

Bir teknoloji yalnızca normal şartlarda nasıl çalıştığına bakılarak değerlendirilemez. Arıza yaptığında, saldırıya uğradığında veya yetkisiz kişilerce kullanıldığında ne olacağı da hesaplanmalıdır.

Savunma sanayisinde, askerî tesislerde ve kritik altyapılarda güvenlik değerlendirmelerinin bu kadar önemli olmasının nedeni budur.

Tedbir almak için bir felaketin yaşanmasını beklemek zorunda değiliz.

Mesele otomobille bitmiyor.
Evimizdeki akıllı televizyonlar, kameralar, robot süpürgeler, güvenlik sistemleri ve telefonlar da dijital dünyanın bir parçası.

Bazı robot süpürgeler evin haritasını çıkarıyor. Kameralı modeller çevrelerini algılayabiliyor. Akıllı televizyonlarda mikrofon ve sesli komut özellikleri bulunabiliyor. Güvenlik kameraları görüntüleri kaydedebiliyor veya uzaktan erişim imkânı sunabiliyor.

Bütün bu özellikler kendi başına bir tehdit değil. Ancak yanlış yapılandırılmış, güvenlik açığı bulunan veya hesapları ele geçirilen cihazlar mahremiyetimizi tehlikeye atabilir.

Bir cihazın evin haritasını çıkarması, konuşmalarımızı da kaydettiği anlamına gelmez. Bir mikrofonun bulunması, her konuşmanın sürekli olarak üreticiye gönderildiğini kanıtlamaz.

Fakat evimizin görüntüleri, günlük alışkanlıklarımız ve bazı kullanım bilgilerimiz yetkisiz kişilerin eline geçerse sonuçları hafife alamayız.

Düşünün…
Dışarıdan bakıldığında sıradan bir ev. İçeride ise internete bağlı onlarca cihaz.

Bunların hangisi hangi veriyi topluyor? Hangisi dışarıya bağlantı kuruyor? Şifreleri ne kadar güçlü? Yazılımları güncel mi?
Çoğumuz bunları ancak bir sorun yaşandığında düşünmeye başlıyoruz.
Oysa dijital güvenlik, yalnızca bilgisayar korsanlarının veya teknoloji uzmanlarının meselesi değildir. Artık evimizin, ailemizin ve kişisel mahremiyetimizin de meselesidir.

ABD, belirli yabancı bağlantılı araç yazılımları ve donanımları için millî güvenlik gerekçesiyle kısıtlamalar getirdi. Çin de Tesla araçlarının bazı askerî ve hassas tesislere erişimine yönelik sınırlamalar uyguladı.

Bu kararların kapsamları farklıdır. Bunları bütün yabancı araçların tamamen yasaklandığı şeklinde yorumlamak doğru olmaz.

Ancak ortaya çıkan tablo önemlidir: Araçların yazılımları, veri toplama kapasiteleri ve dış bağlantıları artık yalnızca ticari bir mesele olarak görülmüyor.
Çünkü bir ülkenin güvenliği yalnızca sınırlarını korumaktan ibaret değildir. Bilginin, iletişimin, dijital sistemlerin ve kritik altyapıların güvenliği de bu meselenin parçasıdır.

Savunma sanayisi tesisleri, askerî bölgeler, havaalanları, limanlar ve enerji altyapıları için alınacak tedbirler de bu çerçevede değerlendirilmelidir.

Bir aracın belirli bir tesise girişinin sınırlandırılması gerekiyorsa bunun teknik gerekçesi ortaya konulmalı, risk ölçülmeli ve karar açık kurallara dayanmalıdır.

Ancak asıl sorumluluk, yalnızca bazı araçları belirli alanlara sokmamakla sınırlı kalmamalıdır.

Türkiye’nin bağlantılı araçlar için veri güvenliği, yazılım denetimi, siber güvenlik ve uzaktan erişim standartlarını da ciddiyetle ele alması gerekir.

Yabancı bir markayı sırf yabancı olduğu için tehdit ilan etmek ne kadar yanlışsa, yabancı bir yazılımı sırf konfor sağladığı için sorgusuz sualsiz kabul etmek de o kadar yanlıştır.

Millî güvenlikte esas olan, slogan değil; teknik yeterlilik, bağımsız denetim ve uygulanabilir tedbirdir.

Bugün birçok konut sitesinde, apartmanda, kapalı otoparkta ve ortak yaşam alanında farklı özelliklere sahip araçlar bir arada bulunuyor.

Bu alanlarda hangi araçların hangi şartlarda bulundurulacağına ilişkin kararlar alınırken yangın güvenliği, elektrikli araçların şarj altyapısı, otoparkın fiziksel koşulları ve diğer güvenlik gereklilikleri dikkate alınmalı.

Elektrikli araçların bataryalarıyla ilgili yangın riskleri de ayrıca değerlendirilmelidir. Her elektrikli aracın tehlikeli olduğu söylenemez; ancak olası bir batarya yangınının söndürülmesi ve yeniden alevlenmenin önlenmesi özel tedbirler gerektirebilir.

Bir aracın internete bağlı olması, ortak otoparkta mutlaka bir güvenlik tehdidi oluşturduğu anlamına gelmez. Bu nedenle bütün bağlantılı araçların konut sitelerinden veya ortak yaşam alanlarından topluca çıkarılmasını gerektiren genel bir yasal düzenleme yapılmalıdır.
Bqu alanlarda güvenlik standartlarının geliştirilmesi, özellikle kritik tesislerin çevresindeki araç erişiminin değerlendirilmesi ve gerektiğinde hukuki dayanağı bulunan kısıtlamaların uygulanması artık daha ciddi biçimde ele alınmalıdır.

Ortak yaşam alanlarının güvenliği de kişisel mahremiyet de tesadüfe bırakılamaz.
Yetkili kurumlar; araçların veri güvenliği özelliklerini, uzaktan bağlantı imkânlarını, yangın risklerini ve kritik bölgeler bakımından taşıdıkları tehditleri birbirinden ayrı değerlendiren açık standartlar oluşturmalıdır.
Vatandaş da hangi risk nedeniyle hangi kuralın getirildiğini bilmelidir.

Teknolojiden vazgeçemeyiz. Zaten mesele teknolojiyi reddetmek değil.
Mesele, hayatımıza giren teknolojinin nasıl çalıştığını ve hangi sınırlar içinde kontrol edildiğini bilmektir.

Bugün bir otomobil bizi kazadan koruyabilir. Yarın ulaşımın önemli bir bölümünü otonom sistemler yönetebilir. Akıllı cihazlar hayatımızı kolaylaştırabilir.

Ancak bütün bu gelişmelerin ortasında üç soru hep gündemde kalmalı:
Veri kimin elinde?
Yazılımı kim kontrol ediyor?
Güvenlikten kim sorumlu?
Bu soruların cevabı açık değilse, yalnızca konforu konuşarak yetinemeyiz.

Bir ülkenin kritik tesislerini, vatandaşlarının mahremiyetini ve dijital altyapısını korumak istiyorsak bugünden tedbir almak zorundayız.

Araç üreticilerinden açık güvenlik standartları istemeli, yazılımları denetlemeli, veri aktarımını şeffaf hâle getirmeli ve gerektiğinde yasal sınırlamalar uygulamalıyız.
Çünkü teknoloji dünyasında dışarıdan bakıldığında her şey yolunda görünebilir. Ekran çalışır, motor çalışır, otomobil yol alır.

Ama güvenlik, yalnızca görünenin sorunsuz çalışması değildir.
Asıl güvenlik, görünmeyen sistemlerin de kimin kontrolünde olduğunu bilmektir.

Eskiden otomobilin anahtarını kime verdiğimize dikkat ederdik.
Şimdi bir adım daha ileri gitmek zorundayız.

Anahtar cebimizde olabilir. Direksiyon önümüzde olabilir. Koltuğunda oturan da biz olabiliri.Peki, aracın dijital dünyasında son sözü kim söylüyor?

İşte Türkiye’nin artık bu soruya ciddi, teknik ve hukuki cevaplar vermesi gerekiyor.