Operasyonel Güvenlik (OPSEC) Temelleri

Operasyonel Güvenlik (OPSEC), kritik bilgileri belirleyerek, tehditleri analiz ederek ve karşı önlemler uygulayarak hassas bilgileri hasımlardan koruma sürecidir. Başlangıçta askerî bir kavram olan OPSEC, günümüzde güvenlik uzmanları, gazeteciler ve aktivistler için de temel önem taşır.

Resmî OPSEC süreci:

1. Kritik bilgileri belirleyin — ne korunmalıdır?
2. Tehditleri analiz edin — bu bilgiyi kim istiyor?
3. Güvenlik açıklarını analiz edin — bilgiler nasıl açığa çıkabilir?
4. Riski değerlendirin — olasılık ve etki nedir?
5. Karşı önlemleri uygulayın — riski kabul edilebilir düzeye düşürün

Görünüşte zararsız olan tek tek bilgi parçaları birleştirilerek hassas ayrıntılar ortaya çıkarılabilir. Gittiğiniz kafenin, çalışma programınızın, mahallenizin ve aracınızın modelinin ayrı ayrı paylaşılması, hakkınızda bir hedef profili oluşturur. Hasımlar, açık kaynaklı verileri eyleme dönüştürülebilir istihbarata dönüştürür.

Dijital ayak izinizi azaltmak için:

• Farklı amaçlar için takma adlar ve ayrı e-posta adresleri kullanın
• Herkese açık sosyal medya görünürlüğünüzü en aza indirin
• Gizliliği koruyan arama motorları kullanın (DuckDuckGo, Brave)
• Veri simsarı sitelerinden çıkın
• Uygulama izinlerini düzenli olarak gözden geçirin

Bölümlendirme, kimlikleri, araçları ve etkinlikleri birbirinden ayırarak çapraz bulaşmayı sınırlar. Bir güvenlik araştırmacısı, farklı kimlikler veya müşteri çalışmaları için ayrı cihazlar, tarayıcılar ve e-posta hesapları kullanabilir.

Güvenli iletişim kanallarını seçerken:

• Signal — kaybolan mesajlara sahip uçtan uca şifreli mesajlaşma
• ProtonMail — şifreli e-posta
• Mümkün olduğunda hassas görüşmeler için e-posta kullanmaktan kaçının
• Üstverinin (kiminle, ne zaman konuştuğunuz) çoğu zaman içerik kadar açıklayıcı olduğunu bilin

Fiziksel OPSEC önlemleri:

• Halka açık yerlerde dizüstü bilgisayarlarda ekran gizlilik filtreleri kullanın
• Kullanılmadığında mikrofonu ve kamerayı devre dışı bırakın
• Halka açık alanlarda ekranınıza omuz üzerinden bakılabileceğinin farkında olun
• Disk şifreleme kullanın (BitLocker, FileVault, LUKS)
• Hassas belgeleri güvenli biçimde imha edin

Dikkat çeken OPSEC hataları:

• Sabu (LulzSec): Bir kez Tor kullanmayı unuttu → IP adresi açığa çıktı → tutuklandı
• Ross Ulbricht (Silk Road): Silk Road'u oluşturmadan yıllar önce birden çok sitede aynı kullanıcı adını kullandı
• APT grupları: önceki operasyonlarla ilişkili kötü amaçlı yazılım kodunu veya altyapıyı yeniden kullanmak

Çalışmalar sırasında sızma sınaması uzmanları, gerçek tehdit aktörlerini taklit etmek ve müşteri sistemlerini gerçek saldırganlara yanlışlıkla açığa çıkarmaktan kaçınmak için OPSEC uygular:

• VPN'ler veya anonimleştirici altyapı kullanın
• Araç imzalarını değiştirin
• Sınamadan sonra kalıntıları temizleyin
• Raporlama için tüm eylemleri belgeleyin

OPSEC güvenlik duruşunuz tehdit modelinize bağlıdır:

• Ortalama kullanıcı: temel parola güvenliği + MFA
• Güvenlik uzmanı: bölümlendirme + güçlü şifreleme
• Gazeteci/aktivist: hassas çalışmalar için tam Tor kullanımı + ağdan izole cihazlar

Tehdit modeliyle eşleşmeyen aşırı OPSEC, ters etki yaratan bir kullanım zorluğuna dönüşür.

Etkili OPSEC bir kontrol listesi değil, bir zihniyettir: sürekli olarak "hangi bilgiyi, kime açıklıyorum ve bu kişi bununla ne yapabilir?" diye sormaktır. Bu hasım odaklı öz değerlendirme, uygulamayla alışkanlığa dönüşür.

OPSEC, beş adımlı bir süreçle hassas bilgileri korur: kritik bilgileri belirlemek, tehditleri ve güvenlik açıklarını analiz etmek, riski değerlendirmek ve karşı önlemler uygulamak. Temel uygulamalar arasında bölümlendirme, dijital ayak izini azaltma, güvenli iletişim (Signal, ProtonMail) ve fiziksel güvenlik bulunur. OPSEC güvenlik duruşu gerçek tehdit modeliyle uyumlu olmalıdır.