ELEKTRONİK DEVLET “BİLGİ SIZDIRIYOR”

E-devlet uygulamaları kişisel bilgilere ulaşılmasına neden oluyor…

Hayatımızı kolaylaştıracağı beklentisi ile başlatılan e-devlet uygulamalarındaki açıklar, kişisel bilgilerimizin herkes tarafından görüntülenmesine, hatta eksik kimlik doğrulama nedeniyle yapmadığımız edevlet işlemlerinden sorumlu tutulma tehlikesi ile karşı karşıya kalmamıza neden oldu. Türkiye’de İnternet Konferansı’nda bildiri sunan Bilgisayar Yüksek Mühendisi Çağlar Ülküderner, İnternet üzerinden e-devlet uygulamalarını kullanarak, yalnızca “ad, soyad, baba adı” gibi temel bilgileri bilinen birinin, adresi dahil tüm bilgilerinin nasıl öğrenilebileceğini anlattı. Ülküdener, kişisel bilgilerin gizlice toplanmasının yanı sıra yükümlülük doğuracak işlemlerin, kişiler adına başkaları tarafından yapılabileceğine dikkat çekti. Ülküdener kolayca öğrenilebilen TC Kimlik Numarası’nın anahtar olarak kullanılmasını eleştirdi.

İnternet Teknolojileri Derneği tarafından düzenlenen 12. Türkiye’de İnternet Konferansı’na Ankara Üniversitesi Hukuk Fakültesi’nden Dr. Muammer Ketizmen ve Bilgisayar Yüksek Mühendisi Çağlar Ülküderner “E-Devlet Uygulamalarında Kişisel Verilerin Korun(ma)ması” başlıklı bildirileri ile katıldılar. Bildirin sunumunu gerçekleştiren Ülküderner, devlet-birey ilişkileri açısından özel hayatın gizliliğinin devletin temel niteliğine ilişkin önemli bir gösterge olduğunu kaydederek, edevlet uygulamalarında “özel hayatın gizliği” ve “kişisel verinin ifşa edilmemesi” ilkelerinin çoğunlukla göz ardı edildiğini belirtti.

Kamu kuruluşları tarafından başlatılan e-devlet uygulamalarında kimlik doğrulama konusunda bir standart oluşturulmamasının, kişisel verilerin herkes tarafından ulaşabilmesine neden olduğunu ifade eden Ülküderner, “Örneğin SSK’nın İnternet sayfasına bağlandığınızda, bilgilerinizi göstermek için adınız, soyadınız, baba adınız ve doğum yılınız sorulmaktadır. Bunun yanında başkaca bir bilgi zorunlu olarak istenmediğinden bu bilgileri bildiğiniz bir kişinin TC Kimlik Numarası’na ve SSK hizmet dökümüne ulaşabilirsiniz. Bunun yanında anne adını da aynı sistemden öğrenme olanağı bulursunuz. SSK’nın sitesinde kötü niyetli kişilerin alabileceği en kritik bilgi TC Kimlik Numarası. Türkiye’de tek kimlik numarasından her işimiz yapılsın diye çok ciddi çalışmalar yapıldı. Ancak bunun tüm bilgilere ulaşım anahtarı olarak kullanılması ayrı bir sorun olarak karşımıza çıkıyor” dedi. Ülküderner, Sosyal Güvenlik Kurumu’nun sitesinde yapılan sorgulamalar sonucunda, kızlık soyadının bile öğrenilebileceğini vurguladı.

64 elektrik mühendisliği, 432. sayı, aralık 2007

Türkiye Sigorta ve Reasürans Şirketleri Birliği’nin sitesinde yer alan 42 milyonun üzerindeki kişinin bilgilerine ise sadece soyadı ve ad hanesine 3 boşluk yazılarak ulaşılabildiğine dikkat çeken Ülküderner, yapılacak sorgu sonucu kayıtlı kişilerin adı, soyadı, doğum yeri, "gün, ay, yıl" olarak doğum tarihi, baba adı, vergi kimlik numarası gibi detaylı bilgilere ulaşılabildiğini aktardı.

Ülküderner, Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü’nün sitesinden TC Kimlik Numarası’nın ise baba adı, anne adı, doğum yılı, cinsiyet gibi kolay erişilebilir bilgilerin kullanılarak öğrenilebileceğini anlattı.

Kimlik Numarasından Kapı Numarasına

Yüksek Seçim Kurulu’nun seçmenlerin oy verme işlemini gerçekleştirecekleri sandıkları bulabilmesi için kullanılan sistem ile kişinin oturduğu bölgenin tespit edilmesinin olanaklı olduğunu kaydeden Ülküderner, işlem için TC Kimlik Numarası’nın yeterli olacağını belirtti. Yüksek Seçim Kurulu’nun verdiği sandık bilgisinin öğrenilmesi ile kişinin adres bilgileri mahalle düzeyine kadar öğrenilmiş oluyor.

Türkiye İstatistik Kurumu’nun yürüttüğü Adres Kayıt Sistemi çerçevesinde İnternet üzerinden erişilebilen Yerleşim Yeri Doğrulama sistemine de T.C. Kimlik Numarası ile giriş yapıldığına ve kayıtlı adresinin kullanıcıya doğrulatılması amacıyla mahalle düzeyine kadar olan bilgilerin girilmesinin istendiği ve sorgu sonunda sokak ve kapı numarasına kadar adres bilgilerinin öğrenilmesinin mümkün olduğunu aktaran Ülküderner, kötü niyetli kişilerin sistemler arasındaki açıklardan faydalanabileceğine dikkat çekti.

“İşlemlerin Güvenilirliği Tehlikede”

Sağlık Bakanlığı’nın çalışan personelin İnternet üzerinden işlem yapmasını sağlamak üzere kurulan Personel Bilgi Sistemi’nde ise kullanıcı oluşturma işlemi sırasında, T.C. Kimlik Numarası, adı, soyadı, baba adı, doğum yılı, doğum yeri bilgilerinin girilmesinin istendiğini aktaran Ülküderner, diğer sitelerden kolayca elde edilebilecek bu bilgiler ile Sağlık Bakanlığı’nda çalışan herhangi birinin anne adı, baba adı, cinsiyet, medeni hali, cilt no, birey sıra no, aile sıra no, mahalle, unvan, branş, sabit telefon, cep telefonu, eposta, adres, il, ilçe, çalışma durumu, çalıştığı kurum, kurumdaki unvan ve sistemde kullanmak için gerekli şifre bilgilerine ulaşıldığını belirtti. Ülküderner, elde edilen şifre bilgisi ile sisteme sızması muhtemel kişilerin, bilgi elde etme dışında, ilgili personel adına işlem yapabileceğini kaydetti.

Milli Eğitim Bakanlığı’nın personel işlemleri için kullandığı sistemde de benzer şekilde kimlik doğrulama sorunu olduğu kaydeden Ülküderner, kolay elde edilebilir bilgilerin sorulması ile sisteme giren kullanıcıların atama, nakil gibi kritik işlemler yapıldığını ifade etti. Ülküderner, güvenliğin sağlanmaması nedeniyle atama gibi birçok işleminin ilgili personel dışında kişiler tarafından yapıldığına ilişkin dava süreçlerinin halen devam ettiğine dikkat çekti.

Çözüm: “Güvenli e-Devlet Kapısı”

E-devlet uygulamaları ile kişisel bilgileri toplamanın mevcut düzenlemelere göre suç oluşturmadığını belirten Ülküderner, yalnızca verilerin kullanılması durumunda oluşan suçların değerlendirildiğini söyledi. Ülküderner, çözüm olarak e-Devlet uygulamalarında kimlik doğrulama yönteminin standardının belirlenmesini gündeme getirirken, güvenli bir yöntemle vatandaşların e-Devlet uygulamalarına erişiminin sağlanması gerektiğini kaydetti. Ülküderner, söz konusu e-Devlet uygulamaları açıkları hukuki açıdan değerlendirildiğinde, Türk Ceza Kanunu’nun 135. maddesinde düzenlenen kişisel verileri hukuka aykırı olarak yayma suçunun oluştuğu kanaatini taşıdıklarını söyledi.

TURKSAT’ın yürüttüğü e-Devlet Kapısı projesinin kimlik doğrulama konusunda yaşanan karmaşaya çözüm sağlayabileceğini ve kişisel bilgilere ulaşılmasını kısıtlayabileceğine dikkat çeken Ülküderner, kişisel bilgilerin, kişinin onayı olmadan toplanmasının da bilişim suçu kapsamına alınması gerektiğini dile getirdi. <

elektrik mühendisliği, 432. sayı, aralık 2007 65