Güvenlikte Yeni Bir Dönem-Kodun Arkasındaki İnsanlar

Web3 nedir ne değildir ile başlayan ilk sezonda, blokzincir dünyasının derinliklerine inmeye çalıştım. Sonrasında günümüz geleneksel/kurumsal iş ve finans dünyalarının Web3 ile kesişim noktalarına değinerek devam ettim. Son birkaç yazı özellikle geleneksel finansın yavaş yavaş blokzincir teknolojisini kendi altyapısına entegre etmesi ve stablecoin’lerin bu konudaki yeri üzerineydi.

Bu nokta itibariyle de yavaş yavaş kod, güvenlik, denetim gibi açılardan bakmak gerektiğini fark ettim. Tabii bu konulardaki kişisel tecrübemin ve konuya yakınlığımın da bunda payı var aslında.

Yani bültene bambaşka bir yerden başlamışken, zaman içerisinde yol bizi doğal olarak buralara getirdi ve yeni bir mini seri ile karşınızdayım.

Bu mini serinin ilk yazısında, Web3 güvenlik ekosisteminin belki de en az konuşulan ama en kritik katmanından başlamak istiyorum: insan faktörü. Benim için bu tema ayrıca kişisel — iş hayatına siber güvenlik içinde başladım. Bu yüzden Web2 ve Web3 arasındaki en doğru karşılaştırmanın sadece teknoloji üzerinden değil, güvenlik kültürü üzerinden yapılabileceğini, hatta birlikte yapılması gerektiğini düşünüyorum.

Ve bu hikâye aslında, geleneksel iş dünyasında denetim ve süreç kültürleriyle başlıyor. Blokzincir ve Web3 bu yapıların üzerine yeni bir şeffaflık katmanı getirerek konuya dahil oluyor.

Geleneksel kurumsal iş dünyasında güvenlik ve denetim ayrılmaz bir ikilidir. Çünkü sistemler kapalıdır, kod görünmezdir, veri akışı kurumun içinde kalır ve dışarıdan doğrulanamaz. Teknoloji ve paradigmadaki değişikliklere rağmen büyük ölçüde bu şekilde devam etmekte. Bu nedenle güvenlik; süreçlerin doğruluğuna, denetimlerin etkinliğine ve ekiplerin disiplinine bağlıdır.

Kurumsal dünyada bu konsept:

4 göz/çift onay prensibi Değişiklik Danışma Kurulu (CAB – Change Advisory Board) Sistemler canlıya geçmeden önce yapılan bağımsız testler Yetkilerin ayrılması (segregation of duties) Konu veya sürece özel onay mekanizmaları

gibi çok belirgin süreçlerle birlikte hatırlanır.

Tüm bu katmanlar aslında tek bir sorunun sonucuydu:

“Sistemin içinde ne olduğunu dışarıdan kimse göremiyor, o yüzden birbirimizi kontrol etmek zorundayız.”

Süreçler bu yüzden doğdu; denetimler bu yüzden kritikleşti. İnsan faktörü bu yüzden merkeze oturdu.

Web3’ün bütün bu sisteme getirdiği en büyük fark, sistemin ilk defa “içinin” görünür hâle gelmesiydi:

Kod açık kaynak İşlemler zincir üzerinde takip edilebilir Rezerv doğrulamaları otomatik yapılabilir Veri akışları izlenebilir

Bu, geleneksel iş hayatındaki bir profesyonel için neredeyse ters bir mantık:

“Sistemin içini zaten görebiliyorsam denetime neden gerek var?”

İşte kritik nokta burada: Şeffaflık otomasyon getirir, ama otomasyon insanı devreden tamamen çıkarmaz — aksine daha kritik bir noktaya koyar.

Çünkü:

Kodu yazan insan, Mimariyi tasarlayan insan, Hataları belirleyen insan, Riski modelleyen insan, İyileştirme kararlarını veren yine insan.

Bu yüzden Web3 denetim firmaları (OpenZeppelin, Trail of Bits, Quantstamp, CertiK gibi) aslında bu vakte kadar kullanılan bağımsız güvenlik testi + kod incelemesi + mimari doğrulama süreçlerinin birleşmiş hâlidir.

Web3 kesinlikle şeffaflık getirir; ama şeffaflığın kendisi güvenlik değildir. Güvenlik hâlâ yorum + deneyim + disiplin gerektirir.

Otomasyonun çok olduğu tüm ortamlarda risk görünmezleşir.

Web2’de klasik hatalar:

Yanlış yapılandırma (misconfiguration) Yanlış izin modeli/süreci Acele devreye alımlar (herkesin problemi :))

Web3’te ise aynı desen daha hızlı ve daha büyük sonuçlar yaratır:

Oracle hatası → sistematik fiyat yanılgısı Supply chain attack → bağımlılıklara sızan kod Mantık hatası → zincir üzerinde anlık para kaybı

Yani otomasyon arttıkça insanın yaptığı en küçük hata bile büyüyerek çoğalır. Bu iki dünyanın ortak noktasıdır.

Denetim — ister Web2’de ister Web3’te — anlık bir görüntüdür.

Kod değişirse → risk değişir Mimari değişirse → risk değişir Kullanıcı davranışı değişirse → risk değişir

Denetim bize yalnızca şunu söyler:

“Bugünkü versiyon, bugünkü hâliyle böyle davranıyor.”

Güvenlik ise şunu sorar:

“Bu sistem yarın nasıl davranacak?”

Blokzincir dünyasındaki merkeziyetsizlik veya şeffaflık bu farkı ortadan kaldırmaz; belki biraz daha görünür kılar. Ama görünür olmak güvenli olmak demek değildir.

Bu nedenle insan faktörü (tasarım, gözden geçirme, karar verme) şeffaf bir sistemde bile vazgeçilmezdir.

Bu ilk yazıda biraz da Web3 güvenliğinin, aslında Web2 profesyonelleri için neden tamamen yabancı olmadığını göstermek istedim. Çünkü her iki dünya arasında inanılmaz farklar olsa da güvenlik sorusu aynıdır:

“Bu sisteme neden güveniyoruz?”

Web2’nin cevabı: süreç + kurum + denetim Web3’ün cevabı: kod + şeffaflık + zincir üstü veri

Ama her iki dünyanın cevabının merkezinde hâlâ insan var.

Bir sonraki yazıda, Web2’de pek yer almayan, Web3’ün güvenlik tarafındaki benzersiz ve yepyeni bir bakış açısına, farklı bir katmanına değinmek istiyorum: topluluk denetimi, bug bounty, kolektif doğrulama.

Haftaya görüşmek üzere.