Emeklilik verilerini 57 kadrodaki 17 bilgi işlem çalışanı koruyor: Emeklilik Fonu'ndaki denetim eskimiş sistemler buldu ve tek bir güvenlik sorumlusu bile yok

Vatandaşların emeklilik ve malullük haklarına ilişkin verileri, 57 kadroda 17 kişinin çalıştığı bir birim tutuyor. Bilgi işlem altyapısı ve destek biriminde 13 pozisyondan biri dolu. Bilgi güvenliğinden sorumlu çalışan ise tek bir kişi bile yok. Devlet Denetim Dairesi'nin Emeklilik ve Malullük Sigortası Fonu (PIOM) için yayımladığı tablo bu.

Denetçiler, üreticinin artık destek vermediği işletim sistemleriyle çalışan sunucular ve iş istasyonları, güncel antivirüs koruması olmayan bilgisayarlar ve 2023'ten beri güncellenmemiş güvenlik yamaları buldu. Kullanıcı erişimlerinin yönetiminde ve ağ korumasında da zayıflıklar tespit etti. Fonun onaylanmış iş sürekliliği ve felaket sonrası kurtarma planları yoktu - başka bir deyişle sunucu çökerse ya da biri veritabanlarını kilitlerse ne yapılacağını söyleyen bir plan.

Ağ ekipmanındaki güvenlik açıkları daha 2024'te tespit edilmişti, ama denetim döneminde hiçbir önlem alınmamıştı. Son bilgi işlem becerileri eğitimi 2022'deydi, 2024 ve 2025 için planlanan eğitimler yapılmadı. 2024'te bilgi işlem alımları için 12,39 milyon dinar, yani fonun sosyal yardımlar hariç harcamalarının yüzde 2,04'ü harcandı. Veri merkezi, disk sistemi ve optik anahtarlar ise para yetersizliği nedeniyle alınmadı.

PIOM'un yanıtı hızlı ve tanıdık bir tonda geldi. Fon, bunların Eylül 2024 öncesi dönemden, "savurgan, sorumsuz ve ihmalkâr yönetimden" devralınan durumlar olduğunu ve yeni yönetimin sorunların çoğunu zaten çözdüğünü söylüyor: tehdit tespit çözümleri devreye alındı, ağ bölümlendirildi, ayrı bir lokasyonda yedek altyapı kuruldu, 100'den fazla iş istasyonu değiştirildi ve yeni uzman kadro alındı. Ve en önemlisi: "Verileriniz ele geçirilmedi ve geçirilmiyor."

Belki. Ama kimsenin içeri girmemiş olması kapının kilitli olduğu anlamına gelmiyor. Denetim bir saldırı olup olmadığını değil, fonun buna hazır olup olmadığını ölçüyor - ve yanıt, hazır olmadığı. Selefinden devralınan kaos nakaratı ise her yeni iktidardan tanıdık. Bulguların kaçının gerçekten kapatıldığını basın açıklaması değil, ancak bir sonraki denetim gösterecek.

PIOM münferit bir vaka değil. Önceki denetimler benzer riskleri "Moj termin" sisteminde, nüfus kütüklerinin dijitalleştirilmesinde, 40 kamu kurumunun kullandığı mali yönetim sisteminde ve Merkezi Nüfus Kaydı üzerinden yapılan veri alışverişinde ortaya koydu. Vatandaş başka bir emeklilik fonu ya da başka bir nüfus kaydı seçemez. Verilerini devlete vermek zorunda. O halde devletin en azından onları koruyan eksiksiz bir ekibi olmalı, 57 kadroda 17 kişi değil.