İnsanlık tarihindeki en büyük savaşların tamamı kılıçlarla kazanılmadı. Bazıları tek bir söylentiyle, tek bir hediyeyle ya da tek bir karar anıyla sonuçlandı. Çünkü kaleler yıkılmadan önce çoğu zaman insanların zihnindeki güven duygusu sarsıldı. Belki de bu yüzden tarihin en meşhur savaş hikâyelerinden biri olan Truva Atı’nı yalnızca bir savaş taktiği olarak değil, insan psikolojisinin en eski örneklerinden biri olarak da okumak mümkün.

Homeros’un destanlarıyla ölümsüzleşen Truva Savaşı, yaklaşık on yıl boyunca devam etti. Yunan ordusu, dönemin en güçlü şehirlerinden biri olan Truva’yı uzun süre kuşatmasına rağmen surları aşmayı başaramadı. Güç işe yaramıyordu. Sayıca üstün olmak da çözüm olmuyordu. Şehrin kapıları hâlâ kapalıydı ve Truva hâlâ ayaktaydı.

İşte tam bu noktada savaşın yönünü değiştiren fikir ortaya çıktı.

Yunanlılar devasa bir tahta at inşa etti. Ardından savaşmaktan vazgeçmiş gibi görünerek geri çekildi. Sahilde yalnızca bu görkemli atı bıraktılar. Truvalılar bunu bir zafer işareti, hatta tanrılara sunulmuş kutsal bir hediye olarak yorumladı. Günlerdir süren savaşın ardından gelen bu beklenmedik sessizlik, dikkatlerini azaltmıştı. Zafer sarhoşluğu, sorgulama refleksinin önüne geçti. Atı şehrin içine aldılar.

O gece Truva düştü.

Çünkü atın içinde saklanan Yunan askerleri kapıları içeriden açmıştı.

İlginç olan şu ki, Truva’nın surları hiçbir zaman aşılmadı.

Şehir taş duvarlarından değil, insan zihnindeki güven duygusundan geçilerek fethedildi.

Aradan binlerce yıl geçti. Kılıçlar değişti, savaş meydanları değişti, teknoloji baş döndürücü bir hızla gelişti. Ancak insan davranışları büyük ölçüde aynı kaldı. Günümüzde siber güvenlik dünyasının en önemli tehditlerinden biri olan sosyal mühendislik saldırıları da tam olarak bu gerçeğe dayanıyor. Çünkü artık saldırganlar çoğu zaman bilgisayarları değil, bilgisayarların başındaki insanları hedef alıyor.

Bugün bir şirketin ağına sızmaya çalışan saldırganın ilk amacı çoğu zaman güvenlik duvarını aşmak değildir. Onun yerine sahte bir banka e-postası gönderir, CEO adına hazırlanmış gibi görünen bir ödeme talimatı yollar, kargo bildirimi ya da insan kaynaklarından gelmiş izlenimi veren bir bağlantı paylaşır. Teknik sistemler ne kadar güçlü olursa olsun, bir çalışanın “Bu gerçekten doğru mu?” sorusunu sormadan hareket etmesi çoğu zaman bütün savunma katmanlarını anlamsız hâle getirebilir.

Çünkü sosyal mühendislik, bilgisayarları kandırma sanatı değildir.

İnsan davranışlarını öngörme sanatıdır.

Merak, acelecilik, otoriteye duyulan güven, ödül beklentisi ya da yardım etme isteği… İnsan zihninin bu doğal eğilimleri, binlerce yıl önce Truva’da nasıl kullanıldıysa bugün de aynı şekilde kullanılabiliyor. Teknoloji değişiyor; fakat insan doğası sandığımız kadar hızlı değişmiyor.

Kurumsal dünyada da benzer bir durumla karşılaşıyoruz. Şirketler güvenlik için milyonlarca dolarlık teknoloji yatırımları yapıyor; gelişmiş güvenlik duvarları, çok katmanlı kimlik doğrulama sistemleri, yapay zekâ destekli tehdit analizleri ve sayısız yazılım kullanıyor. Ancak çoğu zaman en büyük risk, ekranın diğer tarafındaki insan olmaya devam ediyor.

Belki de bu yüzden güvenlik yalnızca bilgi işlem departmanının sorumluluğu değildir. Aynı zamanda kurum kültürünün de bir parçasıdır.

Bir kurumun gerçek güvenliği, çalışanlarının hata yapmamasında değil; şüphe duymayı normalleştirmesinde saklıdır. “Bu e-posta gerçekten finans direktöründen mi geldi?”, “Bu bağlantıyı açmadan önce doğrulasam mı?” ya da “Bunu farklı bir kanaldan teyit edelim.” diyebilen ekipler, yalnızca daha güvenli değil, aynı zamanda daha sağlıklı bir iletişim kültürüne de sahiptir.

Liderlik de tam bu noktada devreye giriyor. Çünkü güçlü liderler, ekiplerinden körü körüne güven beklemez. Tam aksine, doğru zamanda soru sorabilen, gerektiğinde itiraz edebilen ve doğrulamayı alışkanlık hâline getiren bir çalışma kültürü inşa eder. Güven, sorgulamayı ortadan kaldırmak değildir. Güven, sorgulayabilmenin cezalandırılmadığı bir ortam oluşturabilmektir.

Siber güvenlik dünyasında son yıllarda giderek yaygınlaşan “Zero Trust” yani “Sıfır Güven” yaklaşımı da tam olarak bu düşünce üzerine kuruludur. Bu model, kimsenin kötü niyetli olduğu varsayımına dayanmaz; yalnızca hiçbir erişimin, hiçbir isteğin ve hiçbir bilginin doğrulanmadan kabul edilmemesi gerektiğini söyler. Belki de teknoloji dünyasının bugün “Zero Trust” dediği yaklaşım, Truva’nın binlerce yıl önce ödediği bedelin modern karşılığıdır.

Truva’nın surları zayıf değildi. Kapıları da kırılmamıştı. Şehir, düşmanın gücü yüzünden değil; kendi elleriyle içeri aldığı şeye duyduğu güven yüzünden düştü.

Aradan üç bin yıl geçti.

Ahşap atların yerini e-postalar aldı.

Kılıçların yerini zararlı yazılımlar aldı.

Orduların yerini siber saldırganlar aldı.

Ama değişmeyen tek bir şey var.

İnsan, hâlâ en güçlü güvenlik sistemi olduğu kadar en büyük güvenlik açığı olmaya devam ediyor.

Belki de Truva Atı bize yalnızca bir savaşın nasıl kazanıldığını anlatmıyordu. Asıl anlattığı şey, güvenin nasıl kaybedildiğiydi. Çünkü bazen kurumları yıkan şey, dışarıdan gelen saldırılar değildir. Sorgulanmadan içeri alınan fikirler, doğrulanmadan kabul edilen bilgiler ve sorgulamaktan vazgeçen kültürlerdir.

Ve belki de bu yüzden en güçlü kurumlar, en yüksek duvarları örenler değil; kapılarını açmadan önce doğru soruları sormayı öğrenenlerdir.