Kan Konuşmaz

 “Kan Konuşmaz” az bilinen bir Nazım Hikmet romanı, Komünist Nazım’ın romanı. 

İstanbul’un bir döneminden insan manzaraları sunuyor bizlere. 1936’da Orhan Selim takma ismiyle ‘Son Posta’ gazetesinde yayımlanan roman Birinci Dünya Savaşı öncesi İstanbul’da başlayıp, 1930’ların Cumhuriyet’ine kadar geliyor. Roman, toplumcu gerçekçiliği doğrudan doğruya okuyucuya aktarıyor. Okurken bir Yeşilçam film senaryosuna bakar gibi hissedebileceğiniz bölümler olsa da, Nazım’ın yazdığını hatırdan çıkarmazsanız, ustanın satır aralarında çizdiği İstanbul resimlerini, insan davranışlarını, dostluğu, ihaneti, sevgiyi, emeğin kutsallığını yakalıyorsunuz.

Esnaf olarak hayatını sürdürürken, savaşın getirdiği yıkım ve fakirlikten nasibini alan Nuri Usta ilk defa, işçi olmanın ne demek olduğunu anlayıp değişirken, daha önce çalıştığı köşkün evsahibinden hamile kaldıktan sonra Nuri Usta’nın eşi olan Gülizar ve oğul Ömer de, bu değişime ayak uydururlar.

Nuri Usta’nın güncel kahvehane sohbetlerinde tanıştığı kimi karekterlerle hayatı tahlil edişi ve savaş sırasında her şeylerini kaybederken, İstanbul işgal edilirken, fakirleşirken, nerdeyse yok olmaya yüz tutmuşken, birden bire tanıştığı komitacılarla başlayan dönüşümü arasında ki açı muazzam. Nuri Usta, artık daha çok okuyan, düşünen, sorgulayan ve aynı zamanda öğrendiklerini hayata geçirirken de işkenceden geçen birisi olur.

Nuri Usta’nın bu yolculuğu sırasında, Ömer de, savaştan ölüsü gelenlerin, daha da fakirleşenlerin, İstanbul Hükümeti’nin jurnalcılarının, işbirlikçilerinin, savaşı fırsat bilip daha da zenginleşenlerin ve tabii bütün bunlara sessiz kalmayıp isyan edenlerin arasında, Nuri Usta ile büyür. Doğduğundan beri anasının memesinden gayrı içemediği sütü ilk defa bir sütçü dükkanında Bulgar komitacı abisinden içerken, mahalle arasında sahip oldukları bir avuç leblebiyi ya da istifçi bakkaldan ‘kamulaştırdıkları’ bir teneke gazı paylaşırken çoktan devrimci olmuştur bile.

Nazım, o günleri yansıtırken tabii ki tercihlerini kullanıyor; kendi halinde yaşayan insanların yorgun bedenlerini savaşa taşırken kopan uzuvlarının utanç ve üzüntüsü ile ölümlerini resmederken, ölümün yoksullar için olduğunu, kalanların da devlete hizmet adı altında çalıştırılıp başkalarını zengin ederken, savaştan nemalananların hep varolduğunu...

Nazım Hikmet'in devrimci romantik anlatımıyla, sınıf bilinci gelişen Nuri Usta, Sait ve Stoyan yoldaşlardan aldığı birikimle, Ömer'in tasvirleriyle de, giderek daha da “kusursuz" bir karakter halini alıyor.

Romanda ki önemli simgelerden olan Ömer’in oyuncak trenine kimleri alıp almayacağını keskin netlikte seçmesi emekçi olan olmayanlara karşı gösterdiği tavır ile koşuttur.

Nazım anlatmak istediklerini hep dolaylı olarak, imgelerle, tasvirlerle anlatıyor. Bu belki onun romancı yanından belki de anlattıklarının o dönemin Türkiye’sinde sakıncalı olmasındandır. Bu dolaylamadan bence en çarpıcı ve detaylı olanı, Ömer’in avukatlık bürosu için bir hanın, küçük bir odasını tuttuğunda duvara astığı üç resimde saklı. Nazım’ın roman boyunca kullandığı referanslar bu resimlerde vücut buluyor ve Ömer’in dünya görüşünü somut olarak dışa vuruyor. Kitapta bu resimlerin kime ait oldukları açıkça söylenmiyor ama dikkatli okuyucular bunu kolayca anlayabilir.

Her filmde, romanda veya bir başka sanat eserinde olduğu gibi, o eserden size ne kaldığı, sizin birikiminiz, merakınız, algınız ve sanatçının yani Nazım’ın neyi düşünerek bunları yazdığı ile ilgilidir. Kitap, Meşrutiyet-Cumhuriyet arasındaki tarihi bir kesiti anlatırken, bu kesit kimine bir insanın hikayesini ve değişimini, kimine de bir ideolojinin etkin hale geldiğinde yeni bir insanı nasıl yaratabileceğini çok güzel anlatıyor.

Kitabı okurken, Nazım’ın kullandığı eski dil sebebi ile bazen sözlüğe başvurmak gerekiyor. Ama yine de kitaptan uzaklaşmadan devam edebiliyorsunuz.

Cüneyt Göksu, Kasim 2019

Birgun 

Kurumsallaşan Osmanlıca..

AKP’nin, “Osmanlıca”yı temel eğitimde zorunlu ders olarak müfredata sokma zorlaması, konuyu hemen gündeme yerleştirdi. 

Osmanlıca da günümüzde Sümer Dili, Latince gibi pratik kullanım karşılığı güncel hayatta pek olmayan ve neredeyse akademik bir dil durumundadır. Bu durumdaki diğer diller gibi Osmanlıca ya ihtiyacı olanlar da, üniversite öncesinde özel eğitim kurumları veya yabancı dil okullarından ya da akdemik seviye de üniversitelerden eğitim alabilir. Bu eğitimleri almanın önünde bir engel de yoktur.

Türkçe dışında bir başka dilin temel eğitimde zorunlu ders olmayıp, pratik karşılığı yaygın olan yabancı dillerin seçmeli ders olması gerekmektedir.

Bu aşamada bazı rakamlar vermek faydalı olur.

1897 tarihli Osmanlı İstatistik Yıllığına göre, bu tarihte okuryazarlık %10.5 oranındayken 1927‘de yapılan nüfus sayımında bu oranın çok fazla değişmediği, %10.7 oranında kaldığı görülmektedir. 

 1928 yılında harf devrimiyle okuryazar sayısı sıfıra düşmüş, bundan yedi yıl sonra, 1935 yılında okuryazarlık oranı %19.25‘e ulaşmıştır. Kısacası 1897 ile 1927 arasında Arap yazı sisteminin kullanıldığı 30 yıl boyunca %0.2 oranında artan okuryazarlık, Latin harflerinin kabul edildiği 1928‘den sonraki yedi yıl içinde %19.25 oranında artmıştır. Bu tarihlerden sonra da okuryazarlı oranının düzenli bir biçimde arttığı görülmektedir. Okuryazarlık oranlarındaki bu artışın nedeni, sadece yazı sistemindeki değişiklik olmasa da özellikle 1928-1935 arasındaki artışın nedenleri arasında Türkçe yazı sisteminin saydamlaşmasının önemli bir katkısının bulunduğu açıktır. Harf Devrimi sonrasında okuma yazma oranları, 1935’te, %20.4 ve 1950’de %33.6, 1960’da, %39.5 ve 2008’de %85.71’e ulaştı.

1928 yılında Latin harflerinin kabulüne kadar yoğun olarak süren, sonrasında da kısmen devam eden tartışmalarda, Arap harflerinin öğretilmesindeki zorluk dile getirilmiş, bu zorluğun nedeni olarak da sesbirimlerle, sesbirimleri gösteren harf ya da harf bileşiminden oluşan yazıbirimler arasındaki uyumsuzluğa vurgu yapılmıştır. Dillerin yazı sistemlerinde, tam bir yazıbirim-sesbirim örtüşmesinden söz etmek olanaklı olmamasına karşın, farklı farklı yazı sistemlerindeki saydamlığın derecelendirilebilir nitelikte olduğu savından yola çıkarak  Arap ve Latin alfabelerine dayalı yazı sistemleri, saydamlık bakımından karşılaştırılmıştır.

Türkçenin Latin alfabesine dayanan bugünkü yazı sistemi incelendiğinde, parçalarüstü sesbirimlere, <ğ> harfine ve ödünçleme sözcüklere ilişkin kimi durumlar dışında, her bir sesbirimin yazıbirimlerle tümüyle örtüşür durumda olduğu görülmektedir. Türkçenin Arap alfabesine dayanan yazı sisteminde ise ünlüleri gösteren yazıbirimlerin, Türkçedeki ünlüleri karşılayacak sayıda olmaması, aynı yazıbirimin birden çok sesbirimle ve tek bir sesbirimin birden çok yazıbirim ile etkileşim içinde bulunması saydamlığın Latin alfabesine göre çok daha düşük düzeyde olduğunu göstermektedir.

Arap alfabesine dayalı Türkçe yazı sisteminde sözcüklerdeki harf sayısı ortalamasının Latin yazı sistemindekine göre daha düşük olduğu açıktır.

Latin alfabesine dayalı bugünkü yazı sisteminde harf-sesbirim eşlemesinin %95.33 oranında tam olarak gerçekleştiği, buna karşın Arap alfabesine dayalı yazı sisteminde bu oranın %21.14 olduğu görülmektedir.

Saydam yazı sisteminin bir dilin sesbilimini de içeren sözcük tanıma işlemini kolaylaştırdığı varsayımından yola çıkarak yapılan çalışmalarda, saydamlığın okuma güçlüklerinin önemli etkenlerinden biri olduğu ileri sürülmüştür.

Tek etken olarak öne sürmek olanaklı olmasa bile Latin alfabesine geçişle yazı sisteminde gerçekleşen saydamlığın yazı sisteminin değişimi sürecinde okuryazarlık oranlarına yansıdığını varsaymak olanaklıdır.

Hal böyleyken ve AKP'nin bir siyasal islam ve karşı devrim projesi olduğu gerçeğinden de yaklaşarak,  Osmanlıca'nın 'zorunluluk' olarak temel eğitime sokulması, gericileştirme ve daha önemlisi aydınlanmanın, her ne kaldıysa, kazanımlarını topyekün yok edip kendi insanını yaratma işinin bir parçasıdır. Mecburi din dersleri, karma eğitimin sonlandırılması gibi gericiliğe alet edilen bir durumdur bu Osmanlıca öğrenme zorlaması.

Osmanlıca da öğrenilmelidir ve öğrenmek isteyenlere imkan da sunulmalıdır. Ama temel eğitimde körpecik beyinlerin öncelikle öğrenmesi gereken anadilleri olan Türkçe'dir. Yetişkin olduklarında neye inanacaklarına neyi konuşacaklarına kendileri karar vermelidir.

Kaynak : Elifbâdan Alfabeye, İki Yazı Sisteminde Yazıbirim-Sesbirim Etkileşimi, Özgür Aydın

Boyun Eğmeyenler Yoğurtçu Park'ındaydı.

Kadıköy soL Cephe'nin toplantısı için, bir güzel bahar akşamı, Kadıköy Yoğurtçu Park'ta buluştuk.

Akademisyen Zeynep Güler, Gazeteciler Merdan Yanardağ, Şükran Soner ve Barış Pehlivan ve sol Cephe'den Aydemir Güler'i dinledik.

Değerli konuşmacılardan, Değerli değerlendirmeler geldi. Not aldığım başlıkları paylaşmak istedim.

- Gezi'den beri süregelen "Kahrolsun Bazı Şeyler" sloganı pek güzel, pek zeki, pek esprili ama artık yeterli değil. Bireysel olarak yapılan bütün üretimler, bir araya gelmedikçe, örgütlü olarak, tek ses, tek vücut olarak davranmadıkça AKP'nin kendinden olmayanlara karşı zulmü artacak. Espri zamanı bitti. Örgütlü olarak çalışma zamanıdır.

- Soma örneği bir defa daha gösterdi ki, sektörün bütün iş kollarında ister mavi yaka, ister beyaz yaka olsun, taşaron işçi çalıştırma, çalışanların yararına olmadı, olmayacak. Biz çalışanlar bunu hak etmiyoruz.

- En büyük eksiklik toplumdaki muhalif ve alternatif hareketi örgütleyip tek ses, tek vücut haline getirmek. Birşeyler yapmak isteyen, potansiyeli olan ama meclis içindeki mevcut sol muhalefetin buna cevap veremediğini gören çok insan var. Adaletli, vicdanlı, bütünlükçü bir birliktelik ihtiyacı var. Gezi, "direniş medyası" denen bir medyayı yarattı. Sürekli iktidarın sesi ve yayın organı gibi çalışan yandaş medyaya alternatif olarak, "Direniş Medyası"nın dinlenmesi, izlenmesi önemli.

- Soma olaylarında HaberTürk'ün haber verişinde sürekli Soma Holding'in üzerine çalışması ve iktidara yönelik eleştiri yapmaması veya çok az yapmasını Barış Pehlivan şöyle açıkladı. 10 Subat 2011'de Afsin'de ki Maden Kazasında 9 işçi ölmüştü. O Madeni işleten HaberTürk sahibi Ciner Holding'ti. O işçilerin cenazeleri dahi çıkartılmadı. İşte şimdi Haber Türk'ün Soma Holding'e yüklenmesinin en önemli sebebi rekabet, yani ihalelerden daha çok pay almak,,, başka birşey değil.

- Geçmiş yıllarda, Zonguldak Direnişi'nde işçilerin kalkıp, Ankara'ya yürümesi ve haklarını söke söke almasına rağmen, üstelik bütün bunların 12 eylül'ün gölgesinde, neoliberal uygulamaların neredeyse engelsizce ve özgürce uygulandığı o dönemde yapılmasıyla birlikte, şimdi Soma'daki madencilerin bırakın haklarını daha çok aramasını, işi bırakmasını, madenin hemen açılıp, işlerinin başına, aynı ölüm riskleriyle birlikte dönme istekleri çok tartışıldı. İşçilerin bu çaresizliğinin nedenleri, çaresizlik içinde bırakılma koşulları değerlendirildi.

- AKP'nin kendine oy vermeyen kitleyi dışlaması, millet iradesinin dışında tutması, "Kütülüğü Toplumsallaştırmak" olarak adlandırıldı. Daha da kötüsü, toplumu bu kadar bilinçli ve sistematik olarak ayrıştıran AKP, kendine oy veren vatandaşlarımızı da bu kötülüğe ortak ediyor.

soL Cephe, Türkiye'de son dönemde en önemli eksiklik olan örgütlülüğe yeni ama tecrübeli bir bakış açısı getiren, toplumun çok farklı kesimlerinden, farklı partilerden, meslek örgütlerinden insanların bir araya geldiği, el verdiği partiler üstü bir yapılanma, "Boyun Eğmeyelerin" birarada durma platformu.

1980’den 2014’e...

Koç Holding'in kurucusu Vehbi Koç 3 Ekim 1980'de, daha darbenin üzerinden bir ay dahi geçmeden, Kenan Evren'e aşağıdaki mektubu yazmış ve Kenan Paşa'ya başarılar dilemişti. Bu mektup aslında içler acısı, talihsiz, kötü bir manzumedir, üzerine çok konuşulmuştur tekrar etmeyeceğim, metin kendini kendisini anlatıyor. Ama 30 yıl sonra, 2014'e geldiğimizde günümüzün Koç Holding Yönetim Kurulu Başkanı Mustafa Koç'un, cemaat liderinin huzuruna, ABD'ye gidip görüştüğü haberleri paylasilinca bu metin hafızamda canlandı.

Vehbi Koç'un, bütün varını yoğunu borçlu olduğu Türkiye Cumhuriyet'ine en kanlı darbeyi yapan Kenan Paşa'sına methiyeler düzmesi, biat etmesi ile, Mustafa Koç'un onbir yıldır AKP ile bu ülkeyi beraber yöneten ve 17 Aralık 2013'den beri kanlı-bıçaklı olan Fetullah Gülen'e babası gibi "saygılarını sunması" arasında ne fark var?

Belki babası gibi "Komünist Parti'nin, solcu örgütlerin, Kürtlerin, Ermenilerin, birtakım politikacıların kötü niyetli teşebbüslerini" jurnallememiştir ama Gezi'de direnişçilere kapılarını açan Divan Oteli'nin sahibi olarak gösterdiği davranışla taban tabana zıt bir harekettir yaptığı.

Ama kendi içinde tutarlıdır. Sermaye kendini korumak için her kılığa girer.

Jose Marti'nin bir sözü vardır. "Efendi değiştirmek, özgür olmak demek değildir"

Sermayenin ve yarattığı, sürüklediği tehlikenin farkındamısınız?

soL

---

 

"Emrinize amadeyim"

3 Ekim 1980

Vehbi Koç, Koç Holding Yönetim Kurulu Başkanı

"Sayın Kenan Evren,

Yakalanan anarşistlerin ve suçluların mahkemeleri uzatılmamalı ve cezaları süratle verilmelidir. Polis teşkilatı teçhiz edecek ve onu kuvvetlendirecek imkânlar genişletilmeli, gerekli kanunlar bir an önce çıkarılmalıdır.

İşçi-işveren ilişkilerini düzenleyecek olan kanunlar asgari hata ile çıkarılmalıdır. Bazı sendikaların Türk Devleti'ni ve ekonomisini yıkmak için bugüne kadar yaptıkları aşırı hareketler, göz önünde bulundurulmalıdır.

DİSK'in kapatılmış olmasından dolayı bir kısım işçiler sendikal münasebetler yönünden bekleyiş içindedirler. Militan sendikacılar bu işçileri tahrik etmek ve faaliyeti devam eden sendikaların yönetim kadrolarına sızarak davalarını devam ettirmek niyetindedirler. Bu durum bilinerek hazırlanacak kanunlarda gerekli tedbirler alınmalıdır.

Komünist Parti'nin, solcu örgütlerin, Kürtlerin, Ermenilerin, birtakım politikacıların kötü niyetli teşebbüslerini devam ettirecekleri muhakkaktır, bunlara karşı uyanık olunmalı ve teşebbüsleri mutlaka engellenmelidir. Zatıalilerine ve arkadaşlarınıza muvaffakiyetler temenni ediyorum. Emrinize amadeyim."

 

Örtülü Ödenek Nedir? İyi midir? Kötü müdür?

En genel tanımıyla örtülü ödenek hükümetlere, devlet başkanlarına veya kurumlara, bir mali yıl içindeki bütçeden ayrılmış, kullanma şartları ve yöntemleri konusunda seçenekler sunan ama kullanıcısı tarafından harcama esnekliği de bulunan, belli bir program ve projeye direkt bağlanmamış harcama kalemi olarak adlandırılır. 

İyi niyetli olarak bakılırsa, bu para, meclis veya daha üst bir kurumun onayı olmadan, hükümetin, hedeflerini yerine getirmesinde yardımcı olacak, bürokrasiyi aradan çıkartacak bir araç gibi görülebilir. Diğer taraftan ise, nereye harcandığının hesabı sorulamayacak, kötü niyetli olarak da kullanılması olası bir harcama hakkı olabilir!...

Türkiye'de durum şu şekilde:

Örtülü ödenek harcamaları 5018 sayılı kanunda tanımlanıyor: "Örtülü ödenek, kapalı istihbarat ve kapalı savunma hizmetleri, Devletin millî güvenliği ve yüksek menfaatleri ile Devlet itibarının gerekleri, siyasi, sosyal ve kültürel amaçlar ve olağanüstü hizmetlerle ilgili Hükümet icapları için kullanılmak üzere Başbakanlık bütçesine konulan ödenektir."

Bu tanım oldukça geniş kapsamlı. Başbakanlığa neredeyse her koşul için parayı özgürce kullanma hakkı veriyor. Örtülü ödenek harcama miktarlarındaki artış oranlarına baktığımızda 2005-2006 ve 2011-2012'de ödenek %100'e yakın artmış, AKP'nin iktidara geldiği 2002 yıldan beri ise toplam 6 kat arttırılmış. 2013'de, Mayıs'a kadar yapılan harcamalar neredeyse 2012'de yapılan harcamanın tamamına yakın. Yapılan harcamalar bütçede "gizli hizmet giderleri" olarak gözüküyor. Daha fazla detay yok. 

Dünya'daki örtülü ödenek" uygulamalarına göz atarsak;

ABD'de, Kongre her yıl, Başkan tarafından kullanılacak örtülü ödeneğin miktarını onaylar ve bu yetkiyi Başkan'a verir. 2012 yılında, ABD bütçesinin %17'sine karşılık gelen miktar, savunma harcaması olmamak şartıyla ayrılır. Örneğin genel bütçede savunma için ayrılan pay %19. ABD'deki uygulamanın Türkiye'deki uygulamadan iki farkı gözüküyor. Örtülü ödeneğin kullanma şartları bizimki kadar esnek değil. Özellikle "non-defense (savunma dışı)" olarak belirtilmiş olması, nerede kullanılamayacağını gösteriyor. ABD'deki uygulamanın denetlenebilir olduğunu görüyoruz. Kullanım hakkı verilmiş ama aynı zamanda nereye kullanıldığının da açıklanması gerekiyor. En azından kağıt üstünde ve resmi olarak durum böyle!

Avustralya'da da durum benzer. Örtülü ödenek yıllık olarak tahsil ediliyor. Sadece kamu hizmetleri için kullanılabiliyor. Kamu hizmeti olmak şartıyla başka bir kurumun kullanımına aktarılabiliyor. Yıl sonunda paranın hangi hizmetler ve kurumlarda kullanıldığının belgelenmesi ve duyurulması gerekiyor. 

Yukarıdaki teknik detayları kenara bırakırsak Türkiye'deki uygulama ile dünyadaki diğer uygulamalar arasında temel iki fark var.

1) Örtülü Ödenek, sahibine harcama özgürlüğü veriyor, ama aynı zamanda, hangi konularda harcama yapılamayacağının da çerçevesini çiziyor.

2) Alınan harcama onayı, istendiğinde, bu paranın kullanılabileceği anlamını taşıyor ama sonrasında nereye harcandığının açıklanması ve denetlenebilir olması da bekleniyor. 

Türkiye'deki uygulama değişmediği sürece, örtülü ödenek, toplum vicdanında faydasından çok, gizemi ve kötü uygulamaları ile anılır olmanın önüne geçemeyecek.

soL 

SEÇSİS ve COBIT

Dünyada ve Türkiye’de 1990’lı yılların sonları, 2000’li yılların başlarında yaşanan, Bilgi Sistemleri’nin kötü niyetli kullanımları sonucu ortaya çıkan bazı skandallar (Enron, WorldCom, vb.), Bilgi Sistemleri Denetimini önemli bir konu haline getirmiştir. Türkiye’de de finans sektöründe ve özellikle bankalarda yaşanan bir takım sorunlar sonrası tüm bankaların çeşitli açılardan denetlenmesi kararlaştırılmıştır. Bu nedenle resmi bir kuruluş olan BDDK (Bankalararası Düzenleme ve Denetleme Kurulu) kurulmuştur.

Bankaları gerek finansal gerekse bilgi sistemleri açısından denetleme yetkisine sahip olan BDDK, yayınlamış olduğu “Bankalarda Bilgi Sistemleri Yönetiminde Esas Alınacak İlkelere İlişkin Tebliğ” içerisinde, tüm bankaların Bilgi Sistemlerinin kontrol altına alınması ve denetlenmesi için kullanılacak çeşitli ilkeleri tanımlamıştır. Bu ilkeler hazırlanırken, özellikle iç kontrollerin oluşturulması ve takibine ilişkin olarak, ISACA (Information Systems Audit and Control Association – Bilgi Sistemleri Denetim ve Kontrol Birliği) adlı uluslarası bir meslek kuruluşunun geliştirdiği, bilgi sistemlerine ilişkin kontrolün sağlanmasına yönelik yöntemlerin belirlendiği COBIT çerçevesi temel alınmıştır.

COBIT (Control Objectives for Information and Related Technology – Bilgi ve İlgili Teknoloji İçin Kontrol Hedefleri) bilgi ve ilgili teknolojik bileşenleri kontrol altına alabilmek için kapsamlı bir süreç çerçevesi sunmaktadır. Bu çerçeve tanımlanırken Bilgi Sistemleri tarafından gerçekleştirilen farklı işler göz önünde bulundurularak, kapsam olabildiğince geniş tutulmuştur. Yıllar yılı bir çok uzmanın katkısıyla gelişen COBIT’in en son yayınlanan versiyonu COBIT 5’dir. COBIT 5 içerisinde tanımlanan 37 süreç ile, baştan sona Bilgi Sistemleri kontrol altına alınmaktadır.

Bilgi Sistemleri yönetimine ilişkin genel kontroller dışında, COBIT içerisinde uygulamalara ilişkin kontroller de yer almaktadır. BDDK tarafından da, bankalarda yer alan kritik uygulamaların kontrol altına alınabilmesi amacı ile kullanılmakta olan bu uygulama kontrolleri en temel olarak aşağıdaki şekilde özetlenebilir:

• Veri oluşturma/yetkilendirme kontrolleri: Sadece yetkilendirilmiş personelin, daha önceden belirlenmiş bir şekilde verileri toplaması/hazırlaması sağlanır. Veri oluşturma sürecinde meydana gelebilecek hataların ve düzensizliklerin tespit edilmesi hedeflenir.

• Girdi kontrolleri: Yalnızca yetkilendirilmiş personelin, belirlenmiş kaynaklar aracılığı ile tanımlanmış yöntemleri kullanarak veri girişi yapılabilmesi sağlanır. Hatalı girilen verilerin belirlenmesi ve hataların gecikmeksizin düzeltilmesi hedeflenir.

• Doğruluk, bütünlük ve aslına uygunluk kontrolleri: Yetkilendirilmiş personel veya sistem tarafından üretilen, ya da arayüzlerden işlenmek üzere girilen verilerin doğruluk, bütünlük ve aslına uygunluğa ilişkin çeşitli kontrollere tabi tutulması sağlanır. Hatalı olduğu belirlenen verilerin düzeltilmesini ve tekrar işleme alınması hedeflenir.

• Veri işleme kontrolleri: Sisteme girilen verilerin, doğru bir şekilde işlenip işlenmediğinin doğrulanması sağlanır. Bu kontroller ayrıca, çalıştırmadan çalıştırmaya kontrol toplamları ve esas dosya güncelleme kontrolleri gibi yeterli güncelleme kontrollerinin varlığını da temin eder. Veri işleme sırasında belirlenebilecek hatalı hareketlerin ve diğer geçerli hareketleri kesintiye uğratması engellenir.

• Çıktı kontrolleri: Uygulamaların, sadece yetkilendirilmiş personel tarafından belirlenen yöntemler aracılığıyla çıktılar sağlaması hedeflenir. Çıktıların muhafazasına ve dağıtımına yönelik gizlilik ve güvenlik gereksinimleri tanımlanır ve bu doğrultuda çalışılması sağlanır. Denetim izleri, hareketlere ilişkin işlemlerin takip edilmesini ve sorunlu verilerle ilgili mutabakat sağlanmasını kolaylaştırır.

• Verilerin (hareketlerin) aslına uygunluğu ve bütünlüğü yönelik kontroller: Verinin uygulama (ve/veya kurum) dışına çıkartılması öncesi, verinin aslına uygunluğunun ve bütünlüğünün kontrol edilmesi sağlanır. Hassas bilginin, iletim ve nakil esnasında, yetkisiz erişim, değişiklik ve yanlış yönlendirmeye karşı uygun bir biçimde korunması hedeflenir.

Yukarıda özetlemeye çalıştığımız uygulama kontrolleri Seçsis için aşağıdaki sorulara cevap bulunmasını sağlayacaktır:

• Seçsis’e girilecek veriler, doğru biçimde, yetkili kişiler tarafından hazırlanıyor mu?
• Seçsis’e veri girişi, sadece yetkili personel tarafından tanımlanan yöntemler ile gerçekleştiriliyor mu?
• Seçsis’e verilerin girişi sonrası, verilerin doğruluğu, aslına uygunluğu kontrol ediliyor mu?
• Seçsis’e girilen verileri, uygulama doğru bir şekilde işliyor (örneğin doğru bir şekilde topluyor) ve raporluyor mu?
• Seçsis üzerinde gerçekleştirilen tüm işlemler kayıt altına alınıp, izlenebiliyor mu? Sadece yetkili kişilerin, “görevlerin ayrılığı” ilkesine uygun bir şekilde uygulamaya kısıtlı olarak erişimleri sağlanabiliyor mu?
• Seçsis’e girilen veriler, iletim, nakil ve saklama esnasında, yetkisiz erişim, değişiklik ve yanlış yönlendirmeye karşı uygun bir biçimde korunuyor mu?

Türkiye’de yer alan tüm bankalar, BDDK tarafından yayınlamış tebliğ doğrultusunda, “varlıklarının korunmasını, faaliyetlerinin etkin ve verimli bir şekilde Kanuna ve ilgili diğer mevzuata, banka içi politika ve kurallara ve bankacılık teamüllerine uygun olarak yürütülmesini, muhasebe ve finansal raporlama sistemlerinin güvenilirliğini, bütünlüğünü ve bilgilerin zamanında elde edilebilirliğini sağlamak üzere” bilgi sistemlerine ilişkin iç kontrolleri (genel kontroller ve uygulama kontrolleri) oluşturmak ve takip etmek zorundadırlar.

Yönetmelikte ifade edilen iç kontrol faaliyetlerinin bir parçası olarak, bilgi sistemleri kontrollerinin etkinliğinin, yeterliliğinin ve uygunluğunun yanı sıra kontrol ile hedeflenen risk ya da risklerin etkisini azaltmaya yönelik performansı devamlı bir şekilde takip edilir ve değerlendirilir. Değerlendirme neticesinde tespit edilen önemli kontrol eksikleri üst yönetim ya da ilgili komitelere raporlanır ve gerekli tedbirlerin alınması sağlanır. BDDK, bankaların tebliğe uygun bir şekilde hareket edip etmedikleri denetlemek için yetkilendirdiği/lisansladığı denetim firmalarından yararlanmaktadır.

Bu sayede BDDK, geçmişte yaşanan “çifte kayıt skandalı” olarak da bilinen skandalların önüne geçmeyi hedeflemektedir. Hatırlanacağı üzere, 3 Temmuz 2003 tarihinde BDDK tarafından İmar Bankası’na el konulmuş ve banka TMSF’ye (Tasarruf Mevduatı Sigorta Fonu) devredilmişti. Yapılan incelemelerde, İmar Bankası’nda biri resmi, diğeri gizli çifte hesap sistemi kullanıldığı ortaya çıkarılmıştı.

Benzeri bir yapılanmanın mevcut seçim sistemi için de uygulanması mümkün görünmektedir. Yüksek Seçim Kurulu kararıyla oluşturulacak resmi bir kuruluşun, seçim sistemi kapsamında baştan sona tüm BT süreçlerini ve ilgili uygulamaları kontrol altına alması yukarıda kısaca özetlediğimiz iç kontrollerin oluşturulmasını ve takip edilmesini sağlaması mümkündür. Bu konuda yetkilendirilmiş bağımsız BT denetim firmalarının denetimleri gerçekleştirmesi ve denetim sonuçlarının YSK ile tüm siyasi parti yetkililerine gönderilmesi, seçim sistemine ilişkin soru işaretlerinin giderilmesini sağlayacaktır.

Derleyen: Gönüllü bilişim dostları adına Cüneyt Göksu

Kahve Molasi

soL
Birgun

Yüksek Seçim Kurulu – SEÇSİS Sistemi hakkında değerlendirme ve öneriler

PDF olarak indirmek için

Seçim Güvenliği Raporu 1:

Yüksek Seçim Kurulu – SEÇSİS Sistemi hakkında değerlendirme ve öneriler 

Giriş

Seçim güvenliği kavramı üç başlıkta ele alınabilir: 

1) Seçmen kütüklerinin hazırlanması 

2) Oy kullanılması

3) Kullanılan oyların sayılması, toplanması, değerlendirilmesi ve saklanması. 

Seçim güvenliğinin yukarıdaki bütün altbaşlıklarıyla beraber ne kadar fazla gerçekleşip gerçekleşmeyeceği siyasi karar ve beraberinde iyi bir örgütlenme gerektirir. Özellikle birinci ve üçüncü aşamalarda bilgi işlem sisteminin çok özel bir yeri vardır. Bu raporda özellikle üçüncü aşamada, bilgi işlem seviyesinde, karşılaşılan eksiklikler ve çözüm önerilerine odaklanılmıştır. 

Geçtiğimiz yıllarda ve seçimlerde, sonuçların değiştirildiği veya yeniden düzenlendiği şüphesiyle karşılaştık. Hatırlanırsa 2007 Temmuz ayında yapılan seçimlerde gece saat 23.00’den sonra oy dağılımının süratle iktidar partisi lehine çevrilmesi akıllarda önemli şüpheler bırakmıştı. Şehir dışındaki tarlalarda üzerinde “evet” oyu basılmış oy pusulalarının bulunması da bu şüpheleri arttırmıştı. 

Geçmiş seçimler geçmişte kaldı ve sonuçlar YSK tarafından onaylandı. Bu nedenle, eskiden olanları değil önümüzdeki seçimleri düşünerek mevcut seçim sistemi teknolojisini inceleyen ekteki rapor, önerilerle birlikte hazırlanmıştır. 

Bu çalışmanın amacı 2013 yılından itibaren yapılacak seçimlerde, mevcut seçim teknolojisinin olası eksiklerini ve yapılması gerekenleri öneriler şeklinde ortaya çıkarmak ve kamu ile paylaşmaktır. Olası seçim hilelerine karşı bir dizi önlemlerin neler olabileceği konusunda öneriler hazırlayarak  tüm siyasi partilerin ve Yüksek Seçim Kurulu(YSK)’nun bilgisine sunarak halkımızın zihninde oluşan şüpheleri en aza indirmeye çalışmak ve daha iyimser bir tahminle ortadan kaldırmaktır. 

Bu önerilerden tamamen veya kısmen yararlanmak YSK’nın seçimine bağlıdır. Ancak, seçimlerin Anayasa ile “bağımsız yargı” güvencesine alındığı, bağımsız yargının da en küçük kuşkuyu bile içinde barındırmayan yargı olduğu unutulmamalıdır. Seçimler, hiçbir kuşkuya yer vermeyecek açıklık ve netlikte olmalı, YSK da bu güvenceyi sağlamalıdır.

Çeşitli kişi ve kuruluşlarca sanal ortamda ortaya atılan iddiaların bazıları

1. Bazı iddialara göre YSK’nın geçen seçimlerde kullandığı işletim sistemi programı Avrupa’da terk edilmiştir.  Çünkü bu programa dışarıdan müdahale edilmesine olanak sağlayan açıklar ABD seçimlerinde basına yansımıştır. Almanya 2009 yılında bu sistemin güvenli olmadığını anlayarak sistemden vazgeçmiş, Yunanistan ise şaibeli gördüğü bu program için Almanya’nın yolundan gitmiştir. 

2. Özellikle kırsal bölgelerdeki sandık sonuçları tutanaklarından bazıları ilçe seçim kuruluna getirilirken yolda değiştirilmiştir. Delil sayılacak geçerli oy pusulaları etrafa atılmış yerine önceden basılan sahteleri yerleştirilmiştir.

3. Sandık başlarında görevli muhalefet partisi temsilcilerinden bazıları diğer partilerin değil sadece kendi siyasi partilerinin sonuçlarını not etmişlerdir. Kendilerine sandık sonucu tutanaklarının bir resmi kopyası verilmemiştir. 

4. Oy verenlerin parmaklarının eskiden olduğu gibi silinemeyecek şekilde boyanmaması bazı kritik bölgelerde mükerrer oy verilebilmesine olanak tanımıştır. 

5. Tutanakların, veri girişiyle ilçe, il ve nihayetinde ülke çapında birleştirilmesi sırasında, ekrana yansıyan sonuçlarla oynanabilmekte, bu sonuçlarla tutanakların oy pusulalarının karşılaştırması yapılmamaktadır. 

Türkiye'de Kullanılan Sistemin Özellikleri

- YSK ile ilçe seçim kurulları arasındaki bağ Adalet Bakanlığı'nın kontrolündeki UYAP üzerinden yapılmaktadır.

- YSK merkezinde mevcut kurulu ana bilgisayar Oracle Sun yazılım ve donanımıdır. 

- İlçe seçim kurullarında ise Windows İşletim Sistemi yüklü standart bilgisayarlar kullanılmaktadır.

- ORACLE ve RAC Agent veri tabanı ile Havelsan tarafından geliştirilmiş olan Java (J2EE) uygulamalı SEÇSİS yazılımı yüklüdür.

- SEÇSİS, 1986'da Hacettepe Üniversite'since oluru alınmış bir proje ve oldukça eskiye dayanıyor. Projenin yasal dayanağı 298 Sayılı Seçimlerin Temel Hükümleri ve Seçmen Kütükleri Hakkında Kanun’dur.

- 1987 yılında Sistem Çözümleme ve Tasarım Raporu hazırlanmış, 1988 yılında ilk pilot uygulama olarak Ankara’nın Çankaya, Bala, Şereflikoçhisar ilçelerinde seçmen yazımı yapılmış ve prototip bir yazılımla halkoylamasında kullanılmıştır.

- 1989 yılında, aynı Üniversite tarafından hazırlanan SEÇSİS Projesi Olurluluk Raporu Yüksek Seçim Kurulu’nca kabul edilmiş ve 2004 yılına değin kullanılan “çevrim-dışı” (off-line) SEÇSİS Sisteminin geliştirilmesi kabul edilmiştir. Yani Seçim sonuçları, Ankara'ya fiziksel olarak ulaştırılıyor ve burada veri girişi yapılarak, seçim sonuçları ve istatistikler merkezi olarak işlenip ortaya çıkıyor.

- Gelişen bilişim teknolojisine paralel olarak, çevrim-dışı bu uygulama ile projenin etkin ve verimli çalışmayacağı görülerek 2005 yılında, ilçelerin web tabanlı çevrim-içi çalışmasına imkan veren günümüz teknolojisine uygun yapıya geçiş kararlaştırılmıştır. Bu süreçteki en önemli özelliklerden birisi MERNİS KPS sistemi ile bütünleşik çalışma özelliği. Ayrıca seçim sonuçlarının ilçelerden merkeze hızlı ve güvenilir aktarılması da bir hedef olarak belirlenmiş.

- Tüm il ve ilçe seçim kurullarındaki uç bilgisayarların veri tabanına ulaşmaları VPN (Virtual Private Network / Sanal Özel Ağ) üzerinden sağlanmaktadır.

- Sunucuların, aktif ağ cihazlarının ve güvenlik sisteminin merkezden izlenmesi için CA firmasının yazılımları kullanılmıştır.

- SEÇSİS omurga ve portal anahtarı, portal güvenlik duvarı, portal saldırı tespit ve korunma sistemi, portal yük dengeleyici olarak Cisco ürünleri kullanılmıştır. Portal için ayrı bir antivirüs sistemi mevcuttur.

- En önemli güvenlik önlemi, Kuruma özgü SEÇSİS Uygulama ve halka açık SEÇSİS Portal sistemlerinin birbirinden tümüyle bağımsız bir yapıda tasarlanmış olmasıdır. Sistem; Internet’e dayalı SEÇSİS Portal Sistemi ile SEÇSİS Kurum ağı olarak 2 bölümden oluşuyor yani birbirlerinden bağımsız iki ortam var. Portal yani www.ysk.gov.tr Internet'e açık olan, YSK kurum bilgilerinin ve duyuruların kamu ile paylaşıldığı altyapı, Kurum Ağı ise INTERNET'E KAPALI, Adalet Bakanlığı'nın kapalı ağı olan UYAP'ı kullanan bir başka altyapı.

- UYAP üstünden aktarılan YSK verilerinin, VPN (Virtual Private Network) yöntemiyle kriptolanarak, VPN tünelleri içinden taşınması yolu benimsenmiştir. Bu sayede, YSK verilerinin ilçe-merkez arasında taşınması sırasında görüntülenmesi, değiştirilmesi ve bozulması önlenmektedir. Adalet Bakanlığı, Hükümet içinde siyasi otoritenin kontrolünde olan bir kurum, YSK ise siyasetten uzak olması gereken bir başka kurum. Bu bağlamda YSK hiç olmaması gerektiği halde, sadece finansal gerekçeler gösterilerek, VPN ve sertifika gibi teknik çözümler geliştirilerek, UYAP'ı kullanıyor. Her ne kadar VPN ve sertifika olanakları ile UYAP ağından yalıtık olduğu ve güvenli olduğu söylense de, gerçekten birbirinden fiziksel olarak apayrı olan ağların sağlayacağı güvenlik seviyesi ve yalıtımın oluştuğu söylenemez. Bu da şimdiye kadar her seçimde SEÇSİS'e getirilen eleştirilerden oldu.

- Kullanıcı şifre denetimi vardır. Bir kullanıcı adı ile sadece bir bilgisayarda çalışılabilir. Şifreler, personelin unvanlarına ve yapacakları görevlere göre verilmektedir. Bu yolla, hangi sisteme kim ne zaman girdi, hangi işlemi ne zaman yaptı gibi, soruşturmalarda yararlanılacak izleme (log) bilgileri işlem düzeyinde tutulmakta, bunlardan sıkça görülmesi istenenler uygulama yazılımının “Geri İzleme” bölümünde ekrandan yetkili personelce görülebilmektedir.

- Merkezdeki “Sistem Yönetim Yazılımı”, farklı sistemlere girişlere ilişkin izleme kütüklerini merkezi olarak saklamakta ve bunlar üzerinde çeşitli sorgulamaları kolay ve bir bütün olarak yapmaya izin vermektedir. Bu altyapı sayesinde, Kurum dışından gelebilecek (dış) tehditlerin yanı sıra, Kurum içinden gelebilecek (iç) tehditlere karşı da etkili önlem alınmış olmaktadır.

- SEÇSİS Uygulama Sistemi özel bir kurum ağına dayalıdır. Bu nedenle, herkese açık Internet’e özgü güvenlik tehditleri bu ağ için söz konusu değildir. Ancak, Merkezdeki sunucu bilgisayar sistemleri UNIX/LINUX işletim sistemi altında çalışıyor olsa da, MS Windows XP işletim sistemi altında çalışan ilçelerdeki uç bilgisayarların virüs ve benzeri kötü niyetli yazılımlar taşıyabilme potansiyeli düşünülerek, SEÇSİS Uygulama Sisteminin ağ girişine, güçlü bir virüs tarama yazılımı da monte edilmiştir. İlçelerden Merkeze aktarılan tüm veriler, her olasılığa karşı, bu virüs tarayıcıdan geçerek sisteme ulaşabilmektedir. Merkezi Bilgisayar sistemi Unix tabanlı ve virütik saldırılara kapalı olduğu söylense de uç  noktalarda ki Windows tabanlı bilgisayarlar her zaman bu tip saldırılara açıktır. Bu da olası bir başka güvenlik açığını beraber getirmektedir. ABD için çalışırken "köstebek" haline gelen ve ABD istihbaratının dünya çapındaki skandallarını ortaya çıkartan Edward Snowden, bilişim dünyasının tekeli Microsoft'un da istihbarat servislerine yardımcı olduğunu söyledi. Guardian'ın Snowden'den elde ettiği belgelere göre, Microsoft hem Ulusal Güvenlik Servisi (NSA), hem de FBI ile koordineli çalışıyor.

- SEÇSİS Merkezi Seçmen Veri Tabanı, sistemde, hataya dayanıklı RAID (1+0) yapısında, yüksek sığalı (10TB) Anlayışlı Disk Sistemi üzerinde tutulmaktadır. Bu yüksek sığa sayesinde, veri tabanı, disk üstünde sık sık yedeklenmekte ve birden çok kopya olarak saklanmaktadır. Bunun yanı sıra, sistemdeki tüm veriler, günde 3 kere disk sisteminden bağımsız teypler üstünde de otomatik olarak yedeklenmektedir. Bu teyplerin bir kopyası, coğrafi olarak, başka bir mekanda da tutulmakta ve bu yolla, sistemi (sel, deprem, yangın, vb.) felaketten kurtarma olanağı da yaratılmaktadır.

- SEÇSİS Portal Sistemi, adından da anlaşılacağı üzere, halka, dolayısıyla Internet’e ve dış saldırılara açık bir sistemdir. Bu nedenle, saldırı tespit ve koruma, güvenlik duvarı ve virüs koruma sistemleridir.

- Saldırı tespit ve koruma sistemi, SEÇSİS Portal Sisteminin Internet’e bağlantı noktasında yer alıp, UNIX/LINUX işletim sistemleri altında çalışan Portal Veri Tabanı ve Uygulama Sunucularına, dış dünyadan sızmaları önlemek için öngörülmüştür. Bunun yanı sıra, Portal sistemindeki veriler “salt okunur” nitelikte öngörülmüş olup değiştirilmeleri engellenmektedir. Saldırı tespit sistemi, daha çok Portal Sisteminin bütünlüğü (integrity) ile kullanılabilirliğine (availability) karşı ve izinsiz giriş (unauthorized login) tehditlerine yönelik düşünülmektedir.

- Portal sistemi, SEÇSİS Uygulama Sistemine özgü, Seçmen ve Seçim Sonuçları gibi veri tabanlarından üretilmiş “kopya” veri tabanlarını kullanmaktadır. Bu verilerin bir biçimde bozulmuş olması SEÇSİS Uygulama Sisteminin veri bütünlüğüne yönelik herhangi bir tehdit de oluşturmamaktadır.

- Güvenlik duvarı (Firewall), saldırı tespit ve koruma sistemi gibi, SEÇSİS Portal Sisteminin Internet’e bağlantı noktasında yer almaktadır. TCP/IP sistem ağ yazılımlarının güvenlik açıklarından kaynaklanan saldırılara yönelik öngörülmüş olup gerekli tüm filtrelemeler ile erişim denetimleri bu sistem sayesinde gerçekleştirilmektedir.

- Portal sisteminin Internet’e bağlantısı, aynı zamanda Kurumun (YSK’nın) Internet’e bağlantısı olarak da kullanılmaktadır. Güvenlik Duvarı ve Virüs Koruma Sistemlerinden, Kurum içi kişisel uç bilgisayar sistemlerinin güvenliği amacıyla da yararlanılmaktadır.

- Portal Sistemi, seçmenlere ve kurumlara çeşitli sorgulamaları yapabilme olanağı sunmaktadır. Bu amaçla, öngörülen sorgulama seçeneklerinin üstünde, örüntü tanıma yönünden yeterli karmaşıklıkta, resim görünümlü bir damga (karakter) dizgisi de yer almakta ve kişiler bu dizgide yer alan 7 karakteri ilgili alana girerek sorgulama yapabilmektedir. Bu önlem sayesinde, kötü niyetli kişilerin, otomatik tarama yapan yazılımlarla Portal Sisteminin kullanılabilirliğine tehdit oluşturmaları engellenmektedir.

Süreç kısaca şöyle işlemektedir: İlçelerdeki seçim kurullarında toplanan bilgilerin, UYAP üzerinden kurum ağına bağlı terminaller ile aktarılması, verilerin merkezde konsolide edilmesi ve sonuçların duyurulması olarak özetlenebilir. Sonuçlar portaldan (ysk.gov.tr) açıklanırken, bu iki sistem arasında TEK YÖNLÜ, yani kurum ağından, portala olan veri akışı vardır. Dolayısı ile Internet'e açık olan portala yapılacak bir siber saldırının kurum ağını etkilememesi gerekir. Herhangi bir anda "Siber atak" bahane edilerek sonuçların hesaplanması gecikti açıklaması, YSK'yı töhmet altında bırakır ve çelişkilidir.

Kurumun Java uygulama kodları ve veritabanı bağımsız denetime açık değildir. Başta finans alanı olmak üzere, bütün kritik veri merkezleri sistem altyapılarını, güvenlik sistemlerini bağımsız denetime açar. Bir kurumun kendi kendini denetliyor olması, denetim yaptığı anlamına gelmeyecektir. Bu anlamda özellikle seçim günleri, 24 saatlik veri tabanı loglarının bağımsız denetçiler ve uzmanlar tarafından incelenmesi veya incelenmeye açık olması gerekir. Bu loglar sistemde gerçekleşen bütün veri değişiklik hareketlerini kapsadığından olası veri değişikliği ihlallerinin en azından caydırıcı olmasını sağlayabilir. Sisteme yapılacak saldırılar sadece dış kaynaklı olmaz. İçerden gelecek saldırıların da denetlenebilir olması için bu düzenlemenin yapılması gerekir. 

2009 yılında Internet Teknoloji'leri Derneği'nin bir tavsiye kararı vardır. Buna göre özellikle seçimin yapıldığı gün şaibeleri ortadan kaldırmak için siyasi partilere sisteme giriş ve izleme yetkisinin verilmesinin doğru olacağı belirtilmiştir. 2011 Genel seçimlerinde ilk defa böyle bir düzenlemenin yapıldığı açıklandı. 2007 Genel - 2009 Yerel - 2010 Referandum seçimlerinde yapılmayanın 2011'de yapıldığını gördük. Bunun nasıl işlediğini izleyeceğiz.

SEÇSİS’in mevcut teknolojik altyapısı ve işleyişini düşününce genel olarak öneri paketimizi şu şekilde sıralıyoruz.

1. Sistem dışarıdan yapılacak bağımsız denetime kapalı tutulmaktadır. Bir bütün olarak, YSK’nın yazılım, donanım, ağ, üretim ve güvenlik gibi bütün parçalarının, bütünlükçü bir şekilde bağımsız denetime açılması ve bu raporların kamu ile paylaşılması gerekir. Bağımsız denetim, seçime giren siyasal partilerin de katılacağı bir eşgüdüm içinde belirlenen, güvenilirliği konusunda kuşku taşımayan denetim kurumlarınca (Üniversiteler ya da meslek odaları da olabilir)  yapılmalıdır. Yazılımı geliştiren kurum Havelsan olmasına rağmen, yazılımın mülkiyeti YSK’ya aittir. Dolayısı ile bu denetimin olurunun YSK’dan gelmesi gerekir. 

2. SEÇSİS yazılım kodlarının, arka plandaki Veri Tabanı Modeli’nin, bağımsız denetime açılması, kod içindeki algoritmaların, veriyi değiştiren komutların denetlenmesi gerekir. Yazılımın dışarıdan ve bağımsız bir denetimi yapılmamıştır. Şifreleme işlemlerinin ve bir bütün olarak sistemin güvenliği ve güvenilirliğine ilişkin sertifikalar alınmamıştır.

3. SEÇSİS projesinde kullanılan veritabanı (bilgilerin toplandığı yer) yazılımı Java teknolojisi destekli Oracle’dır. Yazılım güvenliği açısından bakıldığında, Oracle en ciddi ve bu konudaki en önemli şirketlerden biri ise de, güvenlik açıkları mevcuttur,  sürekli güncellemeler/güvenlik yamaları yayınlamaktadır.

http://www.securityweek.com/oracle-issues-89-security-fixes-july-2013-critical-patch-update 

http://www.oracle.com/technetwork/topics/security/alerts-086861.html#SecurityAlerts

4. Seçim dönemlerinde, VeriTabanı değişikliklerinin ayrıca tutulduğu Logların, saklanması, bu logların deşifre edilmesi ve bu çözümlemenin bağımsız denetçiler tarafından yapılması, gerekirse meslek odalarının (Bilgisayar Mühendisleri Odası gibi) bu işe dahil olması gerekir.

5. Uygulama kodları dışında, VeriTabanı’na tanımlı herhangi bir "TRIGGER" set edilmiş mi? Bu triggerlar Seçim gecesi, ilçelerden gelen kayıtları veritabanına “INSERT” eden uygulamalar dışında “DELETE” ve “UPDATE” işlemi de yapıyorlar mı? Bunların araştırılması, sorgulanması gerekir. 

6. Veri Tabanına, SEÇSİS uygulaması dışından yapılan bütün erişimlerin çok sıkı denetlenmesi, mümkünse iptal edilmesi gerekir. 

7. Seçim dönemlerinde, sistem üzerindeki veri akışını, sadece okuma amaçlı olarak, bütün partilerin izlemesine açmak, gerekirse buradaki verinin anlık olarak partilerle paylaşımını sağlamak, veriyi kayıt yaptırmış partilerin, kurumların indirebilmesini sağlayacak arayüzler gerekir. 

8. SEÇSİS’in UYAP ağından çıkartılarak, kendisine ait bir kapalı ağ kurulması gerekir.

9. İlçe seçim kurullarındaki terminallerde, tüm ülkelerin devlet projelerinde kullandığı Linux işletim sistemleri yerine güvenlik nedeniyle ülkelerin kullanmaktan çekindiği Windows işletim sistemleri kullanılmaktadır. TÜBİTAKın geliştirdiği ve ulusal yazılım olan PARDUS-Linux işletim sistemini kullanmak yerine, il ve ilçe seçim kurullarında Windows işletim sistemleri kullanılmasının hem maliyet hem de güvenlik riskleri vardır. Windows işletim sistemleri ve bu sistem üzerine kurulu ağ ortamları yıllardır kolaylıkla “hackerler” tarafından delik deşik edilmektedir.

10. Mevcut yazılıma dışarıdan bir Script ile müdahale edilebilir ve anayazılımın ve işletim sisteminin bu yabancı yazılımı algılayarak ikaz verme gibi bir yeteneği mevcut değil. Yazılımın güvenliği tamamıyla Solaris işletim sisteminin ve Oracle ın kendi güvenlik seviyeleriyle sınırlıdır. SEÇSİS yazılım sistemi üçüncü bir güvenlik/kontrol yazılımıyla içsel olarak korunmamakta ve/veya çalışmasının doğruluğu kontrol edilmemektedir.

11. İl ve ilçe seçim kurulları ile SEÇSİS ana bilgisayar bağlantıları konusu çok önemli. Ama bundan da önemlisi sandık sonuçlarının bilgisayarlara nasıl girileceğidir. Bunun için partilerin veya bağımsız bir kurumun merkezî önlem alması yetmez, yerel teknik önlemler de gerekir. Oy sandıkları refakatçi olmadan polise verilmemeli, bizzat refakat edilerek ilgili merkezlere götürülmeli ve birkaç imzalı tutanakla teslim edilmeli.

12. Altı çizilmesi gereken bir diğer husus sandık görevlilerinin sadece kendi partilerinin sonuçlarını değil, bütün partilerin sonuçlarını almaları, zira iktidar partisi diğer parti oylarını ilçe ya da il seçim kurullarında kendine yazdırabilir. Böyle bir risk her zaman mevcuttur. Buradan hareketle, mümkünse seçim bölgelerinde oyları yansıtacak şekilde ayrı internet portalleri oluşturmak gibi önlemler almalı ya da başka araçlar bulmalıdır.

13. Gizli oy açık sayım sistemi, sadece sandık başlarında uygulanmaktadır. Sandıklar açıldıktan sonra yapılan ve tutanaklara geçirilen açık sayım, sandık bazında geçerli olmakla birlikte, tutanakların birleştirilmesi, diğer deyişle tutanaklara geçen sandık bazındaki oyların birleştirilmesi ve veri tabanına işlenmesinde açık sayım kuralı uygulanmamaktadır. Bu süreç, YSK’da geçici olarak görevlendirilen kamu görevlileri tarafından yapılmaktadır. Bu kamu görevlileri, siyasal iktidarın memurlarıdır. Açık sayım sandık başında bitmektedir. Oysa sayım, sandık başında tamamlanmamaktadır. Oyların birleştirilmesi de sayımın bir parçasıdır. Bu konuda gerekli önlemler alınmalıdır.   

14. Sahte seçmen yazımı ve oy kullanımı olayı çok önemlidir ve hiç kuşkunuz bu durum yeniden denenebilir. Özellikle kırsal kesimde bu konuya dikkat etmek gerekir. İlan edilenle gerçek arasındaki farkı göstermek için sandık sonuçlarının son imzalı halleriyle, her sandıkta hazırlanacak ıslak imzalı sandık tutanaklarının fotoğraflarının çekilmesi gerekir. Günümüz olanaklarıyla bu iş sayısal fotoğraf makineleri veya akıllı telefonlarla kolayca yapılabilir. Daha sonra bir veya birkaç partinin bir araya gelmesi ile oluşturulacak bir merkezi bilgisayara e-posta yolu ile gönderilebilir. Buradan da bir portal üzerinden anında kamu ile paylaşılabilir. Bunun teknolojik altyapısı ve örgütlenmesi yapılarak, YSK’ya gönderilen seçim sonuçlarının anlık değerlendirilmesi yapılmalıdır. YSK’dan çıkabilecek farklılıklarda çekilen fotoğrafların delil/belge olarak saklanması çok önem kazanacaktır. Aşağıdaki gibi bir oynama olasılığı her zaman mevcuttur

Bilgi İşlem Denetimi açısından mevcut seçim sistemin güvenirliliğinin değerlendirilmesi. 

İmar Bankası olayından sonra hükümet tüm bankaların mali ve bilgi işlem açısından denetlenmesini kararlaştırılmıştır.  Bu nedenle resmi bir kuruluş olan BDDK (Bankalararası Düzenleme ve Denetleme Kurulu) kurulmuştur. BDDK yukarıda belirtildiği gibi bankaları hem mali hem de bilgi işlem açısından denetleme yetkisine sahiptir Bilgi İşlem denetimi tüm Dünyada yaygın olarak kullanılan ISACA firmasının geliştirdiği Cobit standartlarını uygulayarak denetlemektedir. 

Tanım olarak CobiT, “Control Objectives for Information and Related Technology”nin kısaltılmış halidir. Türkçe ifade etmek gerekirse “Bilgi ve ilgili teknoloji için kontrol hedefleri”. Bu tanım, CobiT’in amacını ifade etmesi açısından önemlidir. CobiT, Bilgi Teknolojileri yönetiminde ulaşılması gereken hedefleri ortaya koymaktadır.

CobiT’i, diğer standartlardan ayıran en büyük özelliği tüm Bilişim Teknoloji (BT) fonksiyonlarını kapsayan bir çerçeve sunmasıdır. Farklı şekilde ifade etmek gerekirse CobiT içerisinde yer alan 34 süreci bir arada değerlendirdiğinizde BT yönetiminin her alanını kapsama almış olursunuz. Bu nedenle diğer standartlardan farklı şekilde, CobiT’in tek veya grup halinde BT süreçlerine değil BT’nin yönetilmesine odaklandığını söylemek doğru olur.

Bankalar BDDK’nın yetki verdiği genelde Türkiye’de yerleşik yabancı kökenli özel BT denetim firmalarınca Cobit standartlarına uygun olarak denetlenmektedirler. Riskler Denetçi tarafından önem derecelerine gore  Yüksek, Normal ve Düşük Risk olarak değerlendirilirler. Denetçi, denetlenenin faaliyetlerinde kullandığı uygulamalara ait riskleri derecelendirmek için bir risk matrisi oluşturur. Uygulamalardan kaynaklanan risklere ait bu matriste uygulamaların önemlilik derecesi, uygulamalarla bütünleşik riskler, genel kontrol alanlarının ve uygulama kontrollerinin etkinliği, yeterliliği, olgunluk seviyeleri ve denetlenenin uygulamalardan kaynaklanan net riski gibi hususlar değerlendirilir. 

Önerimiz: Yüksek Seçim Kurulu kararıyla oluşacak BDDK benzeri resmi bir kuruluşun seçim sisteminin Bilgi İşlem dahil tüm süreçlerinin denetlenmesini sağlamaktır. Bu konuda yetkilendirilmiş bağımsız BT denetim firmalarına denetlendirilmesi ve sonuçlarının YSK ve tüm siyasi parti yetkililerine gönderilmesinin sağlanmasıdır. Bütün denetçilerin hiç bir siyasi partiye üye olmamaları, CISA sertifikası sahibi ve en az 5 yıl bilgi işlem denetim tecrübesi olmaları şarttır.

Burada en önemli nokta bir devlet kuruluşundaki bazı süreçlerin bağımsız denetim firmalarınca denetiminin sağlanmasıdır. Aynen resmi bankalardaki süreçlerin de  diğer özel bankalar gibi bağımsız denetim firmaları tarafından çok yakından denetlenmesidir.  

BT kaynaklı seçim hileleri konusundaki kafamızdaki şüpheler bu şekilde azalabilir.

Hazırlayanlar

Cüneyt Göksu, Bilgisayar Yük. Mühendisi

Kaya Güvenç , TMMOB Başkanı

Ali Rıza Aydın, Anayasa Mahkemesi Eski raportörü

Bilişim ve hukuk çevrelerinden onlarca gönüllü dost.