Larry hâlâ binada

Hilversum’daki CyberForward 2026’da, Devlet Sekreteri Willemijn Aerdts, etkili bir girişle açılış yaptı: Leisure Suit Larry hikâyesi. Bir oyun, bir disket, bir virüs ve sistemlerinde neyin çalıştığından habersiz bir kıta dolusu kuruluş. Bunu, şu anda nerede durduğumuza dair bir noktayı vurgulamak için kullandı. Dijital güvenliğin, teknolojiden çok daha fazlası olduğunu savundu. Disiplinler ve sektörler arasında iş birliği gerektirir. Haklı. Ancak Larry hikâyesi daha yakından bir bakışı hak ediyor, çünkü göründüğünden daha güncel.

Seksenlerin sonlarında BT’de çalışıyorsanız, muhtemelen oyunu hatırlıyorsunuzdur. Çalışmıyorsanız, işte kısa versiyonu: bir Hollanda hastanesindeki hemşireler, hasta durumu kayıt sistemi üzerinde enfekte bir kopyayı oynuyorlardı. İsviçre, Almanya ve İngiltere’deki bankalar büyük miktarda veri kaybetti. Jerusalem veya Friday the 13th olarak bilinen virüs, dokunduğu her yürütülebilir dosyaya sessizce yayılır ve her 13’üncü Cuma günü bunları silmeye başlardı.

O kuruluşlardaki hiç kimse bir ihlale neden olmayı amaçlamadı. Biri, tamamen başka bir şey yapması gereken donanımda, çalıştırmaması gereken bir şeyi çalıştırdı. Kuruluş bunun bedelini ödedi çünkü kendi sistemlerinin içinde gerçekte neler olduğuna dair hiçbir görünürlüğü yoktu.

Bu yaklaşık 40 yıl önceydi. Aerdts’in CyberForward’da örtük olarak gündeme getirdiği ve sonrasında üzerinde durulmaya değer soru şu: gerçekten bir şey öğrenip öğrenmediğimiz.

Larry hiç değişmedi. Yalnızca kıyafeti değişti.

Jerusalem virüsü disketler aracılığıyla yayıldı. Bugün mekanizma bir tarayıcı sekmesi. Verizon’un 2026 Data Breach Investigations Report’una göre, kurumsal ortamlardaki gölge yapay zeka tespitleri tek bir yılda dört kat arttı ve çalışanların %45’i artık kurumsal cihazlarda düzenli olarak yapay zeka araçları kullanıyor. Ofis çalışanlarının üçte ikisi, kullanımlarının şirket politikasına aykırı olduğuna inanmalarına rağmen işte yapay zeka araçları kullandıklarını kabul ediyor. Bunu zarar vermek için yapmıyorlar. Bunu işlerini daha hızlı ve kolay hale getirdiği için yapıyorlar. 1988’de birinin ofis PC’sine bir oyun disketi sokmasının aynı nedeni.

Bu tarayıcı sekmelerinden çıkan veriler önemsiz değil. IBM’in 2025 Cost of a Data Breach Report’una göre, gölge yapay zekayı içeren ihlaller kuruluşlara diğer olaylardan ortalama 70.000 daha fazlaya mal oldu ve tespit edilmesi ortalama 247 gün sürdü. Bir çalışan bir müşteri dosyasını, bir mali raporu veya bir taslak sözleşmeyi denetlenmemiş bir yapay zeka aracına yapıştırdığında, o veriler kuruluşun hiçbir şey bilmediği bir işleme hattına girer.

Larry hiç gitmedi. Sadece yazılımını güncelledi.

Bu neden yönetim kurulları ve yönetim ekipleri için önemli?

Yukarıdaki paragrafı okuyup BT departmanına devretmek kolay olurdu. Bu yanlış bir tepki olurdu.

Kuruluşların 1988’de Larry karşısında şaşırmasının nedeni, BT ekiplerinin yetersiz olması değildi. Kimsenin yapısal soruyu sormamış olmasıydı: bu binada gerçekte ne çalışıyor? Bu bir BT sorusu değildi. Örgütsel bir soruydu. Yanıt; yetki, politika ve insanların gerçekte hangi araçları kullandıkları konusunda dürüst olabildiklerini hissettikleri bir kültür gerektiriyordu.

Aynı şey şimdi de geçerli. BT ekipleri göremediklerini yönetemez ve çalışanların kişisel hesapları ve tarayıcı tabanlı araçları aracılığıyla neyi yüklediğini, bağladığını veya verileri neye yapıştırdığını göremez. Bu boşluk başka bir güvenlik duvarıyla kapanmaz. Liderlikle kapanır.

Bunu okuyan bir yönetim kurulu üyesi veya yöneticiyseniz, bu hikâyedeki kurban siz değilsiniz. Bunu gerçekten değiştirebilecek kişisiniz.

Aerdts’in doğru anladığı şey: bu bir iş birliği sorunu

Aerdts’in CyberForward’da sunduğu çerçeve teknolojiyle ilgili değildi. Hollanda’nın, kuruluşlarının ve sektörlerinin gerçek dijital dayanıklılık oluşturmak için nasıl birlikte çalıştığıyla ilgiliydi. Bu doğru çerçeve.

Larry’nin modern versiyonunu iyi ele alacak kuruluşlar, ille de en büyük güvenlik bütçelerine sahip olanlar değildir. Yönetim kurulunun rahatsız edici sorular sorduğu, çalışanların korkmadan endişelerini dile getirebildiği ve birinin kuruluşun dijital ortamında gerçekte neyin çalıştığına dair bir resim oluşturmaya zaman ayırdığı kuruluşlardır. Bu resim, diğer her şeyin ön koşuludur. Göremediğiniz şeyi önceliklendiremezsiniz.

Buradaki iş birliği belirli bir anlama gelir. CISO ve CFO’nun aynı konuşmayı yapması anlamına gelir. BT müdürü ile İK direktörünün onaylanmış bir araç olarak neyin sayıldığı konusunda anlaşması anlamına gelir. MSP veya güvenlik iş ortağının işini düzgün yapabilmesi için ortama yeterli görünürlüğe sahip olması anlamına gelir. Bunların hiçbiri tamamen teknik bir sorun değildir.

2026’da ‘Larry’yi görmek’ aslında neye benziyor?

Pratik soru, kuruluşunuzun ihlal edilip edilmediği değildir. İhlal edilseydi bunu bilip bilmeyeceğinizdir. Ve şu anda ortamınızda neyin çalıştığını bilip bilmediğinizdir.

Bu, güncel bir varlık envanterine sahip olmak demektir: yalnızca sunucular ve güvenlik duvarları değil, aynı zamanda uç noktalar, bulut hizmetleri, SaaS uygulamaları ve insanların bağlanmak için kullandığı cihazlar. Ekiplerinizin resmî ve gayri resmî olarak hangi yapay zeka araçlarını kullandığını bilmek demektir. Yeni güvenlik açıklarının saldırganlar bulmadan önce ortaya çıkması için düzenli taramalar yapmak demektir. Ve bu bilgiyi yalnızca üreten kişilere değil, karar vermesi gereken kişilere görünür kılmak demektir.

Konumlandırma hakkında kısa bir not: Guardian360, kuruluşların ve iş ortaklarının tam olarak bunu yapmasına yardımcı olan Lighthouse platformunu geliştirir. Bunun benim ticari çıkarım olduğunun farkındayım ve bunu açıkça belirtiyorum. Nokta yine de geçerli: 1988’de Larry karşısında şaşıran kuruluşların eksik olduğu şey daha fazla kilit değildi. Eksik olan bir pencereydi.

Akılda kalması gereken soru

Aerdts iş birliği çağrısı yaptı. Doğru kelime bu. Ancak iş birliği, gerçekliğe dair ortak bir resim gerektirir ve çoğu KOBİ için bu resim hâlâ eksik. Tehdit 40 yılda değişmedi. Kuruluşun içindeki bir kişi, zararsız görünen bir şey yaparak, başka bir şey yapması gereken bir makinede, çalıştırmaması gereken bir şeyi çalıştırdı.

İşte üzerinde durulmaya değer soru: ekiplerinize gerçekte hangi yazılım ve yapay zeka araçlarını kullandıklarını en son ne zaman sordunuz? Onaylanmış listede ne olduğunu değil. Gerçekte neyin çalıştığını.

Bunu güvenle yanıtlayamıyorsanız, Larry çoktan binada olabilir.