TradingView sitesini en alta kadar kaydırıyorsunuz ve tam “© 2026 TradingView, Inc.” satırının altında, katı çerçeveler içindeki iki dev düğme gözünüze çarpıyor: yuvarlak mühürlü SOC 2 Compliant ve Avrupa Birliği yıldızlarıyla çevrili GDPR Compliant. Anıt gibi görünüyor — platformun sert güvenlikçilerine anında saygı duyuyorsunuz. Sırf meraktan, o aşılmaz zırhın tam olarak nasıl dövüldüğünü görmek için bu rozetlere tıklıyorsunuz ve trust.tradingview.com sayfasına düşüyorsunuz.
Ve işte burada, işi kurcalamaya başladığınızda, gülsem mi ağlasam mı dedirten bir absürtlük açılıyor.
Vitrinde SOC 2, PCI DSS 4.0.1, GDPR ve DORA rozetleri boy gösteriyor, yanlarında da yeşil bir gösterge neşeyle tıkırdıyor: “Updated 4 minutes ago” — güya dört dakika önce bütün kilitler kontrol edildi, sınır sürgülü. Altında yirmi sağlam altyapı koruma maddesi dizilmiş: sunuculara erişim kesinlikle kriptografik anahtarlarla, ağlar ayrılmış, şifreleme çalışıyor, saldırı tespit sistemi uyumuyor.
Ayrıntılara bakmaya başlıyorsunuz — ve kontrollerin gerçek durumlarının yazdığı sütun düpedüz boş. Raporların kendisi ise sokaktan gelen hiç kimsenin geçirilmeyeceği “Erişim talep et” düğmesinin arkasına saklanmış. Ama en komiği bu bile değil: sayfadaki o yirmi heybetli maddenin hiçbirini TradingView mühendisleri yazmamış. Bu “kale”nin tamamı, Vanta adlı dışarıdan bir Amerikan şirketçiği tarafından hazır bir şablondan üretilmiş.
Evde hırsız olmadığını kanıtlamak için yabancıları her yatak odasına alın
Bu iş nasıl işliyor? Kurumsal dünyada hizmetlerden bir denetçi kâğıdı istenir — o meşhur SOC 2 sertifikası. Eskiden bunun için aylarca ofiste, sunucu ayarlarını sıkıcı sıkıcı kurcalayan canlı denetçilere katlanmak gerekirdi. Ama sonra Vanta ortaya çıktı ve sektöre dâhiyane bir hile kodu önerdi: “Hiçbir şeyi elle toplamanıza gerek yok. Yazılımımızı şirketinize bağlayın, denetçi için tikleri arka planda biz koyalım, bir de sitenize rozetli güzel bir vitrin çizelim.”
Şimdi ellere dikkat edin. Sitenin alt bilgisine “Verilerinize kimseyi yaklaştırmıyoruz” diyen gururlu bir düğme asmak için şirket, kendi kaputunun altına gönüllü olarak yabancı bir firmayı sokuyor. Vanta'nın sunucularına bulut altyapısına (AWS, Google Cloud), GitHub'daki kaynak koduna, kurumsal e-postaya ve bütün çalışanların listelerini içeren personel veritabanına erişim veriyor. Bununla da kalmıyor: her programcının ve sistem yöneticisinin iş dizüstüne Vanta'nın bir casus programı zorunlu olarak kuruluyor; bu program bilgisayarda parolanın açık olup olmadığını, antivirüsün çalışıp çalışmadığını ve güncellemenin indirilip indirilmediğini yirmi dört saat kontrol ediyor.
Resmî olarak erişim “salt okunur” veriliyor — yabancı bir betik veritabanınızı kendi kendine silmez. Buna karşılık dışarıdaki şirketçiğin sunucularında şirketin eksiksiz bir röntgen haritası özenle biriktiriliyor: tüm ağın planları, bütün mühendislerin adları ve e-postaları, dizüstülerinin modelleri ve kapatılmamış tüm açıkların canlı bir listesi.
Dünya güvenliğinin dümeninde form doldurucular
Peki, dünyanın dört bir yanındaki binlerce şirketin iç mutfaklarının anahtarlarını emanet ettiği o sert kriptografi dâhileri ve siber birlik gazileri kim acaba?
Vanta yönetiminin biyografilerini açıp patlamış mısırı çıkarıyoruz.
Şirketin kurucusu ve değişmez lideri Christina Cacioppo. Efsanevi bilgi güvenliği deneyimini nerede dövdü? Pentagon'un gizli laboratuvarlarında mı? Banka çekirdek sistemlerine koruma geliştirirken mi? Hayır. Hanımefendi programlama öğrenmeye gitti, birkaç yıl hiçbir yere kalkış yapamayan ufak tefek projelerle uğraştı, ardından Dropbox'ta ürün müdürü olarak işe girdi. Üstelik orada dosya depolamadan ya da disk şifrelemeden bile sorumlu değildi. Kariyerinin zirvesi Dropbox Paper oldu — dosya paylaşım servisinin içinde ortak not yazmaya yarayan, Dropbox kullanıcılarının onda dokuzunun varlığından bile haberdar olmadığı ikinci sınıf bir çevrim içi not defterciği. O not defterciğini çatarken ona denetçiler için sıkıcı tablolar doldurtmuşlar — o da başka şirketlere tam bu tabloları otomatik toplayan web formcukları satmanın çok daha kârlı olduğuna karar vermiş.
Devam edelim: bu gemideki ikinci ana kadın kim? Pazarlama direktörü Sarah Scharf. Bu hanımefendi Google'dan geldi; orada yedi yıl boyunca “gizlilik, güvenlik ve Android pazarlaması” yaptı. Unvanın kendisini bir düşünün: bu kişi kod yazmadı, hacker yakalamadı; yedi yıl boyunca Google şirketinin, gezegendeki her insan hakkında dosya tutarken sizin gizliliğinizi nasıl önemsediğine dair reklam masalları yazdı.
Ekibin geri kalanı da bunlara layık: ürün teknolojisi direktörü daha önce GitHub'da ikincil eklentiler ve vitrinlerle ilgileniyordu, finans direktörü ise Calendly'den geldi — takvimde görüşme randevusu almak için formcuklar yapan bir siteden.
İşte bu rüya takım — bulut not defterciğinin yaratıcısı, Google'ın “gizlilik” halkla ilişkilercisi ve çevrim içi takvimin muhasebecisi — bugün dünya fintekine güvenlik standartları dağıtıyor.
Terlikli bekçi ve ofisteki satışçılar paradoksu
Ama asıl komedi, “denetçilerin” kendi iç mutfağının nasıl işlediğine baktığınızda başlıyor. Binlerce yabancı işletmenin açıklarının kalıplarını elinde tutan şirket, resmî olarak “remote-first” düzeninde çalışıyor. Daha 2022 baharında sitelerinde sevinçle şöyle yazıyorlardı: “Her yerden başarıyla çalışıyoruz.”
Şu anda iş ilanları panolarına girerseniz, 83 pozisyonun 52'si ABD, Kanada, Britanya ve İrlanda'da tamamen uzaktan. Ve orada kanepeden çalışanlar hiç de ikon tasarımcıları değil:
- Sr. Manager, Security Operations (uzaktan). Bu kişi Vanta'nın kendi korumasını yapılandırıyor ve hacker saldırılarının incelenmesine komuta ediyor. İlan metninde ona şefkatle “ev çalışma alanı, internet ve cep telefonu ödeneği” vaat ediliyor. Siber saldırıları püskürtmenin baş sorumlusu, savunmayı ev router'ı üzerinden yönetiyor, hem de müessesenin ikramıyla.
- Devlet bulutu GovCloud mühendisi (uzaktan, arıza nöbetleriyle). Kamu sektörüyle çalışmanın tek güvenlik şartı — sisteme “fiziksel olarak ABD topraklarından” giriş yapmak. Tam olarak hangi yol kenarı lokantasından ya da kiralık daireden — kimsenin umurunda değil.
- Senior Engineer, Enterprise Resilience ve Senior Security Engineer (uzaktan). Canlı ortamın dayanıklılığından sorumlu olan ve ilan metninde “hassas verilerin güvenilir koruyucuları” olmaya yemin eden insanlar da evlerinde oturuyor.
- Staff Engineer, Program Structure & Trust (uzaktan). Bu pozisyonu ayrıca aklınızda tutun: bu uzaktan çalışan uzman, farklı müşterilerin gizli verilerinin birbirine karışmamasından sorumlu.
Buradaki asıl absürtlük nedir, biliyor musunuz? Londra ve Dublin'deki sıradan satış müdürlerini Vanta yönetimi haftada üç gün ofise gelmeye zorluyor. Yani yalnızca müşterilere telefon açıp sunum gösteren insanlar bir iş merkezinde gözetim altında oturmak zorunda. Binlerce şirketin canlı ortam anahtarlarını ve altyapı haritalarını elinde tutan mühendisler ise akrabalar, komşular, kuryeler ve tesisatçılarla çevrili ev mutfaklarında terlikleriyle oturuyor. Hem de Amerikan IT şirketlerinin sahte uzaktan çalışanları toplu hâlde yakaladığı bir dönemde — görüntülü mülakata kiralık bir oyuncunun girdiği, iş dizüstünün ise kargoyla doğrudan Kuzey Koreli hackerların çiftliğine gittiği bir dönemde.
Fermuarı ardına kadar açık dört gün
Not defterciği yaratıcılarının ve ev Wi-Fi'ındaki uzaktan çalışanların güvenliğinin nereye varacağını uzun uzun tahmin etmeye gerek kalmadı.
Farklı şirketlerin veritabanlarının birbirine karışmamasını gözetmesi gereken uzaktan mühendis ilanını hatırlıyor musunuz? Mayıs 2025'te Vanta'nın form doldurucuları hatalı bir güncelleme yayınladı ve bazı müşterilerin gizli verileri düpedüz başkalarının hesaplarına yazıldı (INC-868 olay raporu).
Yüzlerce şirketin sırları düpedüz yabancı ekranlara saçıldı. Yabancılara başka şirketlerin çalışan listeleri, unvanları ve — pastanın üstündeki kiraz — iki faktörlü kimlik doğrulama (MFA) ayarları sızdı. Yani hazır bir saldırı kopyası: kim ne iş yapıyor ve kimin hesabında koruma takılı değil.
Ama bu palyaçoluğun bütün boyutunu iki ayrıntı gözler önüne seriyor:
- Delik dört gün boyunca açık kaldı. Müşteri sitelerine her dört dakikada bir yeşil tikler çizen, göklere çıkarılan otomatik Vanta izleme sistemi, başkalarının veritabanlarını rastgele komşulara dağıttığını dört gün boyunca burnunun dibinde görmedi. Hata ancak afallamış müşterilerden biri kendi hesabında başkasının iç mutfağını görüp teknik desteğe yazdığında bulundu.
- Ders kitaplarına geçecek bir yüzsüzlük. Rezalet ortaya çıkınca Vanta'nın pazarlamacıları bir rapor yayınladı ve hiç istifini bozmadan yüzlerce şirketin verilerinin başkalarının eline geçmesini “güvenlikle ilgisi olmayan” (non-security related) bir olay diye adlandırdı. Ne olmuş yani, veritabanları karışmış — önemli olan raporlardaki tiklerin yeşil olması!
Kâğıttan kalkan
Sitenin alt bilgisindeki heybetli SOC 2 Compliant ve GDPR Compliant düğmelerinin bütün değeri işte bu kadar.
Sıradan bir insan bu rozetlere bakıp kullandığı hizmetin nükleer çanta gibi korunduğunu sanıyor. Gerçekte ise şirketler bürokratik bir kâğıt uğruna kendi duvarlarında kendi elleriyle delik açıyor, bütün savunma şemalarını not ve reklam işlerinden gelme eski müdirelere ait tek bir ortak yalağa döküyor, bu yalağı korumaya da yazılımı dört gün üst üste başkalarının sırlarını sağa sola dağıttığını fark etmekten bile aciz, ev router'ına bağlı insanları oturtuyor.
Güvenliksiz güvenlik dersleri pekiyi derecesiyle öğrenildi: sitedeki rozet parlıyor, kapının ardında ne olduğunu ise kimse bilmese daha iyi.
Sonsöz yerine: gerçek hayatta “uzaktan güvenlikçi” kimdir
Şirketler sunumlarında Remote Security Engineer ifadesini çizdiğinde, müşterinin aklında güneşle dolu bir çalışma odasında, güvenli bir uydu kanalı üzerinden başkalarının sırlarını koruyan odaklanmış bir profesyonel canlanıyor.
Gerçekte uzaktan çalışan, içeriğini işverenin hiçbir şekilde denetlemediği bir kara kutudur. Şirketlerin, on beş dakikalık sabah toplantısı biter bitmez web kamerasının öbür tarafında neler olduğu hakkında en ufak bir fikri yok. Orada ise bütün ihtişamıyla gerçek hayat yaşanıyor.
1. Sisli zihin, SSRI'lar ve mantar mikrodozu Ofiste en azından insanı canlı görürsünüz: elleri titriyor mu, bakışları yerinde mi, bu hafta yıkanmış mı, duvarlarla konuşuyor mu. Uzaktan çalışmada, elinde binlerce şirketin sunucularına root erişimi bulunan biriyle bütün temas, Zoom'da arka planı bulanık bir kareciğe indirgeniyor.
Günde on beş dakika stand-up'ta bu adam zorla yapmacık bir gülümseme takınıyor ve dinç bir sesle rapor veriyor: “Engel yok, güncellemeyi canlıya basıyorum.” Sonra kamerayı kapatıyor — ve merkezde kimsenin onun ne durumda olduğundan haberi yok. Belki üç aydır ağır antidepresanların (SSRI) at dozlarıyla yaşıyor, tehlike duygusu tamamen körelmiş ve şu an hangi veritabanlarını nereye sızdıracağı umurunda bile değil. Belki Silikon Vadisi modasına uyup sabah sabah psilosibin mantarından mikrodoz atmıştır ya da boşanmanın ardından depresyondan sıyrılmaya çalışırken ketamin terapisiyle karışık Adderall'a bağlanmıştır. Şirket için o, Slack'te yeşil bir yuvarlakçık. Oysa gerçekte nükleer reaktörün kumanda masasında derin bir bilişsel odak kaybı içindeki bir insan oturuyor.
2. Kafede soygun ve açık MacBook San Francisco, Seattle ya da Austin gibi Amerikan teknoloji merkezleri çoktan suç lunaparklarına dönüştü. Aynı San Francisco'da koca bir sokak zanaatı var — laptop snatching: soyguncular popüler kafelere dalıyor, BT'cilerin elinden VPN oturumları zaten açık ve terminalleri açık durumdaki kilitsiz MacBook'ları kapıp girişte bekleyen arabaya götürüyor.
Ya da daha basiti: akşam işten sonra bu “hassas verilerin koruyucusu”, sırt çantasında iş telefonu ve dizüstüyle burrito almak için sokağa çıkıyor. Evinden birkaç sokak ötede yanına tabancalı iki delikanlı yaklaşıyor, kafasına vuruyor ve ona açık açık anlatıyor: şimdi bütün cihazlarını vermekle kalmayacak, parmağını Touch ID'ye basıp PIN kodunu da söyleyecek. Hiçbir bulut güvenlik duvarı ya da SOC 2 Compliant rozeti karanlık bir ara sokaktaki demir borudan bugüne kadar kimseyi kurtarmadı.
3. Eşler, sevgililer ve doğrudan yastıktan çalınan erişimler Mühendis evden hiç çıkmasa bile dairesi yol geçen hanı. Arkasında eşler, eski ve şimdiki kız arkadaşlar, kiralık evdeki ev arkadaşları, temizlikçiler, kuryeler ve cuma partilerinin misafirleri dolaşıyor.
ABD'de bu artık teori değil, mahkeme dosyası. 2024'te Menkul Kıymetler ve Borsa Komisyonu (SEC) güzel bir aile düzenini ortaya çıkardı: petrol devi BP'nin uzaktan çalışan bir personelinin kocası, karısı evden gizli şirket birleşmeleri üzerinde çalışırken evde dolaşıp duruyor, seyahatlerde onunla aynı otel odasında kalıyordu. Telefon görüşmelerini dinledi, karısı mutfağa gittiğinde iş dizüstünün açık ekranına göz attı, doğru zincirin hisselerini topladı ve içeriden bilgiyle neredeyse iki milyon dolar kazandı.
Şimdi daha sıradan bir senaryo düşünün: zorlu bir boşanma sürecindeki ya da hayat arkadaşıyla kavgalı uzaktan bir güvenlikçi. Kırgın eş ya da girişken ev arkadaşı “altyapı bekçisinin” duşa girmesini ya da uyumasını bekliyor, erişim anahtarları, token'lar ve Slack yazışmalarıyla açık duran ekranın telefonla fotoğrafını çekiyor — ya da düpedüz, parolasını çoktan onun omzunun üzerinden kestirdiği adamın dizüstüne bir USB bellek takıyor.
4. Gece üçteki yorgunluk Ve son olarak, son yıllarda Uber'den kimlik doğrulama servisi Okta'ya kadar devlerin yandığı klasik. Saldırganlar uzaktan çalışan birinin çalınmış parolasını satın aldıklarında, geriye iki faktörlü doğrulamayı (MFA) aşmak kalıyor. Ne yapıyorlar? Uzaktan çalışanın evinde yatmasını bekliyorlar ve gece saat üçte telefonunu onlarca anlık bildirimle bombalamaya başlıyorlar: “Girişi onaylayın.” Hemen ardından da “şirket teknik desteği” adına ona özel mesajdan yazıyorlar: bu bir sistem hatasıymış, bildirimler çalmayı kessin diye “Onayla”ya basmalıymış. Ve külotuyla yatan mahmur adam, yeter ki telefon nihayet sussun ve uyumasına izin versin diye, hackerları kendi parmağıyla kutsalların kutsalına alıyor.
Modern “bulut güveni” endüstrisinin bütünüyle üzerinde durduğu temel, gerçekte işte bu insani kaostan — haplardan, aile dramlarından, sokak suçlarından ve gece tembelliğinden — oluşuyor. Bir dahaki sefere güzel bir finans sitesinin altında katı SOC 2 Compliant ve GDPR Compliant rozetlerini gördüğünüzde, okyanusun ötesinde bir yerde tam şu anda antidepresan kullanan yorgun bir adamın açık dizüstünün başından kendine kahve koymak için kalktığını, kız arkadaşının ise onun monitöründe dalgın dalgın başkalarının sunucu listelerini kaydırdığını hatırlayın yeter.