NATO, İzmir'deki savunma sanayii konferansı için Yandex Go önerisini gönderdikten kısa süre sonra geri çekti
The Record'un haberine göre NATO, İzmir'de düzenlenecek NATO Edge 26 konferansının katılımcılarına gönderdiği e-postada ulaşım seçeneği olarak Rus sermayeli Yandex Go'yu önerdi; konum verisine ilişkin itirazlar üzerine öneri düzeltme e-postasıyla kaldırıldı.
NATO, İzmir'de düzenlenecek savunma sanayii konferansı NATO Edge 26 için katılımcılara gönderdiği ulaşım rehberinde Rus sermayeli taksi uygulaması Yandex Go'yu önerdi, ardından bu öneriyi geri çekti. The Record'un 13 Kasım tarihli haberine göre e-posta perşembe günü gönderildi; mekânda otoparkın sınırlı olacağı belirtilerek taksi seçenekleri arasında Yandex Go sayıldı.
Konferansa NATO'dan, müttefik hükümetlerden, savunma sanayiinden ve akademiden 2.000'den fazla katılımcı bekleniyor.
Ne oldu?
Öneriye, katılımcılardan biri olan ve Norveç'te kritik dijital altyapı üzerine çalışan bir doktora araştırmacısı itiraz etti. Araştırmacı, Rusya'daki mevzuatın güvenlik servisi FSB'ye taksi verilerine sürekli erişim tanıdığını, NATO personelinin ve savunma tedarikçilerinin nerede kaldığının ve nasıl hareket ettiğinin bir hasmın tam da bilmek isteyeceği bilgi olduğunu söyledi.
Bir NATO yetkilisi The Record'a, etkinlik ekibinin "bir dikkatsizlik sonucu" Yandex Go'yu öneren bir e-posta gönderdiğini ve bunun "bir saat içinde düzeltildiğini" belirtti. The Record ise gördüğü e-postalara dayanarak düzeltmenin iki saatten biraz uzun bir süre sonra gönderildiğini yazdı. Düzeltme metninde, veri işleme ve teknoloji bağımlılığına ilişkin sorular üzerine uygulamanın önerilen ulaşım seçeneklerinden çıkarıldığı ifade edildi.
Olayda bir ihlal ya da veri sızıntısı bildirilmedi; konu, bir öneri e-postasının yarattığı operasyonel güvenlik (OPSEC) riskiyle sınırlı.
Kaygının dayanağı
Haberde aktarılan arka plan şöyle:
- Rusya, Aralık 2022'de FSB'ye taksi çağırma hizmetlerinin veritabanlarına sürekli erişim veren bir yasa kabul etti; yasa Eylül 2023'te yürürlüğe girdi.
- Bağımsız Rus yayın kuruluşu Meduza 2023'te, şirket içi kaynaklara dayanarak Yandex'in yurt dışı hizmetlerindeki yolculuk verilerini Rusya'da sakladığını öne sürdü. Yandex bu haberi yalanladı ve kayıtlara yalnızca yolculuğun yapıldığı ülkenin kolluk kurumlarının ulaşabileceğini açıkladı.
- Estonya ve Letonya, ulusal güvenlik gerekçesiyle Yandex'in taksi lisansını iptal etti.
- Hollanda'daki düzenleyiciler mayıs ayında, Yandex Go'nun arkasındaki MLU şirketine Norveçli ve Finlandiyalı kullanıcıların verilerini yeterli güvence olmadan Rusya'ya aktardığı gerekçesiyle 100 milyon euro ceza kesti; şirket karara itiraz edeceğini bildirdi.
Türkiye bağlamı
Yandex Go, Türkiye'de Yandex Türkiye tarafından işletiliyor. The Record, şirkete Türkiye'deki kullanıcıların yolculuk verilerinin nerede saklandığını sorduğunu, haber yayımlandığı sırada yanıt alamadığını belirtti. Verilerin Rusya'ya aktarıldığına dair Türkiye'ye özgü resmi bir tespit haberde yer almıyor.
Ne yapılmalı?
- Etkinlik ve seyahat rehberlerini güvenlik gözüyle okuyun. Katılımcılara önerilen uygulamalar (ulaşım, konaklama, etkinlik uygulaması) gönderilmeden önce bilgi güvenliği ekibinin onayından geçsin.
- Konum verisini hassas veri sayın. Yöneticilerin, saha ekiplerinin ve tedarikçilerin hareket bilgisi; kimin, hangi şirketle, nerede görüştüğünü ortaya koyabilir.
- Kurumsal telefonlardaki uygulama envanterini gözden geçirin. MDM üzerinden hangi ulaşım ve harita uygulamalarının kurulu olduğuna, hangi izinleri (sürekli konum, rehber) aldığına bakın.
- Veri aktarımını sorun. Yurt dışına veri aktaran hizmetlerde aydınlatma metnini ve verinin saklandığı ülkeyi kontrol edin; KVKK'nın yurt dışına aktarım kuralları kurumsal kullanım için de geçerli.
- Hata olduğunda hızlı düzeltin. Bu olayda öneri aynı gün içinde geri çekildi; düzeltme kanalının hazır olması zararı sınırlar.
