Dijital Kimlik: Genel Bir Bakış

“Sen kimsin?” sorusuna cevap almak nadiren bu kadar basit olmuştur. Şirketlerdeki veya devlet kurumlarındaki risk ve dolandırıcılık uzmanları, kimlik doğrulamanın kuruluşlarının hassas verilerinin ve finansal varlıklarının temel koruyucularından biri olduğunu anlar.

Dijital dünyada, dijital kimlik doğrulaması daha da karmaşıktır. “Standart” kimlik doğrulama yöntemleriyle birçok benzerliği paylaşsa da, dijital kimlik doğrulamasının birçok farkı vardır. Son derece birbirine bağlı dijital dünyada giderek daha da önemli hale gelmektedir. Bu nedenle risk ve dolandırıcılık uzmanlarının da kuruluşlarını ve çevrimiçi olarak onlarla bağlantı kuran kişileri dijital kimlik dolandırıcılığından nasıl koruyacaklarını bilmeleri gerekir.

1. Dijital kimlik nedir?

Dijital kimlik (digital identity), dijital dünyada bir kişiyi veya varlığı temsil eden niteliklerin ve kimlik bilgilerinin birleşimidir. Kullanıcı adları, elektronik posta adresleri, biyometrik veriler, tarama geçmişi, çevrimiçi profiller ve toplu olarak birinin çevrimiçi kim olduğunu belirleyen diğer veri noktaları gibi bilgileri içerir.

Tanımlama sürecinin bir parçası, bir kişinin dijital kimliğini fiziksel kimliğinden ayırt ederek başlamaktır. Tekrar, terim o kişiyi fiziksel dünyada tanımlayan benzersiz veri kümesini, isim, adres ve doğum tarihini, ayrıca devlet tarafından verilmiş bir sürücü belgesini (veya başka bir kimlik belgesini) ve Sosyal Güvenlik numarasını içeren bilgileri ifade eder. Dijital kimlik, bir kişiyi veya kuruluşu çevrimiçi olarak temsil eden tüm verileri kapsar. Kişisel kimlik bilgilerine ek olarak, dijital kimlik verileri bir kişinin arama geçmişi, satın alımları ve sosyal medya gönderileri gibi çevrimiçi etkinliklerini içerir.

Bir kişi, çevrimiçi hizmetlere, ürünlere veya diğer etkileşimlere erişmek için dijital kimliğini kullanır. İşletme veya diğer kuruluş, kişinin ve dijital kimliğin uyuşup uyuşmadığını belirlemelidir. Kimlik doğrulamanın en bilinen yöntemi, elbette, kullanıcı adı ve parola kombinasyonları olan oturum açma kimlik bilgilerinin kullanılmasıdır. Yine de, kuruluşların çevrimiçi profilin arkasındaki insanı doğrulamak için başka yöntemlere ihtiyacı vardır. Bunlar, bir kişinin çevrimiçi bir belgeyi imzalamasına izin veren dijital imzalar ve sertifikalar olabilir.

Giderek daha fazla insan, taşıyıcılarına çevrimiçi hizmetlere güvenli erişim sağlamayı amaçlayan elektronik kimlik formları olan devlet tarafından verilen dijital kimlikleri ve sertifikaları “taşımaktadır”. Amerika Birleşik Devletleri’nde (ABD) yalnızca birkaç eyalet bu tür kimlikler sunarken, diğer eyaletler tüm vatandaşları için bu kimlik formlarını geliştirmektedir. Birçok kuruluş, çevrimiçi kullanıcıların yüz veya parmak izi tanıma teknolojisi marifetiyle “okunması” için biyometrik veri göndermelerini talep etmektedir. Giderek daha fazla ilgi gören yeni bir doğrulama biçimi, en son kriptografiyi içeren bir “dağıtık defter” teknolojisi olan blok zincirine dayanmaktadır.

Seçilen yöntem(ler) ne olursa olsun, güçlü bir dijital kimlik süreci bir kuruluşun dolandırıcılık riskini azaltabilir. Ayrıca müşterilere ve çevrimiçi etkileşimde bulunan diğer kullanıcılara kuruluşun kimliklerinin çalınmasını önlemek için elinden gelen her şeyi yaptığına dair güvence verebilir. Bu risk maliyetlidir ve artmaktadır. ABD Federal Ticaret Komisyonu (Federal Trade Commission), 2024 yılının ilk üççeyreğinde 842 bin kimlik hırsızlığı vakası kaydetmiş olup; bu oran 2023 yılındaki oranı aşmaktadır[1]. Bir “American Association of Retired Persons” (Amerikan Emekliler Birliği) raporunda[2], Amerikalı yetişkinlerin 2023 yılında kimlik dolandırıcılığı nedeniyle 43 milyar dolar kaybettiği iddia edilmektedir.

Ayrıca, birçok profesyonel dijital kimlik doğrulamasına odaklanmanın yalnızca fiziksel dokümantasyondan daha fazla güvenlik sağlayabileceğine inanmaktadır. Bu kimlik dijital olduğundan, kuruluşlar doğrulama maliyetlerini azaltabilecek otomatik doğrulama süreçlerini etkinleştirebilir. Kimlik doğrulamayı kolaylaştırarak otomasyon, bir kuruluşa çevrimiçi erişirken kullanıcı deneyimini basitleştirebilir.

2. Yaygın kullanım durumları

2.1. İlgili sektörler

• Özellikle sağlam dijital kimlik doğrulama sistemlerine ihtiyaç duyan sektörler, şaşırtıcı olmayan bir şekilde, hassas verileri (kendi verilerini ve müşterilerini) korumada finansal çıkarı olan sektörlerdir.
• Finansal hizmetler: Bu kategori bankaları ve kredi birliklerini, menkul kıymet şirketlerini, sigortacıları, fintech sağlayıcılarını ve kripto para borsalarını içerir. Finansal hizmetler işletmelerinin müşteriye ilişkin durum tespiti (customer due diligence) ve müşteri tanıma ve kara para aklamayı önleme (know-your-customer and anti-money-laundering) kurallarıyla ilgili federal düzenlemelere uyması gerekir.
• Sağlık: Doktorlar ve hastaneler, tedavi ve ilaç alan kişilerin gerçek hastalar olduğundan emin olmalıdır. Sigortacılar, ödeme alan kişilerin kimliklerini doğrulamalıdır. Sağlık Sigortası Taşınabilirliği ve Sorumluluk Yasası (Health Insurance Portability and Accountability Act), bir bireyin korunan sağlık bilgilerini (protected health information) talep eden herkesten kimlik doğrulaması gerektirir.
• Devlet: Kurumlar, hak sahibi olan kişilere faydaların ve hizmetlerin verildiğinden emin olmalıdır. Birçok devlet kurumu, mevcut dolandırıcılık türleriyle evrim geçirmiş olsa da, evrimleşmeye devam etmekte olup bir kimlik doğrulama stratejisine duyulan ihtiyaç her zamankinden daha önemlidir.
• Elektronik ticaret ve perakende: Bu işletmelerin işlem dolandırıcılığını önlemeleri, doğru ödeme işlemlerini sağlamaları ve müşteri verilerini (banka hesabı ve kredi kartı numaraları dâhil) korumaları gerekir.

Seyahat ve misafirperverlik, telekomünikasyon ve eğitim sektörlerinin kimlik doğrulaması yoluyla çevrimiçi verileri koruması gerekir. Ayrıca, çevrimiçi oyun operatörleri dolandırıcılığı önlemek için oyuncularının kimliklerini kanıtlamayı giderek daha önemli bulmaktadır. Ve paylaşım ekonomisi platformları (bilinen örnekler arasında Uber, DoorDash ve TaskRabbit bulunur) hem kullanıcıları hem de hizmet sağlayıcıları korumak için kimlik dolandırıcılarına karşı dikkatli olmalıdır.

2.2. Yaygın kullanım durumları

• Dijital kimlik doğrulamanın en yaygın kullanım durumları şunlardır:
• Güvenli oturum açma ve kimlik doğrulama;
• Yüksek değerli finansal ve perakende işlemler;
• Devlet hizmetlerine erişim;
• Sınır ötesi doğrulama;
• Sağlık verilerine erişim;
• Çalışan doğrulaması ve güvenli erişim,
• Mevzuata uygunluk ve raporlama.

Ayrıca, bazı işletme türlerinin özel kullanım durumları vardır:

• Hesap oluşturma ve müşteri edinimi/çekme (account creation and customer onboarding): Bankalar ve diğer finansal hizmet firmaları, dolandırıcılık işlemlerine ve hesap ele geçirilmesine karşı koruma sağlamak için hesap açtıklarında kullanıcıların kimliklerini doğrulamak zorundadır.
• Yaş doğrulaması (age verification): Bu, çevrimiçi kumar gibi yaş kısıtlamalı erişim gerektiren işletmeler için önemlidir.

3. Dijital kimlikler nasıl doğrulanır?

Dijital kimlik doğrulama, bir kişinin dijital ortamlarda iddia ettiği kişi olduğunu doğrulama sürecidir. Güven oluşturmak ve dolandırıcılığı önlemek için parolalar, biyometrik kimlik doğrulama, bilgi tabanlı sorular, belge doğrulama veya çok faktörlü kimlik doğrulama gibi yöntemlerle sunulan dijital kimliğin güvenilir kaynaklara karşı doğrulanmasını içerir.

3.1. Riskler ve zorluklar

Bir kişinin kimliğinin belirlenmesi basit parolalardan iki faktörlü doğrulamaya ve ardından biyometri gibi daha karmaşık sistemlere doğru evrilmiştir. Dijital kimlik doğrulama birçok iş sektöründe önemli hale gelirken, bu kimliklerin ardındaki kişilerin gerçekten de söyledikleri kişi olduklarını doğrulamak için titiz bir program oluşturmak karmaşık bir projedir. Bir kuruluşun risk ve dolandırıcılık profesyonellerinin birkaç önemli zorluğa hazırlıklı olması gerekir:

• Karmaşık kimlik dolandırıcılığı teknikleri (sophisticated identity fraud techniques): Bilgisayar korsanları, çalışanları kandırarak kuruluşun Bilgi Teknolojisi altyapısına erişime izin vermelerini sağlamak için sentetik kimlikler ve yapay zekâ ile ilgili sahtekârlıklar oluşturuyor; bu da siber güvenlik risk yönetimi stratejisi ve güvenlik yükseltmeleri gerektirebilir.
• Veri gizliliği düzenlemeleri (addressing data privacy regulations): Örneğin, Avrupa Birliği’nin Genel Veri Koruma Yönetmeliği (General Data Protection Regulation), AB vatandaşlarının kişisel verilerini korumayı amaçlamaktadır. ABD’de, Kaliforniya Tüketici Gizlilik Yasası (California Consumer Privacy Act), o eyaletin sakinleri için benzer bir rol üstlenmektedir.
• Güvenliği kullanıcı deneyimiyle dengeleme (balancing security with user experience): Müşteriler tek bir işlem yapmak için çok sayıda zaman alıcı doğrulama çemberinden geçmekten hoşlanmazlar. Bilgi Teknolojisi uzmanları bu yavaşlamaları kullanıcı sürtünmesi olarak sınıflandırır ve bu durum işletmelerin potansiyel müşterilerine mal olabilir.
• Teknik sınırlamalar ve altyapı gereksinimleri (technical limitations and infrastructure requirements): Dijital doğrulama sistemlerinin birbirleriyle ve bir organizasyonun Bilgi Teknolojisi ağıyla “konuşabilmesi” gerekir.
• Kimlik bilgisi doldurma ve diğer siber saldırı teknikleri (credential stuffing and other cyberattack techniques): Kimlik bilgisi doldurmada, bilgisayar korsanları çalınan kimlik bilgilerini kullanarak birçok yönden maliyetli olabilen bir sistemi ihlal eder. Kaba kuvvet saldırısında, saldırganlar erişim parolalarını “tahmin etmek” için yüksek hızlı otomasyonu kullanır ve yaygın parola desenleriyle birleştirilmiş rastgele karakterler üretir. Bu ve diğer taktikler, bir kuruluşun dijital doğrulama protokollerindeki zayıf noktaları istismar etmeye çalışır.
• Sınır ötesi karmaşıklıklar (cross-border complexities): Uluslararası kimlik bilgilerine erişim zor olabilir ve mevcut verilerin ek araştırma yapılmadan doğrulanması zor olabilir.

3.2. En iyi uygulamalar

Kuruluşlar, dijital kimlik doğrulaması için güncel en iyi uygulamaları izleyerek bu riskleri ve zorlukları karşılayabilir. Bunlar şunları içerir:

• Etkili bir doğrulama sisteminin çeşitli bilgi kaynaklarına eriştiği çok katmanlı doğrulama;
• Risk tabanlı kimlik doğrulama çerçeveleri; bu yaklaşım, ne kadar doğrulama gerektiğini belirlemek için her oturum açmanın riskini değerlendirir.
• Biyometrik doğrulama, dolandırıcılık ve risk profesyonellerinin biyometrik teknolojinin veri gizliliği üzerindeki etkileri konusunda kendilerini bilgilendirmeleri gereken bir konudur.
• Sürekli kimlik doğrulama ile belirli bir zamanda doğrulama arasındaki fark;
• Belge doğrulama teknolojileri;
• Sahteciliği önlemek için canlılık tespiti;
• Düzenleyici standartlara uyum;
• Güvenli veri depolama ve yönetimi;
• Sahtecilik örüntü tanıma ve makine öğrenimi uygulaması;
• Kullanıcı eğitimi ve iletişimi,
• Ölçeklenebilir kimlik doğrulama altyapısı.

Bu dijital kimlik uygulamalarının çoğunun ayrıntılarında çok daha fazlası var ve derinlemesine bir kimlik doğrulama stratejisi söz konusu olduğunda temel terminolojiyi açıklıyor. Dünyamız daha dijital hale geldikçe ve kimlik dolandırıcılığı riskleri daha belirsiz ve karmaşık hale geldikçe, risk ve dolandırıcılık profesyonellerinin elde edebilecekleri tüm netliğe ihtiyaçları vardır.

[1]<https://www.usi.com/executive-insights/executive-series-articles/featured/personal-risk/q4-2024/identity-theft-101-safeguard-your-identity-and-recover-from-fraud/> [Çevirenin Notu: “Bu dipnot tarafımızca iliştirilmiştir.”].

[2]<https://www.aarp.org/money/scams-fraud/identity-fraud-report-2024/>.

Yavuz Akbulak

Yavuz Akbulak
1966 yılında, Gence-Borçalı yöresinden göç etmiş bir ailenin çocuğu olarak Ardahan/Çıldır’da doğdu. 1984 yılında yapılan sınavda Gazi Üniversitesi İktisadi ve İdari Bilimler Fakültesi Maliye bölümünü kazandı. 1985 yılında Marmara Üniversitesi İktisadi ve İdari Bilimler Fakültesi Maliye bölümüne yatay geçiş yaptı ve 1988’de Marmara Üniversitesi İktisadi ve İdari Bilimler Fakültesi Maliye bölümünü birincilikle, Fakülteyi ise 11’inci olarak bitirdi.
1997 yılında Amerika Birleşik Devletleri’nin Denver şehrinde yer alan ‘Spring International Language Center’da; 65’inci dönem müdavimi olarak 2008-2009 döneminde Milli Güvenlik Akademisi’nde (MGA) eğitim gördü ve MGA’dan dereceyle mezun oldu. MGA eğitimi esnasında ‘Sınır Aşan Sular Meselesi’, ‘Petrol Sorunu’ gibi önemli başlıklarda bilimsel çalışmalar yaptı.
• Türkiye’de Yatırımların ve İstihdamın Durumu ve Mevcut Ortamın İyileştirilmesine İlişkin Öneriler (Maliye Hesap Uzmanları Vakfı Araştırma Yarışması İkincilik Ödülü);
• Türk Sosyal Güvenlik Sisteminde Yaşanan Sorunlar ve Alınması Gereken Önlemler (Maliye Hesap Uzmanları Vakfı Araştırma Yarışması İkincilik Ödülü, Sevinç Akbulak ile birlikte);
• Kayıp Yıllar: Türkiye’de 1980’li Yıllardan Bu Yana Kamu Borçlanma Politikaları ve Bankacılık Sektörüne Etkileri (Bankalar Yeminli Murakıpları Vakfı Eser Yarışması, Övgüye Değer Ödülü, Emre Kavaklı ve Ayça Tokmak ile birlikte),
• Türkiye’de Sermaye Piyasası Araçları ve Halka Açık Anonim Şirketler (Sevinç Akbulak ile birlikte) ve
• Türkiye’de Reel ve Mali Sektör: Genel Durum, Sorunlar ve Öneriler (Sevinç Akbulak ile birlikte)
başlıklı kitapları yayımlanmıştır.
• Anonim Şirketlerde Kâr Dağıtımı Esasları ve Yedek Akçeler (Bilgi Toplumunda Hukuk, Ünal TEKİNALP’e Armağan, Cilt I; 2003),
• Anonim Şirketlerin Halka Açılması (Muğla Üniversitesi İktisadi ve İdari Bilimler Fakültesi Tartışma Tebliğleri Serisi II; 2004)
ile
• Prof. Dr. Saim ÜSTÜNDAĞ’a Vefa Andacı (2020), Cilt II;
• Prof. Dr. Saim Üstündağ’a İthafen İlmi Makaleler (2021);
• Prof. Dr. Saim Üstündağ’a İthafen İlmi Makaleler II (2021);
• Sosyal Bilimlerde Güncel Gelişmeler (2021);
• Ticari İşletme Hukuku Fasikülü (2022);
• Ticari Mevzuat Notları (2022);
• Bilimsel Araştırmalar (2022);
• Hukuki İncelemeler (2023);
• Prof. Dr. Saim Üstündağ Adına Seçme Yazılar (2024);
• Hukuka Giriş (2024);
• İşletme, Pazarlama ve Hukuk Yazıları (2024),
• İnterdisipliner Çalışmalar (e-Kitap, 2025)
başlıklı kitapların bazı bölümlerinin de yazarıdır.
1992 yılından beri Türkiye’de yayımlanan otuza yakın Dergi, Gazete ve Blog’da 3 bini aşkın Telif Makale ve Telif Yazı ile tamamı İngilizceden olmak üzere Türkçe Derleme ve Türkçe Çevirisi yayımlanmıştır.
1988 yılında intisap ettiği Sermaye Piyasası Kurulu’nda (SPK) uzman yardımcısı, uzman (yeterlik sınavı üçüncüsü), başuzman, daire başkanı ve başkanlık danışmanı; Özelleştirme İdaresi Başkanlığı GSM 1800 Lisansları Değerleme Komisyonunda üye olarak görev yapmış, ayrıca Vergi Konseyi’nin bazı alt çalışma gruplarında (Menkul Sermaye İratları ve Değer Artış Kazançları; Kayıt Dışı Ekonomi; Özkaynakların Güçlendirilmesi) yer almış olup; halen başuzman unvanıyla SPK’da çalışmaktadır.
Hayatı dosdoğru yaşamak ve çalışkanlık vazgeçilmez ilkeleridir. Ülkesi ‘Türkiye Cumhuriyeti’ her şeyin üstündedir.