Dijital kimlik yalnızca kullanıcı adı, profil fotoğrafı veya e-Devlet benzeri bir giriş yöntemi değildir. Kim olduğumuzu kanıtlama, hangi veriyi kiminle paylaşacağımıza karar verme ve çevrim içi itibarımızı koruma süreçlerinin tamamını içine alan bir altyapıdır. Güçlü bir dijital kimlik düzeni güvenlik kadar mahremiyet, kullanıcı kontrolü, birlikte çalışabilirlik ve erişilebilirlik gerektirir.
01 — İnternette “sen” kimsin?
Fiziksel dünyada kimlik çoğu zaman tek bir resmi belgeyle ilişkilendirilir. Dijital dünyada ise aynı kişinin bir banka hesabı, sosyal medya profili, şirket girişi, e-posta adresi, telefon numarası, biyometrik verisi ve onlarca davranışsal izi vardır. Bunların hiçbiri tek başına kişinin tamamı değildir; fakat birlikte güçlü bir kimlik profili oluştururlar.
Bu nedenle dijital kimlik meselesi yalnızca “giriş yapabilmek” değildir. Kimliği kanıtlama, yetki verme, veri paylaşma ve işlem geçmişi arasındaki sınırların nasıl kurulduğu temel sorudur. NIST'in güncel Dijital Kimlik Rehberi de kimlik ispatı, kimlik doğrulama ve federasyonu birbirinden ayrı güven alanları olarak ele alıyor.[1]
Sorun şurada başlıyor: kullanıcı çoğu zaman bu parçaların hangisinin nerede tutulduğunu, birbirine nasıl bağlandığını ve bir platformdan ayrıldığında arkasında ne bıraktığını bilmiyor.
Dijital kimlik, internette görünür olmaktan önce, hangi bilginin hangi koşulda “seni temsil etmeye” yetkili olduğuna karar verme meselesidir.
02 — Kimlik doğrulama ile kimlik sahibi olmak aynı şey değil
Bir sistemin parolanı kabul etmesi, kimliğin üzerinde gerçek kontrol sahibi olduğun anlamına gelmez. Kimlik sağlayıcısı hesabı kapatabilir, platform politikası değişebilir veya farklı hizmetler arasında veri taşımak mümkün olmayabilir.
Dünya Bankası'nın ID4D ilkeleri bu nedenle yalnızca güvenliği değil; evrensel erişim, açık standartlar, teknoloji bağımsızlığı, mahremiyetin tasarımla korunması ve kullanıcı haklarını da dijital kimliğin temel koşulları arasında sayıyor.[2]
İyi bir dijital kimlik sistemi kullanıcının her işlemde bütün kimlik dosyasını açmasını istemez. Yaşını kanıtlamak için doğum tarihini, yetkisini kanıtlamak için tüm personel kaydını paylaşmak zorunda bırakmayan “gerektiği kadar veri” yaklaşımı daha sağlıklıdır.
İyi tasarımın hedefi daha fazla kişisel veri toplamak değil, işlem için gerçekten gerekli olan kanıtı en az veriyle sunabilmektir.
03 — Avrupa’nın dijital cüzdan yaklaşımı neden önemli?
Avrupa Birliği'nin güncel dijital kimlik düzenlemesi, kullanıcı kontrolünü merkeze alan “dijital kimlik cüzdanı” yaklaşımını kurumsallaştırıyor. Düzenleme; kullanıcıların kimlik verilerini ve nitelik belgelerini güvenli biçimde saklamasını, seçerek paylaşmasını ve gerektiğinde takma ad kullanmasını öngörüyor.[3]
Burada dikkat çekici nokta tek bir uygulama değil, mimari fikirdir: kimlik, her platformun kendi başına topladığı dağınık bir veri yığını olmak yerine kullanıcı tarafından yönetilen, standartlara dayalı ve farklı hizmetler arasında çalışabilen bir yapıya dönüşmeye çalışıyor.
Bu model kusursuz veya risksiz değildir. Merkezi ya da yarı merkezi kimlik altyapıları yanlış tasarlanırsa gözetim ve dışlanma riski de büyüyebilir. Bu yüzden teknik güvenlik kadar bağımsız denetim, şeffaflık ve hak arama mekanizmaları gerekir.
04 — Dijital ayak izi ile dijital kimliği karıştırmamak
Bir başka sorun, kullanıcının seçerek sunduğu kimlik ile platformların davranışlardan çıkardığı profilin birbirine karışmasıdır. Hangi videoyu izlediğin, hangi saatte çevrim içi olduğun, nerede durduğun veya hangi cihazı kullandığın doğrudan kimlik belgesi değildir; fakat yeterince veri biriktiğinde seni ayırt etmeye yarayan bir davranış imzasına dönüşebilir.
Bu noktada “ben paylaşmadım” savunması yetersiz kalır. Dijital mahremiyet yalnızca gönüllü olarak girilen alanlarla değil, sistemin sessizce türetebildiği bilgilerle de ilgilidir. Dünya Bankası'nın kimlik sistemleri için mahremiyet-by-design yaklaşımı da amaç dışı kullanım, hatalı eşleşme ve yetkisiz veri aktarımı risklerine özellikle dikkat çekiyor.[4]
05 — Sağlam bir dijital kimlik düzeni için dört şart
Birincisi kullanıcı kontrolü: kişi hangi verinin kimle paylaşıldığını anlayabilmeli ve mümkün olan yerlerde bunu sınırlayabilmeli. İkincisi birlikte çalışabilirlik: kimlik tek bir şirketin kapalı ekosistemine mahkûm olmamalı. Üçüncüsü erişilebilirlik: dijital kimlik, cihazı veya teknik becerisi yetersiz insanı hizmetin dışına itmemeli. Dördüncüsü hesap verebilirlik: yanlış eşleşme, hesap ele geçirilmesi veya veri ihlali halinde sorumluluk zinciri açık olmalı.
Dijital kimliğin geleceği daha çok veri toplamaktan değil, daha az veriyle daha güvenilir kanıt üretmekten geçiyor. Güvenliğin ölçüsü sistemin kullanıcı hakkında ne kadar bildiği değil; gerekli işlemi, gereksiz bilgi toplamadan ne kadar doğru yapabildiğidir.
Kaynakça
4 kaynakBu çalışma, kaynakların açıkça gösterildiği bağımsız bir değerlendirme metnidir. Yeni veri veya güçlü bir düzeltme gerektiğinde sürüm bilgisi güncellenir.