Bir kullanıcı doğru telefon numarasını biliyor. Telefonuna gelen doğrulama kodunu da doğru giriyor. Peki bu iki bilgi, işlemi yapan kişinin gerçekten beklediğiniz kullanıcı olduğunu söylemek için her zaman yeterli mi?
Dijital dünyada telefon numarası uzun zamandır önemli bir doğrulama ve iletişim unsuru.
Yeni bir üyelik oluştururken, şifremizi yenilerken, hesabımıza giriş yaparken veya finansal bir işlemi onaylarken telefonumuza gelen tek kullanımlık doğrulama kodlarıyla karşılaşıyoruz.
Sistem açısından süreç çoğu zaman oldukça basit görünür:
Kayıtlı GSM numarasını bul → OTP gönder → Doğru kod girildiyse işleme devam et.
Fakat güvenlik açısından bu sürecin arkasında sorulabilecek başka sorular da var.
Çünkü telefon numarası değişmeden, o numaranın kullanıldığı SIM kart değişebilir.
İşte bu noktada telekomünikasyon verileri, klasik SMS gönderiminin ötesinde farklı bir anlam kazanmaya başlıyor.
Aynı numara, değişen bir unsur
SIM kart değişikliği günlük hayatın olağan bir parçası olabilir.
SIM kart bozulabilir veya kaybolabilir. Kullanıcı farklı bir SIM teknolojisine geçebilir ve operatör prosedürleri kapsamında yeni bir SIM kart edinebilir.
Dolayısıyla bir SIM değişikliği tespit edilmesi kendi başına olağan dışı veya kötü niyetli bir durum olduğu anlamına gelmez.
Ancak yüksek güvenlik gerektiren bir işlem gerçekleştiriliyorsa, SIM kartta yakın zamanda değişiklik olup olmadığı kurum açısından değerlendirmeye değer ek bir bilgi olabilir.
Buradaki kritik ayrım tam olarak bu:
SIM değişikliği bir karar değil, bir sinyaldir.
Güvenlik bazen tek bir kontrolden değil, kontrollerin birleşiminden oluşur
Bir OTP doğrulamasında sistem, kullanıcının telefonuna tek kullanımlık bir kod gönderir.
Kullanıcı kodu doğru girdiğinde sistem, gönderilen kod ile girilen kodun eşleştiğini doğrular.
Fakat özellikle yüksek riskli işlemlerde kurumlar bunun yanında farklı kontrol mekanizmalarından da yararlanabilir.
Örneğin kurum kendi güvenlik politikası doğrultusunda işlem sırasında ilgili hatta yakın zamanda SIM kart değişikliği yapılıp yapılmadığını sorgulayabilir.
Elde edilen sonuç kurumun mevcut risk değerlendirmesine dahil edilebilir.
Bu durumda soru artık yalnızca:
“OTP doğru girildi mi?”
değildir.
Buna başka bir soru eklenir:
“OTP’nin gönderildiği hatta yakın zamanda SIM kart değişikliği gerçekleşmiş mi?”
Bu iki bilgi aynı şey değildir ve farklı amaçlara hizmet eder.
Bir sorgu, işlemin akışını değiştirebilir
Örneğin bir finans kuruluşunda yüksek güvenlik gerektiren bir işlem yapıldığını düşünelim.
Sistem, işlemin devamında OTP doğrulaması isteyecek olsun.
Kurumun belirlediği mimariye göre OTP gönderilmeden veya işlem tamamlanmadan önce SIM kart değişikliği sorgusu gerçekleştirilebilir.
İşlem talebi
↓
SIM değişikliği sorgusu
↓
Kurumun risk değerlendirmesi
↓
OTP doğrulaması
↓
İşlem
Sorgulama sonucunda yakın tarihli bir değişiklik görülmesi durumunda ne yapılacağına ise sorgulama servisi değil, kurumun kendi güvenlik politikası karar verir.
İşlem normal şekilde devam edebilir, farklı bir doğrulama yöntemi istenebilir veya kurum kendi kurallarına göre ilave kontroller uygulayabilir.
Bu nedenle SIM değişikliği sorgulamasını tek başına bir güvenlik çözümü olarak değil, daha geniş bir güvenlik ve risk yönetimi mimarisini besleyen veri noktalarından biri olarak değerlendirmek daha doğrudur.
Telekom altyapısı artık yalnızca mesaj taşımıyor
Buradaki daha büyük dönüşüm ise aslında SIM karttan çok daha ilginç.
Yıllarca telekomünikasyon altyapısını esas olarak iki temel işlevle düşündük:
Arama yapmak ve mesaj göndermek.
Bugün ise telekom altyapısında bulunan bazı bilgiler, kurumların dijital süreçlerinde gerçekleştirdiği kontrolleri desteklemek amacıyla da kullanılabiliyor.
Örneğin ihtiyaca ve kullanılabilir servislere göre;
TCKN–GSM eşleşmesi,
SIM kart değişikliği,
telefon/cihaz değişikliği,
hat tipi ve hat durumu
gibi farklı sorgulamalar kurumsal sistemlerin iş akışlarına dahil edilebiliyor.
Bu noktada telekomünikasyon teknolojisinin rolü değişiyor.
Artık yalnızca “Bu numaraya mesaj gönder” komutunu yerine getiren bir altyapıdan değil;
“Bu işlemle ilgili karar verirken kullanabileceğim başka hangi telekom verileri var?”
sorusunun da sorulabildiği bir ekosistemden söz ediyoruz.
Mesajlaşmadan Akıllı Yeteneklere
Balaban Yazılım’ın bugün sunduğu teknoloji yaklaşımı da bu dönüşümü yansıtıyor.
2004’ten bu yana kurumsal mesajlaşma ve telekomünikasyon teknolojileri alanında faaliyet gösteren Balaban, SMS ve OTP servislerinin yanında kurumların farklı iş süreçlerinde kullanabilecekleri Akıllı Yetenekler sunuyor.
SIM kart değişikliği sorgulaması bunlardan yalnızca biri.
Kimlik ve GSM eşleşmesinden cihaz değişikliğine, hat bilgilerinden farklı abonelik sorgularına kadar çeşitli servisler, ihtiyaca göre kurumların mevcut sistemleriyle entegre edilebiliyor.
Böylece telekomünikasyon altyapısı yalnızca müşteriye ulaşmak için değil, kurumların mevcut doğrulama, risk ve operasyon süreçlerini ilave verilerle desteklemek için de kullanılabiliyor.
Doğru soru bazen sonucu değiştirir
Dijital güvenlik geliştikçe tek bir doğrulama yöntemine güvenmek yerine farklı sinyallerin birlikte değerlendirilmesi giderek daha anlamlı hale geliyor.
Telefon numarası bu yapının önemli parçalarından biri.
Ama bazen telefon numarasını bilmekten daha değerli olan, o numaranın arkasında yakın zamanda neyin değiştiğini bilmek olabilir.
Bu nedenle bir sonraki kritik işlemde soru yalnızca:
“Telefon numarası doğru mu?”
olmayabilir.
Belki de sorulması gereken bir sonraki soru şudur:
“Telefon numarası aynı. Peki SIM kart da aynı mı?”
Balaban Akıllı Yetenekler, kurumların ihtiyaç duydukları telekomünikasyon sorgularını mevcut sistem ve iş süreçlerine entegre ederek daha fazla veriyle hareket edebilmelerine yardımcı olur.