Büyük bir şehir hastanesinin acil servis koordinasyonunu hayal edin. Hastanenin bodrum katında, elektrik kesintisinde 3 saniye içinde devreye giren devasa yedek dizel jeneratörler ve yoğun bakıma sıvı oksijen pompalayan ana kriyojenik oksijen tankları vardır. Bu kritik sistemlerin bulunduğu çelik zırhlı kapının tek bir manyetik şifre kartı ve tek bir fiziksel anahtarı bulunmaktadır.

Şimdi düşünün ki hastane başhekimi veya idari müdürü, bu hayati anahtarı üç ay önce hastanede staj yapan 20 yaşındaki bir tıp öğrencisinin boynuna asmış ve çocuk stajı bittiğinde memleketine dönerken anahtarı geri almayı unutmuştur! Bir gece şehir şebekesinde trafo patlar, hastanenin elektriği kesilir. Yoğun bakımdaki ventilatörler alarm vermeye başlar. Başhekim bodrum katına koşar; kapı kilitlidir! Anahtar nerede? Üç yıl önce memleketine dönen ve telefonunu değiştiren o eski stajyerin evindeki çekmecede! Koca hastane, yüzlerce hastanın hayatı o tek anahtarın rehin kalması yüzünden pamuk ipliğine bağlanır.

Kurumsal dünyada ve şirket yönetimlerinde her yıl yüzlerce saygın markanın, holdingin ve e-ticaret devinin başına gelen trajedi tam olarak bu anahtar rehin krizidir: Şirketin en değerli dijital tapusu olan alan adının (domain) WHOIS kayıtlarına, şirketten ayrılan personelin şahsi e-postasını yazmak.

Bir Tescil Hikayesi: "Caner İki Dakikada Alıver"

Olay genellikle şirketin kuruluş aşamasında veya yeni bir marka tescil edildiğinde başlar. Şirket yönetim kurulu toplanır, harika bir marka ismi bulunur: devholding.com.

Genel müdür odasındaki genç bilgi işlem çalışanına veya pazarlama stajyerine seslenir: "Caner oğlum, şu domaini bizim şirket adına alıver hemen, kartımdan çekersin."

Caner bir alan adı tescil firmasının web sitesine girer. Alan adı boştadır, sepete ekler. Sıra "Alan Adı Sahibi Bilgileri" (Registrant Contact) formunu doldurmaya gelir:

  • Ad Soyad: Caner Özkan
  • Şirket Adı: Dev Holding A.Ş.
  • E-Posta: [email protected] (Şirket maili henüz açılmadığı için şahsi adresini yazar!)
  • Telefon: Caner'in şahsi cep telefonu.

Alan adı tescil edilir, site kurulur, Caner takdir edilir.

Aradan dört yıl geçer. Caner şirketle maaş zammı yüzünden tartışır, olaylı bir şekilde istifa eder. Telefon numarasını değiştirir, LinkedIn hesabını siler, başka bir şehre taşınır. Şirket Caner'i çoktan unutmuştur; şirket büyümüş, cirosu yüz milyonlara ulaşmıştır.

ICANN RAA Kabusu: clientHold Tokadı

2013 yılından itibaren internetin kurucu otoritesi ICANN, RAA (Registrar Accreditation Agreement) kapsamında çok katı bir küresel kural getirdi: Alan adı sahiplerinin WHOIS kayıtlarındaki e-posta adreslerinin doğruluğu periyodik olarak teyit edilmelidir.

ICANN kayıt operatörü, her yıl alan adının sahibinin e-posta adresine otomatik bir doğrulama bağlantısı gönderir:

"ICANN Verification Required: Please confirm your contact information within 15 days, otherwise your domain will be suspended."

E-posta kime gider? Şirketin genel müdürüne mi? Şirketin hukuk müşavirine mi? Hayır! Dört yıl önce şirketten kavgalı ayrılan Caner'in asla açmadığı o eski Gmail hesabına!

  1. Gün: E-posta Caner'in gelen kutusuna düşer. Caner maile bakmaz.
  2. Gün: İkinci uyarı e-postası gider.
  3. Gün: Süre dolar.

Otomasyon acımasızdır; hiçbir şirketin büyüklüğüne veya cirosuna bakmaz. Kayıt operatörü alan adının durumunu kök DNS seviyesinde anında şu koda çeker:

Status: clientHold
Status: serverHold

clientHold, bir alan adının DNS kök sunucularından fiziksel olarak silinmesi demektir!

Salı 10:00: Şirketin Dijital Ölümü

Salı sabahı şirketin tüm web siteleri çöker. E-postalar kesilir. Müşteriler banka hesaplarına para gönderemez, e-faturalar onaylanamaz.

Şirket avukatı derhal tescil firmasını arar: "Bizim sitemizi hangi hakla kapattınız? Biz kurumsal bir şirketiz, faturamızı yıllarca peşin ödedik!"

Tescil firmasının cevabı soğuk bir duş gibidir: "Sayın yetkili, alan adınızın yasal sahibi (Registrant) resmi WHOIS kayıtlarına göre Caner Özkan isimli şahıstır. ICANN doğrulama e-postası [email protected] adresine gönderilmiş ancak 15 gün içinde onaylanmamıştır. Yasa gereği alan adını askıya almak zorundayız. Alan adını yeniden açabilmemiz için o e-postadaki linke tıklanması veya Caner Bey'in noter onaylı kimlik belgesiyle onay vermesi gerekmektedir."

Şirket genel merkezinde buz gibi bir sessizlik olur. Şirketin tapusu, nerede olduğu bilinmeyen, ulaşılamayan eski bir personelin cebinde kalmıştır!

Şirket Dijital Varlıklarını Güvenceye Alma Protokolü

Bir şirketin fiziksel fabrikasının veya genel merkez binasının tapusunu şoförün veya stajyerin üzerine yapmazsınız. Bir şirketin internetteki varlığı, en değerli ticari gayrimenkulüdür.

Bu rehine krizlerini yaşamamak için uygulanması zorunlu kurallar şunlardır:

  1. Kurumsal ve Şahıslardan Bağımsız İletişim Adresi: Alan adı tescillerinde asla şahsi e-posta (Gmail, Hotmail) veya belirli bir personelin adına açılmış mail ([email protected]) kullanılmamalıdır. Alan adı sahibi olarak mutlaka şirket ortaklarının ve hukuk departmanının ortak erişiminde olan kurumsal bir takma ad (alias) tanımlanmalıdır: [email protected] veya harici bir güvenli grup adresi.
  2. Yasal Mülkiyet Bilgileri: WHOIS kayıtlarındaki "Organization" alanına mutlaka şirketin ticaret sicil gazetesindeki tam yasal unvanı yazılmalıdır. Şahıs ismi geçici bir çalışan değil, şirketin yasal imza yetkilisi olmalıdır.
  3. İK Çıkış Listesine (Exit Checklist) Dijital Varlıkların Eklenmesi: İnsan Kaynakları departmanı, şirketten ayrılan bir IT veya pazarlama personelinin ilişiğini keserken sadece bilgisayarını ve giriş kartını değil; üzerine kayıtlı tüm alan adlarını, SSL sertifikalarını ve bulut hesaplarını devralmak zorunda olmalıdır.
  4. WHOIS Bilgilerini Düzenli Denetleme: Şirketin bilgi işlem direktörü yılda en az iki kez tüm kurumsal alan adlarının WHOIS dökümünü alıp e-posta ve telefon bilgilerinin güncelliğini denetlemelidir.

Hastanenin jeneratör anahtarını stajyerin boynunda unutan başhekim nasıl hastaların hayatını tehlikeye atıyorsa, alan adının yetki mailini eski personelin şahsi hesabında unutan yönetim de şirketin geleceğini ateşe atar. Mülkiyet ciddiyet ister; dijital tapunuzu sahipsiz bırakırsanız, bir sabah kendi dükkânınızın kapısında çaresizce boyun bükersiniz.