Eşsiz Bir Ekosistemin Korunması

Yirmi yılı aşkın bir süredir Roblox, bir milyar insanı iyimserlik ve nezaketle bir araya getirme misyonunu sürdürüyor. Bu misyon, platformun içerik üreten, oyun oynayan ve topluluklar kuran 120 milyondan fazla günlük aktif kullanıcı1 için güvenli olduğuna dair güvene dayanıyor. Bu güveni sürdürmek, sektörde gerçek anlamda bir emsali olmayan bir zorluğa yönelik olarak tasarlanmış bir güvenlik programı gerektirir.

Çoğu kurumsal güvenlik ekibi, kendi mühendislerinin yazdığı kodları, kendi ekiplerinin işlettiği sistemleri ve kendi işletmelerinin ürettiği verileri korur. Roblox’ta ise bu, resmin sadece bir parçasıdır. Platformumuz, milyonlarca harici içerik oluşturucu, canlı bir sanal ekonomi ve şirketin kendi veri merkezleri, geçici bulut ortamları ve iç hizmetlerini kapsayan bir altyapı tarafından desteklenmektedir. Tüm bunlar eşzamanlı olarak çalışmaktadır ve her biri tutarlı bir koruma gerektirmektedir. Bunun yarattığı güvenlik zorlukları, teknoloji dünyasındaki diğer hiçbir şeye benzememektedir. Aşağıda, bu zorlukları nasıl değerlendirdiğimizi, bunları çözmek için neler geliştirdiğimizi ve bundan sonra nereye doğru ilerleyeceğimizi paylaşıyorum.

Eşi Benzeri Olmayan Bir Ekosistem

Kendi ekiplerimiz tarafından üretilen kodları güvence altına almanın yanı sıra, Roblox’un iş modeli, milyonlarca harici içerik üreticisi tarafından yazılan güvenilir olmayan kodların çalıştırılmasını da içerir. Roblox, her gün yeni, deneyimsiz ve zaman zaman korumalarımızı atlatmaya niyetli olabilecek içerik oluşturucuların komut dosyalarını çalıştırır. Bu nedenle güvenlik modelimiz, herhangi bir kod parçasının kötü amaçlı veya istismara açık olabileceğini varsaymak zorundadır. Sandboxing, izolasyon ve çalışma zamanı izleme burada sadece “olması iyi olur” türünden özellikler değildir; bunlar, tüm platformun üzerinde çalıştığı temeldir.

Platformun üzerinde yer aldığı altyapı da aynı derecede karmaşıktır. Roblox’un güvenliğini sağlamak, sabit sınırlara sahip kendi veri merkezlerimizden saniyeler içinde devreye girip kaybolan geçici bulut örneklerine kadar, birbirinden daha farklı olamayacak ortamlar genelinde tutarlı bir tehdit görünürlüğü ve politika uygulamasını sürdürmek anlamına gelir. Bu, her iki hızda da eşzamanlı olarak çalışabilen otomasyon ve etki alanı yönetişimi gerektirir. Ana varlıkların iç veriler ve sistemler olduğu geleneksel kurumsal güvenlikten farklı olarak, Roblox’un saldırı yüzeyi canlı bir ekonomiyi de içerir: gerçek parasal değeri olan para birimi karşılığında satılan milyonlarca sanal öğe, içerik oluşturucuların geçim kaynakları olarak kullandıkları kullanıcı tarafından üretilen fikri mülkiyet ve on milyonlarca kişiye hizmet veren sohbet altyapısı. 

Bir güvenlik ihlali meydana gelirse, bu sadece bir veri olayı değil, gerçek kişilere ve gerçek gelire doğrudan zarar vermektir. Bu gerçeklik, aldığımız her kararı şekillendirir. Yol göstericimiz, Roblox’u büyük ölçekte en güvenli oyun platformu haline getirmektir: içerik oluşturucuların ve oyuncuların siber güvenlik hakkında hiç düşünmek zorunda kalmadan faaliyet gösterebilecekleri bir platform. İlerlememizi, önlenen olayların yanı sıra ekiplerimizin ne kadar hızlı ve güvenli bir şekilde ürün sunabildikleri, iç platformlarımızın ne kadar yaygın olarak benimsendiği ve daha geniş topluluğa katkıda bulunduğumuz araştırmalarla ölçüyoruz.

Güvenlik, Bir Engelleyici Değil, Bir Olanak Sağlayıcıdır

Uyumluluk odaklı kurumsal güvenlik modeli artık geride kaldı. Yalnızca gereksinimleri ortaya koyup, uygulamanın nasıl yapılacağını ortaklara bırakan güvenlik ekipleri, kaçınılmaz olarak yetersiz kalacaktır. Bunun nedeni, mühendislerin güvenliği önemsememesi değil; binlerce mühendisin özel güvenlik kontrollerini elle uygulamasının verimsiz olmasıdır. Platformun kendisi varsayılan olarak güvenli değilse, güvenlik ölçeklenemez.

Roblox, geliştiricilerin sorumluluğunu ortadan kaldırmadan güvenli yolu en kolay yol haline getiren iç ürünler geliştirerek uyumluluk odaklı modeli tersine çevirir. Uygulamada bu, gizli anahtarların otomatik olarak değiştirildiği anlamına gelir; böylece hiçbir mühendisin kimlik bilgilerini yenilemeyi hatırlaması gerekmez. Mühendislerin bunu kendileri kurmak zorunda kalmadan, varsayılan olarak kimliği doğrulanmış hizmetler arası iletişim sağlamak, bizim yol göstericimizdir. Güvenlik puan kartları, her ekibe güvenlik durumlarına ilişkin gerçek zamanlı bir görünüm sunar. Güvenli seçenek zaten mevcuttur; puan kartı sadece bunun kullanılıp kullanılmadığını ve nerelerde daha fazlasının yapılabileceğini gösterir.

Hızla Değişen Bir Ortamda Düşünceli Yapay Zeka Benimsemesi

Sektör, yapay zeka araçlarının nasıl ele alınacağı konusunda tartışırken —bazı şirketler denetim olmaksızın bu araçlara yeşil ışık yakarken, diğerleri ise bunları tamamen engelliyor— Roblox farklı bir yol izliyor. Yapay zeka benimsemeyi, çözülmesi gereken bir mühendislik ve güvenlik sorunu olarak ele alıyoruz ve öğrendiklerimizi daha geniş bir toplulukla paylaşıyoruz. Roblox’ta düşünceli bir şekilde benimseme, test etmemiz, denetimler oluşturmamız, ardından güvenmemiz ve izlememiz anlamına gelir. 

Örneğin, AI kod araçlarına şirket içinde yeşil ışık yakmadan önce, bir sanal ortam oluşturduk. Bu tür titiz bir doğrulama süreci, her yeni AI aracının şirket içi kullanım için nasıl onaylanacağını belirler. Amaç, işleri yavaşlatmak değil; hızlı ilerlerken, çok geç olana kadar fark edilmeyen riskler yaratmadığımızdan emin olmaktır. Bu sayede, sektörün şu anda acilen işe almaya çalıştığı becerilerde pratik uzmanlık geliştiriyoruz; AI ile ilgili siber güvenlik becerilerine olan talep, 2020'den bu yana 2,5 kat arttı2.

Topluma Olan Taahhüdümüz

Bilgi güvenliği, temelde kolektif bir savunma sorunudur. Hiçbir şirketin duvarları, motivasyonu yüksek bir saldırganı tek başına durduracak kadar yüksek değildir ve sektör, ancak uzmanlar öğrendiklerini paylaştıklarında daha da güçlenir. Tehdit ortamı sürekli gelişmeye devam edecek — yapay zeka, saldırgan tehditleri ve tehdit aktörlerini hızlandırıyor — ve Roblox’un bu tehditlere karşı yaklaşımı da aynı şekilde gelişecektir. Değişmeyecek olan şey ise, çalışmalarını ve geçim kaynaklarını bize emanet eden içerik üreticilere, her gün güvenli bir deneyim bekleyerek platformumuza gelen oyunculara ve bir parçası olmaktan gurur duyduğumuz geniş güvenlik topluluğuna olan bağlılığımızdır.

Bu ölçekte ve bu kadar karmaşık bir güvenlik sürecinin bir bitiş çizgisi yoktur. Ancak felsefemiz tutarlıdır: Güvenliği istisna değil, varsayılan hale getiren sistemler kurmak. Gelişen tehdit ortamına ayak uyduran araştırma ve araçlara yatırım yapmak. Ve öğrendiklerimizi paylaşarak tüm sektörün daha da güçlenmesini sağlamak.