Bug Bounty Programlarına Başlamaya Karar Verdim

Herkese selamlar,

Bu yazım nasıl yapılır, nasıl çalıştırılır veya nasıl düzeltilir mantığında olmayacak. Biraz iç dökeceğim Türkiye’de olan IT ve siber güvenlik sektörü hakkında.

Yıllardır bir türlü yapmaya fırsat bulamadığım mevzuyu artık yapmaya karar verdim.

Peki Neden?

Türkiye’de IT ve siber güvenlik sektöründe son dönemde gözlemlediğim bir gerçek var: Akademik sıralamaların ilahlaştırılması. YKS, DGS veya üniversite adı, ne yazık ki adayların teknik yeteneklerinin, projelerinin ve tutkusunun önüne geçmeye başladı. Bir önlisans mezunu ya da meslek lisesi çıkışlı bir profesyonelin sahadaki tecrübesi, çoğu zaman bir İK filtresine takılıp yok sayılıyor.

Peki, biz nereye gidiyoruz?

1. Diploma ve Etiket Takıntısı ve Teknik Gerçeklik

Bugün dünyada Google, Apple ve NSA gibi devler “diploma şartını” esnetip tamamen yetenek ve proof of work (yapılan işin kanıtı) odaklı ilerlerken, ülkemizde hala en basit operasyonel roller için bile “mühendislik diploması” şartı aranıyor.

Acı bir tablo var: Mühendislik mezunu olup TCP/IP protokolünün temellerini bilmeyen, eline terminal almamış kişiler sadece “sıralama” yaptıkları için tercih edilirken; kendi laboratuvarını kuran, sistemleri alt üst edebilecek teknik derinliğe sahip yetenekler kapıdan içeri giremiyor. Bir algoritmanın veya İK filtresinin kağıt üzerinde beni elemesini kabul etmek, sektörel gelişimin önündeki en büyük engeldir.

2. Mülakat Süreçleri ve Profesyonellik Kaybı

Aylarca süren mülakatlar, teknik ödevler ve “seni alacağız” denilip son aşamada gelen sessizlikler… Koskoca kurumların, adaylara bir “olumsuz” cevabını bile çok görmesi sadece yorucu değil, aynı zamanda etik dışı.

Sırt çantamda geliştirdiğim projelerle, uykusuz gecelerle kurduğum yapılarla mülakata gidiyorum. Teklif aşamasına geliyoruz ama sonuç: “Lisans diplomanız yok.” Madem kriteriniz sadece bir kağıt parçasıydı, neden projelerimi incelediniz? Neden teknik yetkinliğimi ölçtünüz? Bazen ise sessizlik oluyor ve o sessizlik bitmiyor, sorulan sorular cevapsız kalıyor siz yokmuşsunuz gibi davranılıyor.

Açık konuşmam gerekirse bunu özellikle belli yaşını geçmiş kişilerin yapması oldukça utanç verici, babam yaşımda olan insanlar bunu profesyonellik görüyor? Bu profesyonellik değildir. Bir adayı siz defalarca mülakat aşamasına alıp, ofise davet edip sonrasında ortadan kayboluyorsanız teklif aşamasında bu profesyonellik değildir. Çok kez karşılaştım bu durumla.

3. MiniSOC: Bir İşsizlik Maaşıyla İnşa Edilen Tutku

Bir süredir Medium’da yazmayı bırakmıştım. Sebebi üretmemek değil, üretilenin değer görmediğini hissetmekti. 8 aydır psikolojik olarak yıpratıcı bir süreçten geçiyorum. Ancak şunu bilmenizi isterim:

Öğrenmek istemeyen bir insan, işsizlik maaşıyla evine Enterprise cihazlar alıp (FortiGate, Cisco, MikroTik) bir MiniSOC laboratuvarı kurmaz.

Sabahlara kadar paket analizi yapmaz, LetsDefend, Hackthebox veya Hackviser gibi platformlarda saatlerini harcamaz. Hata yapıyorum, düzeltiyorum ve tekrar deniyorum. Çünkü bu benim için sadece bir iş değil, bir yaşam biçimi.

4. Yeni Rotam: Bug Bounty ve Mutlak Yetenek

Sektördeki bu hantal yapıyı gördükten sonra odağımı daha şeffaf bir alana, Bug Bounty dünyasına kaydırıyorum. Neden mi?

• Liyakat Esaslı: Kimse diplomanıza bakmıyor, bulduğunuz açığa bakıyor.
• İtibar: Kazandığınız başarılar, kağıt üzerindeki yazılardan daha yüksek sesle konuşuyor.
• Sürekli Gelişim: “İşleyen demir ışıldar” mantığıyla, her geçen gün kendimi daha zorlu hedeflere hazırlıyorum.

Sonuç Olarak

Mühendislik hedefimden vazgeçmiş değilim. Gerekirse yurt dışında, gerekirse en zor şartlarda o eğitimi tamamlayacağım. Ancak o gün geldiğinde, “yaşınız geçti” ya da başka bir bahaneyle karşıma çıkılacağını da biliyorum.

Şu an tek isteğim, bir L1 SOC veya benzer pozisyonunda siber güvenlik alanında sektöre değer katmak. Freelance hazırlıklarım devam etse de, tam zamanlı bir mutfakta ter dökmeye hazırım.

Sektörün artık diplomayı değil, “ne yapabildiğini” sorması dileğiyle.