İtalya, İskoçya ve Kuzey İrlanda'da yüzlerce okula bomba ihbarı... Hollanda, Çekya ve birçok Avrupa ülkesinde felç olan havalimanları... Durdurulan uçuşlar, güvenlik taramaları ve boşa harcanan saatler. Bununla kalmadı. Fransa'da marketlerin soğutma sistemlerine müdahale edildi. Tonlarca gıda kullanılamaz hale geldi. Ardından kan ürünlerinin saklandığı depolar hedef alındı. Dünyanın en büyük kripto para platformlarından Binance milyarlarca dolarlık bir siber saldırıyla karşılaştı.
Bütün bunlar modern dünyanın güvenlik anlayışı hakkında önemli bir soruyu gündeme getiriyor. Teknolojinin gelişmesi, gözetleme sistemlerinin yaygınlaşması ve güvenlik önlemlerinin artırılması gerçekten daha güvenli bir dünya oluşturuyor mu?
Öncelikle şöyle bir problem var. Benzer ihbarların çok sayıda kuruma ulaşması durumunda güvenlik birimlerinin gerçek tehditleri değerlendirme kapasitesi zorlanabilir. Üstelik kullanılan yazılımlar her işletme tarafından ayrı ayrı geliştirilmiyor. Aynı hizmet sağlayıcısının sistemleri yüzlerce farklı tesiste kullanılabiliyor. Dolayısıyla tek bir teknolojik hizmette ortaya çıkan güvenlik sorunu, birbirinden bağımsız görünen çok sayıda işletmeyi etkileyebiliyor.
Siber güvenlikte buna benzer bir sorun "Tek Nokta Başarısızlığı" olarak tanımlanıyor. Bir sistemin çalışmasının vazgeçilmez tek bir bileşene bağlı olması, o bileşen devre dışı kaldığında bütün hizmetin durmasına neden olabiliyor. Üstelik modern altyapılar birbirine bağlı. Bir bankanın ödeme sistemindeki, bir enerji şirketinin yazılımındaki veya ortak kullanılan bir iletişim altyapısındaki sorun başka sektörlere de yansıyabilir. Birkaç kritik hizmetin aksaması bile günlük hayatı ciddi biçimde zorlaştırabilir.
HAYATIN FELÇ OLMASINI ENGELLEMEK MÜMKÜN MÜ?
Devletler bu tehlikeyi uzun süredir değerlendiriyor. Avrupa Birliği'nin NIS2 düzenlemesi, enerji, ulaşım, sağlık, finans, dijital altyapı ve gıda gibi kritik sektörlerde siber güvenlik yükümlülüklerini genişletiyor. İşletmelerden risklerini belirlemeleri, tedarikçilerinin güvenliğini değerlendirmeleri, önemli olayları bildirmeleri ve hizmetlerin devamlılığını sağlayacak tedbirler almaları bekleniyor. Ancak kanun çıkarmakla güvenli bir sistem kurmak aynı şey değil. Öncelikle kritik altyapıların envanterinin doğru çıkarılması gerekiyor. Hangi tesisin hangi yazılıma, hizmet sağlayıcısına veya iletişim ağına bağlı olduğu bilinmeli.
Bunun yanında "Sıfır Güven" adı verilen güvenlik yaklaşımı önem kazanıyor. Bu modelin temelinde, bir sisteme bağlanan hiçbir kullanıcıya veya cihaza yalnızca kurumun ağı içinde bulunduğu için otomatik olarak güvenilmemesi yatıyor. Erişimlerin sürekli doğrulanması ve yetkilerin ihtiyaç duyulan alanlarla sınırlandırılması hedefleniyor. Böylece tek bir hesabın ele geçirilmesinin bütün sisteme erişim sağlaması önlenmeye çalışılıyor.
İkinci mesele yedekleme. Örneğin bir soğutma tesisinde ana kontrol yazılımı devre dışı kaldığında sıcaklığı bağımsız biçimde ölçen bir sistem bulunmalı. Gerektiğinde cihazlar güvenli şekilde yerel ve manuel kontrole geçirilebilmeli. Hastanelerde enerji kesintileri için jeneratörler bulunması nasıl önemliyse dijital sistemler için de benzer süreklilik planları gerekiyor.
Üçüncü konu ortak tatbikatlar. Polis, itfaiye, sağlık kuruluşları, havalimanları, bankalar ve enerji işletmeleri yalnızca kendi kurumlarının karşılaşabileceği olaylara hazırlanmamalı. Birkaç farklı hizmetin aynı anda aksadığı senaryolar da çalışılmalı.
Özellikle asılsız bomba ihbarları konusunda hızlı bilgi paylaşımı ve güvenilir risk değerlendirmesi yapılması gerekiyor. Her tehdit ciddiyetle incelenmeli ancak değerlendirme süreçleri de gereksiz yere bütün kurumların kapasitesini tüketmeyecek şekilde geliştirilmelidir. Bir işletmenin kendi bilgisayarlarını koruması yeterli olmayabilir. Dışarıdan alınan yazılımlar, uzaktan bakım hizmetleri ve cihazların üreticileri de güvenlik zincirinin parçaları. Gerekli güncellemeleri yapılmayan, denetlenmeyen veya gereğinden fazla erişim yetkisi bulunan sistemler bütün işletme için risk oluşturabilir.
Bir başka mesele ise yapay zeka. Çünkü teknoloji bu kez hem saldırganların hem de savunma sistemlerinin elinde. Yapay zeka, inandırıcı sahte mesajların hazırlanmasını ve saldırı girişimlerinin ölçeklendirilmesini kolaylaştırabiliyor. Buna karşılık güvenlik yazılımları da yapay zeka sayesinde olağan dışı hareketleri daha hızlı tespit edebiliyor. Ancak yanlış alarmlar ve gözden kaçan tehditler mümkün. Dolayısıyla iki tarafın da benzer teknolojilerden yararlandığı yeni bir güvenlik yarışı ortaya çıkıyor.
En önemlisi saldırı sonrasında hizmetlerin nasıl devam edeceğinin önceden belirlenmesi. Çünkü hiçbir güvenlik sistemi bütün tehditleri yüzde yüz engelleyemiyor. Bir saldırının gerçekleşmesini engellemekle, saldırı gerçekleştiğinde hayatın normal şekilde devam etmesini sağlamak farklı meseleler. Fransa'daki kan depoları bunun örneği. Saldırganlar kontrol sistemlerine müdahale etmeyi başardı. Ancak bağımsız alarm ve müdahale mekanizmaları sayesinde önemli bir zarar oluşmadı.
Bir sistemi tamamen saldırıya kapalı hale getirmek mümkün olmayabilir. Fakat saldırı sırasında çalışmaya devam etmesini, zararların başka alanlara yayılmasını engellemesini ve kısa sürede yeniden toparlanmasını sağlamak mümkün. Modern çağda güvenliğin tamamen bir illüzyon olduğunu söylemek doğru olmaz fakat teknolojinin bütün tehlikeleri ortadan kaldırabileceğine inanmak ciddi bir yanılgı olacaktır.
