ABD Yönetimi Yeni Siber Güvenlik Stratejisini Yayınladı

ABD Yönetimi Yeni Siber Güvenlik Stratejisini Yayınladı

Dünyada siber güvenlik tehditlerinin giderek çeşitlendiği, devletlerin imkan ve kabiliyetlerinin geliştiği günümüzde pek çok ülke siber güvenlik stratejilerinde revizyona gidiyor. Siber güvenliğin en kritik çarpan olarak görüldüğü ulusal güvenlikte devletler ilgili birimlerinin çalışmasıyla siber stratejilerini neredeyse her yıl güncelliyor. Söz konusu güncellemelerin ve revizyonun sıklıkla yapıldığı ülkelerden biri de Amerika Birleşik Devletleri (ABD)’dir.

Mart ayının ilk haftasında White House (Beyaz Saray), Biden yönetiminin ülkeyi hedef alan siber saldırılar ve dijital alanda yürütülen suçların sürekli olarak arttığı günümüzde ulusal siber savunmasını güçlendirmeye yönelik yeni bir siber güvenlik stratejisini duyurdu. Gelecek dönemde ABD’nin siber politikasına rehberlik etmesi amaçlanan strateji, siber endüstri genelinde mevcut siber güvenlik uygulamalarının “daha katı şekilde” düzenlenmesini ve hükümet ile özel sektör arasında gelişmiş işbirliğini teşvik ediyor.

Strateji Belgesinde Öne Çıkanlar

ABD siber stratejisinin güncel yaklaşımını ortaya koyan 34 sayfalık belgeye göre Amerikan ulusal siber güvenliği beş temel faktör üzerine inşa ediliyor. Siber güvenliğe dair trendler, siber tehditler, düşmanlar / siber aktörler, işbirliği, araştırma ve kritik altyapılara odaklanan strateji belgesinde öne çıkan unsurlar şöyle;

·        Kritik altyapılarda siber savunma

 ABD kritik altyapısının dayanıklılığına güven oluşturmak için ilgili kurumlardaki düzenleyici politikalar ve yönetmelikler, kritik sektörler için minimum siber güvenlik gereksinimleri belirlemeyi amaçlıyor. Belgede, ulusal güvenliği ve kamu güvenliğini desteklemek için siber güvenlik gereksinimlerinin oluşturulması ihtiyacına odaklanıyor. 

Belgeye göre diğer amaç, devletin siber güvenliğe yaklaşımında sürekli bir sorun olan kamu-özel sektör işbirliğini artırmak. Strateji belgesine göre, hükümet sektöre özgü ihtiyaçları ve boşlukları değerlendirdikçe CISA ve diğer ilgili kurumlar arasındaki çalışmaların geliştirilmesini öngörüyor. Diğer hedefler ise, federal hükümet kurumları arasında ve özel sektörle koordinasyonu geliştirmeye yönelik planlar ortaya koyuyor.  

·        Tehdit aktörlerini engelleme ve ortadan kaldırma

Özel sektör ve uluslararası ortaklarla birlikte çalışan ABD, fidye yazılımı tehdidini öncelikli tehditler arasında ele almaya ve kötü niyetli aktörleri bozmaya çalışacak. Yeni strateji, kötü amaçlı etkinliklerin kesintiye uğratılmasında bir miktar başarı sağlandığını kabul ederken, "düşmanların daha uzun süreli ve etkili bir şekilde kesintiye uğratılmasını" sağlamayı amaçlıyor.

Yeni strateji belgesi, ABD Savunma Bakanlığı'na güncellenmiş bir departman siber stratejisinin geliştirilmesi görevini de veriyor. Diğer hedef ise siber düşmanları yok için kamu-özel operasyon işbirliğini geliştirmek ve daha kalıcı hale getirmek olarak belirtiliyor. 

Kötü niyetli siber aktörler, "suç faaliyeti, kötü niyetli etki operasyonları ve casusluk" faaliyetlerinde bulunmak için bulut tabanlı altyapı gibi ABD altyapısını kullanıyor. Yeni strateji, federal hükümetin "ABD tabanlı altyapının kötü niyetli kullanımını tespit etmek" için bulut ve diğer internet altyapısı sağlayıcılarıyla birlikte çalışması ve mağdurların bu tür suistimalleri bildirmesini kolaylaştırması gerektiğini vurguluyor.

Belgede son olarak, fidye saldırısı kurbanlarını fidye ödememeye teşvik ediyor. Strateji belgesine göre bu tarz siber suç gruplarının motivasyonunu baltalamanın en etkili yolu, kâr potansiyelini azaltmak olarak ifade ediliyor. 

·        Güvenliği ve dayanıklılığı artırmak için sektörü şekillendirme

ABD'nin "riski azaltmak için en iyi konumlanmış olan dijital ekosistemimize sorumluluk yüklemek için piyasa güçlerini şekillendirmesi gerektiğini" belirtiyor. Ayrıca vatandaşların kişisel verilerinin korunması amacıyla veri sorumlularına daha fazla görev yüklüyor ve sorumluluklarını artırıyor.

Ayrıca hükümet, “güvenlik açığı bulma üzerine çalışan uzmanlardan bilgi toplama, bu bilgilerin ilgili paydaşlar arasında paylaşımını koordine etme ve yazılımlardaki güvenlik açıklarını taraflarla birlikte kapatma" gibi koordineli bir çalışma planlıyor.  

·        Dirençli bir geleceğe yatırım

Bu politikada ABD, kapsamlı bir siber işgücü geliştirmeyi ve post-kuantum şifreleme de dahil olmak üzere gelişmekte olan teknolojiler için siber güvenlik Ar-Ge'sine öncelik vermeyi hedefliyor. Bunun için çeşitli alanlarda revizyona gitmeyi planlıyor.

Siber güvenlikte dirençli bir geleceğe yatırım için ABD, geçmişteki, şimdiki ve gelecekteki altyapıya yatırım yapma ihtiyacını kabul eden kapsamlı bir yaklaşım benimsiyor. İnternetin doğası gereği savunmasız olan kritik sistemleri ele almak, federal araştırma ve geliştirmeyi yeniden canlandırmak, siber iş gücünü güçlendirmek, bir dijital kimlik ekosistemi geliştirmek ve siber savunmayı kuantum sonrası geleceğe hazırlamak gibi başlıklar vurgulanıyor. 

·        Hedeflere ulaşmak için uluslararası ortaklıklar 

Belgeye göre ABD, siber tehditlere karşı koymak ve bilgi ve iletişim teknolojisi için güvenilir ve güvenilir tedarik zincirleri oluşturmak için müttefikleri ve ortaklarıyla birlikte çalışacak.

Yeni strateji belgesinde ABD, Çin ve Rusya gibi hasımların peşinde olduğu “İnternetin geleceğine yönelik karanlık vizyonu engellemek” istiyor. Bunu yapmak için ABD, müttefiklerle ve stratejik ortaklarla “müşterek yaklaşımları” güçlendirmeyi ve küresel tehditlere karşı koymayı hedefliyor. Ayrıca Çin menşeli tedarik zincirlerinin etkisini kırmayı da temel hedefler arasında belirtiyor. 

Yeni Strateji Belgesinin Önemi 

ABD’nin yeni siber güvenlik strateji belgesinin vurguladığı temel amaçlar, Amerikan ulusal siber altyapısının güçlenmesini ve hem defansif hem de ofansif siber yeteneklerinin güçlendirilmesini teşvik ediyor. Bu noktada hem NSA, CISA ve FBI gibi federal birimler hem de sektördeki paydaşlarla işbirliğine vurgu yapılıyor.

Ayrıca ABD, Rusya ve Çin gibi siber düşmanların operasyonel faaliyetlerini bozma ve hem ABD’de hem de uluslararası alanda bu ülkelerin stratejik hedeflerini engelleme amaçlı politika geliştiriyor. Özellikle Çin menşeli teknolojilerin Batılı ülkelerde yaygınlaşmasını önleme noktasında belirgin niyet ortaya koyuyor.

Söz konusu strateji belgesi, pek çok ülkede olduğu gibi Türkiye’de de referans olabilecek hedeflere işaret ediyor. Özellikle sektördeki paydaşlarla işbirliği ve kamu kurumları arasında organizasyonun güçlendirilmesi ve kritik altyapıların savunmasında sektörle işbirliği noktasında Türkiye’nin dikkate alması gereken unsurlar bulunuyor.

Gelişmiş siber tehditlere sıklıkla maruz kalan ülkelerden biri olarak Türkiye’nin özellikle vatandaşlara ait verilerin korunması başta olmak üzere bankacılık, sağlık ve diğer kritik sektörlerin siber savunmasına ağırlık vermesi gerekiyor. Söz konusu strateji belgesinde de görüldüğü üzere, ABD bile bu alanlarda çeşitli zorluklarla karşı karşıya kaldığı için sürekli olarak stratejiler belirliyor.

Bu stratejilere ek olarak Türkiye’nin kendine özgü politikalarla ulusal siber savunmayı, ilgili tüm kamu kurumları ve sektörün önde gelen aktörleriyle müşterek olarak geliştirmesi gerekiyor. Siber suçluların ve siber güçte ileri olan devletlerin oluşturduğu tehditler, bu politika ve stratejilerin sürekli olarak güncellenmesini zorunlu kılıyor.

Ersin Çahmutoğlu

ADEO Cyber Security, Siber Güvenlik Araştırmacısı