Tekno-milliyetçilik siber güvenlik açıklarımızı kapatmayacak

Yoğunlaşan siber çatışmalar ve hızla gelişen tehdit ortamına karşı, dünyanın hemen her köşesinden yeni bir tekno-milliyetçilik dalgası yayılıyor.

Amerika Birleşik Devletleri önderliğinde süregelen siber kamplaşmalarla Çinli şirketlere yönelik yaptırımlar devam ediyor. ByteDance şirketinin TikTok uygulaması da ABD’de federal yargıç kararıyla yasaklanırken benzer şekilde İngiltere de geçtiğimiz günlerde 2021 yılının Eylül ayına kadar Huawei’nin 5G donanımının kurulumunu yasaklayacağını duyurmuştu.

Çin’e karşı yürütülen bu kampanya bununla da kalmıyor. ABD müttefik toplamak için bir taraftan başka ülkelere de yardım ediyor. Örneğin ABD, Brezilya gibi ülkelerin dijital altyapılarını geliştirirken, Çin ekipmanlarından kaçınmaya ikna etmeye çalışırken Washington menşeili alternatifleri kullanması için ülkeye finansal yardım seçenekleri sunuyor.

Yaşanan gelişmelere rağmen bugün dünyanın neredeyse her yerinde insanlar Çin’de üretilen akıllı telefonları kullanıyor, hizmet sağlayıcılar ve çağrı merkezleri aracılığıyla kullanıcıların kişisel bilgileri Hindistan veya Filipinler’deki çeşitli veri merkezlerine dağıtılıyor. Verilerin artık akıcı, mobil ve küresel bir hal alması belirli şirketlerin veya ülkelerin birbirlerinin teknolojilerine yönelik ambargolar koyması nihayetinde güvenlik açısından sınırlı etkiye sahip olması anlamına geliyor.

YANLIŞ BİR GÜVENLİK ALGISI

Tekno-milliyetçilik, gerekçelendirilmiş ekonomik, politik ve ulusal güvenlik endişeleri ağıyla besleniyor. Ulusal güvenlik adı altında “korumacı” uygulamalara başvuran ülkeler belirli teknolojileri, şirketleri veya dijital platformları yasaklıyor veya ambargo uyguluyor, ancak bu uygulamaların jeopolitik mesajlar göndermek, rakip ülkeleri cezalandırmak ya da yerel endüstrileri desteklemek için daha sık kullanıldığını görüyoruz.

Uygulanan bu tümcü yasaklar bizde yanlış bir güvenlik algısı oluşturuyor. Ancak fark etmediğimiz nokta herhangi bir donanım, yazılım veya kritik bir altyapıya yönelik gerçekleştirilen siber casusluklar. Eğer bunun farkında değilsek, sözde güvenliğe dair atılan her adım bir güvenlik illüzyonuna dönüşüyor.

Yazılımların tedarikçiler tarafından kullanılarak hassas verilere ulaşım sağlayabileceğini veya geniş bir siber saldırıyı kolaylaştırmaya izin verebilecek arka kapılar içerebileceği endişesini ciddiye almamız gerekiyor. Bir başka konu ise, TikTok uygulaması için devam eden davada olduğu gibi, ABD vatandaşlarının bir eğlence uygulaması aracılığıyla verilerinin toplanıp ya da sızdırılıp, devlet destekli siber aktörler aracılığıyla federal çalışanları hedefleyip izlemesine veya kurumsal casusluk yapmasına olanak sağlayıp sağlamayacağı konusunu gündeme getirmemiz gerekiyor.

Dünyanın dört bir yanındaki ulus-devletlerin istihbarat toplamak, nüfuz sahibi olmak ve düşmanlarını rahatsız etmek için giderek daha fazla siber operasyonlara yöneldiğini görmezden gelemeyiz. Ancak, birbirlerine yakın veya benzer ideolojide olanlar tarafından yapılan teknolojik uzlaşmanın bizi diğer devletlerin bilgilerimize erişiminden uzak tutmadığını veya daha güvenli hale getirmediğini unutmamamız gerekiyor.

DİJİTAL HİLELER VE GÜVEN

Tek başına ele alındığında ‘güven’ asla sağlam bir güvenlik stratejisi değildir. Üstelik ‘güven’, siber aktörlerin dijital casusluk projelerinde yaygın olarak kullandığı bir araç olarak karşımıza çıkar. Çok popüler hizmet platformları bile kimlik bilgileri toplama aracı olarak kullanıldığını biliyoruz. Eski ABD Başkanı Reagan’ın bir Rus atasözünden alıntısını yinelemek gerekirse: “Güven, ama doğrula.” Siber güvenlikte doğrulama, kullandığınız teknolojiye körü körüne güvenmek değil, bunun yerine gerçek zamanlı olarak izlemek ve denetlemek için gereken eylemleri gerçekleştirmek anlamına gelir.

Bir bulut sağlayıcısının ABD, Çin veya başka bir yerde bulunup bulunmadığına bakılmaksızın siber aktörler yine de bu teknolojilerdeki güvenlik açıklarından ve her zaman mevcut olan insan hatalarından yararlanmak için yaratıcı yöntemler arayacaklardır. Örneğin, yabancı aktörler bazen sadece işi kendileri için yapması için içeriden bir kişiye ödeme yaparak donanım veya yazılım araçlarının tedarik zincirlerine sızmaya çalışabilirler.

Başka bir deyişle: Tekno-milliyetçilikten veya tersine tekno-küreselcilikten kaynaklanan satın alma kararlarının her ikisi de esasen aynı güvenlik tehditlerine açıktır. Bu nedenle, temeldeki güvenlik stratejimizi ve savunma teknolojilerimizi eleştirel bir şekilde değerlendirmek yerine belirli bir şirketi veya teknolojiyi hedeflediğimizde aslında güvenlik duruşumuzu güçlendirmiyoruz, bunun yerine olduğumuz yerde sayıyoruz.

Ulusal güvenlik, belirli kuruluşlar ve teknolojiler üzerindeki genel yasaklardan çok daha fazlasıdır. Ulusal güvenlik, saldırıların nereden geldiğine veya saldırganların hangi teknolojiyi hedeflediğine bakılmaksızın. siber alandaki tehditlerin her zaman mevcut gerçekliğine karşı siber güvenlik operasyonlarının dayanıklılığı ile ilgilidir.

GÜÇLENME VE İLERLEME

Günümüzde siber saldırılar, tehdit göstergelerini önceden tanımlama girişimlerini geride bırakan bir hızla ilerliyor. Yani ülkelerin siber güvenlik gücü, gelecekteki dış tehditlerin doğasını tahmin etme girişimlerinde değil, normal koşulları dahili olarak anlama ve sürdürme becerisinde yatıyor. Bu gerçek, tehdit aktörünün finansal, stratejik veya politik kaygılarla motive olup olmadığına bakılmaksızın geçerli olan bir durum tespiti olarak karşımıza çıkıyor.

Hal böyle olunca bireysel şirketlere odaklanmak, ülkeleri siber güvenlik gerçeklerinden uzaklaştırıyor. Ulusal güvenlik endişelerini azaltmak içinse alternatif yollar geliştirmemiz gerekiyor. Geliştirilecek alternatif yollar içinse öncelikli olarak teknoloji ekosistemine yönelik bir bakış açısı sunabilmemiz gerekiyor. Eğer bunları başarabilirsek, riskleri yüksekten aşağı çekmemiz olası görünüyor.

Bugünün tekno-milliyetçiliği popülerleşiyor ve ülkeler arasında yükseliyor. Muhtemelen etkisiz olsa da gerçek konulara çok gözlemlenebilir bir şekilde yanıt verdiği için yükselmeye devam edecek gibi görünüyor. Yükseldiği takdirde ise riskler yüksek kalmaya devam edecek.