Kritik Altyapılarda Siber Güvenlik
Bu yazı, Nisan 2020'de yaptığım Kritik Altyapılarda Siber Güvenlik sunumuna dayanmaktadır.
Günlük hayatın ekonomik, sosyal ve iş boyutlarıyla birlikte hızla dijitalleşmesi, yalnızca insanların değil, canlı ve cansız nesnelerin de birbirleriyle bağlantılı olduğu yeni bir dünyanın ortaya çıkmasına neden oluyor. Bu yapı, giderek genişleyen siber evreni oluşturuyor.
Bu dönüşümle birlikte dijital sistemlere bağımlılık arttıkça siber güvenlik konusu yalnızca bilişim teknolojilerinin değil; ulusal güvenliğin, ekonomik sürekliliğin ve toplumun günlük yaşamının da temel unsurlarından biri haline geliyor.
Siber Evren Genişledikçe Riskler de Büyüyor
Günlük hayatın hemen her alanının dijital sistemlerle bağlantılı hale gelmesi, çok sayıda cihazın, sistemin ve altyapının aynı ekosistem içerisinde çalışmasını beraberinde getiriyor. Bugün yaklaşık 25 milyar bağlantılı nesneden oluşan bir siber evrenden söz edebiliriz; bunun yaklaşık 5 milyarını insanlar, 20 milyarını ise nesneler oluşturuyor.
Bu büyüme yalnızca teknolojik imkânları artırmıyor. Aynı zamanda dijital sistemlere yönelik saldırıların etkisini de büyütüyor. Çünkü artık bir sistemin devre dışı kalması yalnızca bir bilgisayarın veya bir kurumun çalışmaması anlamına gelmeyebiliyor; enerji, ulaşım, finans, sağlık veya iletişim gibi toplumun tamamını ilgilendiren hizmetlerin aksamasına yol açabiliyor.
Bu nedenle siber güvenliği değerlendirirken yalnızca kullanılan bilgisayarları veya ağları değil, bu sistemlerin bağlı olduğu kritik altyapıları ve bilgi varlıklarını birlikte ele almak gerekiyor.
Kritik Altyapı Nedir?
Kritik altyapılar; zarar görmeleri, erişilememeleri veya tamamen yok olmaları halinde vatandaşların sağlığına, emniyetine, güvenliğine ve ekonomik refahına ya da devletin etkin ve verimli işleyişine ciddi olumsuz etkiler oluşturabilecek fiziksel ve bilgi teknolojileri tesisleri, şebekeler, hizmetler ve varlıklardır.
Kritik altyapı kavramı farklı ülkelerde farklı sektörleri kapsayacak biçimde ele alınabiliyor. AB ve ABD yaklaşımları kapsamında su, gıda ve tarım, sağlık, enerji, finans ve bankacılık, ulaşım, bilgi ve iletişim, kamu yönetimi, acil hizmetler, kolluk hizmetleri, savunma ve güvenlik, kimyasal ve nükleer endüstri, uzay ve araştırma gibi alanlar öne çıkıyor.
Bu sektörlerin ortak özelliği, günlük hayatın ve devlet işleyişinin devamlılığı açısından kritik olmalarıdır. Dolayısıyla bu altyapılardan herhangi birinin ciddi biçimde zarar görmesi, etkisini yalnızca ilgili kurumla sınırlı bırakmayabilir.
Siber Saldırıların Yıkıcı Etkisi
Siber saldırılar, geleneksel tehditlerden farklı olarak fiziksel sınırların ötesinde gerçekleşebiliyor. Deprem, sel, savaş veya altyapı arızası gibi fiziksel tehditlerin yanında siber saldırılar da ulusal güvenlik ve acil durum hazırlıkları açısından dikkate alınması gereken riskler arasında yer alıyor. Siber terörizm ve stratejik siber savaş gibi tehditleri; doğal afetler, enerji kesintileri ve geleneksel savaşlarla birlikte bir tehdit yelpazesi içerisinde değerlendirmek gerekiyor.
Bu durum siber güvenliğin neden yalnızca teknik bir konu olmadığını da gösteriyor. Kritik altyapılara yönelik bir saldırı, bilgi sistemlerinde başlayan bir problemden çok daha büyük sonuçlar doğurabilir.
Örneğin enerji sistemlerinin devre dışı kalması; haberleşme, ulaşım, sağlık, finans ve kamu hizmetleri gibi birbirine bağımlı pek çok alanı etkileyebilir. Bu nedenle kritik altyapıların güvenliği, birbirinden bağımsız sistemler yerine birbirine bağlı bir ekosistem olarak ele alınmalıdır.
Siber Güvenlik Neyi Korumalı?
Siber güvenlik; kritik altyapıların ve bilgi varlıklarının tespit edilmesi, sahip oldukları zafiyetlerin belirlenmesi, tehditlerin analiz edilmesi ve bu tehditlere karşı gerekli önlemlerin alınması sürecidir. Siber güvenliğin temel amaçları dört başlıkta ele alınabilir:
- Veri bütünlüğünün korunması
- Bilgiye erişimin, erişim hızının ve kalitesinin korunması
- İzinsiz erişimin engellenmesi, mahremiyet ve gizliliğin korunması
- Kritik altyapılarda iş sürekliliğinin ve performansın devamlılığının sağlanması
Bu nedenle siber güvenlik, yalnızca saldırıları önlemeye yönelik bir savunma faaliyeti değil, aynı zamanda kritik sistemlerin güvenilir ve kesintisiz biçimde çalışmasını sağlamaya yönelik bir risk yönetimi süreci olarak ele alınmalıdır.
Siber Tehditler Nasıl Ortaya Çıkıyor?
Siber tehditlerin etkileri farklı biçimlerde ortaya çıkabilir. Bunlar arasında sisteme yetkisiz erişim, sistemin bozulması, hizmetin engellenmesi, mahremiyetin kaybolması, bilgilerin değiştirilmesi, yok edilmesi, ifşa edilmesi veya çalınması bulunuyor.
Bu tehditlerin gerçekleştirilmesinde kullanılan araçlar da çeşitleniyor. DoS ve DDoS saldırılarıyla hizmetlerin engellenmesinin yanı sıra kötü amaçlı yazılımlar, Truva atları, kurtçuklar, keylogger ve spyware türü yazılımlar, phishing saldırıları ve ağ trafiğinin dinlenmesi veya izlenmesi başlıca saldırı araçları arasında yer alıyor.
Dolayısıyla kritik altyapıların güvenliği için tek bir güvenlik ürününe veya tek bir savunma katmanına güvenmek yeterli değil. Farklı tehdit türlerine karşı farklı güvenlik katmanlarının birlikte çalışması gerekiyor.
Siber Suçların Arkasındaki Motivasyonlar
Siber saldırıların arkasındaki aktörler ve motivasyonlar da birbirinden farklılaşıyor.
Devlet destekli oluşumlar açısından istihbarat toplama, ekonomik ve endüstriyel casusluk, kritik altyapılar hakkında bilgi edinme ve gözetleme gibi amaçlar öne çıkarken; suç örgütleri açısından dolandırıcılık, ideolojik amaçlar ve ekonomik kazanç ön plana çıkıyor.
Bunun yanında bazı saldırılar profesyonel ve organize ekipler tarafından gerçekleştiriliyor. Gelişmiş Kalıcı Tehditler (APT) kapsamında kritik altyapılar, devlet kuruluşları, askeri kuruluşlar, savunma sanayisi, ticari işletmeler, bankacılık ve finans kuruluşları, sivil toplum kuruluşları ve önemli bilgilere sahip bireyler hedef olabiliyor.
Bu tablo, siber güvenlikte tehdit aktörlerinin ve hedeflerinin doğru analiz edilmesinin ne kadar önemli olduğunu ortaya koyuyor.
Siber Saldırılar Artık Ulusal Güvenlik Meselesi
Geçmişte gerçekleştirilen bazı saldırılar, siber tehditlerin yalnızca bilgi sistemlerine yönelik teknik saldırılar olmadığını açık biçimde gösteriyor.
2007'de Estonya'nın altyapılarını etkileyen saldırılar, 2008'de Gürcistan'a ve Bakü-Tiflis-Ceyhan boru hattına yönelik saldırılar, 2009'da İran nükleer tesisine yönelik saldırı ve 2016'da Ukrayna elektrik şebekesine yönelik saldırılar bunun örnekleri arasında. Ayrıca 2017'de Suudi Arabistan'daki petrokimya tesisleri, 2018'de Rusya elektrik şebekesi ve 2019'da ABD elektrik şebekesine yönelik saldırılar da bu kapsamda sayılabilir.
Bu gelişmelerle birlikte siber güvenlik, ülkelerin ulusal güvenlik stratejilerinin ayrılmaz bir parçası haline geliyor. Devletler arasındaki mücadele giderek daha fazla siber alana taşınıyor, ülkeler siber kuvvetler oluşturmaya yöneliyor ve siber savaşlar güvenlik stratejilerinde yer almaya başlıyor.
Buradaki temel gerçeklik ise şu: Siber saldırının etkisi, saldırının maliyetinden çok daha büyük olabilir.
Kritik Altyapıların En Önemli Hedeflerinden Biri: Enerji
Kritik altyapılara yönelik saldırılar içerisinde enerji sistemleri özel bir öneme sahip. Kritik altyapıları hedefleyen siber saldırıların yarısından fazlası, yüzde 53'ü enerji sistemlerine yönelik.
Enerji sistemlerinin güvenliği bu nedenle yalnızca enerji sektörünün problemi olarak görülmemeli. Enerji altyapısındaki ciddi bir kesinti, ona bağımlı diğer kritik hizmetlerin de aksamasına neden olabilir.
Bu alanda teknoloji boyutunun yanı sıra gerekli standartların oluşturulması ve uygulanması da kritik önem taşıyor.
Güvenlikte Standardizasyonun Önemi
Kritik altyapıların korunmasında standartlar, kurumların güvenlik yaklaşımını sistematik hale getirmesine yardımcı oluyor.
TSE-ISO 27001 kapsamında ele alınan başlıklar arasında risk değerlendirme ve tehditlendirme, güvenlik politikası, güvenlik organizasyonu, varlık yönetimi ve sınıflandırma, insan kaynakları yönetimi, fiziksel ve çevresel güvenlik, iletişim ve operasyon güvenliği, erişim denetimi, bilgi sistemlerinin temini ve geliştirilmesi, güvenlik ihlal yönetimi, iş devamlılığı yönetimi ve yasal/standart uyumluluğu bulunuyor.
Bu başlıkların tamamına birlikte bakıldığında önemli bir sonuç ortaya çıkıyor: Siber güvenlik yalnızca teknik sistemlerin güvenliği değildir.
İnsan, süreç, organizasyon, fiziksel ortam, erişim yönetimi, iş sürekliliği ve mevzuata uyum da güvenlik yapısının parçalarıdır.
Siber Güvenlik Bir Kültür Meselesidir
Siber güvenlik konusunda sürdürülebilir başarı yalnızca teknolojik yatırımlarla sağlanamaz. Kurumların güvenlik konusunda ortak bir anlayış geliştirmesi ve bu anlayışı süreçlerine yansıtması gerekir.
Bu nedenle siber güvenlik kültürünün oluşturulması önem taşıyor. Kurumların ve ülkelerin yalnızca teknik güvenlik çözümleri satın almak yerine, güvenliği günlük çalışma biçiminin bir parçası haline getirmesi gerekiyor. ITU'nun yaklaşımı doğrultusunda siber güvenlik kültürünün oluşturulması ve ülke çapında bir siber güvenlik çerçevesinin geliştirilmesi ayrı birer başlık olarak ele alınmalı.
Kültürün olmadığı bir ortamda en gelişmiş teknolojiler bile beklenen güvenlik seviyesini sağlayamayabilir. Çünkü güvenlik sistemlerinin nasıl kullanılacağı, risklerin nasıl değerlendirileceği ve saldırılara nasıl karşılık verileceği yine insanlar ve kurumların davranışlarıyla belirlenir.
Siber Güvenlikte Çok Boyutlu Yaklaşım
Siber güvenliğin yalnızca teknik ekiplerin sorumluluğuna bırakılması doğru bir yaklaşım değildir. Kritik altyapıların korunması için ulusal stratejiden kurumların organizasyon yapısına, teknik altyapıdan insan kaynağına kadar birçok unsurun birlikte değerlendirilmesi gerekir.
Bu yaklaşım aynı zamanda kamu ve özel sektör işbirliğini de gerekli kılıyor. Kritik altyapıların önemli bir bölümünün özel sektör tarafından işletilebildiği düşünüldüğünde, güvenlik konusunda kamu ve özel sektör arasında koordinasyon kurulması büyük önem taşıyor.
Siber güvenlik sınırları olmayan bir alan olduğu için kurumlar arasındaki bilgi paylaşımı, koordinasyon ve ortak çalışma kapasitesi de güvenliğin önemli unsurları arasında yer alıyor.
Ulusal Siber Güvenlik İçin Neler Yapılmalı?
Siber güvenlik salt teknik bir konu değildir ve tüm boyutlarıyla ele alınması gerekir. Bu kapsamda atılması gereken bir dizi adım var.
Bunların başında ulusal siber güvenlik stratejisinin gözden geçirilerek güncellenmesi geliyor. Bunun yanında yasal boşlukların giderilmesi, kurumların yetki ve sorumluluklarının netleştirilmesi ve kamu-özel sektör dahil tüm ilgili tarafların işbirliğinin sağlanması gerekiyor.
Bir diğer önemli konu ise eğitim. Siber güvenlik eğitim müfredatlarına dahil edilmeli ve ortaokuldan başlayarak tüm eğitim aşamalarında ele alınmalı. Bunun yanında uzman açığı hızla giderilmeli ve kurumlarda siber güvenlik kadroları oluşturulmalı.
Teknoloji tarafında ise yerli ve milli ürün ve çözümler tercih edilmeli, bu alandaki girişimler teşvik edilmeli; güvenlik seviyesinin sürekli ölçülmesi için düzenli tatbikat ve denetimler gerçekleştirilmeli.
Sonuç
Dijitalleşme hayatın her alanına yayıldıkça, kritik altyapıların güvenliği giderek daha stratejik bir konu haline geliyor. Enerji, ulaşım, finans, sağlık, iletişim ve kamu hizmetleri gibi alanların dijital sistemlere bağımlılığı arttıkça, bu sistemlere yönelik siber saldırıların oluşturabileceği etki de büyüyor.
Bu nedenle siber güvenliği yalnızca bilgisayarları, ağları veya bilgi sistemlerini koruma faaliyeti olarak görmek yeterli değil. Asıl mesele; kritik altyapıların, bilgi varlıklarının, hizmetlerin ve dolayısıyla toplumun yaşam düzeninin sürekliliğini korumak.
Bunun yolu ise yalnızca teknoloji yatırımlarından geçmiyor. Risklerin doğru analiz edilmesi, güvenlik standartlarının uygulanması, kurumların görev ve sorumluluklarının belirlenmesi, kamu-özel sektör işbirliğinin güçlendirilmesi, uzman insan kaynağının geliştirilmesi ve düzenli tatbikatlarla hazırlık seviyesinin sürekli test edilmesi gerekiyor.
Daha da önemlisi, siber güvenliğin bir kurum ve toplum kültürü haline getirilmesi gerekiyor.
Çünkü siber evren büyüdükçe tehditlerin tamamen ortadan kaldırılması mümkün olmayabilir. Ancak doğru strateji, doğru süreç, doğru teknoloji, yetkin insan kaynağı ve sürekli geliştirilen bir güvenlik kültürü sayesinde bu tehditlerin oluşturabileceği riskleri yönetmek mümkün.
Siber güvenlik artık yalnızca bilişim teknolojilerinin değil; ekonomik, sosyal ve ulusal güvenliğin ortak sorumluluğudur.
