Nazlı Zeynep Bozdemir tarafından yazılmış tüm yazılar

2009’da TED Ankara Koleji Lisesi’nden, 2013’te Hacettepe Üniversitesi Uluslararası İlişkiler Bölümü’nden yüksek şerefle mezun oldu. Siber güvenlik çalışmalarına 2011 yılında Groningen Üniversitesinde bulunduğu sırada başlayan Bozdemir, European Forum Alpbach, TÜBİTAK ve NATO bünyesinde birçok ulusal ve uluslararası siber güvenlik eğitimine katıldı. Hacettepe Üniversitesi Uluslararası İlişkiler Bölümünde tamamladığı “Re-Conceptualizing Cyberterrorism: Towards a New Definitional Framework” başlıklı yüksek lisans tezini 2016 yılında savundu ve yüksek şerefle mezun oldu. ODTÜ Enformatik Enstitüsü altında 2015 yılında açılan Siber Güvenlik yüksek lisans programına ilk sosyal bilimci olarak seçildi ve 2018 Ocak ayı itibariyle "Understanding Cyberespionage: A Cross-Disciplinary Perspective" isimli projesini savunarak bölümden yüksek şerefle mezun oldu. Dil eğitimi nedeniyle bir süreliğine Almanya'da yaşayan Bozdemir, bir siber güvenlik firmasında ürün pazarlama üzerine çalışmaktadır.
Makale & Analiz

Siber alanın atom karıncası: Jason Healey

Yorum yapın

jason1

İlk bakışta (bıyığı, sakalı ve bazen taktığı gözlükleriyle) bir karikatürü andıran ve ilginç bir karaktere sahip olduğu her halinden anlaşılan bir siber lider Jason Healey. Kendisi Atlantik Konseyi’nin Siber Devlet Yönetimi İnisiyatifi’nin başındaki kişi, bu adı gerek özgün bir girişim olmasından, gerekse çok yeni bir kavramı içinde barındırmasından ötürü ilk defa duyanlar için biraz açıklamak gerekebilir. İnisiyatif, politika belirleyicilere siberalanın beraberinde gelen kaçınılmaz regülasyon karmaşası içinde yol göstermeyi amaçlayan bir araç olarak geliştirilmiş esasında. Çok yeni bir kavram olan Siber Devlet Yönetimi’ni, geleneksel ulusal güvenlik ve uluslararası ilişkiler alanlarıyla bir araya getirmeye çalışan İnisiyatif, bu anlamda hem bir ilk olma özelliği taşıyor, hem de başta ABD olmak üzere Konsey üyesi ülkelere de ciddi bir yol haritası çizmeye çalışıyor. İnisiyatif, temelde siberalanda bir süredir devam eden uluslararası işbirliği, rekabet ve çatışma kavramlarına odaklanıyor.

Forbes’un yayınladığı Twitter’da takip edilmesi gereken 20 önemli siber politika uzmanı listesinde[1] öne çıkan Healey, tipi, fikirleri ve geçmişiyle oldukça dikkat çeken bir isim. 1990’lı yıllardan bu yana siber dünyanın içinde yer alan Healey, kariyerine Amerikan Hava Kuvvetleri’nde İstihbarat görevlisi olarak başlamış, bu dönem dahilinde Pentagon ve Hava Kuvvetleri Komutanlığı’nda kurulan, dünyadaki ilk müşterek siber savaş kuvveti[2] olma özelliği taşıyan Bilgisayar Ağ Savunması biriminde yürüttüğü üst düzey siber operasyonlar nedeniyle iki kere üstün hizmet madalyası almaya layık görülmüş. Kariyerine Bush döneminde 2003-2005 yılları arası Beyaz Saray’ın Siber ve Kritik Altyapı Güvenliği direktörü olarak devam etmiş. Healey’nin kariyerini özel yapan en önemli faktör, siber alana hem kamu, hem de özel sektör gözünden bakabilmesini sağlayan görevlerde bulunmuş olması. Goldman Sachs için iki ayrı dönem çalışan, ilk döneminde şirketin ilk siber saldırılarla mukabele birimini kurup yöneten Healey, ikinci hizmet döneminde ise bankanın Asya’daki operasyonel güvenliğini ve devamlılığını sağlamakla yükümlü olan Hong Kong biriminin başındaymış.

Hava Kuvvetleri Akademisi’nde siyaset bilimi, Johns Hopkins Üniversitesi’nde sosyal bilimler ve James Madison Üniversitesi’nde bilgi güvenliği üzerine çalışmalar yürüten Healey, disiplinler arası çalşımanın önemini erken dönemde kavramış. Akademinin sıkı bir takipçisi olan Healey, siber çatışma ve devlet yönetimi alanlarında öne çıkan sayısız makale ve raporun sahibi olmakla beraber Georgetown Üniversitesi’nde siber politika alanında aktif olarak da ders vermekte. Kendisi siberalanda gerçekleşmiş çatışmaları kronolojik ve akademik anlamda ilk defa, 1986-2012 yılları arasında olmak üzere inceleyen A Fierce Domain: Conflict in Cyberspace, 1986-2012 kitabının editörü. Hatta daha da derine inmek gerekirse, siber güvenlik yakın takipçileri ve ulusal siber güvenlik politikaları üzerine çalışanlar için öncü olan NATO CCDCOE’nin yayınladığı National Cybersecurity Framework Manual’ın da eş yazarı. Ayak basılmadık alan bırakmayan Healey, siber lider olmanın hakkını belki de en çok veren isimlerden biri.

Siber Devlet Yönetimi İnisiyatifi’nin yakın dönemde öne çıkan en önemli misyonu “Saving Cyberspace” yani siber alanı kurtarmak adını taşıyor. Healey konuşmalarında siber alanı kurtarmak dediğinde herkesin aklına ilk gelen sorunun ‘kimden?’ olduğunu ve ofansif aktivitelerin, defansiflere kıyasla çok daha gelişmiş ve ileride olduğu bir dönemde böyle bir yaklaşımın hiç de süpriz olmadığını belirtiyor. Tam da bu nedenle ‘kimden?’ algısını, ‘kimin için?’ yönünde değiştirmediğimiz, interneti suçun, savaşın ve espiyonaj faaliyetlerinin vuku bulduğu bir yer olarak niteleyip, siber alanı silahlandırmaya çalışmaktan vazgeçmediğimiz sürece dijital geleceğimizin çok büyük darbe alacağını ısrarla vurguluyor. Mevcut ‘güvenlik vs. mahremiyet’ tartışmalarını internetin yönetişimine dair olumlu adımların atılmasındaki en büyük engel olarak gören Healey, siber güvenliği ulusal güvenlikle aynı sepete koymanın da sakıncaları olduğunu düşünüyor. Bu konuda yaptığı en çarpıcı benzetme, internetin belli bir süre sonra Somali gibi gözükebileceği üzerine; bir diğer deyişle başarısız, güvenliği sağlanamayan, günlük hayatın her alanının mütemadiyen tehdit altında olduğu bir yer. ‘Internet of things’ kavramıyla herkes için yeni bir kapının aralanacağını savunan Healey, bir bakıma internet yönetişimi ve siber güvenlik algısının yeniden şekillendirilmediği takdirde ateşle oynamaya devam edeceğimizi ve sonunda hepimizin yanabileceğini söylüyor.

Amerika gibi siber alanı silahlandıranların başında gelen bir devletin yetiştirdiği bir siber liderin bu denli protest fikirlere sahip olması hem ilgi çekici, hem düşündürücü. Yazılarını ve konuşmalarını değerlendirirken, bu yazıda da değinmeye çalıştığım söylemlerinin (mevcut siber liderlerden duymamız imkansız olsa da) dikkate alınması ve çok daha yakından incelenmesi gerektiği kanısına vardım. Çoktan güvenlikleştirdiğimiz siber alanı farklı bir platforma taşımak zorluğu yadsınamaz bir iş ve herşeyden önemlisi konunun akıbeti nihayetinde yine teknolojide öncü ve güçlü devletlerdeki karar alıcıların inisiyatifinde. Siber güvenlik meselesinin kısa zamanda savunma sanayi şirketlerine ciddi paralar kazandırdığı unutulmaması gereken bir gerçek, yani aslında mevcut senaryo hem politika yapıcılara, hem de özel sektöre yarıyor. Bu trend gelecekte değişir mi, internet gerçekten de kurtarılabilir mi bilmiyorum, ancak benim karamsarlığımın aksine Healey gibi idealistler için sanırım hala bir umut var.
[1] http://www.forbes.com/sites/richardstiennon/2014/04/07/20-cyber-policy-experts-to-follow-on-twitter/

[2] Joint cyber warfighting unit

Makale & Analiz, Uncategorized

Rusya’yı rahatsız eden NATO Direktörü: Albay Artur Suzik

Yorum yapın

Son yıllarda imza attıkları çalışmalar ve yayınladıkları stratejik akademik dökümanlarla siber güvenlik dünyasında ses getirmeye başlayan Estonya merkezli, NATO akreditasyonuna sahip Siber Savunma Mükemmeliyet Merkezi (CCD COE), diğer tüm mükemmeliyet merkezleri gibi NATO bütçesinden ve emir komuta zincirinden bağımsız bir yapılanma. Uluslararası bir yürütme kurulu tarafından rehberlik edilen bu merkez, siber güvenliğe kıyısından köşesinden dokunan her sunumda ibretlik bir olay olarak anlatılan Estonya siber saldırısını takiben 2008 yılında Talinn’de kurulmuş. O tarihten bu yana iki asker kökenli Estonyalı komutasında yönetilen merkez, 2012 yılı Haziran ayından bu yana Albay Artur Suzik’in önderliğinde çalışmalar yürütüyor.

Suzik ile ilgili açık kaynak tarama yapmak bir hayli zor, bunun sebebi belki hala aktif görevde olması, belki asker kökenli oluşu, belki de bambaşka sebepler, tam kestirmek mümkün değil. Ancak Ukrayna krizi esnasında NATO bünyesinde hareket ettiği düşünülen hackerların Ukrayna’daki bilgi akışını şekillendirecek saldırılar gerçekleştirdiğini iddia eden bir sitede karşıma çıkan bilgiye göre, Suzik’in NATO bünyesinde yer almasından Kremlin bir hayli rahatsız. Öyle ki, Suzik’in Leningrad’da bulunan Askeri Mühendislik Yüksekokulu’ndan mezun olması bu rahatsızlığın asıl sebebi. Bir önceki direktör Albay Ilmar Tamm ile ilgili her türlü bilgiye saniyeler içinde ulaşılabiliyorken, Suzik ile ilgili verdiği kısa demeçler ve NATO strateji dökümanları dışında bir bilgi edinilemiyor olmasında bahsi geçen bu akademik geçmişin rol oynadığı elbette düşünülebilir. Belki bu ve benzeri soruların cevabı Suzik görevden ayrıldığında netlik kazanacaktır, fakat şimdilik Suzik’in kariyeri hakkında net olan nadir bilgilerden biri 2012 yılına kadar Estonya Savunma Kuvvetleri’nin J6 olarak adlandırılan, haberleşme ve bilgi sistemleri üzerine uzmanlaşmış Sinyal Departmanı’nın başında olduğu. Merkez’in başına gelmeden önce de Brüksel’deki NATO Karargah’ında görev yaptığı biliniyor. Bu açıdan kendisi siber liderler serisinin belki de en gizemli lideri.

Suzik’in adını öne çıkaran en önemli konu, 2012 yılından bu yana düzenlenen ve mevcut siber tatbikatlar arasında en geniş çaplı olma özelliği taşıyan Locked Shields simülasyonu. Simülasyonun asıl amacı, yarışan takımların siberalanda kurgulanmış bir senaryo dahilinde, gerçek-zamanlı olarak ağ savunması yapması. Sonuncusu geçtiğimiz yıl düzenlenen Locked Shields, iki gün sürmesi, 17 ülkeden 300 katılımcıyı bir araya getirmesi ve takımların saldıran bir takım karşısında savunma stratejilerini hayata geçirmeleri açısından kritik. Her sene senaryolarını geliştiren Locked Shields’e, 2014 yılında Android işletim sistemli cihazlar, IP kameralar ve VoIP (Voice over IP) gibi uygulamalara yönelik siber saldırıların da dahil edilmesi, gerçek dünyada karşımıza yeni yeni çıkmaya başlayan açıklıklara yer vermesi açısından kayda değer. Locked Shields kapsamında takımlar iki gün boyunca birbirleriyle rekabet halinde de olsa, oyun bir şekilde iş birliği ve bilgi paylaşımına da sevk edecek şekilde tasarlanmış. Zaten Suzik de değerlendirmesinde tatbikatın öncelikli amacının bu tarz kriz anlarında uluslararası bilgi paylaşımının ve farklı ülkelerde konuşlanmış bilişim uzmanlarının koordineli çalışabilmesinin önemini vurgulamak olduğunu belirtiyor. Konu siber güvenlik olunca, düşük teknolojili çözümlerin artık mevzubahis olmadığını söyleyen Suzik, ulusların siber savunma stratejileri geliştirirken hatları kesin çizgilerle belirlenmiş bir plana bağlı kalmaktansa, sürekli değişen bir düzleme hızlı ve doğal bir şekilde adapte olabilecek modeller izlenmesi gerektiğini ısrarla dile getiriyor. Tam da bu yüzden Locked Shields gibi oyunların, katılımcılara deneme, yanılma ve pratik yapma imkanı tanıması nedeniyle, stratejik modellerin hayata geçirilme sürecinde büyük rol oynadığını düşünüyor.

Türkiye’nin de katıldığı Locked Shields 2014’te Polonya’nın birinci olduğu bilinmesine rağmen, diğer ülkelerin nasıl bir sonuç aldığı açıklanmıyor. Ülke isimlerine yer verilmese de, tatbikat sonrası yayınlanan değerlendirmede takımların baş etmekte zorlandıkları siber açıklıkları bulmak mümkün. Bunların başında custom web uygulamalarının korunması, IPv6 üzerindeki kötücül trafiğin filtrelenmesi ve tespiti, önceden yerleştirilmiş, anti-virüs uygulamalarını etkisiz bırakabilen zararlı yazılımların saptanması ve en önemlisi de iyi durum değerlendirme raporlarının yazılması geliyor. Sıralanan listeye bakıldığında, Türkiye de dahil olmak üzere katılan tüm ülkelerin katetmesi gereken uzun yollar olduğunu söylemek mümkün. Türkiye özeline inecek olursak, bu konuya ayrılan bütçe, konuyla ilgilenecek siber güvenlik uzmanlarının motivasyonu ve ülke olarak tutarlı bir duruş sergilemeye kalıyor. Türkiye, Merkez’e Milli Gönüllü Desteği (National Voluntary Contribution) adı altında bulunan ülkeler arasında yer alıyor. Bu üyelik modelinde her hangi bir maddi destek bulunmuyor. Kamu’da çalışan görevliler belirli sürelerle Merkez’e gelerek burada çalışıyorlar. Aynı zamanda, kısa eğitimler hem vermek hem de almak için Türkiye’deki siber güvenlik uzmanları Tallinn’e gidiyor. Cumhurbaşkanı Tayyip Erdoğan’ın ekim ayında gerçekleştirdiği Estonya ziyaretinde Merkez’e de uğraması umut verici olsa da, o tarihten sonra somut bir adım atılmadı.

Bu kapsamda görüşüm, TSK ve diğer ilgili kurumların siber birimlerinin gerek Suzik ile gerekse CCD COE ile daha sıkı bağlar kurması, Türkiye’de düzenlenecek daha fazla eğitim, konferans, akademik çalışma ve tatbikatın içinde yer alacağımız aktivitelere imza atması hem programının bir üyesi olarak merkezden yarar sağlamasına, hem de gerek akademik gerek stratejik anlamda merkeze fayda getirmesine neden olacağı yönünde.

 

 

 

 

Makale & Analiz, Türkiye

AB’nin siber güvenliği Ankara’da konuşuldu

Yorum yapın

CYSPA

Avrupa Güvenlik Organizasyonu (EOS) koordinatörlüğünde oluşturulmuş Avrupa Siber Güvenlik Koruma İttifakı (CYSPA) projesinin Ankara ayağı, Savunma Teknolojileri Mühendislik ve Ticaret A.Ş’nin (STM) öncülüğünde dün Ankara’da gerçekleştirildi. İttifak adının telafuzunda zaman zaman sıkıntılar yaşansa da, gerek yerli katılımcılar gerekse Avrupalı ortaklar Türkiye’nin böyle bir oluşumda yer almasından bir hayli memnundu. Yabancı katılımcılar arasında EOS’un CEO’su Luigi Rebuffi’nin bulunması Avrupa nezdinde etkinliğe verilen önemi de vurgulamış oldu. Bir hayli uzun(!) konuşmasında EOS ve CYSPA olarak neler yapmaya çalıştıklarına değinen Rebuffi’nin sunumunun özüne inildiğinde aslında projenin çok taraflı, çok boyutlu bir amaca hizmet ettiği gözleniyordu. Rebuffi’nin anlattıkları doğrultusunda CYSPA dinleyicilerin kafasında, üye ülkelerin siber alanda karşılıklı güven esasına dayanan ortak bir tutum ve konum geliştirirken, yalnız milli öncelikleriyle değil, araştırma toplulukları, sanayi, kamu/ sivil otoriteler ve altyapı işletmecilerinin de bulunduğu çok parçalı bir düzlemde hareket ederek Avrupa genelinde siber alanı korumayı hedefleyen bir proje olarak şekillendi.

Bu açıdan, CYSPA önemli bir gündemi olan, kısa sürede kayda değer bir ittifak oluşturmayı temel alan bir proje olarak öne çıksa da, Rebuffi’nin neredeyse ondan fazla kurum ve kuruluş adını Brüksel’in siber güvenliğe verdiği hayati önemi göstermek adına sıraladığı sunumu esnasında eminim ki Avrupa Birliği’nin geleneksel yapısını biraz incelemiş her dinleyici bu alanın da diğer alanlar gibi kurumsal bir kakofoniye kurban gitme olasılığının farkına varmıştır. Yeni adlar altında hayata geçirilen yeni kuruluşların siber arenada etkin olmaya çalışmasında da, AB bünyesinde yapılandırılmış bir başka önemli ve çok daha göz önünde bir kuruluş olan ENISA’ya böyle bir rol yüklenip yüklenemeyeceği  sunumlar boyunca kafamı kurcalamış olsa da, siber alana dair ülkelerin işbirliği ve birlikte hareket anlayışından, uluslararası düzenlemelere kadar uzanan derin eksikliklerin varlığını anımsayıp her türlü çabayı olumlu değerlendirmek belki de en iyisidir kanısına vardım.

Etkin siber güvenlik stratejileri geliştirmek, elbette ki düşe kalka deneyimlenen bir süreç. bu bağlamda etkinliğin ilk oturumu esnasında, ülke dışında kurulacak işbirlikleri kadar içerdeki, milli kurumlar arasındaki işbirliğinin de bir hayli önem taşıdığını, bunun da ancak sağlıklı iletişim ve koordinasyon ile mümkün olabileceğini kanıtlayan bir olay yaşanması oldukça önemliydi. Bir konuşmacının TSK’nın usb drive ve dvd kullanımı konusunda getirdiği yasaklamaları teknolojinin kısıtlanması çerçevesinde değerlendirmesi, salonda TSK’yı temsilen bulunan üst-düzey bir yetkilinin tepkisini çekti. Oturum sonunda tepkisini bu bilginin yanlış olduğunu söylerek belirtmesi, dışarıdan, kayıtsız ve kontrolsüz teknolojik araçların TSK’ya alınmadığı, bunun Pentagon’da dahi bu şekilde gerçekleştiği ve TSK’nın bu kapsamda siber farkındalığı en yüksek kurumların başında geldiğini vurgulaması, milli kurumlar arası iletişim ve uyumun artırılması gerektiğinin de bir bakıma altını çizdi.

Siber alanda etkili bir güvenlik ittifakı kurulması mümkün müdür değil midir, ülkeler gerçekten ortak bir strateji geliştirip, açıklıklarını ya da siber kabiliyetlerini birbirleriyle paylaşır mı paylaşamaz mı, bunları elbette zaman gösterecek. İttifakın tek Türk üyesi STM’nin genel müdürü Davut Yılmaz’ın konuşmasından hareketle, Türkiye milli çözümler üretmenin gerekliliği, siber güvenliğin artık milli güvenliğin vazgeçilmez bir parçası olduğu, yerli firmaların desteklenmesinin kritik önem taşıdığı yadsınamaz gerçekler olarak karşımıza çıkmaktayken, milli kaygılar bir süre daha bu alandaki her türlü uluslararası oluşumu yönlendirecektir denebilir. Ancak yine de, özellikle Türkiye’nin bu ve benzeri platformlarda üstlenmeye gönüllü olduğu sorumlulukları, bu denli güncel bir alana karşı kayıtsız olmadığımızın göstergesi olarak yorumlamak, içte ve dışta atmamız gereken teknolojik adımları kolaylaştırmasa da, temelini kesinlikle sağlamlaştırıyor.

Makale & Analiz

Siber Dünyanın Deli Petro’su: Eugene Kaspersky

Yorum yapın

Siber güvenlik camiasının başlıca bir kaç isminden biri olan Eugene Kaspersky’nin kariyer çizgisi her anlamıyla bir ‘aykırılıklar yumağı’. Kurduğu ve halen CEO’su olduğu şirket, dünyanın değişik yerlerine dağılmış 30’den fazla ofisi ile 200’ü aşkın ülkede aktif olarak hizmet vererek, adeta Silikon Vadisi merkezli şirketlerin baskın olmaya çalıştığı güvenlik sektöründe Amerikan hakimiyetine tek başına meydan okuyor.

Onunla röportaj yapan pek çok yazar, Kaspersky’i kirli sakalı, manalı sırıtmaları ve uzun boylu açıklamaları nedeniyle orta yaşlı bir rock yıldızına benzetiyor. Rusların ‘güvensizlik’ ile özdeşleştirildiği bir sistemde Moskova merkezli bir güvenlik şirketi işletmek şüphesiz bu tavırları da beraberinde getiriyor. Kaspersky hakkında araştırma yaptıkça çok yönlü karakterinin yanı sıra, alışılmadık bir geçmişe sahip olduğu da farkediliyor. 1965 yılında dünyaya geldiği Karadeniz kıyısınıda ufak bir kasaba olan Novorossiyk’ten, 300 milyondan fazla kullanıcıya ulaşan bir güvenlik ağının mimarlığına uzanan serüveni bir hayli ilham verici.

Kaspersky, mülakatlarda eğitim hayatından bahsederken Sovyet döneminin koşullarını hatırlatıyor. O zamanlarda eğitimin devlet tekelinde olduğu düşünüldüğünde geleceğe yönelik kararların, pek de hür iradeyle alınamadığını söylüyor. Kaspersky’nin erken yaşlarda matematiğe olan ilgisi ve öne çıkan başarıları ona Sovyet döneminin en iyi bilim adamlarından ders alacağı Rus Savunma Bakanlığı ve KGB destekli Kriptografi, Telekomünikasyon ve Bilgisayar Bilimi Enstitüsü’nün kapısını aralıyor. 1987’de mezun olduğunda orduda yazılımcı olarak çalışmaya başlıyor. Bugün dahi ona askeriyedeki görevine ve enstitülerde aldığı eğitimlere dair sorular yöneltildiğinde “tüm bunlar çok gizliydi, bu nedenle hatırlamıyorum”[1] cevabını veriyor. Kaspersky’nin kariyerinin ve özel bir IT güvenliği şirketi CEO’su olarak tarafsızlığının sıkça sorgulanmasının nedeni olarak onun genç yaşlarından itibaren aldığı bu  yurtsever eğitim gösteriliyor. Kaspersky ona bu durum sorulduğunda aslında pek de lafı dolandırmıyor ve çekinmeden “kafam uluslararası, ancak omurgam yurtsever”[2] diyor.

 

WIRED dergisi 2012 senesinde yayınladığı bir makalede, Kaspersky’nin Rus Cumhurbaşkanı Dimitri Medvedev’in de aralarında bulunduğu birçok Rus devlet adamı ve KGB’nin yerini alan Federal Güvenlik Servisi (FSB) ile derin bağları olduğunu ileri sürdü. Dergi daha da ileri giderek Kaspersky’nin Rus rejimiyle internet özgürlüğünü kısıtlamaya yönelik fikirlerinin örtüştüğü yönündeki iddialar ilk defa tartışılmaya açtı. Fakat Kaspersky’nin gecikmeyen sert cevabı bu iddiaların uzun soluklu etkilerinin bir bakıma önüne geçti. Kaspersky yazılarının on farklı dil seçeneğiyle sunulduğu kişisel bloğunda Rusya dahil olmak üzere ondan yardım talebinde bulunan tüm hükümetlere danışmanlık yaptığını, uzman ve özel bir firma olmanın bunu gerektirdiğini ve suçlamaların asılsız olduğunu ısrarla belirtse de, çoğu bilişim uzmanı, şirketin Rus gizli servisinin sanal bir uzantısı olduğunu ve Moskova merkezli bir şirketin asla Rus hükümetinden bağımsız hareket edemeyeceğini düşünüyor.

1989 yılında karşısına şans eseri çıkan ve daha sonradan 100 milyondan fazla virüsü barındıran şirket veritabanının ilk örneğini oluşturacak olan Cascade virüsü, Kaspersky’nin zararlı yazılımlarla aslında ilk kez tanışmasına sebep olmuş. Başlardaki merak, zamanla tutkuya dönüşmüş ve 1997’de o dönemki eşi ve şirket ortaklarından Nataly Kaspersky’nin ısrarıyla, kurdukları anti-virüs şirketine kendi adını vermeye ikna olmuş. Böylece 2003 yılında Çin’de açacağı ofisle ilk küresel sıçramasını yapacak olan Laboratoriya Kasperskogo,  yani Kaspersky Laboratuvarı (KL) doğuyor. Kaspersky’nin sağ kolundan daha fazla güvendiği ve başarısının sırrı olduğunu belirttiği GReAT (Global Research and Analysis Team) çalışanlarından Aleks Gostev, Kasperksy’nin bir virüsü inceleyip, etkisiz hale getirmek için 20 saat çalıştığı zamanlardan bahsediyor. Dünya çapında yankıları en geniş siber istihbarat girişimlerinden biri olan, Ortadoğu’yu hedef alan Flame zararlı yazılımını ortaya çıkaran KL’nin Kaspersky’nin de deyişiyle “dünyayı kurtarmak için varız” misyonu ve tüm ekibin zararlı yazılımlara duyduğu gerçek üstü ilginin birleşimi, gözümde Kaspersky’yi orta yaşlı bir rock yıldızından, süper kahramana terfi ettiriyor (Twitter arkaplanı da bu tespitimi adeta destekliyor).

Kaspersky, hemen hemen her mülakatında kritik altyapıların (CI) güvenliği meselesine şirket olarak üst düzey önem atfettiklerinin altını çiziyor ve çabalarının mobil sistemler ve otomasyonun hakim olacağı yakın geleceği kötü senaryolardan korumak açısından yeterli olmasını umduklarını dile getiriyor. Kritik altyapılara yönelik tehditleri ve siber istihbarat yazılımlarını en aza indirme yolunda Kaspersky, iddialı olduğu kadar kapsamlı bir kaç öneriyi son bir kaç senedir dilinden düşürmüyor. Bunlardan ilki, internette güvenliği ve özgürlüğü dengeleyeceğine inandığı “online pasaport” kavramı; Kaspersky’e göre internet kısımlara ayrılır ve belli, kritik kısımlar sadece geçerli kimlik bilgilerini sunabilen kullanıcılara açık hale getirilirse anonim hackerların hareket alanı belirli ölçüde kısıtlanabilir. Bir diğeri ise askeriyenin ve istihbarat teşkilatlarının Stuxnet ve Flame gibi zararlı yazılımlar üretmesinin uluslararası anlaşmalarla yasaklanması gerektiği yönünde. Öyle ki ona göre ancak bu sayede siber silahların bilmediğimiz ve kaos doğurabilecek sonuçlarının önüne geçilebilir. Dijital kimliklerin kullanılması daha fazla güvenlik açığı yaratır mı yaratmaz mı, uluslararası düzenlemeler ülkeleri izlerini gizlemeleri en kolay olan siber faaliyetlerden caydırmakta yeterli olur mu, olmaz mı? Cevaplar henüz net değilse bile Eugene Kaspersky kararlı, ITU ile yakın bağları, Davos Dünya Ekonomik Forumu’na üst-düzey konuşmacı olarak katılması, istikrarını taçlandıran sayısız ödül de bunun kanıtı.

 

[1] “that was top-secret, so I do not remember”

[2] “my mind is international but my backbone is patriotic”

Makale & Analiz

AB’nin siber güvenliği Udo Helmbrecht’e emanet

Yorum yapın

 

Eski yazılarımı derlerken Avrupa Birliği’nin siber güvenlik politikalarını eleştirdiğim 2011 tarihli bir araştırmamı gözden geçirme fırsatım oldu. Bahsi geçen makalede Avrupa Birliği’nin önümüzdeki dönemde siber güvenlik alanında mücade etmesi gereken üç önemli noktaya değinmişim; mevcut ekosistemde siber gücünü artırarak söz sahibi olmak, siber diplomasi ve siber mevzuat geliştirme yolunda etkin adımlar atmak ve ortak bir siber güvenlik politikası geliştirmek. Makalenin sonunda mevcut kaynaklarla, AB’nin yakın vadede ortak ve etkili bir siber güvenlik politikası geliştirmeye hazır olmadığı yönündeydi. Üye ülkelerin bilgi güvenliğini ulusal bir mesele olarak algılaması ve hakim güvensizlik duygusu bu kanıya ulaşmamı pekiştirmişti. Tam da aradan geçen dört yıl, AB’yi işleyen ortak bir siber strateji üretmek anlamında ne derece ileri taşıdı sorusuna cevap ararken, kendimi siber güvenlik adına AB’nin başlattığı belki de en somut girişim olan ENISA’nın (European Network and Information Security Agency) 2009’dan bu yana direktörlüğünü yürüten Profesör Udo Helmbrecht’in özgeçmişini incelerken buldum. Çok göz önünde bir isim  olmamasına rağmen, AB adına siber güvenlik alanında önemli işler üstlendiğini farketmem uzun sürmedi.

1955 Almanya doğumlu Helmbrecht, fizik, matematik ve bilgisayar alanında lisans ve üzeri çalışmalar yapmış, Münih Bundeswehr Üniversitesi tarafından onursal profesör sıfatına layık görülmüş, Deutsche Aerospace AG (DASA), Federal Bilgi Güvenliği Ofisi gibi kurumlarda önemli pozisyonlarda bulunmuş. Neredeyse 1981 yılından itibaren bu alanda hem akademik hem de idari faaliyetler yürütmüş deneyimli bir yönetici olsa da, 2005 yılında kurulan ENISA’nın başına 2009’da geldiğinde kurumun işbirliği, tek seslilik, yetki ve bütçe konularında yaşadığı sıkıntıların bir çırpıda çözülemeyeceğini fark ettiğini itiraf ediyor. AB bünyesinde kararların ağır bir bürokrasi izleyerek alındığının bilincinde olan Helmbrecht’in o yıllarda verdiği mülakatlarda çok iddialı ve radikal bir gündemden bahsetmemesi, şimdiye kadar incelediğim diğer siber liderlere kıyasla çok daha yavaş ve sabırlı hareket etmesi işe yaramış olacak ki, 2013 yılında Avrupa Parlementosu’nun aldığı kararla ENISA’ya yeni bir yol haritası çizildi.

Bu çerçevede,

  • ENISA’nın genişletilen yetkileri arasında siber riskleri üye devletler adına en aza indirmeyi hedefleyen ve işin savunma boyutuna da değinen AB Siber Güvenlik Stratejisi’nin desteklenmesi,
  • Kullanılan elektronik ürünlerin, sistemlerin ve servislerinin standardize edilmesi,
  • Siber mevzuat çalışmalarının yapılması,
  • Europol, European External Action Service gibi global açılımları olan diğer AB kurumlarıyla yakın çalışmalar yürütülmesi,
  • AB kurumlarına ve üye devletlere danışmanlık sağlanması gibi yeni hareket alanları tanımlandı.

Aslında bu yeni kapsam, ENISA’yı NATO bünyesindeki CCDCOE’ye benzer, hem stratejik hem de akademik çalışmalar yürüten, uzman bir kuruma dönüştürme çabasının sonucuydu.

Her ne kadar kurumun merkezi olarak Yunanistan’daki Girit adasının seçilmesi, AB’nin ana organlarına olan uzaklığı da göz önünde bulundurulduğunda, hala siber tehditlerin AB bünyesinde üst düzey karşılığının olmadığını düşündürse de, Helmbrecht önderliğinde ENISA’nın çok yol katettiğine değinmemek elde değil. Helmbrecht’in The Cloud Security Alliance (CSA) tarafından geçtiğimiz yıl CSA Sanayi Liderliği ödülüne layık görülmesi bu başarıların bir göstergesi olarak sayılabilir. Güvenli bulut bilişim alanında ENISA çatısı altında yürütülmesine ön ayak olduğu akademik çalışmalar, sertifikalı eğitimler ve sanayi kuruluşlarını bu alanda önlemler almaya iten girişimleri, Helmbrecht’in bulut bilişimi güvenliğine önemli katkıları arasında kabul ediliyor.

Helmbrecht aynı zamanda AB üye ülkeleri arasındaki işbirliğini artırma ve olası bir siber kriz anında karmaşanın önlenmesi adına 2010’dan bu yana her sene düzenlenen Cyber Europe tatbikatının hayata geçirilmesinde rol almış kilit isimlerin başında geliyor. 29 ülkenin ve 200 kuruluşun katılımıyla gerçekleşen ve kritik altyapılara yönelik siber tehditleri ele alan Cyber Europe, kapsamı nedeniyle iddialı bir uygulama olarak öne çıkıyor. Fakat, AB’nin bir bütün olarak siber güvenlikte öncü olma, tek çatı altında yürütülecek etkili bir siber strateji oluşturma ve üye devletler arası bilgi paylaşımını üst düzeye taşıyacak güven ve işbirliği kavramlarını aşılama adına yapacağı çok iş var gibi gözüküyor.

Siber tehditlerin her bir AB üyesini etkileyecek sonuçlar doğrulabileceğinin anlaşılması, özellikle Estonya saldırıları sırasında AB’nin yaşadığı şaşkınlık ve hareketsizlik halinin iyi yorumlanıp, kriz yönetimi ve işbirliği konularında adımlar atılması yakın vadede hem Helmbrecht liderliğindeki ENISA, hem de büyük resme bakması gereken AB için büyük önem arz ediyor.