Etiket arşivi: Nazlı Bozdemir

Makale & Analiz, Türkiye

AB’nin siber güvenliği Ankara’da konuşuldu

Yorum yapın

CYSPA

Avrupa Güvenlik Organizasyonu (EOS) koordinatörlüğünde oluşturulmuş Avrupa Siber Güvenlik Koruma İttifakı (CYSPA) projesinin Ankara ayağı, Savunma Teknolojileri Mühendislik ve Ticaret A.Ş’nin (STM) öncülüğünde dün Ankara’da gerçekleştirildi. İttifak adının telafuzunda zaman zaman sıkıntılar yaşansa da, gerek yerli katılımcılar gerekse Avrupalı ortaklar Türkiye’nin böyle bir oluşumda yer almasından bir hayli memnundu. Yabancı katılımcılar arasında EOS’un CEO’su Luigi Rebuffi’nin bulunması Avrupa nezdinde etkinliğe verilen önemi de vurgulamış oldu. Bir hayli uzun(!) konuşmasında EOS ve CYSPA olarak neler yapmaya çalıştıklarına değinen Rebuffi’nin sunumunun özüne inildiğinde aslında projenin çok taraflı, çok boyutlu bir amaca hizmet ettiği gözleniyordu. Rebuffi’nin anlattıkları doğrultusunda CYSPA dinleyicilerin kafasında, üye ülkelerin siber alanda karşılıklı güven esasına dayanan ortak bir tutum ve konum geliştirirken, yalnız milli öncelikleriyle değil, araştırma toplulukları, sanayi, kamu/ sivil otoriteler ve altyapı işletmecilerinin de bulunduğu çok parçalı bir düzlemde hareket ederek Avrupa genelinde siber alanı korumayı hedefleyen bir proje olarak şekillendi.

Bu açıdan, CYSPA önemli bir gündemi olan, kısa sürede kayda değer bir ittifak oluşturmayı temel alan bir proje olarak öne çıksa da, Rebuffi’nin neredeyse ondan fazla kurum ve kuruluş adını Brüksel’in siber güvenliğe verdiği hayati önemi göstermek adına sıraladığı sunumu esnasında eminim ki Avrupa Birliği’nin geleneksel yapısını biraz incelemiş her dinleyici bu alanın da diğer alanlar gibi kurumsal bir kakofoniye kurban gitme olasılığının farkına varmıştır. Yeni adlar altında hayata geçirilen yeni kuruluşların siber arenada etkin olmaya çalışmasında da, AB bünyesinde yapılandırılmış bir başka önemli ve çok daha göz önünde bir kuruluş olan ENISA’ya böyle bir rol yüklenip yüklenemeyeceği  sunumlar boyunca kafamı kurcalamış olsa da, siber alana dair ülkelerin işbirliği ve birlikte hareket anlayışından, uluslararası düzenlemelere kadar uzanan derin eksikliklerin varlığını anımsayıp her türlü çabayı olumlu değerlendirmek belki de en iyisidir kanısına vardım.

Etkin siber güvenlik stratejileri geliştirmek, elbette ki düşe kalka deneyimlenen bir süreç. bu bağlamda etkinliğin ilk oturumu esnasında, ülke dışında kurulacak işbirlikleri kadar içerdeki, milli kurumlar arasındaki işbirliğinin de bir hayli önem taşıdığını, bunun da ancak sağlıklı iletişim ve koordinasyon ile mümkün olabileceğini kanıtlayan bir olay yaşanması oldukça önemliydi. Bir konuşmacının TSK’nın usb drive ve dvd kullanımı konusunda getirdiği yasaklamaları teknolojinin kısıtlanması çerçevesinde değerlendirmesi, salonda TSK’yı temsilen bulunan üst-düzey bir yetkilinin tepkisini çekti. Oturum sonunda tepkisini bu bilginin yanlış olduğunu söylerek belirtmesi, dışarıdan, kayıtsız ve kontrolsüz teknolojik araçların TSK’ya alınmadığı, bunun Pentagon’da dahi bu şekilde gerçekleştiği ve TSK’nın bu kapsamda siber farkındalığı en yüksek kurumların başında geldiğini vurgulaması, milli kurumlar arası iletişim ve uyumun artırılması gerektiğinin de bir bakıma altını çizdi.

Siber alanda etkili bir güvenlik ittifakı kurulması mümkün müdür değil midir, ülkeler gerçekten ortak bir strateji geliştirip, açıklıklarını ya da siber kabiliyetlerini birbirleriyle paylaşır mı paylaşamaz mı, bunları elbette zaman gösterecek. İttifakın tek Türk üyesi STM’nin genel müdürü Davut Yılmaz’ın konuşmasından hareketle, Türkiye milli çözümler üretmenin gerekliliği, siber güvenliğin artık milli güvenliğin vazgeçilmez bir parçası olduğu, yerli firmaların desteklenmesinin kritik önem taşıdığı yadsınamaz gerçekler olarak karşımıza çıkmaktayken, milli kaygılar bir süre daha bu alandaki her türlü uluslararası oluşumu yönlendirecektir denebilir. Ancak yine de, özellikle Türkiye’nin bu ve benzeri platformlarda üstlenmeye gönüllü olduğu sorumlulukları, bu denli güncel bir alana karşı kayıtsız olmadığımızın göstergesi olarak yorumlamak, içte ve dışta atmamız gereken teknolojik adımları kolaylaştırmasa da, temelini kesinlikle sağlamlaştırıyor.

Makale & Analiz

Siber Dünyanın Deli Petro’su: Eugene Kaspersky

Yorum yapın

Siber güvenlik camiasının başlıca bir kaç isminden biri olan Eugene Kaspersky’nin kariyer çizgisi her anlamıyla bir ‘aykırılıklar yumağı’. Kurduğu ve halen CEO’su olduğu şirket, dünyanın değişik yerlerine dağılmış 30’den fazla ofisi ile 200’ü aşkın ülkede aktif olarak hizmet vererek, adeta Silikon Vadisi merkezli şirketlerin baskın olmaya çalıştığı güvenlik sektöründe Amerikan hakimiyetine tek başına meydan okuyor.

Onunla röportaj yapan pek çok yazar, Kaspersky’i kirli sakalı, manalı sırıtmaları ve uzun boylu açıklamaları nedeniyle orta yaşlı bir rock yıldızına benzetiyor. Rusların ‘güvensizlik’ ile özdeşleştirildiği bir sistemde Moskova merkezli bir güvenlik şirketi işletmek şüphesiz bu tavırları da beraberinde getiriyor. Kaspersky hakkında araştırma yaptıkça çok yönlü karakterinin yanı sıra, alışılmadık bir geçmişe sahip olduğu da farkediliyor. 1965 yılında dünyaya geldiği Karadeniz kıyısınıda ufak bir kasaba olan Novorossiyk’ten, 300 milyondan fazla kullanıcıya ulaşan bir güvenlik ağının mimarlığına uzanan serüveni bir hayli ilham verici.

Kaspersky, mülakatlarda eğitim hayatından bahsederken Sovyet döneminin koşullarını hatırlatıyor. O zamanlarda eğitimin devlet tekelinde olduğu düşünüldüğünde geleceğe yönelik kararların, pek de hür iradeyle alınamadığını söylüyor. Kaspersky’nin erken yaşlarda matematiğe olan ilgisi ve öne çıkan başarıları ona Sovyet döneminin en iyi bilim adamlarından ders alacağı Rus Savunma Bakanlığı ve KGB destekli Kriptografi, Telekomünikasyon ve Bilgisayar Bilimi Enstitüsü’nün kapısını aralıyor. 1987’de mezun olduğunda orduda yazılımcı olarak çalışmaya başlıyor. Bugün dahi ona askeriyedeki görevine ve enstitülerde aldığı eğitimlere dair sorular yöneltildiğinde “tüm bunlar çok gizliydi, bu nedenle hatırlamıyorum”[1] cevabını veriyor. Kaspersky’nin kariyerinin ve özel bir IT güvenliği şirketi CEO’su olarak tarafsızlığının sıkça sorgulanmasının nedeni olarak onun genç yaşlarından itibaren aldığı bu  yurtsever eğitim gösteriliyor. Kaspersky ona bu durum sorulduğunda aslında pek de lafı dolandırmıyor ve çekinmeden “kafam uluslararası, ancak omurgam yurtsever”[2] diyor.

 

WIRED dergisi 2012 senesinde yayınladığı bir makalede, Kaspersky’nin Rus Cumhurbaşkanı Dimitri Medvedev’in de aralarında bulunduğu birçok Rus devlet adamı ve KGB’nin yerini alan Federal Güvenlik Servisi (FSB) ile derin bağları olduğunu ileri sürdü. Dergi daha da ileri giderek Kaspersky’nin Rus rejimiyle internet özgürlüğünü kısıtlamaya yönelik fikirlerinin örtüştüğü yönündeki iddialar ilk defa tartışılmaya açtı. Fakat Kaspersky’nin gecikmeyen sert cevabı bu iddiaların uzun soluklu etkilerinin bir bakıma önüne geçti. Kaspersky yazılarının on farklı dil seçeneğiyle sunulduğu kişisel bloğunda Rusya dahil olmak üzere ondan yardım talebinde bulunan tüm hükümetlere danışmanlık yaptığını, uzman ve özel bir firma olmanın bunu gerektirdiğini ve suçlamaların asılsız olduğunu ısrarla belirtse de, çoğu bilişim uzmanı, şirketin Rus gizli servisinin sanal bir uzantısı olduğunu ve Moskova merkezli bir şirketin asla Rus hükümetinden bağımsız hareket edemeyeceğini düşünüyor.

1989 yılında karşısına şans eseri çıkan ve daha sonradan 100 milyondan fazla virüsü barındıran şirket veritabanının ilk örneğini oluşturacak olan Cascade virüsü, Kaspersky’nin zararlı yazılımlarla aslında ilk kez tanışmasına sebep olmuş. Başlardaki merak, zamanla tutkuya dönüşmüş ve 1997’de o dönemki eşi ve şirket ortaklarından Nataly Kaspersky’nin ısrarıyla, kurdukları anti-virüs şirketine kendi adını vermeye ikna olmuş. Böylece 2003 yılında Çin’de açacağı ofisle ilk küresel sıçramasını yapacak olan Laboratoriya Kasperskogo,  yani Kaspersky Laboratuvarı (KL) doğuyor. Kaspersky’nin sağ kolundan daha fazla güvendiği ve başarısının sırrı olduğunu belirttiği GReAT (Global Research and Analysis Team) çalışanlarından Aleks Gostev, Kasperksy’nin bir virüsü inceleyip, etkisiz hale getirmek için 20 saat çalıştığı zamanlardan bahsediyor. Dünya çapında yankıları en geniş siber istihbarat girişimlerinden biri olan, Ortadoğu’yu hedef alan Flame zararlı yazılımını ortaya çıkaran KL’nin Kaspersky’nin de deyişiyle “dünyayı kurtarmak için varız” misyonu ve tüm ekibin zararlı yazılımlara duyduğu gerçek üstü ilginin birleşimi, gözümde Kaspersky’yi orta yaşlı bir rock yıldızından, süper kahramana terfi ettiriyor (Twitter arkaplanı da bu tespitimi adeta destekliyor).

Kaspersky, hemen hemen her mülakatında kritik altyapıların (CI) güvenliği meselesine şirket olarak üst düzey önem atfettiklerinin altını çiziyor ve çabalarının mobil sistemler ve otomasyonun hakim olacağı yakın geleceği kötü senaryolardan korumak açısından yeterli olmasını umduklarını dile getiriyor. Kritik altyapılara yönelik tehditleri ve siber istihbarat yazılımlarını en aza indirme yolunda Kaspersky, iddialı olduğu kadar kapsamlı bir kaç öneriyi son bir kaç senedir dilinden düşürmüyor. Bunlardan ilki, internette güvenliği ve özgürlüğü dengeleyeceğine inandığı “online pasaport” kavramı; Kaspersky’e göre internet kısımlara ayrılır ve belli, kritik kısımlar sadece geçerli kimlik bilgilerini sunabilen kullanıcılara açık hale getirilirse anonim hackerların hareket alanı belirli ölçüde kısıtlanabilir. Bir diğeri ise askeriyenin ve istihbarat teşkilatlarının Stuxnet ve Flame gibi zararlı yazılımlar üretmesinin uluslararası anlaşmalarla yasaklanması gerektiği yönünde. Öyle ki ona göre ancak bu sayede siber silahların bilmediğimiz ve kaos doğurabilecek sonuçlarının önüne geçilebilir. Dijital kimliklerin kullanılması daha fazla güvenlik açığı yaratır mı yaratmaz mı, uluslararası düzenlemeler ülkeleri izlerini gizlemeleri en kolay olan siber faaliyetlerden caydırmakta yeterli olur mu, olmaz mı? Cevaplar henüz net değilse bile Eugene Kaspersky kararlı, ITU ile yakın bağları, Davos Dünya Ekonomik Forumu’na üst-düzey konuşmacı olarak katılması, istikrarını taçlandıran sayısız ödül de bunun kanıtı.

 

[1] “that was top-secret, so I do not remember”

[2] “my mind is international but my backbone is patriotic”

Makale & Analiz

AB’nin siber güvenliği Udo Helmbrecht’e emanet

Yorum yapın

 

Eski yazılarımı derlerken Avrupa Birliği’nin siber güvenlik politikalarını eleştirdiğim 2011 tarihli bir araştırmamı gözden geçirme fırsatım oldu. Bahsi geçen makalede Avrupa Birliği’nin önümüzdeki dönemde siber güvenlik alanında mücade etmesi gereken üç önemli noktaya değinmişim; mevcut ekosistemde siber gücünü artırarak söz sahibi olmak, siber diplomasi ve siber mevzuat geliştirme yolunda etkin adımlar atmak ve ortak bir siber güvenlik politikası geliştirmek. Makalenin sonunda mevcut kaynaklarla, AB’nin yakın vadede ortak ve etkili bir siber güvenlik politikası geliştirmeye hazır olmadığı yönündeydi. Üye ülkelerin bilgi güvenliğini ulusal bir mesele olarak algılaması ve hakim güvensizlik duygusu bu kanıya ulaşmamı pekiştirmişti. Tam da aradan geçen dört yıl, AB’yi işleyen ortak bir siber strateji üretmek anlamında ne derece ileri taşıdı sorusuna cevap ararken, kendimi siber güvenlik adına AB’nin başlattığı belki de en somut girişim olan ENISA’nın (European Network and Information Security Agency) 2009’dan bu yana direktörlüğünü yürüten Profesör Udo Helmbrecht’in özgeçmişini incelerken buldum. Çok göz önünde bir isim  olmamasına rağmen, AB adına siber güvenlik alanında önemli işler üstlendiğini farketmem uzun sürmedi.

1955 Almanya doğumlu Helmbrecht, fizik, matematik ve bilgisayar alanında lisans ve üzeri çalışmalar yapmış, Münih Bundeswehr Üniversitesi tarafından onursal profesör sıfatına layık görülmüş, Deutsche Aerospace AG (DASA), Federal Bilgi Güvenliği Ofisi gibi kurumlarda önemli pozisyonlarda bulunmuş. Neredeyse 1981 yılından itibaren bu alanda hem akademik hem de idari faaliyetler yürütmüş deneyimli bir yönetici olsa da, 2005 yılında kurulan ENISA’nın başına 2009’da geldiğinde kurumun işbirliği, tek seslilik, yetki ve bütçe konularında yaşadığı sıkıntıların bir çırpıda çözülemeyeceğini fark ettiğini itiraf ediyor. AB bünyesinde kararların ağır bir bürokrasi izleyerek alındığının bilincinde olan Helmbrecht’in o yıllarda verdiği mülakatlarda çok iddialı ve radikal bir gündemden bahsetmemesi, şimdiye kadar incelediğim diğer siber liderlere kıyasla çok daha yavaş ve sabırlı hareket etmesi işe yaramış olacak ki, 2013 yılında Avrupa Parlementosu’nun aldığı kararla ENISA’ya yeni bir yol haritası çizildi.

Bu çerçevede,

  • ENISA’nın genişletilen yetkileri arasında siber riskleri üye devletler adına en aza indirmeyi hedefleyen ve işin savunma boyutuna da değinen AB Siber Güvenlik Stratejisi’nin desteklenmesi,
  • Kullanılan elektronik ürünlerin, sistemlerin ve servislerinin standardize edilmesi,
  • Siber mevzuat çalışmalarının yapılması,
  • Europol, European External Action Service gibi global açılımları olan diğer AB kurumlarıyla yakın çalışmalar yürütülmesi,
  • AB kurumlarına ve üye devletlere danışmanlık sağlanması gibi yeni hareket alanları tanımlandı.

Aslında bu yeni kapsam, ENISA’yı NATO bünyesindeki CCDCOE’ye benzer, hem stratejik hem de akademik çalışmalar yürüten, uzman bir kuruma dönüştürme çabasının sonucuydu.

Her ne kadar kurumun merkezi olarak Yunanistan’daki Girit adasının seçilmesi, AB’nin ana organlarına olan uzaklığı da göz önünde bulundurulduğunda, hala siber tehditlerin AB bünyesinde üst düzey karşılığının olmadığını düşündürse de, Helmbrecht önderliğinde ENISA’nın çok yol katettiğine değinmemek elde değil. Helmbrecht’in The Cloud Security Alliance (CSA) tarafından geçtiğimiz yıl CSA Sanayi Liderliği ödülüne layık görülmesi bu başarıların bir göstergesi olarak sayılabilir. Güvenli bulut bilişim alanında ENISA çatısı altında yürütülmesine ön ayak olduğu akademik çalışmalar, sertifikalı eğitimler ve sanayi kuruluşlarını bu alanda önlemler almaya iten girişimleri, Helmbrecht’in bulut bilişimi güvenliğine önemli katkıları arasında kabul ediliyor.

Helmbrecht aynı zamanda AB üye ülkeleri arasındaki işbirliğini artırma ve olası bir siber kriz anında karmaşanın önlenmesi adına 2010’dan bu yana her sene düzenlenen Cyber Europe tatbikatının hayata geçirilmesinde rol almış kilit isimlerin başında geliyor. 29 ülkenin ve 200 kuruluşun katılımıyla gerçekleşen ve kritik altyapılara yönelik siber tehditleri ele alan Cyber Europe, kapsamı nedeniyle iddialı bir uygulama olarak öne çıkıyor. Fakat, AB’nin bir bütün olarak siber güvenlikte öncü olma, tek çatı altında yürütülecek etkili bir siber strateji oluşturma ve üye devletler arası bilgi paylaşımını üst düzeye taşıyacak güven ve işbirliği kavramlarını aşılama adına yapacağı çok iş var gibi gözüküyor.

Siber tehditlerin her bir AB üyesini etkileyecek sonuçlar doğrulabileceğinin anlaşılması, özellikle Estonya saldırıları sırasında AB’nin yaşadığı şaşkınlık ve hareketsizlik halinin iyi yorumlanıp, kriz yönetimi ve işbirliği konularında adımlar atılması yakın vadede hem Helmbrecht liderliğindeki ENISA, hem de büyük resme bakması gereken AB için büyük önem arz ediyor.

 

 

 

 

 

Makale & Analiz

NATO’nun Siber Savunmasında Kilit İsim: Süleyman Anıl

Yorum yapın

Çoğunlukla Batılı isimlerin öne çıktığı Siber Liderler serisinde, yaklaşık 25 yıldır siber güvenlikle içli dışlı olan Türkiye’den bir isme yer vermek, hele de araştırmalarım esnasında bu ismin NATO nezdinde değerinin ne denli yüksek olduğunu anlamamla birlikte oldukça ilgi çekici bir hal aldı. 1979 yılında ODTÜ Elektrik Elektronik bölümünden mezun, çiçeği burnunda Amerika’ya çalışmaya gitmiş bir genç olan Süleyman Anıl, kariyerine ITT/Alcatel’de sistem mühendisi olarak başlar ve firma bünyesinde Karayipler, Afrika, İtalya gibi bir çok ülkede görev yapar. Tam da ailevi kaygılarla bir yerlere temelli yerleşmeyi içten içe düşlediği bir anda, NATO’nun International Staff kadrosuna eleman alacağını duyup, şansını dener. Böylece 1989 yılında NATO’nun Brüksel’in güneyinde bulunan bir merkezinde, siber güvenlik birimine (INFOSEC Command) ilk ve tek mühendis olarak atanır. Elbette ki Anıl, bu karargahta görev yapacağı 13 yıl süresince kendi yönetiminde 20 kişiyle birlikte çalışacağından ve NATO’nun siber güvenlik departmanını kuran isim olacağından bihaberdir.

Özellikle 2000’lere giden süreçte Balkanlar’da yaşanan kaosta elektronik savaş yöntemlerine başvurulması, NATO’nun ilerleyen yıllarda siber güvenliği ciddiye alması gerektiğinin ilk göstergesidir. Bu açıdan bakıldığında Anıl’ın uzun soluklu NATO kariyerindeki belki de en büyük etken, doğru yerde, doğru zamanda ve doğru zihniyetle hareket etmesidir. Bu alanda çalışmalar ve girişimler olmasına rağmen, NATO kapsamlı bir siber güvenlik yol haritasına sahip olmasının lüks değil, bir zorunluluk olduğunu 2007 Estonya Krizine kadar anlamayacaktır. Bu noktadan hareketle, NATO’nun siber savunma kapasitesini artırma hedefi, 2010 Lizbon Zirvesi’nde öne çıkan 11 öncelikli başlıktan biri olarak belirlenmiştir; 58 milyon Euro’luk ilk bütçe ve Anıl önderliğinde kurulan Siber Savunma ve Karşı Tedbirler Birimi bu zirvenin iki önemli sonucudur. Anıl’ın belirttiği doğrultuda, ulus-devletlerin en büyük siber tehdidi oluşturduğu, siber istihbarat çalışmalarının uluslararası sistemin önemli bir parçası haline geldiği ve siber savaş kabiliyetlerinden bahsettiğimiz bir ekosistemde, her gün 10’dan fazla gelişmiş siber saldırı (advanced persistent threat) ve sayısız hacktivism saldırısının hedefinde yer alan NATO için, siber savunma artık üst düzey bir meseledir.

NATO’nun siber güvenlik konusunda aşama kaydetmesinde ciddi anlamda katkısı bulunan Anıl’ın önemli bir tespiti dikkat çekiyor: İttifak’ı hedef alan saldırıların büyük kısmı İsrail, İran, Çin ve Rusya kaynaklı. Ülkelerden anlaşılacağı üzere, NATO bünyesinde depolanan belgeler en fazla NATO’ya üye olmayan ulus-devletlerin ilgisini çekiyor.

Detaylara yer vermese de, 2012 yılında gerçekleştirdiği bir mülakatta Rusya’nın siber alandaki kabiliyetlerini Çin’e kıyasla daha ileri bir seviyede bulduğunu belirten Anıl, siber savaşın önümüzdeki dönemde kimsenin göz ardı edemeyeceği kadar ideal bir araç haline geleceğini öngörmektedir. Bu kapsamda neredeyse tüm konuşmalarında mutlaka değindiği kritik altyapıların güvenliği, her siber lider gibi Süleman Anıl’ın da gündeminin en başındadır. Ülkelerin önemli enerji veya endüstri tesislerini korumanın mütemadiyen gerektiğini söyleyen Anıl, askeri ağlara ek olarak sivil otoritelerin yetkisinde kalan ağların güvenliğine de eşit miktarda kafa yorulması gerektiğinin altını çizer. Anıl’ın hassasiyeti ışığında, yakın zamanda Bloomberg’de yer alan, 2008 Refahiye ilçesi yakınlarında meydana gelen Bakü- Tiflis- Ceyhan boru hattı patlamasının siber kaynaklı olabileceği iddiasının meşruluğunu bir kenara bırakırsak, Türkiye’nin de aslında yakın vadede odaklanması gereken en önemli meseleler sivil bilgisayar ağlarının ve kritik altyapıların güvenliğini sağlamak olmalıdır. NATO’daki sayılı üst düzey Türk’ten biri olan Süleyman Anıl’ın, kanımca bu çerçevede deneyimlerinin paylaşımının ve Türkiye’deki üst düzey etkinliklere katılımının sürekli olarak sağlanması ülke adına çok büyük bir kazanç olacaktır.