Etiket arşivi: stratejik siber liderler

Makale & Analiz

’11 Eylül geliyor’ dedi; cezası siber güvenlik oldu: Richard Clarke

Yorum yapın

“If you spend more on coffee than on IT security, then you will be hacked. What’s more, you deserve to be hacked.” –Richard Clarke, 2002

Amerikan hükümeti için çalıştığı 30 sene boyunca göreve gelen dört ayrı başkanın yakın çemberinde yer almış, neredeyse hizmet ettiği her dönemde devlet politikalarına üst düzeyde yön vermiş nadir isimlerden birisi Richard A. Clarke. Siber güvenlik camiası, Clarke ismine çok ses getiren “Cyber War: The Next Threat to National Security and What to Do About It” kitabından aşina da olsa, aslında kendisi Clinton döneminden başlayarak 2001 yılına kadar ABD’nin ‘terörle mücadele çarı’ olarak karşımıza çıkıyor. Clarke’ın 11 Eylül terör saldırıları öncesi Bush yönetiminin terörle mücadele karşısında takındığı vizyonsuzluğu ve saldırılar sonrası Irak ile savaşa girme politikasını ciddi şekilde eleştirdiği açıkça biliniyor. Özellikle 2002 yılında 11 Eylül olayları ile ilgili olarak ulusal kanalda kurduğu “hükümetiniz sizi başarısızlığa uğrattı” (your government failed you) cümlesiyle dikkat çeken ve halktan kameralar önünde özür dileyen Clarke, bu tavrını takiben 2003 yılında Bush hükümeti ile bağlarını kopararak siber güvenlik risk yönetimi ve danışmanlık sağlayan Good Harbor şirketini kurup, başına geçiyor. Bush’un özel siber güvenlik danışmanı olarak Beyaz Saray’da bulunduğu iki yılda özellikle kritik altyapıların siber güvenliği üzerine önemli çalışmalar yürüten Clarke, zaman zaman yaptığı beklenmedik açıklamalarla gündemi bugün bile meşgül etmeyi başarabilen bir siber lider. Clarke’ın terörle mücadele konusundan siber güvenliğe nasıl geçtiği de hayli ilginç. El Kaide’nin ABD’yi hedef alan büyük bir saldırı planladığını 1990’ların ikinci yarısından itibaren ısrarla tekrar eden Clarke’a artık bu işlerden ziyade siber güvenlik dosyasıyla ilgilenme görevi veriliyor. Böylece Clarke ABD’nin başına gelen en büyük felaketlerden birini engelleyememiş olsa da, daha 1997 yılında siber güvenlik konusunda önde gelen uzmanlardan biri olma yoluna hızlı bir giriş yapmış oldu.

SİBER LİDERLER DİZİSİNİN DİĞER YAZILARI İÇİN TIKLAYINIZ

Amerika’nın ilk ve bugün hala öğrenci kabul eden en eski devlet okulu olma özelliği taşıyan Boston Latin Okulu’ndan 1968 yılında mezun olan Clarke, sonrasında Pennyslvania Üniversitesi’nde lisans eğitimini tamamlamış. Üniversitede öğrenci olduğu sırada, okulun en prestijli onur topluluğu kabul edilen ve üyelerini öne çıkan bireysel başarılara imza atmış gençler arasından seçen Sphinx Senior Society’e seçilmeye değer bulunan Clarke, oldukça başarılı bir öğrenciymiş. Mezun olduktan sonra bir yandan Savunma Bakanlığı’nda Avrupa güvenliği konusunda uzmanlaşırken, bir yandan da M.I.T.’de İşletme yüksek lisansını tamamlayan Clarke, bu yıllarda güçlü bir siyasi altyapı kazanmış. Reagan döneminde önce istihbarat, sonra siyasi-askeri ilişkiler özelinde çalışmalar yürütmüş, 1992 yılındaysa Bush’un atamasıyla üst düzey katılımcılardan oluşan Ulusal Güvenlik Konseyi bünyesindeki terörle mücadele grubunun başkanlığına getirilmiş. Clinton döneminde de vazgeçilmez olduğunu kanıtlayan Clarke, bu sefer de Ulusal Güvenlik, Kritik Altyapı Güvenliği ve Terörle Mücadele Direktörü olarak görev başındaymış. Bush Jr. döneminde bir süre daha bu göreve devam etse de, 2001 yılından, Beyaz Saray ile yollarını ayrıcağı 2003 yılına kadar başkanın özel siber güvenlik danışmanlığını yürüten eski Çar’ın, terörle mücadele konusunda Bush yönetimini uyarmasına rağmen gerekli önlemlerin alınmadığını her fırsatta söylemesi, onu Amerikan basınında bir hayli meşhur etmiş.

Basında sıkça yer bulmasının bir diğer sebebi, çoğu kişi tarafından abartılı bulunan tespit ve öngörüleri. Konuşmalarında sık sık vurgu yaptığı ‘dondurulmuş Pentagon bilgisayar sistemleri, kör edilmiş uydular, etkisiz hale getirilmiş güç santralleri, hizmet veremeyen ve halkı kaosa sürükleyen sayısız metro ve patlatılan petrokimya tesisleri’ senaryolarıyla Clarke, siber güvenliğin karanlık yüzünü olduğundan daha da tehlikeli gösteren siber liderlerden. Siber savaş, siber ordu, siber çatışma kavramlarına sıklıkla değinse de, Amerika’nın karşısındaki en büyük tehdidin siber casusluk ve en tehlikeli aktörün Çin olduğuna dikkat çekmesi ise oldukça şaşırtıcı. Clarke’ın bu konudaki tartışmalı pek çok açıklaması arasında ‘ABD’deki tüm önde gelen şirketlere en az bir kere Çin tarafından sızıldığı’ ve yeni nesil savaş uçakları arasında öne çıkan F-35’in planlarını Çin’in çaldığı iddiaları şüphesiz en önemlilerden. Bu anlamda eski terörle mücadele Çarı ulusal siber güvenlikle ilgili en büyük kaygısının siber espiyonaj faaliyetleri karşısında milyarlarca dolarlık emeklerinin ve araştırmalarının heba olup, ABD’nin hem uluslararası pazarda, hem de askeri anlamda Çin karşısında rekabet gücünü kaybetmesi olduğunu belirtiyor. “CHEW” olarak adlandırdığı kısaltmasında cyber Crime, cyber Hacktivism, cyber Espionage ve cyber War (siber suç, siber hacktivizm, siber casusluk ve siber savaş) kavramlarının yaklaşan dönemde ABD için büyük sıkıntılar doğuracağının altını çizen Clarke, ilginçtir ki siber terörizmi bu listeye yerleştirmiyor. Siber ve terör kavramlarının iki bağımsız sorun olarak değerlendirilmesi gerektiğini ısrarla belirten Clarke, kanımca iki terimin bir arada kullanılmasının doğuracağı belirsizliğin, terörle mücadele açısından katkı sağlamayacağını düşünüyor.

İLGİLİ HABER >> ÇİN’İN EN BÜYÜK SİBER CASUSLUK OPERASYONU

Siber savaş ve çatışma konularında konuşurken soğuk savaş mentalitesiyle hareket ettiğini hissettirse de, o yıllardaki deneyimlerini siber güvenliğe uyarladığı önemli bir önerisi bulunuyor. 1987 yılında Moskova ve Washington’daki operasyon merkezlerini birbirine direk olarak bağlayan ve risk taşıyan herhangi bir faaliyetin tespit edilmesi durumunda tarafları anında iletişime geçiren Nükleer Risk Azaltma Merkezi’nden (Nuclear Risk Reduction Center) bahseden Clarke, aynı mantığın Siber Risk Azaltma Merkezi adıyla yeniden hayata geçirilebileceğini söylüyor. Böyle bir merkezin uluslararası düzlemde yeniden yapılandırılmasıyla, devletlerin karşı taraftan risk taşıyan bir aktivite yaptıklarına dair uyarı almaları durumunda hızlıca harekete geçebileceklerini savunan Clarke, bu şekilde başka ülkeler üzerinden gerçekleştirilen siber saldırıların daha kolay kontrol altına alınabileceğini iddia etse de, uluslararası hukuğun siber alandaki gri çizgileri ve devletlerin takınacağı ‘benim bilgim yok’ tepkisi nedeniyle önerinin pratikte sorunları olması muhtemel gözüküyor.

NOT: Clarke’ın kitabının Türkçe tercümesini buradan bulabilirsiniz

HAFTALIK SİBER BÜLTEN RAPORUNA ABONE OLMAK İÇİN FORMU DOLDURUNUZ

[wysija_form id=”2″]

 

 

Makale & Analiz

Siber Dünyanın Deli Petro’su: Eugene Kaspersky

Yorum yapın

Siber güvenlik camiasının başlıca bir kaç isminden biri olan Eugene Kaspersky’nin kariyer çizgisi her anlamıyla bir ‘aykırılıklar yumağı’. Kurduğu ve halen CEO’su olduğu şirket, dünyanın değişik yerlerine dağılmış 30’den fazla ofisi ile 200’ü aşkın ülkede aktif olarak hizmet vererek, adeta Silikon Vadisi merkezli şirketlerin baskın olmaya çalıştığı güvenlik sektöründe Amerikan hakimiyetine tek başına meydan okuyor.

Onunla röportaj yapan pek çok yazar, Kaspersky’i kirli sakalı, manalı sırıtmaları ve uzun boylu açıklamaları nedeniyle orta yaşlı bir rock yıldızına benzetiyor. Rusların ‘güvensizlik’ ile özdeşleştirildiği bir sistemde Moskova merkezli bir güvenlik şirketi işletmek şüphesiz bu tavırları da beraberinde getiriyor. Kaspersky hakkında araştırma yaptıkça çok yönlü karakterinin yanı sıra, alışılmadık bir geçmişe sahip olduğu da farkediliyor. 1965 yılında dünyaya geldiği Karadeniz kıyısınıda ufak bir kasaba olan Novorossiyk’ten, 300 milyondan fazla kullanıcıya ulaşan bir güvenlik ağının mimarlığına uzanan serüveni bir hayli ilham verici.

Kaspersky, mülakatlarda eğitim hayatından bahsederken Sovyet döneminin koşullarını hatırlatıyor. O zamanlarda eğitimin devlet tekelinde olduğu düşünüldüğünde geleceğe yönelik kararların, pek de hür iradeyle alınamadığını söylüyor. Kaspersky’nin erken yaşlarda matematiğe olan ilgisi ve öne çıkan başarıları ona Sovyet döneminin en iyi bilim adamlarından ders alacağı Rus Savunma Bakanlığı ve KGB destekli Kriptografi, Telekomünikasyon ve Bilgisayar Bilimi Enstitüsü’nün kapısını aralıyor. 1987’de mezun olduğunda orduda yazılımcı olarak çalışmaya başlıyor. Bugün dahi ona askeriyedeki görevine ve enstitülerde aldığı eğitimlere dair sorular yöneltildiğinde “tüm bunlar çok gizliydi, bu nedenle hatırlamıyorum”[1] cevabını veriyor. Kaspersky’nin kariyerinin ve özel bir IT güvenliği şirketi CEO’su olarak tarafsızlığının sıkça sorgulanmasının nedeni olarak onun genç yaşlarından itibaren aldığı bu  yurtsever eğitim gösteriliyor. Kaspersky ona bu durum sorulduğunda aslında pek de lafı dolandırmıyor ve çekinmeden “kafam uluslararası, ancak omurgam yurtsever”[2] diyor.

 

WIRED dergisi 2012 senesinde yayınladığı bir makalede, Kaspersky’nin Rus Cumhurbaşkanı Dimitri Medvedev’in de aralarında bulunduğu birçok Rus devlet adamı ve KGB’nin yerini alan Federal Güvenlik Servisi (FSB) ile derin bağları olduğunu ileri sürdü. Dergi daha da ileri giderek Kaspersky’nin Rus rejimiyle internet özgürlüğünü kısıtlamaya yönelik fikirlerinin örtüştüğü yönündeki iddialar ilk defa tartışılmaya açtı. Fakat Kaspersky’nin gecikmeyen sert cevabı bu iddiaların uzun soluklu etkilerinin bir bakıma önüne geçti. Kaspersky yazılarının on farklı dil seçeneğiyle sunulduğu kişisel bloğunda Rusya dahil olmak üzere ondan yardım talebinde bulunan tüm hükümetlere danışmanlık yaptığını, uzman ve özel bir firma olmanın bunu gerektirdiğini ve suçlamaların asılsız olduğunu ısrarla belirtse de, çoğu bilişim uzmanı, şirketin Rus gizli servisinin sanal bir uzantısı olduğunu ve Moskova merkezli bir şirketin asla Rus hükümetinden bağımsız hareket edemeyeceğini düşünüyor.

1989 yılında karşısına şans eseri çıkan ve daha sonradan 100 milyondan fazla virüsü barındıran şirket veritabanının ilk örneğini oluşturacak olan Cascade virüsü, Kaspersky’nin zararlı yazılımlarla aslında ilk kez tanışmasına sebep olmuş. Başlardaki merak, zamanla tutkuya dönüşmüş ve 1997’de o dönemki eşi ve şirket ortaklarından Nataly Kaspersky’nin ısrarıyla, kurdukları anti-virüs şirketine kendi adını vermeye ikna olmuş. Böylece 2003 yılında Çin’de açacağı ofisle ilk küresel sıçramasını yapacak olan Laboratoriya Kasperskogo,  yani Kaspersky Laboratuvarı (KL) doğuyor. Kaspersky’nin sağ kolundan daha fazla güvendiği ve başarısının sırrı olduğunu belirttiği GReAT (Global Research and Analysis Team) çalışanlarından Aleks Gostev, Kasperksy’nin bir virüsü inceleyip, etkisiz hale getirmek için 20 saat çalıştığı zamanlardan bahsediyor. Dünya çapında yankıları en geniş siber istihbarat girişimlerinden biri olan, Ortadoğu’yu hedef alan Flame zararlı yazılımını ortaya çıkaran KL’nin Kaspersky’nin de deyişiyle “dünyayı kurtarmak için varız” misyonu ve tüm ekibin zararlı yazılımlara duyduğu gerçek üstü ilginin birleşimi, gözümde Kaspersky’yi orta yaşlı bir rock yıldızından, süper kahramana terfi ettiriyor (Twitter arkaplanı da bu tespitimi adeta destekliyor).

Kaspersky, hemen hemen her mülakatında kritik altyapıların (CI) güvenliği meselesine şirket olarak üst düzey önem atfettiklerinin altını çiziyor ve çabalarının mobil sistemler ve otomasyonun hakim olacağı yakın geleceği kötü senaryolardan korumak açısından yeterli olmasını umduklarını dile getiriyor. Kritik altyapılara yönelik tehditleri ve siber istihbarat yazılımlarını en aza indirme yolunda Kaspersky, iddialı olduğu kadar kapsamlı bir kaç öneriyi son bir kaç senedir dilinden düşürmüyor. Bunlardan ilki, internette güvenliği ve özgürlüğü dengeleyeceğine inandığı “online pasaport” kavramı; Kaspersky’e göre internet kısımlara ayrılır ve belli, kritik kısımlar sadece geçerli kimlik bilgilerini sunabilen kullanıcılara açık hale getirilirse anonim hackerların hareket alanı belirli ölçüde kısıtlanabilir. Bir diğeri ise askeriyenin ve istihbarat teşkilatlarının Stuxnet ve Flame gibi zararlı yazılımlar üretmesinin uluslararası anlaşmalarla yasaklanması gerektiği yönünde. Öyle ki ona göre ancak bu sayede siber silahların bilmediğimiz ve kaos doğurabilecek sonuçlarının önüne geçilebilir. Dijital kimliklerin kullanılması daha fazla güvenlik açığı yaratır mı yaratmaz mı, uluslararası düzenlemeler ülkeleri izlerini gizlemeleri en kolay olan siber faaliyetlerden caydırmakta yeterli olur mu, olmaz mı? Cevaplar henüz net değilse bile Eugene Kaspersky kararlı, ITU ile yakın bağları, Davos Dünya Ekonomik Forumu’na üst-düzey konuşmacı olarak katılması, istikrarını taçlandıran sayısız ödül de bunun kanıtı.

 

[1] “that was top-secret, so I do not remember”

[2] “my mind is international but my backbone is patriotic”

Makale & Analiz

ABD Dışişleri Bakanlığı Siber Alan Koordinatörü: Christopher Painter

Yorum yapın

 

“Cyber is the new black.” –Christopher Painter, 2014

Christopher Painter, 2011 yılında Obama’nın Dışişleri Bakanlığı bünyesinde yapılandırdığı yeni bir bölüm olan Siberalan Koordinatörlüğü’nün başına getirildiğinde, siber güvenlik davasına çoktan 20 yılını vermişti. Soyadı gibi renkli bir özgeçmişe sahip olan Painter, savcılık yaptığı dönemde, işlediği siber suçlarla dünya çapında nam salmış, Nokia, IBM ve Motorola’nın da arasında bulunduğu pek çok şirketin ağına sızmış, adına kitaplar yazılmış, filmler, belgeseller çekilmiş, meşhur hacker Kevin Mitnick’i yargılama ve hatta hapse atma şansına nail olmuş birisi. Mevcut dönem koşullarında dahi, hakettiğinden çok daha uzun hapis süresine çarptırıldığı iddia edilen Mitnick ile ilgili en can alıcı -hatta ironik- detay ise Mitnick’in güvenlik danışmanlığı adı altında hackerlığa devam etmesi, zira tanesi $100.000’dan sattığı “zero-day” açıklıklarıyla kendisine son yıllarda ciddi bir servet yapmış. Siberalanın Al Capone’u sayılan Mitnick’in şahsi kazancını bir kenara bırakırsak, Painter’ın bu dava ile kazandığı başarı, kariyerinin gidişatını bir hayli etkilemiş olacak ki, savcılık görevini takiben FBI ve Beyaz Saray’da üstlendiği görevler, siber güvenlik camiasında kendisine ciddi bir yer edinmesine fırsat vermiş.

Painter’in eğitimindeki çeşitlilik stratejik siber liderler yetiştirmede en büyük mücadele alanı olan ‘inter-disipliner yaklaşım’ kazandırma konusunda önemli ipuçlar veriyor. Stanford Hukuk Fakültesi’nden mezun olduktan sonra, Cornell Üniversitesi’nde İngilizce, Biyoloji ve Siyaset Bilimi alanlarında üç farklı lisans eğitimi almış olması Painter’ı bu konuda verilebilecek önemli örnekler arasına katıyor.

ABD’yi siber güvenlikle ilgili uluslararası platformlarda 2002 yılından bu yana temsil eden Painter, Cumhuriyetçi yönetimlerle uyumlu çalışmayı başarmış bir demokrat olarak biliniyor. Beyaz Saray’a Obama’nın başkanlığa geldiği 2009 yılında giren Cristopher Painter, Obama’nın Siber Politika Gözlemcisi ve Siber Güvenlik Poltikası direktörlüğünde bulundu.

ABD’nin siberalana yönelik politikasını kamuoyuyla ilk kez paylaştığı döküman olan Cyber Security Strategy’nin (CSS) kabul edildiği 2003 yılından, 2011 yılında yayınlanan International Strategy for Cyber Security’e (ISC) kadar uzanan sürecin en yakın takipçi ve yönlendiricilerinden biri olan Painter, 2011 dokümanının hazırlanması ve yayınlanması esnasında Obama ile çok yakın çalışmalar yürütmüş bir isim Gerçekten de 2011 belgesi, tehdit ve güvenlik algısı odağında şekillendirilen CSS ile kıyaslandığında, Amerika’nın yeni dönemde bu belge üzerinden siberalan, internet ve bilgi sistemlerinin güvenliğine dair anlayışını daha kapsamlı hale getirdiği görülüyor. “Uluslararası” olarak nitelenen ve tehdit algısını askeri eksenden, ekonomik, sosyal ve hukuki eksenlere kaydıran 2011 stratejisiyle ABD, siber güvenliğin global yapısına ve bu yapı içerisinde üstlenmek istediği öncü role de bir bakıma vurgu yapıyor. Askeri öncelikler kadar önemli olduğu iddia edilen siber ‘governance’, yani yönetişim hususuna da Painter’ın insiyatifiyle değinen doküman, ABD siber güvenlik stratejisini, ulus-devletlerin dışındaki aktörlerin de söz sahibi olduğu geniş, çok taraflı bir düzleme taşıyor.

Painter, siber güvenliği ABD diplomasisine eklemlendirme yolunda ABD’nin Rusya, Çin ve Avrupa özelinde gerçekleştirdiği siber diyalogları yürütüyor. ABD’nin özellikle siber ilişkilerinde rekabet ve münakaşanın yüksek olduğu Rusya ve Çin gibi ülkelerle şeffaflık, güven ve işbirliğini geliştirmeyi amaçlayan bu diyaloglar, Painter’ın bulunduğu pozisyonun önemini bir kere daha hatırlatıyor. Painter, etkili bir siber diplomasi oluşturmak için ABD’nin öncelikli amacının devamlı, sabırlı ve üretken bir siber diplomasi yaratmak olduğunu her fırsatta belirtiyor. Painter’ın üstlendiği görev İngiltere, Almanya gibi ülkelerde de benzer makamların yaratılmasına ön ayak olsa da, Türkiye’nin siber güvenlik politikalarına baktığımızda hala siber alanda diplomatik ilişkileri, siber alan koordinatörlüğü seviyesinde yürütecek ve bu alanda yaşanması olası bir uluslararası krize karşılık verebilecek biri olmadığını görüyoruz. Ancak yine de, siber meselelerin uluslararası ilişkiler nezdinde etkisinin gün be gün arttığı bu son dönemde, her ülkeye bir Painter lazım mı, değil mi; bunu zaman gösterecek.