ABD'li yetkililer, siber tehditlerin hızla arttığı yapay zeka çağında, kritik operasyonel sistemlerin sürekli olarak erişilebilir olması ve bir güvenlik yaması uygulamak için kapatılamayacağı yönündeki uzun süredir devam eden anlayışın artık savunulmasının çok daha zor olduğu konusunda uyarıyor. Bu sistemlerin kesintisiz çalışması gerektiği fikri, özellikle enerji şebekeleri, su arıtma tesisleri, ulaşım ağları ve sağlık hizmetleri gibi kritik altyapılarda ciddi bir güvenlik açığı oluşturuyor. Yetkililer, bu sistemlerin yamalanmamasının, saldırganlara geniş bir hareket alanı sağladığını ve yapay zeka destekli saldırıların daha da karmaşık hale geldiğini belirtiyor.
Siber güvenlikte yama paradoksu
Siber güvenlik uzmanları, yazılım güncellemelerinin ve güvenlik yamalarının, bilgisayar korsanlarının istismar edebileceği bilinen güvenlik açıklarını kapatmanın en temel yolu olduğunu vurguluyor. Ancak, hastanelerdeki hasta takip sistemleri, fabrikalardaki endüstriyel kontrol sistemleri veya elektrik dağıtım merkezleri gibi operasyonel teknoloji (OT) sistemlerinde, bu güncellemeleri uygulamak için sistemin kapatılması çoğu zaman mümkün olmuyor. Bu sistemlerin 7/24 çalışması gerektiği gerekçesiyle yamalar erteleniyor ya da hiç uygulanmıyor. ABD İç Güvenlik Bakanlığı yetkilileri, bu durumun saldırganlar için bir hediye olduğunu ve özellikle ulus devletlerin bu açıkları hedef aldığını ifade ediyor.
Geçtiğimiz yıllarda yaşanan Colonial Pipeline fidye yazılımı saldırısı, ABD'nin doğu kıyısındaki yakıt tedarikini felç etmiş ve bu tür sistemlerin ne kadar kırılgan olduğunu gözler önüne sermişti. Benzer şekilde, 2021'de bir su arıtma tesisine sızan bir saldırgan, suya zararlı kimyasallar eklemeye çalışmıştı. Bu olaylar, kritik altyapıların siber saldırılara karşı ne kadar savunmasız olduğunu gösteriyor. Ancak buna rağmen, birçok kuruluş hala yama yapmanın getireceği kesintilerden kaçınmak için risk almayı tercih ediyor.
Yapay zeka tehdidi ve değişen dinamikler
Yapay zeka (YZ) destekli saldırı araçlarının gelişmesiyle birlikte, siber saldırıların hızı ve karmaşıklığı önemli ölçüde arttı. YZ, güvenlik açıklarını tarayıp otomatik olarak istismar edebiliyor, bu da kuruluşların yama uygulamak için zaman kazanmasını neredeyse imkansız hale getiriyor. ABD siber güvenlik kurumu CISA'nın direktörü Jen Easterly, bir konferansta yaptığı açıklamada, "Artık yama yapmak için bekleyemeyiz. Sistemlerin sürekli çalışması gerektiği bahanesi, siber güvenlik açısından kabul edilemez bir risk oluşturuyor" dedi.
Uzmanlar, özellikle kritik altyapı sektörlerinde siber güvenlik standartlarının güçlendirilmesi gerektiğini savunuyor. Ancak bu, sadece teknolojik bir çözüm değil; aynı zamanda kurumsal kültürün değişmesini de gerektiriyor. Operasyonel kesintilerin maliyetini hesaplayan şirketler, siber saldırıların potansiyel maliyetini çoğu zaman göz ardı ediyor. Son dönemde artan fidye yazılımı saldırıları, şirketlerin milyonlarca dolar kaybetmesine neden olurken, itibar kaybı ve operasyonel aksamalar da cabası.
Uluslararası boyut ve Türkiye'ye yansımaları
Bu tehditler yalnızca ABD ile sınırlı değil. Dünya genelinde birçok ülke, kritik altyapılarını korumak için yeni stratejiler geliştiriyor. NATO da üye ülkelerin siber savunma kapasitelerini artırmak için çalışmalar yürütüyor. Türkiye de enerji, ulaştırma ve sağlık gibi kritik sektörlerde siber güvenlik önlemlerini güçlendirmek için adımlar atıyor. Ancak, bu alandaki farkındalığın artırılması ve yama yönetimi süreçlerinin iyileştirilmesi gerekiyor.
Türkiye Açısından Değerlendirme
Türkiye, artan siber tehditlerle mücadele etmek için ulusal siber güvenlik stratejisini güncelliyor. Özellikle enerji ve ulaşım gibi stratejik sektörlerdeki sistemlerin sürekliliği, dış politika ve güvenlik açısından kritik önem taşıyor. Bu gelişme, Türkiye'nin kritik altyapılarını korumak için siber güvenlik yatırımlarını artırması ve yama yönetimi konusunda daha proaktif bir yaklaşım benimsemesi gerektiğini gösteriyor. Ayrıca, uluslararası iş birliği ve bilgi paylaşımının önemi de bir kez daha ortaya çıkıyor.
