ABD yönetimi, ulusal güvenlik ve siber savunma stratejilerinde tarihi bir paradigma değişikliğine giderek, özel sektör şirketlerine yabancı siber suç örgütlerine karşı saldırı amaçlı siber operasyonlar (hack-back) yürütme yetkisi veren yeni bir programı hayata geçiriyor.
Siber güvenlikte paradigma değişimi: Özel sektöre saldırı yetkisi
Modern ulus-devlet teorisinin en temel unsurlarından biri, devletin meşru şiddet kullanma veya operasyonel güç uygulama tekelini elinde bulundurmasıdır. Geleneksel savaş alanlarında kara, deniz, hava ve uzay kuvvetleri tamamen devletin doğrudan emir-komuta zinciri altında faaliyet gösterirken, beşinci harekat alanı olarak kabul edilen siber uzay, sahip olduğu asimetrik ve sınır tanımayan doğası gereği bu klasik devlet tekelini uzun süredir zorlamaktaydı. Amerika Birleşik Devletleri Başkanı Donald Trump tarafından imzalanan yeni Ulusal Güvenlik Başkanlık Memorandumu, siber uzaydaki bu fiili durumu hukuki ve operasyonel bir zemine taşıyarak ulusal güvenlik stratejilerinde eşine az rastlanır bir paradigma değişikliğine imza atmıştır. Bugüne kadar Amerikan siber savunma doktrini, özel sektörün tamamen savunmada kaldığı, güvenlik duvarları (firewall) inşa ettiği ve ihlal durumlarında sadece devlete istihbarat sağladığı, karşı saldırı (offensive) operasyonlarının ise münhasıran Ulusal Güvenlik Ajansı (NSA) veya ABD Siber Komutanlığı (USCYBERCOM) gibi federal kurumlar tarafından yürütüldüğü bir modele dayanmaktaydı. Ancak imzalanan yeni kararname ile bu katı ayrım ortadan kalkmaktadır. Artık ABD merkezli teknoloji ve siber güvenlik şirketleri, federal hükümetin doğrudan kontrolü, yetkilendirmesi ve gözetimi altında olmak kaydıyla, yabancı topraklarda faaliyet gösteren ve ABD vatandaşlarını, kurumlarını veya kritik altyapı tesislerini hedef alan siber suç örgütlerine karşı aktif taarruz operasyonları gerçekleştirebilecektir. Bu radikal adım, devletin hantal bürokratik yapısına karşın özel sektörün sahip olduğu muazzam teknolojik çeviklikten, derin veri analitiği kapasitesinden ve üstün yazılım mühendisliği uzmanlığından operasyonel alanda da faydalanılmasını hedeflemektedir. Düzenleme, siber uzayın sadece devletler arası bir çatışma alanı değil, aynı zamanda devlet-özel sektör entegrasyonunun (kamu-özel ortaklığı) en üst seviyeye ulaştığı hibrit bir savaş alanı haline geldiğini resmen tescillemektedir.
Hack-back (aktif savunma) konseptinin tarihsel gelişimi ve yasallaşması
Siber güvenlik terminolojisinde “hack-back” veya daha geniş ve kurumsal bir ifadeyle “aktif savunma” (active defense) olarak bilinen kavram, saldırıya uğrayan bir kurumun sadece kendi ağları içindeki tehdidi izole etmekle yetinmeyip, saldırganın ağlarına sızarak verilerini geri almasını, saldırganın altyapısını çökertmesini veya komuta-kontrol (C2) sunucularını devre dışı bırakmasını ifade etmektedir. Amerika Birleşik Devletleri’nde 1986 yılında yürürlüğe giren Bilgisayar Sahtekarlığı ve Kötüye Kullanımı Yasası (Computer Fraud and Abuse Act – CFAA), izinsiz olarak herhangi bir bilgisayar sistemine erişimi, amacı ne olursa olsun kesin bir dille suç saymaktaydı. Bu katı hukuki çerçeve, yıllar boyunca siber güvenlik şirketlerinin ellerini kollarını bağlamış, saldırganları tespit etseler dahi onların altyapılarına müdahale etmelerini yasa dışı kılmıştı. Şirketler, kendi fikri mülkiyetleri veya müşteri verileri çalındığında bile, bu verileri geri almak için karşı tarafa sızma hakkına sahip değildi ve süreci mecburen Adalet Bakanlığı (DOJ) ve FBI gibi kolluk kuvvetlerine devretmek zorundaydı. Ancak kolluk kuvvetlerinin artan siber suç vakaları karşısında kaynak yetersizliği çekmesi ve yasal süreçlerin uluslararası yargı yetkisi (jurisdiction) engellerine takılması, hack-back tartışmalarını yeniden alevlendirmiştir. Trump yönetiminin imzaladığı Ulusal Güvenlik Başkanlık Memorandumu, CFAA’nın yarattığı bu yasal darboğazı aşmak için özel sektöre federal bir hukuki koruma kalkanı (safe harbor) sağlamaktadır. Bu yeni düzenleme, şirketlere kendi başlarına “dijital kanunsuzluk” (vigilante justice) yapma hakkı vermemekte; aksine, operasyonların devletin izniyle ve bir “devlet ajanı” statüsünde, adeta bir vekalet (proxy) ilişkisi içinde yürütülmesini yasal güvence altına almaktadır. Bu gelişme, siber hukuk alanında devrim niteliğinde bir emsal oluşturacak ve şirketlerin dijital varlıklarını koruma biçimlerini kökten değiştirecektir.
Transnasyonel siber suç örgütleri ve asimetrik savaş doktrini
Yeni programın ana hedef tahtasına oturttuğu “yabancı siber destekli ulusötesi suç örgütleri”, günümüzün en karmaşık ve tehlikeli asimetrik tehdit unsurlarını oluşturmaktadır. Geleneksel organize suç örgütlerinden farklı olarak bu yapılar, karanlık ağda (dark web) faaliyet gösteren, kripto para birimleri üzerinden izlerini kaybettiren ve Hizmet Olarak Fidye Yazılımı (Ransomware-as-a-Service – RaaS) gibi son derece sofistike iş modelleriyle çalışan devasa kartellere dönüşmüştür. Sorunun ulusal güvenlik açısından en kritik boyutu ise, bu ulusötesi suç örgütlerinin çoğu zaman hasım devletlerin (özellikle Rusya, Çin, Kuzey Kore ve İran) istihbarat servisleriyle organik veya örtülü bağlara sahip olmasıdır. “Gri bölge” (gray zone) çatışmaları olarak adlandırılan bu asimetrik savaş doktrininde hasım devletler, doğrudan savaş ilanı anlamına gelecek siber saldırıları bizzat kendi askeri unsurlarıyla yapmak yerine, bu suç örgütlerini birer “dijital paralı asker” veya paravan (proxy) olarak kullanmaktadır. Devlet destekli (state-sponsored) bu siber korsanlar, gündüzleri istihbarat servisleri için çalışırken, geceleri finansal motivasyonla Amerikan şirketlerine, hastanelerine ve enerji altyapılarına fidye yazılımı (ransomware) saldırıları düzenlemektedir. Klasik askeri caydırıcılık (nükleer silahlar veya konvansiyonel ordular) bu tür asimetrik ve sivil görünümlü aktörlere karşı işlevsiz kalmaktadır. ABD yönetiminin, özel sektörü bu mücadeleye aktif olarak dahil etme kararı, tehdidin ölçeği ve hızıyla doğrudan orantılıdır. Yüzlerce farklı alt gruba ayrılmış, merkezi olmayan ve sürekli şekil değiştiren bu suç örgütlerine karşı sadece NSA’in sınırlı sayıdaki siber operatörleriyle mücadele etmek matematiksel olarak imkansız hale gelmiştir. Özel sektörün siber güvenlik devlerinin devreye girmesi, ABD’nin bu asimetrik tehdide karşı kapasitesini çarpan etkisiyle (force multiplier) artıracaktır.
Siber saldırıların küresel ekonomiye ve tedarik zincirlerine maliyeti
Siber suçların ulusal güvenlik şemsiyesi altına alınmasının ve özel sektöre saldırı yetkisi verilmesinin ardındaki en büyük itici güç, siber saldırıların Amerikan ve küresel ekonomisinde yarattığı devasa makroekonomik tahribattır. Uluslararası siber güvenlik araştırma kuruluşlarının verilerine göre, siber suçların küresel ekonomiye maliyeti yıllık trilyonlarca dolar seviyesine ulaşmış durumdadır. Bu devasa kayıp sadece çalınan fidyelerden değil; fikri mülkiyet ve patent hırsızlığından, duran fabrika üretimlerinden, bozulan tedarik zincirlerinden, itibar kayıplarından ve hukuki tazminatlardan kaynaklanmaktadır. Yakın geçmişte Amerika Birleşik Devletleri’nin Doğu Yakası’nın akaryakıt ihtiyacının neredeyse yarısını karşılayan Colonial Pipeline’a yapılan fidye yazılımı saldırısı, siber suçların fiziki dünyaya ve reel ekonomiye ne kadar hızlı sıçrayabildiğini tüm çıplaklığıyla göstermiştir. Bu saldırı sonucunda günlerce akaryakıt tedariki durmuş, benzin istasyonlarında uzun kuyruklar oluşmuş ve bölgesel çapta kısa süreli bir ekonomik felç yaşanmıştır. Benzer şekilde, et işleme devi JBS’e ve sayısız sağlık kuruluşuna yapılan saldırılar, siber suçların artık sadece bir “bilgi işlem” (IT) sorunu olmadığını, doğrudan ulusal gıda güvenliğini, halk sağlığını ve arz zinciri sürdürülebilirliğini tehdit eden makroekonomik bir risk olduğunu kanıtlamıştır. Fidye ödemeleri yoluyla milyarlarca dolarlık sermaye, Amerikan ekonomisinden hasım devletlerin kontrolündeki karanlık ağ ekonomisine (shadow economy) transfer edilmektedir. Bu bağlamda Trump yönetiminin başlattığı yeni program, sadece dijital bir misilleme değil, aynı zamanda Amerikan şirketlerinin ticari sırlarını, kâr marjlarını ve küresel rekabet güçlerini korumaya yönelik son derece agresif bir makroekonomik savunma stratejisidir. Şirketlere saldırganın sunucularına girip çalınan veriyi silme veya geri alma yetkisinin verilmesi, ekonomik casusluğun maliyetini saldırganlar için sürdürülemez boyutlara çıkaracaktır.
İç güvenlik ve adalet bakanlıklarının denetim ve gözetim mekanizması
Özel sektöre sınır ötesi siber saldırı yetkisi verilmesi, beraberinde devasa hukuki, diplomatik ve operasyonel riskler getiren bir süreçtir. Bu nedenle, Ulusal Güvenlik Başkanlık Memorandumu, programın başıboş bir “dijital vahşi batı”ya dönüşmesini engellemek amacıyla son derece katı bir federal denetim ve gözetim mekanizması kurgulamıştır. Programın ana yürütücüsü olarak İç Güvenlik Bakanlığı (Department of Homeland Security – DHS) belirlenirken, yasal sınırların ve angajman kurallarının denetimi Adalet Bakanlığı (Department of Justice – DOJ) ile koordineli bir şekilde gerçekleştirilecektir. Bu ikili yapı, operasyonların hem teknik olarak etkin olmasını hem de uluslararası hukuka ve ABD anayasasına uygunluğunu garanti altına almayı hedeflemektedir. DHS bünyesindeki Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), operasyonlara katılacak özel şirketlerin akreditasyon süreçlerini yönetecek, kullanılacak siber silahların (exploit’ler, zararlı yazılımlar) onayını verecek ve hedeflerin doğrulanmasını (attribution) sağlayacaktır. Adalet Bakanlığı ise, bu operasyonlarda yer alacak şirket çalışanlarının cezai sorumluluktan muaf tutulmalarına ilişkin hukuki zemini hazırlayacak ve hedeflenen yabancı unsurların ABD yasalarına göre suç teşkil edip etmediğini tasdik edecektir. Bu federal gözetim modeli, “Angajman Kuralları”nın (Rules of Engagement – RoE) kesin hatlarla çizilmesini zorunlu kılmaktadır. Şirketler kendi inisiyatifleriyle bir hedefe saldıramayacak; her bir karşı saldırı operasyonu için DHS ve DOJ’den tıpkı bir askeri harekat emri (FRAGO) gibi onay almak zorunda kalacaktır. Ayrıca, operasyon sırasında elde edilen istihbaratın devlet kurumlarıyla anlık olarak paylaşılması zorunluluğu, kamu-özel sektör ortaklığının istihbarat toplama ayağını da eşi görülmemiş bir boyuta taşıyacaktır.
Siber istihbarat pazarında yeni dönem: Dijital paralı askerler ve pms’ler
Yeni yetkilendirme programı, sadece ulusal güvenlik bürokrasisinde değil, aynı zamanda küresel siber güvenlik pazarının yapısında da sismik değişimler yaratacak bir potansiyele sahiptir. Geleneksel siber güvenlik pazarı, uç nokta koruması (endpoint protection), tehdit avcılığı (threat hunting), sızma testi (penetration testing) ve olay müdahalesi (incident response) gibi savunma ve analiz odaklı hizmetler etrafında şekillenmiştir. Ancak şirketlere saldırı izni verilmesiyle birlikte, yepyeni bir endüstri dalı doğmaktadır: Özel Siber Askeri Şirketler (Cyber Private Military Contractors – Cyber PMCs). Fiziksel dünyada Blackwater (yeni adıyla Academi) veya Wagner gibi Özel Askeri Şirketlerin (PMS) oynadığı rolün bir benzeri, artık siber uzayda özel teknoloji ve siber istihbarat firmaları tarafından oynanacaktır. Kurumlar, kendi içlerinde bir saldırı ekibi (Red Team/Offensive Cyber Operations) kurmak yerine, DHS akreditasyonuna sahip elit siber güvenlik firmalarını “kiralayarak” kendilerine saldıran çetelere karşı misilleme operasyonları düzenletebilecektir. Bu durum, siber güvenlik hizmetlerinin metalaşması (commoditization) sürecinde tamamen yeni ve son derece kârlı bir gelir kalemi (revenue stream) yaratacaktır. Sadece üst düzey devlet kurumlarına veya askeri ihalelere iş yapan gölge siber istihbarat şirketleri, artık kurumsal şirketlerin (Fortune 500) siber savunma bütçelerinden devasa paylar alabilecektir. İleri düzey sıfır gün (zero-day) zafiyetlerini bulan, gelişmiş siber silahlar tasarlayan ve düşman ağlarına sızma konusunda uzmanlaşmış “dijital paralı askerlerin” (cyber mercenaries) istihdam piyasasındaki değeri katlanarak artacaktır. Bu yeni sektörün ortaya çıkışı, Silikon Vadisi ve Washington D.C. eksenindeki siber-askeri-endüstriyel kompleksin (cyber-military-industrial complex) daha da büyümesine ve entegre olmasına zemin hazırlamaktadır.
Uluslararası hukuk, Tallinn kılavuzu ve tırmanma (escalation) riskleri
Kararnamenin en çok tartışma yaratacak ve diplomatik krizlere gebe olan boyutu ise uluslararası hukuk ve devletlerin egemenlik haklarıdır. Siber uzayın uluslararası hukuktaki yeri, özellikle kuvvet kullanımı (use of force) ve silahlı çatışma hukuku (jus in bello) bağlamında hala belirsizliklerle doludur. NATO destekli bağımsız bir akademik çalışma olan Tallinn Kılavuzu (Tallinn Manual), siber operasyonların uluslararası hukuka nasıl uygulanacağına dair çerçeveler sunsa da, bağlayıcı bir uluslararası antlaşma bulunmamaktadır. ABD özel şirketlerinin, DHS izniyle de olsa, yabancı bir ülkenin (örneğin Rusya, Çin veya Avrupa’daki üçüncü bir ülkenin) sunucularına siber saldırı düzenlemesi, o ülkenin dijital egemenliğinin (digital sovereignty) ihlali anlamına gelecektir. Siber dünyada en zorlu problemlerden biri olan “atıf problemi” (attribution problem), yani saldırının gerçek kaynağını bulma zorluğu, özel sektörün operasyonlarında devasa “tırmanma” (escalation) riskleri barındırmaktadır. Örneğin, bir Amerikan özel siber güvenlik firması, fidye yazılımı çetesine ait olduğunu düşündüğü bir sunucuya saldırırken, hasım devletin istihbarat servislerinin kurguladığı bir “sahte bayrak” (false flag) operasyonuna düşebilir veya yanlışlıkla yabancı bir devletin kritik altyapısına (hastane, enerji şebekesi) sızarak sivil kayıplara yol açabilir. Uluslararası hukuka göre, devlet kontrolünde hareket eden özel şirketlerin eylemleri doğrudan o devletin eylemi (state responsibility) olarak kabul edilir. Dolayısıyla, bir Amerikan şirketinin Rusya’daki bir sunucuya yapacağı hatalı bir siber saldırı, iki nükleer güç arasında diplomatik bir krize, hatta konvansiyonel bir askeri çatışmaya yol açma riskini barındırmaktadır. Bu durum, DHS ve Adalet Bakanlığı’nın hata payını sıfıra indirmesi gereken inanılmaz bir operasyonel ve hukuki sorumluluk altına girmesi anlamına gelmektedir.
Siber güvenlik şirketlerinin hisse senedi piyasalarındaki yükselişi
Ulusal Güvenlik Başkanlık Memorandumu’nun yayımlanması, sadece güvenlik politikaları açısından değil, finansal piyasalar ve teknoloji borsaları açısından da ciddi yansımalara sahiptir. Özel sektörün siber güvenlikte sadece defansif (savunma) değil, ofansif (saldırı) operasyonlardan da gelir elde edebileceği beklentisi, Wall Street’te işlem gören siber güvenlik şirketlerinin hisse değerlemeleri (valuations) üzerinde adeta bir ralli tetikleyici işlev görecektir. CrowdStrike, Palo Alto Networks, Mandiant (Google Cloud bünyesinde), Fortinet ve Palantir gibi gelişmiş uç nokta tespiti (EDR), siber istihbarat ve veri analitiği alanlarında faaliyet gösteren dev firmalar, bu yeni dönemin en büyük finansal kazananları olma potansiyeli taşımaktadır. Ayrıca, siber güvenlik temalı Borsa Yatırım Fonları’na (ETF’ler – örneğin HACK, CIBR) yönelik kurumsal ve bireysel yatırımcı taleplerinde ciddi artışlar yaşanması muhtemeldir. Risk sermayesi (Venture Capital) şirketleri ve özel sermaye (Private Equity) fonları, ofansif siber güvenlik teknolojileri, otonom yapay zeka destekli hack-back yazılımları ve sıfır gün (zero-day) zafiyeti keşif pazarında faaliyet gösteren yeni nesil start-up’lara milyarlarca dolarlık taze sermaye akıtmaya başlayacaktır. Savunma sanayisi ihalelerinin (DOD contracts) doğası değişecek; uçak, tank veya mühimmat üreten klasik savunma devleri (Lockheed Martin, Raytheon) ile Silikon Vadisi’nin yazılım devleri arasındaki rekabet ve şirket birleşmeleri (M&A) ivme kazanacaktır. Ofansif operasyon yetkisinin şirketlerin hizmet portföyüne eklenmesi, bu şirketlerin müşteri başı gelirlerini (ARPU) ve toplam adreslenebilir pazar (TAM) büyüklüklerini dramatik biçimde genişleterek, teknoloji hisseleri içindeki ağırlıklarını artıracaktır.
Devlet-özel sektör entegrasyonu ve ulusal güvenlik stratejisinin geleceği
Trump yönetiminin başlattığı bu yeni program, aslında uzun yıllardır devam eden “Siber Güvenlikte Kamu-Özel Sektör Ortaklığı” (Public-Private Partnership – PPP) arayışlarının nihai ve en agresif evresini temsil etmektedir. İnternet altyapısının, fiber optik kabloların, veri merkezlerinin ve bulut bilişim hizmetlerinin neredeyse yüzde 90’ından fazlasının özel sektörün mülkiyetinde olduğu bir dünyada, devletin ulusal siber güvenliği tek başına sağlaması mimari olarak imkansızdır. ABD hükümeti, yıllardır şirketleri tehdit istihbaratını (threat intelligence) paylaşmaya teşvik etmekteydi; ancak şirketler, ticari sırlarının ifşa olacağı veya regülatörlerin cezalarına maruz kalacakları korkusuyla bilgileri devletle paylaşmakta isteksiz davranıyordu. Yeni düzenleme, denklemi tamamen değiştirerek şirketleri sadece bir “bilgi kaynağı” olmaktan çıkarıp, aktif birer “operasyonel ortak” konumuna yükseltmektedir. Devlet, sahip olduğu diplomatik korumayı, hukuki dokunulmazlığı ve üst düzey istihbarat havuzunu (SIGINT) şirketlerin emrine sunarken; karşılığında şirketlerin inovasyon hızından, küresel ağ görünürlüğünden (network visibility) ve devasa işlemci güçlerinden (computing power) yararlanacaktır. Bu entegrasyon modeli, ABD ulusal güvenlik aygıtının, bürokratik hantallıktan kurtularak hasım devletlerin asimetrik tehditlerine karşı gerçek zamanlı (real-time) reaksiyon gösterebilen çevik bir sinir sistemine dönüşmesini sağlayacaktır. Özel sektör, ulusal savunma mimarisinin sadece tedarikçisi değil, bizzat cephe hattındaki (frontline) dijital muharibi haline gelmektedir.
Uzun vadeli jeopolitik yansımalar ve dijital caydırıcılık inşası
Makro-stratejik bir perspektiften değerlendirildiğinde, bu radikal politika değişikliğinin temel amacı “siber caydırıcılık” (cyber deterrence) konseptini yeniden inşa etmektir. Geleneksel siber caydırıcılık doktrini büyük ölçüde “inkar yoluyla caydırıcılık” (deterrence by denial) üzerine kuruluydu; yani sistemleri o kadar güvenli hale getirmek ki, saldırganın başarılı olma ihtimalini sıfıra indirmek. Ancak fidye yazılımı gruplarının ve devlet destekli hackerların ardı arkası kesilmeyen başarılı saldırıları, bu defansif stratejinin çöktüğünü kanıtlamıştır. Yeni program, Amerikan siber stratejisini “maliyet yükleme yoluyla caydırıcılık” (deterrence by cost imposition) aşamasına taşımaktadır. Amaç, Amerikan vatandaşlarına veya şirketlerine saldıran bir yabancı siber suç örgütüne, sadece saldırısının başarısız olacağını değil; aynı zamanda Amerikan özel sektörünün devasa siber gücünün kendi altyapısını, sunucularını, kripto cüzdanlarını ve operasyonel verilerini paramparça edeceğini hissettirmektir. Bu dijital misilleme kapasitesinin özel sektöre devredilmesi, saldırganlar üzerinde kalıcı bir korku ve belirsizlik yaratmayı hedeflemektedir. Ancak bu durum, küresel siber silahlanma yarışını (cyber arms race) geri dönülmez bir şekilde hızlandıracaktır. Rusya, Çin veya İran gibi devletlerin de kendi “özel” şirketlerine veya paravan oluşumlarına benzer yetkiler vererek uluslararası alanda misilleme yapması, siber uzayı tam bir düşük yoğunluklu çatışma (low-intensity conflict) alanına çevirebilir. Sonuç itibarıyla, ABD yönetiminin başlattığı bu yeni program, siber güvenliğin kurallarını baştan yazarken; özel sektörün operasyonel hırsı ile ulus-devletlerin jeopolitik dengeleri arasında son derece hassas ve tehlikeli bir köprü kurmaktadır. Bu yeni çağda, dijital savaşın cepheleri artık ülkelerin sınırlarında değil, teknoloji devlerinin sunucu odalarında çizilecektir.
