Teknolojik imkanların gelişmesiyle birlikte farklı güvenlik sorunları ve tehditleri gündeme gelmiştir. Haberleşmeden ulaşıma, alışverişten sağlığa hayatın her alanında etkili olmayan başlayan teknolojik imkanlar, insan hayatının birçok yönünde etkin rol oynarken, aynı zamanda olumsuz kullanım örnekleri de görülmeye başlamıştır. Sadece bireyler değil, devletler tarafından da kullanılmaya başlanan ve arşivleme, kurumlar arası iletişim ve vatandaş bilgilerinin derlenmesi gibi farklı alanlar teknolojik imkanlarla bütünleşerek geliştirilmiştir. Bilişim sistemlerinin insanlık nezdinde kazandığı öneme ve etkinliğe işaret eden bütün bu gelişmeler, böylesine büyük ve geniş bir sistemin güvenliğin, uluslararası ilişkilerin de ilgi alanına getirmiştir.
Siber güvenliği genel olarak internete bağlı sistemlerin ve bu sistemleri destekleyen her türlü yapının güvenliği olarak tanımlamak mümkündür. Buradan hareketle, siber güvenliğin hem siber dünya hem de fiziksel dünya ile ilişkili olduğunu söylenebilir. Tüm bunlara yönelebilecek tehditlere karşı geliştirilen strateji ve tedbirler de siber güvenliğin çalışma alanına girmektedir.
Öte yandan, siber güvenlik kavramını da, güvenlikle ilgili diğer kavramlarda olduğu gibi dar ve geniş olarak tanımlamak mümkündür. Dar anlamıyla siber güvenlik, siber dünyadaki verilerin gizliliği, kullanılabilirliği ve erişilebilirliğinin korunmasıdır. Bu haliyle ilk bakışta temelde bilişim dünyasındaki gelişmelerle ilgili gözükse de yakından incelendiğinde daha kapsayıcı bir kavram olduğu görülür. Örneğin siber sistemlerin sürekli çalışmasını sağlayan enerji alt yapısının korunması da siber güvenlik kapsamında değerlendirilebilir. Benzer şekilde, devletin ulusal güvenliği için önemli olan cihazların veya veri merkezlerinin hem siber anlamda hem de fiziksel anlamda korunması da siber güvenliğin bir parçası olarak görülebilmektedir. Bu bakımdan, siber güvenliği geniş anlamıyla ele almak daha anlamlı olmaktadır. Bu çerçevede siber güvenliği, siber dünya ile ilgili bütün alanların korunması olarak tanımlamak mümkündür.
Özellikle 1990’lı yılların başından itibaren hızla gelişen iletişim ve sair teknolojik imkanların giderek daha büyük oranda bireylerin kullanımına açılmasıyla birlikte ortaya çıkan yaşamın dijitalleşmesi, o zamana kadar çok dikkati çekmeyen ama son 30 yılda hızla değişen ve genişleyen farklı bir güvenlik alanını ortaya çıkartmıştır. Bu çerçevede siber güvenlik alanında insan ve teknoloji unsurlarının öne çıktığını söylemek mümkündür.
Öte yandan, siber güvenliğin tehdit unsuru olarak tanımladığı durumlar sıklıkla devletler ve bireyler için hayati öneme haizdir. İçinde birden fazla güvenlik unsuru barındıran bu kavram, bu haliyle teknolojik gelişmelerin devletlerce kendi çıkarları doğrultusunda kullandıkları bir araç haline dönüşmesiyle birlikte, bireyleri devletler karşısında tarihte hiç olmadığı kadar hassas ve açık bir konuma getirmiştir.
Bir başka açıdan, bireyin siber güvenlik konusundaki aktörlüğü sadece devlet karşısındaki edilgen özelliğiyle değil, diğer bireylere, bireyler topluluğu olarak devlet(ler)e, stratejik kurumlara veya sistemin tamamına yönelik saldırılarda bulunabilmesiyle de ortaya çıkmaktadır. Bu durum, özellikle devlet-aktörlerin bu tür tehditlere karşı geniş kapsamlı önlemler almalarını beraberinde getirmesinin yanı sıra, siber güvenlik kavramının tanımlanması ve tartışılmasında da çeşitli zorluklar ortaya çıkarmıştır. Bu durum aynı zamanda teknolojinin belli bir grup, devlet veya insanların tekelinde olmadığı, aksine sadece bir birey tarafından bile farklı amaçlarla (örn. diğer bireyler veya devletler için tehdit içeren eylemler) kullanılabileceğine de işaret etmektedir. Bu çerçevede farklı seviyelerde farklı amaçlar için kullanılabilecek teknolojik gelişmeler beraberinde farklı tehditler ve korunma stratejileri de getirmiştir. Bununla bağlantılı olarak, siber güvenliğin neyi kapsayıp kapsamadığı, sınırlarının nerede çizilebileceği, kimler tarafından hangi amaçlarla kullanılması gerektiği gibi konularda akademik tartışma halen devam etmektedir.
Konunun akademik boyutu bir yana, fiili durumda devlet-aktörlere yönelik farklı tehditlerin halen ortaya çıkmış olması nedeniyle 2010 yılında Lizbon’da düzenlenen Kuzey Atlantik İşbirliği Örgütü (NATO) Zirvesi’nde “siber güvenlik” yeni bir askeri alan olarak tanımlanarak, siber dünya veya siber uzayın savunulması beşinci alan olarak kara, hava, deniz ve uzay güvenliği kavramlarına eklenmiştir. Bu eklenmenin ardından “siber güvenlik”, NATO’nun ortak savunma stratejilerinden biri haline gelmiştir.
NATO’nun beşinci alan olarak tanımlamasından önce de siber güvenlikle ilgili uluslararası alanda önemli gelişmeler olmuştur. Bunların başında siber güvenliğin ulusal güvenliğe tehdit olarak görülmesinin başlangıcı olarak da kabul edilen, 2007 yılında Estonya’ya yönelik gerçekleşen siber saldırı gelmektedir. Kayda geçen bu ilk kapsamlı siber saldırıda Estonya Hükümeti, ilk etapta kaynağı belirlenemeyen bir DDoS (distributed denial-of-service) saldırısı nedeniyle üç hafta boyunca çeşitli kamu hizmetlerini gerçekleştirememiştir. Benzer şekilde, Ağustos 2008’de Rusya-Gürcistan Savaşı sırasında Gürcistan hükümetinin internet bağlantıları ve bazı medya kuruluşlarının web siteleri saldırıya uğraşmıştır.
Her iki saldırının arkasında da Rusya devleti ve onunla bağlantılı kişi/lerin olduğundan şüphelenilen bu saldırılardan sonra 2010 yılında daha karmaşık ve gelişmiş bir yöntemle Stuxnetismi verilen bilgisayar solucanı (computer worm) ile İran’a yönelik bir siber saldırı gerçekleştirilmiştir. O zamana kadarki en gelişmiş siber silah kabul edilen Stuxnet, İran’ın Natanz nükleer alanındaki uranyum zenginleştirme santrifüjlerine ciddi zarar vermiştir.
Her ne kadar kendileri kabul etmeseler de, ABD ve İsrail devletleri tarafından geliştirildiği düşünülen bu bilgisayar solucanı vasıtasıyla gerçekleştirilen saldırının ardından 2012 yılında kendilerini “Cyber Fighters of Izz ad-Din Al Qassam” veya “Qassam Cyber Fighters” olarak adlandıran bir grup tarafından yapılan DDoS saldırısı ile Amerika Birleşik Devletleri’nin finans sektörü hedef alınmıştır. Siber dünyadaki ilk misilleme olduğu söylenen bu saldırının İran’a karşı düzenlenen Stuxnet saldırısına karşılık olarak gerçekleştirildiği ve grubun arkasında İran devletinin olduğu da şüphe olarak dile getirilmiştir.
Ardından, 2014 yılında Ukrayna’nın doğusunda ve Kırım’da meydana gelen çatışmalar sırasında NATO web sitesine yönelik gerçekleştirilen DDoS saldırısının arkasında da Rusya’nın olduğu iddia edilmiştir. Bu saldırıların açıkça bir devlet ve bir grup tarafından üstlenilmemesi durumunda saldırının kaynağı hakkında bilgi edinmenin güçlüğü ortadadır. Bu durum siber güvenliğin çetrefilli yapısına işaret etmektedir. Temel olarak saldırıyı gerçekleştiren kişi/lerin bağlantılarının ortaya çıkartılması (attribution-ilişkilendirme- sorunu) ve özellikle de ispatlanması yine siber yöntemlerle neredeyse imkânsız hale getirildiğinden, önlem almak veya karşılık vermek de zorlaşmaktadır.
Bu ilişkilendirme sorunu bir yana, siber saldırıların bir şekilde gerçekleşiyor olmasının görülmesinin ardından, NATO’nun yanı sıra Avrupa Birliği de siber saldırıları “güvenlik tehdidi” olarak kabul etmiştir. Bu çerçevede 2013’de yayımlanan Avrupa Birliği Siber Güvenlik Stratejisi Raporu ile stratejik olarak öncelikli alanlar belirlenmiş ve siber güvenlik alanı Ortak Güvenlik ve Savunma Politikası’nın ilgi alanına eklenmiştir. Rapor üye devletlerin siber savunma yeteneklerinin artırılması, teknolojik altyapılarının geliştirilmesi, iletişim ağlarının güçlendirilmesi ve farkındalığın artırılmasını önermiştir.
Bu gelişmelere paralel bir şekilde Türkiye de 2010 yılında askeri stratejilerine siber güvenliği eklemiş ve 2012 yılında Türk Silahları Kuvvetleri’ne bağlı Siber Güvenlik Komutanlığı’nı kurmuştur.
Siber dünyada gerçekleştirilen bu tür saldırıların yanı sıra, yukarıda da belirtildiği üzere siber güvenliğin fiziksel unsurları da bulunmaktadır. Bu fiziksel unsurlar kritik altyapılar olarak da bilinmektedir. Kritik altyapılar, bireylerin yaşamlarını noral şekilde sürdürebilmek için ihtiyaç duydukları bütün fiziksel yapılar olarak tanımlanabilir. Kritik altyapıların yönetimi ve hizmetin verilmesi de dijitalleşmeyle birlikte zamanla büyük ölçüde siber alana taşınmıştır. Bu çerçevede kritik altyapılara yapılacak herhangi bir siber saldırı durumunda kamu hizmetlerinin durması söz konusu olabilmektedir. Bu anlamda devletler bu tür altyapılarını korumak için daha önce geliştirdikleri stratejilerine artık siber alanı da dahil etmeye başlamışlardır.
Öte yandan, değişen güvenlik tehditleri, stratejiler ve uluslararası ilişkiler dijital diplomasiyi de etkilemiştir. Bir başka adıyla siber diplomasi olarak da bilinen bu durumun güvenlik tehdidi yaratıp yaratmadığı da tartışma konusu olmuştur. Son yıllarda gündeme gelen “twitter diplomasisi” de bu duruma örnektir. Bu alandaki en güncel tartışma konularından biri ise nükleer silaha sahip ülke liderlerinin sosyal medya aplikasyonları üzerinden birbirlerine gönderdikleri mesajlar çerçevesinde bu hesapların siber saldırı ile ele geçirilmesi durumunda nasıl bir kriz yaşanabileceği üzerinedir.
Ek Okumalar
Bıçakcı, Salih, “NATO’nun Gelişen Tehdit Algısı: 21. Yüzyılda Siber Güvenlik”, Uluslararasıİlişkiler, Cilt 10, Sayı 40 (Kış 2014), s. 101-130.
Clarke, Richard. A. ve Knake, Robert. K. (2011). Siber Savaş: Ulusal Güvenliğe Yönelik Yeni Tehdit. Çev., Murat Erduran. İstanbul: İKÜ Yayınevi.
Tartışma Soruları
Siber Güvenlik Nedir?
Siber güvenliğin ortaya çıkardığı yeni tehditler nelerdir?
NATO’nun siber güvenlik politikalarını tanımlayınız?
