Sonsuz Ark/ Evrensel Çerçeveye Yolculuk
America’s Cyber-Reckoning
"Başarısız Bir Strateji Nasıl Onarılır?"
On yıl önce, geleneksel görüş, dünyanın, bilgisayar tabanlı yıkıcı saldırıların fiziksel dünyaya zarar vereceği yeni bir siber çatışma çağının eşiğinde olduğuna inanıyordu. Haber medyası kıyamet senaryoları konusunda uyarılarda bulundu; Washington'daki yetkililer, can alacak ve kritik altyapıyı yok edecek bir "siber-Pearl Harbor" hakkında kamuoyuna açık bir endişe duyuyorlardı. Ancak korkunç tahminler gerçekleşmedi. Birleşik Devletler, fiziksel etkileri olan yıkıcı siber saldırılardan etkilenmedi; ABD'nin hasımları bu tür saldırılar yapmak isteseler bile, geleneksel caydırıcılık biçimleri onları harekete geçmekten alıkoyacak gibi görünüyor.
Bu yanlış uyarıların arkasında siber barışın tek alternatifinin siber savaş olması gerektiği varsayımı yatıyordu. Ancak aradan geçen yıllarda, tüm çatışma alanları gibi siber uzayın da savaş ve barış arasındaki bir ikili sistem tarafından değil, bu iki kutup arasındaki bir spektrum tarafından şekillendirildiği ve çoğu siber saldırıların bu karanlık alanda bir yere düştüğü açıkça ortaya çıktı.
Bu sonucun bariz olumlu yanı, en büyük ölüm ve yıkım korkularının gerçekleşmemiş olmasıdır. Ancak bir dezavantajı var: siber çatışmanın karmaşık doğası, Amerika Birleşik Devletleri'nin etkili bir siber strateji oluşturmasını zorlaştırdı. Ve hayatlar kaybedilmemiş ve altyapı büyük ölçüde korunmuş olsa bile, siber saldırıların zararsız olduğu pek söylenemez.
ABD'nin düşmanları, siber becerilerini ABD ulusal güvenliğine, Amerikan ekonomisine ve hepsinden endişe verici olan Amerikan demokrasisine zarar vermek için geliştirdiler. Bu arada Washington, yanıtlarını sınırlayan modası geçmiş fikirlere tutunarak, soruna ilişkin ilk algısını aşmak için mücadele etti. Amerika Birleşik Devletleri ayrıca siber alemdeki düşmanlarıyla tutarlı bir şekilde yüzleşmek konusunda isteksiz olduğunu ve siber uzayda ulusal çıkarlarını ilerletmek için kendisini kötü bir konumda bırakan kendi kendine açtığı ciddi yaralardan dolayı acı çekti.
Daha iyisini yapmak için Amerika Birleşik Devletleri toplumsal güveni, demokrasinin temellerini ve küreselleşmiş bir ekonominin işleyişini zayıflatmayı amaçlayan siber saldırılara en tehlikeli tehditlere odaklanmalı. Biden yönetimi yeni bir yaklaşıma duyulan ihtiyacın farkında görünüyor. Ancak önemli ilerleme kaydetmek için ülkenin siber stratejisini, en temel yönünden başlayarak reform yapması gerekecek: Washington'un sorunu anlama şekli bu.
ATIŞ YAPILDI
Bilinen ilk siber saldırı 1988'de, bilgisayar bilimleri alanında yüksek lisans öğrencisi olan Robert Morris'in, henüz gelişmemiş olan İnternet'te kesintiler oluşturan küçük bir yazılım parçası -sonunda “Morris solucanı” olarak adlandırıldı- yayınlamasıyla gerçekleşti. Takip eden yirmi yıl boyunca, siber güvenlik, çoğunlukla inek (çok çalışan) bilgisayar korsanlarının ve karanlık istihbarat operatörlerinin endişesi olmaya devam etti.
Her şey 2010 yılında İran'ın uranyum zenginleştirmek için kullandığı santrifüjlere yönelik yıkıcı derecede etkili bir siber saldırı olan Stuxnet operasyonuyla değişti. ABD liderleri kısa süre sonra kendi ülkelerinin kırılganlığı konusunda alarm vermeye başladılar. Daha önce 2009'da Başkan Barack Obama, "bütün şehirleri karanlığa" sürükleyebilecek siber saldırılar konusunda uyarmıştı. Üç yıl sonra, Ulusal Güvenlik Ajansı (NSA) direktörü Keith Alexander, Senato Silahlı Hizmetler Komitesine brifing verirken, siber saldırıların kritik altyapıyı yok etmesinin sadece bir zaman meselesi olduğunu söyledi. Aynı sıralarda, Batı Virginia Demokrat Senatörü Jay Rockefeller, "kitlesel kayıplar olasılığının" siber saldırıları "terörizm kadar tehlikeli" hale getirdiğini iddia etti.
2012'de İranlı ajanlar petrol şirketi Saudi Aramco'yu kötü amaçlı yazılımlarla hedef alarak 30.000 bilgisayardaki verileri sildiğinde bu uyarılar ileri görüşlü görünüyordu. İki hafta sonra İran, benzer bir saldırıyla dünyanın en büyük doğalgaz üreticilerinden Katarlı RasGas şirketini hedef aldı. Bu siber saldırılar, tarihteki en yıkıcı saldırılardı ve ilk kez bir hükümetin siber uzayda bir ABD ortağına karşı saldırgan bir operasyon başlatmasına damgasını vurdu. Saldırılar dünya enerji piyasalarını sarstı. Washington, Suudilere destek sinyali vermek için Pentagon siber güvenlik uzmanlarından oluşan bir ekibi Riyad'a gönderdi.
İran saldırılarından iki ay sonra, ABD Savunma Bakanı Leon Panetta, yolcu trenlerini veya ölümcül kimyasallarla yüklü yük trenlerini raydan çıkarmak, büyük şehirlerdeki su kaynaklarını kirletmek, kapatmak için siber silahlar kullanan elektrik şebekesini kapatan veya iletişim ağlarını ve askeri donanımı devre dışı bırakan diğer ülkeleri veya teröristleri uyardığı yüksek profilli bir konuşma yaptı.
Panetta, Amerikalıların bir tür “siber-Pearl Harbor'a, fiziksel yıkıma ve can kaybına neden olacak [ve] ulusu felç edip şok edecek ve yeni, derin bir savunmasızlık duygusu yaratacak bir saldırı”ya hazırlanmaları gerektiğini ilan etti. Panetta ayrıca, “tek başına geliştirilmiş savunmanın” yetersiz kalacağını iddia ederek, ABD'nin siber uzayda caydırıcılık stratejisini özetlemeye çalıştı. ABD ulusal güvenlik servisleri, önemli sonuçları olan yakın bir siber saldırı tespit ettiğinde, “hareket etme seçeneğine” ihtiyaçları olacağını söylediler. Ve böylece, ordunun "siber uzaydaki [ABD] ulusal çıkarlarına yönelik tehditlere karşı etkili [saldırgan siber] operasyonlar yürütme kabiliyeti" geliştirildiği açıklandı.
2012'den 2014'e kadar Ulusal Güvenlik Konseyi personeli, ABD'nin gelecekteki saldırıları caydırmak için ne zaman saldırgan siber operasyonlar başlatabileceğine ilişkin yönergeleri belirleyen karmaşık bir dizi politika (Başkanlık Politika Yönergesi 20 olarak bilinir) hazırlamak için düzinelerce üst düzey toplantı düzenlediler. Pentagon'da, Müşterek Kurmay, savunma bakanının, anavatana yönelik bir düşman saldırısını etkisiz hale getirmek ve karşı koymak için hedefli bir siber saldırıya karşı bir “acil siber eylemi” ne zaman onaylayabileceğine dair katı protokoller geliştirmeye birkaç ay ayırdı.
Bu planlama 2014 yılında, Kuzey Koreli ajanların, Kuzey Kore diktatörü Kim Jong Un'la alay eden bir film yayınlamayı planlayan Sony Pictures'a ait sunuculardan gizli bilgi yığınlarını sızdırarak ABD topraklarında ilk kez yıkıcı bir siber saldırı gerçekleştirerek teste tabi tutuldu. Bilgisayar korsanları, utanç verici e-postalar da dahil olmak üzere bilgileri İnternet'e yaydılar; Sony'nin dijital ağlarını devre dışı bıraktılar; ve siber uzayda daha fazla “terörist saldırı” gerçekleştirmekle tehdit ettiler. ABD istihbarat topluluğu haftalarca Kuzey Koreli ajanların siber mühimmatları Amerikan kritik altyapısına önceden yerleştirdiğinden ve yakında onları patlatacaklarından korktu.
Bu olmadı ve birçok yönden Obama yönetiminin saldırıya verdiği yanıt karmaşık ve etkiliydi. Başkan, saldırı için doğrudan Kuzey Korelileri çağırdı ve yönetim, bir siber saldırıya yanıt olarak ilk kez uygulanan ekonomik yaptırımları hemen uygulamaya koydu. Kamuya açık atıf ve yaptırımların birleşimi, Pyongyang'ı ek saldırılar yapmaktan caydırıyor gibiydi. Ancak en önemli paket, iki yıllık planlama ve geliştirmeden sonra bile ABD ordusunun Panetta'nın vaat ettiği siber yanıt yeteneklerine sahip olmamasıydı.
ALINMAYAN DERSLER
Sorunun bir kısmı, Obama yönetiminin, siber operasyonların hızla tam bir savaşa dönüşebileceğine dair arkaik, Soğuk Savaş tarzı bir paradigmada bazı yönlerden sıkışmış olan siber uzay için eski okul bir yaklaşım benimsemesiydi. Bu bakış açısı, siber alan için bir kuvvet yapısı oluşturmaya geldiğinde Pentagon'un kararlarına da yansıdı: 2009'da Savunma Bakanı Robert Gates, ülkenin nükleer silahlarını denetleyen herkesin bildiği gibi yavaş hareket eden örgütü ABD Stratejik Komutanlığı'nın dört yıldızlı komutanı olan ABD Siber Komutanlığı'nı kurdu. Bu yapı, yönetimin siber alandaki çatışmayı, terörle mücadeleye veya özel kuvvetler dünyasına daha çok benzeyen dinamik bir operasyon alanı olarak görmekten ziyade, nükleer çatışmaya veya uzaydaki askeri faaliyetlere benzer olarak gördüğünü ileri sürüyordu. Gates ayrıca, yeni komutanın yabancı aktörlerin algılarını, düşüncelerini veya inançlarını ABD stratejisine hizmet edecek şekilde etkilemek için tasarlanmış sözde bilgi operasyonlarını yürütmeyeceğine de karar verdi.
Bu kararlar Washington'un Rus hasımlarını memnun etti. Üst düzey ABD savunma yetkilileri ve Rus mevkidaşları arasında 2013 yılında yapılan bir toplantıda, Rus ordusunda üst düzey bir subay olan General Nikolai Makarov, Amerikalılarla alay etti. "İnsanlar bilgiyi ağları değil, ulusları yok etmek için kullanır" dedi. "İşte bu yüzden, siz Amerikalıların, bilgi savaşı görevi olmayan bütün bir Siber Komutanlığı inşa edecek kadar aptal olmanızdan dolayı mutluyuz!" O sırada savunma liderleri, Amerika Birleşik Devletleri'nin Makarov'un aklındaki ülkelerden biri olabileceğini düşünmüyordu. Rusya'nın üç yıl sonraki ABD başkanlık seçimlerine müdahalesinden sonra, sözlerinin etkisi daha da kötü bir hal aldı.
Siber Komutanlığın yapısı ve misyonu, takip eden yıllarda, özellikle ABD'nin IŞİD (DAEŞ olarak da bilinir) karşıtı kampanyasında ciddi sonuçlar doğurdu. Pentagon, yeni organizasyonu yapılandırdı ve yeteneklerini rakip ülkelere odaklanan mevcut savaş planlarına dayanarak tasarladı; Sonuç olarak, Siber Komutanlığın terörle mücadeleye ayrılmış çok az kaynağı vardı.
Çatışmanın ilk iki yılında, tepedeki zayıf liderlik, operasyonel yetenek eksikliği ve istihbarat kaynakları ve yöntemlerini riske atma konusundaki isteksizliği, Siber Komutanlığın IŞİD operasyonlarını kesintiye uğratamamasıyla sonuçlandı. 2015'te bu fiyasko, ABD'nin IŞİD'e karşı yürüttüğü çabaların üst düzey bir askeri komutanının “Keşke Siber Komutanlığın IŞİD'e DISA'nın bana verdiği kadar acı çektirebilmesini isterdim!” demesine yol açtı. (Savunma Bilgi Sistemleri Ajansı DISA, ABD ordusuna teknik destek sağlamaktadır.)
Kiev'de bir hacker, Kasım 2016, Gleb Garanich / Reuters
Organizasyon ve görevle ilgili bu hatalı kararların altında, 2014 yılında Kuzey Kore'nin Sony hack'inden ders almakla ilgili daha derin bir başarısızlık yatıyor: Siber saldırılar, anında yanıt, kamuoyuna atıf ve diplomatik yüzleşme gerektiriyor.
Bu saldırının ardından Çin ve Rusya, giderek daha cesur ve sinsi bir siber saldırı dalgası gerçekleştirdi. Örneğin 2014 baharında, Kremlin ile bağlantılı bir grup ajan, güçlü bir bilgisayar korsanlığı, dezenformasyon ve hizmet reddi saldırılarının birleşimiyle Ukrayna cumhurbaşkanlığı seçimlerini raydan çıkarmaya çalıştı. Ukraynalı siber güvenlik uzmanları saldırının başarıya ulaşmasını kıl payı engelledi. Ancak Beyaz Saray, Rusya ile yüzleşmek veya Ukrayna'ya siber alanda herhangi bir destek sağlamak konusunda isteksizdi.
Ardından, Aralık 2015'te Rus destekli ajanlar, Ukrayna'nın elektrik şebekesine saldırdı ve ülkenin bazı bölgelerini kışın ortasında günlerce elektriksiz bıraktı. Bir kez daha, Obama yönetimi yanıt vermeden bekledi. Bu muhtemelen Rusya Devlet Başkanı Vladimir Putin'in 2016'daki ABD başkanlık seçimlerine misilleme korkusu olmadan müdahale etmek için siber ve bilgi operasyonları yürütebileceği hesabının yapılmasına katkıda bulundu. Haklıydı: Obama yönetimi, 2016 yazında ve sonbaharında bir kriz haline gelene ve The New York Times'ın ön sayfasına çıkana kadar Rusya'nın müdahalesini engellemek için çok az şey yaptı.
Obama Beyaz Sarayı da benzer şekilde, siber uzaydaki ihlalleri konusunda Çin ile yüzleşmek konusunda isteksiz olduğunu kanıtladı. Bu, yönetimin, Çin'in insan hakları ihlalleri ve Çin'in Güney Çin Denizi'ndeki saldırgan askeri harekatlarıyla ilgili endişeleri de geride bırakan, Pekin ile istikrarlı ekonomik ilişkiler kurmaya yaptığı vurgunun bir parçasıydı. Kuzey Kore'nin Sony saldırısından bile önce, Çin, 2008 ve 2013 yılları arasında, yılda 200 milyar ila 600 milyar dolar arasında büyük ölçekli Amerikan fikri mülkiyetini çalmak için bu pasif tutumdan yararlanmıştı.
Bu hırsızlığın stratejik etkisini ampirik olarak kanıtlamak zordur, ancak Çin'in yerel yapay zeka sistemleri, telekomünikasyon, temiz enerji teknolojisi, havacılık ürünleri ve biyoteknoloji üretimini ilerletmeyi amaçlayan Pekin'in Made in China 2025 girişimine büyük bir ivme kazandırdığı neredeyse kesin.
Daha sonra, 2014 ve 2015'te, Çinli istihbarat ajanları ABD Personel Yönetimi Ofisi'ne ait ağlara sızdı ve yaklaşık iki milyon eski veya emekli federal çalışanın ve çok gizli düzeyde güvenlik izinleri bulunan Amerikalıların neredeyse tüm arka plan soruşturmalarına ilişkin bilgiler dahil, iki milyondan fazla mevcut çalışanın personel dosyalarını sızdırdı.
Yoğun kongre baskısı ve medya incelemesiyle kışkırtılan Obama, Beyaz Saray'da Eylül 2015'te yaptığı bir toplantıda Çin Devlet Başkanı Xi Jinping ile karşı karşıya geldi. Obama, OPM hack'ini Çin'e alenen atfetmemeyi teklif etti ve karşılığında Xi, ABD firmalarına karşı istihbarat operasyonlarını durdurmayı ve siber uzayla ilgili sorunları tartışmak için diplomatik bir çalışma grubu kurmayı kabul etti. Zirvenin hemen ardından, Çin fikri mülkiyet hırsızlığının hacmi düştü ve Pekin ve Washington siber hırsızlık hakkında bir dizi görüşme yaptı. Bu olumlu sonuç, Çin'e meydan okumanın önemini açıkça ortaya koyuyordu; ama aynı zamanda yönetimin harekete geçmek için çok uzun süre beklediğini de hatırlatıyordu.
ABD Başkanı Donald Trump, 2017 yılında selefine göre daha iddialı, mücadeleci bir tavırla göreve başladı. Yönetiminin ABD'nin rakiplerine yaklaşımı tutarsız ve öngörülemezdi, ancak 2018'de Beyaz Saray, Siber Komutanlığın tam muharip komuta statüsüne yükseltilmesini onayladı ve bu da örgütü ABD Stratejik Komutanlığı aracılığıyla çalışmanın kısıtlamalarından kurtardı. O yılın ilerleyen saatlerinde Ulusal Güvenlik Danışmanı John Bolton, yönetimin, savunma bakanının onayıyla orduya "silahlı saldırı" yasal eşiğinin altında operasyonlar yürütmesine izin vererek saldırgan siber operasyonlara daha agresif bir yaklaşım getireceğini duyurdu.
Ulusal Güvenlik Başkanlık Muhtırası 13 olarak bilinen bu politika, bir Rus "trol çiftliği" olan İnternet Araştırma Ajansı'nı hedef alan hizmet reddi saldırıları ve bilgi operasyonları gibi siber operasyonların temelini oluşturdu ve bu, grubun 2018 kongre ara seçimlerine müdahale etmesini engellemiş olabilir.
Bu hamleler, düşük seviyeli, proaktif siber taktiklerin etkinliğini gösterdi ve siber uzay söz konusu olduğunda, caydırıcılığın büyük strateji seviyesinde gerçekleşmesi gerekmediği fikrini eve götürdü: düşük teknolojili, düşük riskli, hedefli operasyonlarla hile yapılabilir.
Bununla birlikte, Trump yönetiminin Rusya'nın siber kampanyalarına yaklaşımı, başkanın davranışı nedeniyle hiçbir şekilde koşulsuz bir başarı değildi. Trump'ın Putin'e karşı tuhaf bir şekilde diz çökmesi, Rusya'ya karşı her türlü tutarlı stratejiyi baltaladı ve Trump'ın Rusya karşısında ABD çıkarlarını savunma konusundaki isteksizliği, Amerikan demokrasisine gerçek bir tehdit oluşturdu.
2016'daki rakibi Hillary Clinton'ı hacklemek için Ruslara yaptığı açık davetten, Putin'in ABD-Rusya ortak bir "aşılmaz siber güvenlik birimi" yaratmaya yönelik saçma önerisini onaylamasına kadar, Trump, kendi ülkesinin kolluk kuvvetlerinin, istihbarat örgütlerinin ve ordusunun ABD ulusal güvenliğini koruma çabalarını defalarca baltaladı.
KENDİ HEDEFLERİ
Ancak Trump, son yıllarda ABD siber güvenliğine zarar veren tek Amerikalı değildi. 2013 yılında, bir NSA yüklenicisi olan Edward Snowden, gazetecilere (ve bazı hesaplara göre Çin ve Rus istihbarat servislerine) geniş çaplı erişimini ortaya çıkaran binlerce çok gizli belge sağlayarak NSA'nın küresel operasyonları, Amerika Birleşik Devletleri ile müttefik ülkelerin üst düzey hükümet yetkililerini dinlemesi de dahil olmak üzere, ABD tarihindeki en önemli sızıntılardan birini gerçekleştirdi.
Bu ifşâların ABD'nin siber uzayı koruma çabaları üzerindeki olumsuz etkisini abartmak zor. Washington, siber uzayla ilgili meselelere gelince, dünya sahnesinde esasen tüm güvenilirliğini kaybetti. NSA'nın Almanya Şansölyesi Angela Merkel de dahil olmak üzere devlet başkanlarını gözetlediğini öğrendikten sonra, Avrupa hükümetleri Çin veya Rus siber operasyonlarına karşı Washington ile çalışma havasında değildi. Merkel, “Güvenin yeniden inşa edilmesi gerekiyor” dedi.
Açıklamaların ardından, Avrupa'daki ABD müttefiklerinden Çin'e kadar çok çeşitli hükümetler Washington'u dünyadaki siber güvenliğe yönelik en büyük tehdit olarak etiketledi. Snowden'in sızıntılarından kaynaklanan dalgalanma, ABD hükümeti ile özel sektör arasındaki işbirliğine de yıkıcı bir darbe vurdu; bu, ABD'nin siber uzaydaki çıkarlarını savunmanın önemli bir yönü. Kötü tanıtım korkusu ve Çin'deki işlerini kaybetme riski nedeniyle, daha önce federal hükümetle sınıflandırılmamış siber güvenlik girişimleri üzerinde işbirliği yapan ABD'li teknoloji şirketleri, bu tür bir işbirliğini tamamen durdurmaya karar verdiler.
Birkaç yıl sonra NSA, en hassas bilgisayar korsanlığı araçlarından bazılarının kontrolünü kaybettiğinde işler daha da kötüleşti. İki ayrı olayda, o zamanlar Özel Erişim Operasyonları Ofisi (kuruluşun en hassas siber gözetim operasyonlarını yürüten bir ekip) olarak bilinen bir NSA biriminin çalışanları, çok gizli NSA ağlarından son derece güçlü araçları kaldırdılar ve inanılmaz bir şekilde onları eve götürdüler. Sonunda, Shadow Brokers (Rus istihbarat servisleriyle bağları olan gizemli bir bilgisayar korsanlığı grubu) bazı NSA araçlarını ele geçirdi ve internette yayınladı. Eski bir TAO çalışanının Washington Post'a söylediği gibi, bunlar “krallığın anahtarları”ydı; "hem burada hem de yurtdışında birçok büyük hükümet ve şirket ağının güvenliğini baltalayacak" dijital araçlardı.
“EternalBlue” olarak bilinen böyle bir araç, yanlış ellere geçti ve gelecek yıllarda dünyanın başına bela olacak bir fidye yazılımı saldırısı (bilgisayar korsanlarının talepleri karşılanana kadar bilgisayar sistemlerini felç ettiği) salıvermek için kullanıldı. Tarihin en yıkıcı siber saldırılarından ikisi, EternalBlue'ya dayanan araçlardan yararlandılar: Kuzey Kore tarafından 2017'de başlatılan ve İngiliz Ulusal Sağlık Hizmetinde en az bir hafta boyunca büyük aksamalara neden olan WannaCry saldırısı ve Aynı yıl Rus destekli ajanlar tarafından gerçekleştirilen ve küresel ekonomiye 10 milyar dolardan fazla zarar veren ve dünyanın en büyük nakliye şirketi Maersk'te haftalarca gecikmeye neden olan NotPetya saldırısı. Geçtiğimiz birkaç yıl içinde, fidye yazılımı saldırıları hastaneleri, okulları, şehir yönetimlerini ve boru hatlarını vurarak siber tehdidin şiddetli doğasını yurt içine taşıdı.
NASIL DAHA İYİ YAPILIR
Washington'un modası geçmiş bir siber çatışma anlayışının, Obama yönetiminin aşırı pasifliğinin, Trump yönetiminin tutarsızlığının ve sızıntıların ve özensizliğin neden olduğu zararın esiri olarak geçirdiği on yıl, bu yılın başlarında göreve başladığında ABD Başkanı Joe Biden'a bir karmaşa miras kaldığı anlamına geliyordu.
ABD politikasını rayına oturtmak için, yönetimin Washington'un siber güvenliği tasarlama ve yürütme şeklini önemli ölçüde değiştirmesini gerektirecek. Çin'in “dijital yuan”ı piyasaya sürmesiyle şekillenen mevcut güvenlik ortamı, kripto para birimlerinin değerindeki ve etkisindeki astronomik artış, dezenformasyonun gelişmesi ve fidye yazılımı saldırılarındaki keskin artış göz önüne alındığında, bu özellikle zor olacaktır. Bu arada, İran'la nükleer müzakereler yoğunlaştıkça, Tahran'daki rejim müzakere masasında avantaj sağlamak için yeni siber ve bilgi operasyonları deneyecek ve Çin ve Rusya neredeyse kesin olarak nispeten yeni yönetimi gelecek yıl içinde siber saldırılarla test edecektir.
Bu ortamda Biden yönetiminin yapabileceği en önemli şey, yıkıcı siber saldırılar gerçekleştirebilen ülkelerin Washington'un kendi siber yetenekleri tarafından caydırılma ihtimalinin olmadığı fikrini benimsemek, ancak buna karşılık ABD'nin geleneksel askeri ve ekonomik gücü tarafından caydırılabileceğini kabul etmek.
Siber uzay söz konusu olduğunda, Washington ateşe ateşle veya en azından tek başına ateşle karşı koymaya çalışmamalıdır. Ne de olsa Amerika Birleşik Devletleri alevleri kontrol altına almak ve söndürmek için çok daha etkili yöntemlere sahip.
Bunu akılda tutarak, idarenin atması gereken ilk pratik adım, verilerin savunmasına öncelik vermektir. Biden, Kongre ile birlikte çalışarak, Avrupa Birliği'nin Genel Veri Koruma Yönetmeliğine benzer şekilde, verilerini korumayan şirketlere karşı vatandaşlara yasal işlem yapma hakkı sağlayacak bir ulusal veri güvenliği yasasını geçirme çabalarını iki katına çıkarmalıdır. Amerika Birleşik Devletleri, dünyada böyle bir yasaya sahip olmayan tek büyük demokrasilerden biridir.
Sonuç olarak, devlet düzeyindeki gizlilik ve veri güvenliği yasalarının olağanüstü karmaşık bir yama işi ortaya çıktı ve güvenli bir bilgi tabanlı ekonominin gelişmesini engelledi. Capitol Hill'de üretim, enerji üretimi ve finansal hizmetler sektörlerindekiler de dahil olmak üzere kritik altyapı sağlayan şirketlerin federal makamları veri ihlalleri konusunda bilgilendirmelerini isteme yönündeki mevcut çaba umut verici bir gelişmeyi temsil ediyor. Ama henüz yeterli değil.
Yönetim ayrıca, siyasi olarak karmaşık durumlarda bile, siber saldırıların hızlı bir şekilde kamuoyuna atfedilmesini stratejisinin temel bir bileşeni haline getirmelidir. Geleneksel görüş, siber saldırıları yüksek düzeyde bir güvenle ilişkilendirmenin zor olduğu görüşündeydi. Ancak son beş yılda, gelişmiş dijital adli tıp, istihbarat teşkilatlarının ve özel sektör siber güvenlik firmalarının çoğu siber saldırının arkasında kimin olduğu konusunda makul bir kesinlikle karar vermelerine izin verdi. Bu evrim önemlidir: Yalnızca ilişkilendirmenin, kısa ömürlü olsa bile, ABD'li rakipleri saldırı yapmaktan caydırmanın etkili bir yolu olduğu kanıtlanmıştır.
Daha iyi ABD politikası ayrıca bazı organizasyonel değişiklikler gerektirecektir. Yeni başlayanlar için, İç Güvenlik Bakanlığı bünyesinde 2018 yılında kurulan Siber Güvenlik ve Altyapı Güvenliği Ajansı, yurt içi siber güvenlik operasyonlarının gerçek ağırlık merkezi haline gelmelidir; bu tür operasyonlar üzerinde nihai yetki istihbarat örgütlerine, kolluk kuvvetlerine veya orduya verilmemelidir.
Son üç yılda CISA, seçimlere müdahale ve dezenformasyon kampanyalarıyla mücadele etmek için önemli yetenekler geliştirdi. Şimdi, federal hükümet ağlarının savunmasını geliştirmeli, tehdit göstergelerinin özel sektörle paylaşımını hızlandırmalı ve fidye yazılımlarından kaynaklanan tehditlerle karşı karşıya kalan kritik altyapı sağlayıcılarına uzmanlık ve operasyonel destek sunmalıdır. Tüm bunları yapmak için CISA'nın daha fazla finansmana ihtiyacı olacaktır: örgütün mevcut yıllık 3 milyar dolarlık bütçesi önümüzdeki dört yıl içinde üçe katlanmalı ve sonunda NSA'nınkine eşit olmalıdır.
Özellikle konu fidye yazılımı saldırılarını engellemek için yerel savunma amaçlı siber operasyonlar söz konusu olduğunda, kolluk kuvvetlerinin hala önemli bir rolü var. FBI kısa süre önce Çin istihbarat servislerinin Amerika Birleşik Devletleri'ndeki yüzlerce sunucuya yerleştirdiği kötü niyetli araçları kaldırmak için etkili ve yaratıcı bir çaba gösterdi. Yeni ve emsal teşkil eden bir adımda, büro, ekipman sahiplerinin rızası olmadan Çin kötü amaçlı yazılımını tek taraflı olarak belirlemek ve silmek için izinler aldı. Bu operasyon için yasal yetki, Federal Ceza Muhakemesi Kurallarında yapılan bir güncelleme ile oluşturulmuştur; yönetim, FBI'ın daha proaktif önlemler almasına izin verecek yasalarda ek yenilikçi güncellemeler aramalıdır.
ABD ordusu da siber çağa uyum sağlamaya devam etmelidir. Biden, Siber Komutanlık'ı günümüzün çevik, esnek Müşterek Özel Harekat Komutanlığına daha çok benzeyen ve 1950'lerin hantal Stratejik Hava Komutanlığına daha az benzeyen bir şeye dönüştürmelidir. Siber Komutanlık, geliştirilmesi yıllar alabilen benzersiz, ilişkilendirilemeyen siber araçlar oluşturmak için NSA'ya çok fazla güvendi; Siber Komutanlık, çevikliğini artırmak için daha az karmaşık, "yanabilir" araçlara, yani zaten halka açık oldukları için harcanabilir araçlara yönelmelidir, bu da kökenlerini gizlemeye gerek olmadığı anlamına gelir.
Trump yönetimi, kredisine göre, düşük teknolojili, kamuya açık olarak atfedilebilen saldırgan siber operasyonların sıklığını artırarak Washington'un oyununu yükseltti. Bu, Trump'ın düzensiz kişisel davranışı karşısında bile, siber alemde ABD'nin güvenilirliğini arttırma etkisine sahipti. Örneğin, İran'ın seçkin İslam Devrim Muhafız Birlikleri 2019'da bir ABD gözetleme insansız hava aracını düşürdükten sonra, Siber Komutanlık, grup için çok önemli bir veri tabanına misilleme saldırısı düzenledi. Saldırı, Washington'un tırmanan taktiklerden kaçınırken stratejik hedeflere ulaşma yeteneğini gösterdi.
Yeni mevzuat ve yeni yaklaşımlar, Washington'un kusurlu siber stratejisini düzeltmede uzun bir yol kat edecektir. Ancak hükümet ABD siber güvenliğini kendi başına iyileştiremez: siber savunma ve siber caydırıcılık oluşturmak için özel sektörle anlamlı bir şekilde ilişki kurmalıdır. Şirketler, birçok türden bilgisayar korsanlarının hedefindedir ve kurumsal liderler fiilen ulusal güvenlik karar vericileri haline gelmiştir.
Ortak normlar oluşturmak ve siber koruma standartlarının en azından halka açık şirketler tarafından bağımsız olarak uygulanmasını teşvik etmek için Kongre, Menkul Kıymetler ve Borsa Komisyonu'na benzer, piyasaların bütünlüğünü koruyan ve şirketlerin yapması gereken kamu açıklamalarını şekillendiren Genel Kabul Görmüş Muhasebe İlkelerinin siber uzay versiyonu için bir siber güvenlik oluşturmayı düşünmelidir.
Washington her şeyi doğru yapsa bile, yine de küresel işbirliğine ihtiyacı olacak. Neyse ki, bugün jeopolitik ortam, siber uzayla ilgili konularda güçlü ABD diplomatik liderliğine elverişli. Washington, Snowden ve NSA sızıntılarının etkisinden büyük ölçüde kurtuldu ve dünya nihayet Çin ve Rusya'nın İnternet otokrasisi modellerinin liberal bir düzen ve küreselleşmiş bir ekonomiye karşıt olduğunu kabul etti. Washington, Fransa, Almanya, Japonya, Güney Kore ve Birleşik Krallık gibi benzer düşünen ülkelerle yoğun işbirliği yoluyla bu durumdan faydalanmalıdır.
Ancak BM bunu yapacak yer değil: bu forumda Çin ve Rusya, gerçek dünyada bu normları nedensizce ihlal etseler bile, Washington ve ortaklarını normlar hakkında soyut tartışmalara sokarak çıkarlarını geliştirebilirler. Birçok stratejist, NATO'nun Amerika Birleşik Devletleri ile müttefikleri ve ortakları arasındaki siber uzayda işbirliğinin ağırlık merkezi olarak hizmet edebileceğini öne sürdü, ancak örgüt Soğuk Savaş için inşa edildi ve yaratıcı stratejiler geliştirmek için çok hantal. Bunun yerine Washington, karaborsa fidye yazılımı araçlarının yayılmasını önlemek için bir dizi ikili anlaşma izlemelidir. Bir model, George W. Bush yönetimi tarafından kitle imha silahlarının yasaklanmasını iyileştirmek için başlatılan çok taraflı bir çaba olan Yayılma Güvenliği Girişimi olabilir.
Amerikalı politika yapıcılar son on yılda bir şey öğrendiyse, o da siber çatışmanın karanlık bir iş olduğu, savaş ve barışla ilgili siyah-beyaz kavramlara direnen bir iş olduğudur. Savaş alanındaki bu netlik eksikliği, Washington'un hedefleri ve stratejileri konusunda net olmasını daha da önemli kılıyor. Siber alem her zaman dağınık olacaktır. Ancak ABD siber politikası dağınık olmak zorunda değil.
Sue Gordon, Eric Rosenbach, Ocak/Şubat 2022, Foreign Affairs
(Sue Gordon,, Harvard Kennedy School'un Belfer Bilim ve Uluslararası İlişkiler Merkezi'nde Kıdemli Araştırmacıdır. CIA'de yaklaşık otuz yılın ardından 2017'den 2019'a kadar Ulusal İstihbarat Başkan Yardımcısı olarak görev yaptı. Eric Rosenbach, Harvard Kennedy Okulu'nun Belfer Bilim ve Uluslararası İlişkiler Merkezi'nin Eş-Direktörüdür. 2015-2017 yılları arasında Pentagon özel kalem müdürü ve 2014-2015 yılları arasında ABD İç Savunma ve Küresel Güvenlikten Sorumlu Savunma Bakan Yardımcısı olarak görev yaptı.)
Mustafa Tamer, 12.02.2022, Sonsuz Ark, Çeviri, Çeviri-Analiz, Onlar Ne Diyor?
Mustafa Tamer Yayınları
Onlar Ne Diyor?
- Sonsuz Ark'ta yayınlanan yazılardan yazarları sorumludur.
- Sonsuz Ark linki verilerek kısmen alıntı yapılabilir.
- Sonsuz Ark yayınları Sonsuz Ark manifestosuna aykırı yayın yapan sitelerde yayınlanamaz.
- Sonsuz Ark Yayınlarının Kullanımına İlişkin Önemli Duyuru için lütfen tıklayınız.