Korkuyla mı yaşayacağız: Risk eşittir, etki çarpı olasılık

Zaafiyet Analizi – Sızma Testleri – Ulusal Dayanıklılı – Dijital Egemenlik – Risk Yönetimi – Yama Yönetimi – Tatbikat ve Simulasyonlar – Hackerlar - Quantum – Kriptoloji – Sıfır Gün Atakları

Bu kavramlar öyle ya da böyle arada sırada duymuş olabileceğimiz kelimeler. Aslında bu yazının tüm içeriğini 10 -15 kavramla özetleyebilirim. İfade ettikleri zararı anlatmaya kaç kelime yeter tahmin edemiyorum. Şöyle ifade edeyim; herhangi bir hastane hatta daha vahimi ülkedeki tüm hasta kayıtları, banka ödeme sistemleri, market raflarında yer alan dondurulmuş gıdalar ya da bir kan bankasının rezervleri, veri merkezleri, haberleşme ağları… hangi maksatla olursa olsun ele geçirildiğinde toplum bütünlüğüne tehdit oluşturduğunda ulusal egemenliğimizi sorguluyor olabilir mi?

Aklınıza gelmeyenin başımıza geldiği dönemleri yaşıyoruz. Günlük hayatımızın kritik kilometre taşları en az ülke sınırlarımız kadar korunmaya muhtaç. Konu siber güvenlik olunca, sıradanmış gibi görünen veri kümeleri milli güvenlik unsuru sayılabiliyor. Siber güvenlik, ekonomik, toplumsal ve ulusal güvenliğin ayrılmaz parçası.

Son haftalarda birbiri ardına yaşanan garip olaylar diken üstünde tutuyor hepimizi. Sınır tanımayan saldırılar veriden sonra insan hayatını tehdit eder oldu. Bireyleri, halkları hedef almaya başladılar.

Siber Güvenlik Danışmanlık Hizmetleri Direktörü Ayşim Niksarlı, aralarında Halkbank ve Ziraat Teknoloji, Pamukbank gibi dev finans kurumlarının bulunduğu devasa bir sektörde güvenli alanlar kurmak ve yönetmek üzere çalışmış. Bugün sektör bağımsız uygulama ve danışmanlık sunuyor. Siber güvenlik, ulusal dayanıklılık, milli güvenlik ve toplumsal tehditler üzerine aklıma gelen tüm soruları kendisine yönlendirdim, kapsayıcı yanıtlar verdi. Söyleşiyi izlemenizi ya da dinlemenizi öneriyorum. Hayatlarımızın bundan sonraki safhası, yakın zamana kadar yaşama şansına sahip olduğumuz huzur ve sessizlk içinde geçmeyecek belli.

Niksarlı, hayatımızdaki tehdidin değişimini tanımladı. Milyarlarca dolarlık bütçeleri olan organize suç gruplarını, devlet destekli aktörleri ve yapay zekâyla güçlenen saldırıların arkasındaki gerçekleri ve bundan sonra hayatımızın değişen yüzünde nelere hazırlıklı olmamız gerektiğini aktardı. Yaşanan elektrik kesintileri, hastanelerde yaşanabilecek aksaklıklar, ödeme yapamamak ya da ödeme alamamak… gıdaların bozulması, sulara zehir katılması, telefonların dinlenmesi, aradığınız kana ulaşamamak… sıradan vatandaşın gerçeği oldu.

Dijital Sınırın Diğer Yanı

Niksarlı’dan dijital egemenlik konusunda, ülkenin bağımsızlığıyla kullandığı teknoloji arasındaki ilişkiyi açmasını istedim. Enerji, gıda ve savunmada dışa bağımlılığı azaltma arayışının dijital dünyada da karşılık bulduğunu anlattı. Çin’in arama motorlarından bulut altyapısına, ödeme sistemlerinden yarı iletkenlere kadar kendi teknoloji ekosistemini geliştirmesini örnek verdi. Bu yatırımların ekonomik büyüklük kadar kontrol meselesi olduğunu vurguladı: “Amaçları kritik teknolojiler üzerindeki kontrolü ve bağımsızlığı koruyabilmek.”

Rusya-Ukrayna savaşı üzerinden uydu haberleşmesi konusunda sohbetimiz benzer yorumla noktalandı. Niksarlı, Starlink’in kullanımının bağımsız iletişim altyapısının önemini görünür kıldığını söyledi. Haberleşmenin sürmesi kadar, o haberleşmenin kimin altyapısından geçtiği ve kimin kontrolünde olduğu üzerinde durdu. Egemenliği bugüne kadar fiziki sınırlarla özdeşleştirmiştik. Söyleşinin ilerleyen safhalarında, hayatın dijital sistemlere bağlı olduğunu dijital sınırlarımızı korumamız gerektiğini kavramak gerektiğini de konuştuk.

Hastane randevusundan kan bankasına

Niksarlı, 2017’deki WannaCry saldırısını örnek verdi. O hafta sonunu unutamamış; ekiplerinin, banka sunucuları arasında geçirdiğini anlattı. Hızlı müdahaleyle kurumun zarar görmesini önlemişler. Anımsayan varsa, İngiltere’de saldırı sağlık hizmetlerini aksatmıştı. 19 bini aşkın randevu ve ameliyat iptal edilmiş, bazı hastalar başka acil servislere yönlendirilmişti. NAO report

Niksarlı, yakın tarihte, bilgisayar ekranından market dolabına taşınan saldırı örneklerini anımsattı. Fransa’nın siber güvenlik kurumu ANSSI’nin 9 Kasım açıklamasına göre, 11–12 Ekim gecesi yaklaşık 700 perakende noktasının soğutma kontrol cihazları hedef alındı. Buz çözme ayarları yüksek sıcaklıklara getirildi; ürün kayıpları yaşandı, en az 15 noktada yangın çıktı. ANSSI Bundan bir iki hafta önce yine Fransa’da 3 kan bankası tesisinin soğuk depoları etkilendi. Reuters Niksarlı, “Zamanında tespit edildiği için neyse ki kan ürünleri zarar görmeden atlatıldı” dedi.

Yüzde Yüz Güvenlik Var mı?

Tehdidin bu kadar genişlediği bir yerde korunmanın sınırını sordum: “Hiçbir zaman yüzde yüz güvenlik diye bir iddiada bulunamayız. Çünkü biz ne kadar önlem alırsak alalım, mutlaka bir noktadan giriş noktası oluşabilir” dedi. Ardından güvenlik yaklaşımında tespitin neden daha fazla öne çıktığını anlattı: “En yüksek gizlilik düzeyindeki kurumlara bile girilebiliyor, veriler alınabiliyor, sistemlerin kontrolü ele geçirilebiliyor. Bu yüzden saldırganları yavaşlatmak ve birçok katmandan geçirerek hem işlerini zorlaştırmak hem de zaman kazanmak yönüne gidiyoruz. Buna katmanlı güvenlik diyoruz.”

Kurumların sistemlerinde sürekli saldırı girişimi görmesini, beklenen bir durum olarak tarif eden Niksarlı, önemli olanın, bunları durdurabilecek kabiliyeti geliştirmek olduğunu söyledi. Bunun için sistemlerin izlenmesi, kuralların güncellenmesi, yeni tehdide göre yeni adım atılması gerektiğini anlattı.

YZ Hızlandırdı, Savunma Daraldı

Son dönemdeki saldırı yoğunluğunu sorduğumda Niksarlı, para, güç ve kaynakları ele geçirme motivasyonlarının eskiden de bulunduğunu söyledi. Değişimin önemli bir bölümünü yapay zekânın sağladığı kapasiteye bağladı: “Bana göre sorarsanız yapay zekâ burada çok ciddi bir enstrüman oldu bir anlamda kötü niyetliler için araç.”

Sistemde açık arama, sistem tarama ve elde edilen sonuçları değerlendirme süreçlerinin hızlandığını anlattı. İnsanların tek tek araştırdığı zayıflıklar, otomasyon ve yapay zekâ araçlarıyla geniş ölçekte aranabilir hâle gelmiş. Savunma ekipleri de yapay zekâyı kullanarak anormal davranışları tespit edecek araçları geliştirmiş…

Bazı anlatıları örneklerle ifade ettiğimizde konunun önem ve boyutunu ifade etmek kolaylaşıyor. Binance, 29 Ekim’de yaşadığı olayla ilgili ilk bulgularında yaklaşık 6,34 milyar dolarlık dijital varlığın etkilendiğini açıkladı. Şirket, 3 Kasım tarihli raporunda yaklaşık 2,85 milyar dolarlık varlığın dondurulduğunu veya durdurulduğunu bildirdi. Giriş noktalarının kapatıldığını, etkilenen sistemlerin yeniden kurulduğunu ve yapay zekâ destekli anomali tespitinin genişletildiğini duyurdu. Anladığımız kadarıyla inceleme devam ediyor. Binance Blog

Korkuyla mı Yaşayacağız?

“Anlattıklarınızın hepsi korkuyla yaşamak gibi bir şey” dedim. Niksarlı, hazırlığı deprem üzerinden anlattı. Türkiye’de deprem çantasını, alarmı, iletişim ihtiyacını konuşmuştuk. Siber saldırıların marketleri, tedarik zincirlerini ve temel hizmetleri etkilemesi de hazırlık gerektirmişti. “Birilerinin bizi uyarmasına gerek kalmadan bunları yapıyor olmamız lazım” dedi.

Avrupa’nın 72 saatlik acil hazırlık yaklaşımını da sordum. Avrupa Komisyonu, Mart 2025’te açıkladığı Hazırlık Birliği Stratejisi’nde, nüfusun acil durumlarda en az 72 saat kendi temel ihtiyaçlarını karşılayabilecek yeterliliğe ulaşmasını hedeflemişti. Yaklaşım; doğal afetleri, çatışmaları, siber tehditleri ve başka krizleri kapsıyor. commission.europa.eu Niksarlı, soruyu hayatın devamlılığına bağladı: “Deprem de bir kriz, pandemi de bir kriz, siber güvenlik saldırısı da bir kriz.”

Krizin yönetilmesi, iletişimin kurulması, kurumlarla bireylerin birbirine nasıl ulaşacağının belirlenmesi aynı hazırlığın parçaları. Ulusal dayanıklılık, günlük hayatın içinden anlam kazanıyor. Suya, gıdaya, sağlığa, haberleşmeye erişimin sürmesi gerekiyor.

Küçücük Bağlantı, Koca Kurum

Alınması gereken önlemlere gelmek istedim; “İstediğiniz kadar standartlar oluşturun, politikalar belirleyin; bunlar en alta kadar inmezse, farkındalık seviyesi bireysel düzeye gelmezse kâğıtlarda yazan cümleler halinde kalıyor” dedi.

Niksarlı, bir e-postadaki bağlantıya tıklamanın koca bir kurumun çalışmasını durdurabileceğini söyledi. Bilinmeyen uygulamaların yüklenmesi, şüpheli davranışların bildirilmemesi, güvenlik uyarılarının gözden kaçırılması üzerinden ilerledi. Ardından konsept olarak “zaafiyet yönetimi”ne geçtik. Niksarlı bunu, “En çok buradan gol yiyoruz” sözleriyle anlattı.

Bir de henüz üreticinin bile bilmediği açıklar var olduğunu aktardı. “Sıfır gün” saldırılarını anlatırken, saldırganın keşfettiği zayıflığın üretici tarafından henüz bilinmediği, dolayısıyla gerekli yamanın bulunmadığı duruma işaret etti.

Saldırgandan Önce

Sızma testleri ve beyaz şapkalı hackerlar… duyduğumuz duymadığımız pek çok teknik konu arasındalar… Şöyle anlattı; “Bir hacker kapınızı çalmadan önce onun hangi kapıları açabileceğini görüyor olmanız gerekiyor.” Ancak açıkların bulunmasıyla iş bitmiyor. Niksarlı, risk yönetimini basit bir formülle açıkladı:“Risk eşittir, etki çarpı olasılık.”

Uzmanlar bir olayın gerçekleşme ihtimaliyle gerçekleştiğinde yaratacağı etkiyi birlikte değerlendiriyor. Uçak kazasını örnek verdi. Olasılığı daha düşük bir olayın sonucu çok ağır, daha sık karşılaşılan başka bir olayın etkisi ise daha sınırlı kalabiliyor.

Şöyle söyledi; “Belki o anda hemen o büyük yatırımı bütçelemek çok mümkün değil. O zaman bu etkiyi daraltacak daha küçük önlemler alacağız.”

Niksarlı, üst yönetimin katıldığı masaüstü tatbikatları anlattı. Bir çalışan oltalama e-postasına tıklamış, zararlı yazılım yayılmış, müşteri bilgileri dışarı çıkmış gibi senaryolar üzerinde çalışmışlar. Bu çalışmalara genel müdür, genel müdür yardımcısı, teknik yöneticiler, hukuk ve kurumsal iletişim ekipleri katılıyor. Olay gerçekten yaşandığında kimin hangi kararı vereceği, kimin kimi arayacağı, müşteriye nasıl bilgi aktarılacağı önceden ele alınıyor.

İzleri Panikle Silmeyin

Saldırı fark edildiğinde verilen ilk tepkiyi de konuştuk. Sistemi kapatmak, dosyaları silmek, bir an önce her şeyi temizlemek…Niksarlı, bu paniğin inceleme için gerekli izleri yok edebileceğini anlattı. Etkilenen sistemin ağdan izole edilmesiyle tamamen kapatılması arasındaki farkı vurguladı. Bellekteki bilgiler ve dosyalar üzerinde bırakılan izler, saldırganın nasıl ilerlediğinin anlaşılması için gerekli.

Niksarlı, sistemlerden toplanan kayıtların anormal durumları gösterecek biçimde değerlendirildiğini söyledi: “Her senaryonun farklı dinamikleri, farklı paydaşları ve karşı kurumları var.”

Türkiye’nin Notu

Türkiye’nin bir siber güvenlik karnesi olsa nasıl görüneceğini sordum. Küçük ve orta ölçekli işletmelerin bütçesini, bilgiye erişimini, uzman çalıştırma imkânını da sorunun içine koydum.

Niksarlı, “Türkiye olarak biz çok gerideyiz” diye karamsar bir tablo çizmenin gerçekçi olmadığını söyledi. Karşılaştırmayı sektörler üzerinden yaptı: “İster Türkiye olsun ister globalde olsun, her zaman ve her zaman regüle sektörler skor ve karne açısından çok daha iyi durumdalar.”Diğer tarafta kaynak sıkıntısı var: “Regüle olmayan sektörler maalesef ki bütçeyle boğuşmak durumunda kalıyorlar.”

Kuantum Hakkında Ne biliyoruz?

Niksarlı bir başlık daha açtı: Kuantum bilgisayarlar. Önce bugünkü kapasiteyi tarif etti. Kuantum bilgisayarların mevcut şifreleme sistemlerini kırabilecek düzeye henüz ulaşmadığını söyledi. Uzun yıllar gizli kalması gereken savunma, sağlık, finans ve kritik altyapı bilgilerine dikkat çekerek riskin bugünden başladığını “Bugün topla, yarın çöz. Bunların bugün çözülememesi demek gelecekte çözülemeyeceği anlamına gelmiyor” diye ifade etti.

Önemli bir bilgi notu: ABD Ulusal Standartlar ve Teknoloji Enstitüsü NIST, Ağustos 2024’te ilk üç tamamlanmış kuantum sonrası kriptografi standardını yayımladı ve kurumları geçişe başlamaya çağırdı. NIST

Korkularımız boşa çıkarmak için sistemlerdeki açığı bilmek, riski ölçmek, sorumluluğu belirlemek ve kriz çıkmadan kolları sıvamak gerekiyor.