Lahey’deki uluslararası mahkeme, Microsoft ürünlerinin yerine bir Alman çözümü kullanmayı planlıyor. Amerikan F-35 savaş uçaklarının siparişi de yazılımlarına neredeyse hiç erişim olmadığı için eleştiriliyor. Bu kaygıları anlıyor musunuz? Dijital egemenlik ne kadar önemli?
Selim Kuzu: Dijital egemenlik, Almanya ve Avrupa için stratejik, ekonomik, siyasi ve toplumsal açıdan merkezi bir öneme sahip.
Dijital egemenlik tam olarak ne anlama geliyor?
Selim Kuzu: Dijital egemenlik bir lüks değil; Almanya’nın rekabet gücü, güvenliği ve demokrasisi için bir ön koşul. Avrupa’nın dijital geleceği şekillendiren mi yoksa yalnızca kullanan mı olacağını o belirleyecek.
Dijital egemenlik, devletlerin, şirketlerin ve vatandaşların şu yetkinliğini tanımlar:
- teknolojileri kendi kararlarıyla kullanabilmek,
- kendi BT altyapılarını ve verilerini kontrol edebilmek,
- yabancı sağlayıcılara veya platformlara bağımlı olmamak.
Kısacası mesele, dijital dünyada bağımsızlık, kontrol ve yön verme gücüdür.
Almanya ve Avrupa için neden bu kadar önemli?
1. Ekonomik bağımsızlık
- Dijital altyapının (bulut, çip, yazılım) büyük bölümü ABD’den veya Asya’dan geliyor.
- Bu bağımlılık; tedarik zincirleri, fiyatlandırma ve teknoloji standartları açısından riskler taşıyor.
- SAYTEC, GAIA-X, European Cloud Federation veya Chips Act gibi Avrupa alternatifleri bu duruma karşı önlem oluşturmayı amaçlıyor.
Hedef: kendi inovasyon ve değer zincirlerimizi kurmak.
2. Güvenlik ve veri koruma
- Avrupa vatandaşlarının verileri çoğu zaman AB dışındaki sunucularda tutuluyor; bu da hukuki ve güvenlik politikası açısından riskler doğuruyor.
- Dijital egemenlik, siber saldırılara, casusluğa ve yabancı güvenlik standartlarına bağımlılığa karşı koruma sağlar. Üstelik bu verilere erişim teorik olarak, hatta teknik olarak da engellenebilir.
- Kritik altyapıların (ör. enerji, sağlık, veri merkezleri) güvenilirliğini güçlendirir.
3. Siyasi ve stratejik özerklik
- Jeopolitik krizlerde (ör. ticaret anlaşmazlıkları, yaptırımlar) teknolojik bağımlılık bir güç aracına dönüşebilir.
- Avrupa, başka güçlerin “dijital himayesi” altına girmekten kaçınmak istiyor.
- Dijital egemenlik, uluslararası ilişkilerde pazarlık gücünü artırır.
4. Toplumsal ve kültürel öz belirleme
- Dijital platformlar kamuoyunun oluşumunu, eğitimi ve demokrasiyi etkiliyor.
- Avrupa çözümleri; şeffaflığı, veri korumayı, etik standartları ve Avrupa değerlerine dayanan yeni değer sistemlerini destekleyebilir.
Konu, 21. yüzyılda dijital kimlik ve demokrasiyle de ilgili.
Bu egemenlik nasıl sağlanabilir? İşletmelerin yeni, kendilerine ait ve karmaşık BT yapıları mı kurması gerekiyor? Yoksa AWS, Google ve benzerlerinin büyük bulut çözümlerine (rekabet edebilir) alternatifler var mı?
Önce farkındalık oluşmalı, yani yeni bir bakış açısı gelişmeli. Almanya hâlâ fazla rahat davranıyor; ne riskleri ne de fırsatları görüyor.
Zorluklar
- Araştırma, yarı iletkenler, bulut ve yapay zekâda yüksek yatırım ihtiyacı.
- ABD’li veya Çinli teknoloji devlerine kıyasla ölçek ekonomisinin eksikliği.
- Düzenlemeler ve stratejiler konusunda AB üye devletleri arasındaki dağınıklık.
Stratejik fırsatlar
- Avrupa veri ekonomisinin kurulması (sanayi, sağlık ve enerjide “veri alanları”).
- Açık kaynak teknolojilerin ve Avrupa bulut çözümlerinin desteklenmesi.
- Güvenilir dijital altyapıyla orta ölçekli şirketlerin ve Endüstri 4.0’ın güçlendirilmesi.
Yapay zekâdan, yani üretken yapay zekâdan ve artık hem saldırılarda hem de bu saldırıların savuşturulmasında kullanılan yapay zekâ ajanlarından söz edelim. Yapay zekâ, şirketlerin güvenlik mimarisine ne ölçüde entegre edilmiş durumda?
Selim Kuzu: Çok yerinde ve son derece güncel bir soru; dijital dönüşümün özüne dokunuyor.
Yapay zekâ (YZ), bugün şirketlerdeki modern güvenlik mimarilerinin merkezi bir bileşeni; ancak sektöre, şirket büyüklüğüne ve güvenlik olgunluğuna göre çok farklı derinliklerde kullanılıyor. Almanya’da ise ne yazık ki henüz pek kullanılmıyor.
YZ’nin bugün BT güvenlik mimarilerine ne ölçüde entegre olduğunu ve gelişimin nereye gittiğini şöyle özetleyebilirim:
1. Mevcut durum: YZ bugün nerelerde kullanılıyor?
a) Tehdit tespiti ve anomali analizi
- Çoğunlukla makine öğrenimine dayanan YZ modelleri, günlük (log) dosyalarını, ağ trafiğini ve kullanıcı davranışını izler.
- Siber saldırılara, zararlı yazılımlara veya içeriden gelen tehditlere işaret eden olağan dışı etkinlikleri, örüntüleri ve sapmaları tespit eder.
Örnekler:
- Splunk, Microsoft Sentinel veya IBM QRadar gibi SIEM sistemleri (Security Information and Event Management), örüntü tanıma için makine öğrenimi kullanır.
- CrowdStrike, Palo Alto Networks ve Sophos gibi üreticilerin EDR/XDR sistemleri (Endpoint/Extended Detection & Response), saldırı tespitinde büyük ölçüde YZ’ye dayanır.
Büyük şirketlerde ve kritik altyapılarda bugün artık standart.
b) Otomatik tepki ve olay müdahalesi (incident response)
- YZ sistemleri, güvenlik operasyon merkezlerinin (SOC) alarmları önceliklendirmesine ve otomatik olarak karşı önlem başlatmasına yardımcı olur.
- Bir saldırı anında, örneğin enfekte olmuş bir sistem otomatik olarak izole edilebilir.
- YZ, yanlış alarmları (“false positive”) azaltır ve analistlerin verimliliğini artırır.
İleri düzeydeki şirketler YZ tabanlı orkestrasyon (SOAR) kullanıyor.
c) Kimlik ve erişim yönetimi (IAM)
- YZ, olası ele geçirilmeleri fark etmek için anormal oturum açma girişimlerini, olağan dışı erişim saatlerini veya yeni cihazları tespit eder.
- Uyarlanabilir kimlik doğrulama sistemleri (ör. Microsoft Entra, Okta), risk tabanlı çok faktörlü kimlik doğrulamayı yönetmek için YZ kullanır.
- Bulut hizmetlerinde ve büyük şirketlerde hâlihazırda kullanılıyor.
d) Oltalama (phishing), dolandırıcılık ve e-posta koruması
- YZ tabanlı filtreler; oltalama, sosyal mühendislik ve deepfake saldırılarını tespit etmek için metni, meta verileri ve gönderici davranışını analiz eder.
- Google, Proofpoint veya Barracuda gibi büyük sağlayıcılar, gerçek zamanlı değerlendirme için üretken YZ kullanır.
E-posta ve iş birliği platformlarında artık gündelik bir uygulama.
e) Güvenlik açığı yönetimi ve yama zekâsı (genel)
- YZ; risk analizlerine, istismar (exploit) olasılığına ve şirketin bağlamına göre güvenlik açıklarını önceliklendirmeye yardımcı olur.
- Tenable, Qualys veya Rapid7 gibi araçlar, “gerçek tehdit düzeyini” değerlendirmek için YZ kullanır.
Büyük kurumlarda ve düzenlemeye tabi sektörlerde giderek yaygınlaşıyor.
2. Sınırlar ve zorluklar
- Kara kutu sorunu: Birçok YZ sisteminin kararlarını izlemek zordur; bu da uyum (compliance) ve denetim süreçlerini zorlaştırır.
- Önyargı ve hatalı kararlar: YZ, örneğin meşru senaryolardaki olağan dışı kullanıcı davranışlarından hatalı örüntüler öğrenebilir.
- Uzmanlık eksikliği: Güvenlik ekiplerinin YZ modellerini anlamayı, eğitmeyi ve izlemeyi öğrenmesi gerekir.
- Veri koruma ve GDPR: Özellikle Avrupa’da güvenlik açısından kritik verilerin işlenmesi sıkı biçimde düzenlenmiştir.
3. Geleceğin eğilimi: YZ destekli güvenlikten YZ yönetimli güvenliğe
a) Otonom güvenlik sistemleri
- Geleceğin mimarileri, güvenlik politikalarını dinamik olarak uyarlayan ve güvenlik açıklarının etkisini kendi başına azaltan üretken YZ’yi bünyesine katacak.
- Örnek: “Self-Healing Networks” (kendi kendini onaran ağlar) veya “Autonomous SOC” (otonom SOC) yapıları.
b) YZ saldırılarına karşı YZ
- Üretken YZ ile yapılan saldırıların (deepfake oltalama, otomatik exploit üretimi) yaygınlaşmasıyla savunma amaçlı YZ daha da belirleyici hâle geliyor.
c) Zero Trust mimarilerine entegrasyon
- YZ; kimliklerin, cihazların ve uygulamaların sürekli risk analizinde merkezi roller üstleniyor.
Geriye insan faktörü kalıyor; insanlar kusursuz hazırlanmış oltalama e-postalarına ya da benzerlerine kolayca kanabiliyor. BT güvenliği söz konusu olduğunda bu konu ne ölçüde (yeterince) dikkate alınıyor?
Selim Kuzu: Çok iyi bir devam sorusu; her güvenlik mimarisinin en hassas noktasına dokunuyor. Çünkü tüm teknolojiye rağmen şu gerçek değişmiyor:
İnsan, BT güvenliği zincirinin en zayıf ama aynı zamanda en belirleyici halkasıdır.
BT güvenliğinin bugün insan hatalarına ne kadar hazırlıklı olduğuna dair, özellikle oltalama ve sosyal mühendislik örneği üzerinden kapsamlı bir değerlendirme:
1. Gerçek tablo: Güvenlik olaylarının %80–90’ı insan hatasıyla başlıyor
- IBM, Verizon ve BSI’ye (Almanya Federal Bilgi Güvenliği Ofisi) göre siber saldırıların büyük bölümü insan hatasından kaynaklanıyor; çoğunlukla oltalama e-postaları, zayıf parolalar veya dikkatsiz tıklamalar yoluyla.
- Hiçbir teknik sistem bunu tamamen ortadan kaldıramaz.
- Bu nedenle birçok şirketin güvenlik mimarisi, salt teknik savunmadan “insan odaklı güvenliğe” doğru evrildi.
2. Güvenlik mimarileri bugün insan hatalarına nasıl hazırlanıyor?
a) Oltalama ve sosyal mühendisliğin YZ destekli tespiti
- YZ, e-postalardaki dili, tonu, üslubu ve gönderici davranışını analiz eder.
- Şüpheli iletiler otomatik olarak işaretlenir veya engellenir.
- Microsoft Defender 365, Proofpoint veya Barracuda Sentinel gibi sistemler, makine öğrenimini küresel tehdit istihbaratı verileriyle birleştirir.
Teknik olarak çok gelişmiş, ancak %100 koruma sağlamıyor.
b) Çok faktörlü kimlik doğrulama ve Zero Trust
- Bir çalışan oltalama e-postasına kansa bile çok faktörlü kimlik doğrulama (MFA), saldırganların doğrudan erişim elde etmesini engeller.
- “Zero Trust” modelleri her erişimin tehlikeye girmiş olabileceğini varsayar ve sürekli doğrulama ister.
İnsan hatalarının sonuçlarını önemli ölçüde azaltır.
c) Güvenlik farkındalığı ve davranış eğitimleri
- Şirketler giderek daha fazla sürekli eğitimlere, oltalama simülasyonlarına ve farkındalık kampanyalarına yöneliyor.
- Amaç: Yalnızca bilgi aktarmak değil, refleks hâline gelmiş bir dikkat geliştirmek.
- Modern eğitimler oyunlaştırılmış, veriye dayalı ve YZ destekli (ör. KnowBe4, SoSafe, Lucy).
Etkinlik: yüksek, ancak şirket kültürüne bağlı.
d) Otomatik hasar sınırlama
- Yine de bir tıklama gerçekleşirse otomatik müdahale sistemleri olağan dışı etkinlikleri (ör. ani veri sızdırma, alışılmadık oturum açmalar) tespit eder.
- Sistemler etkilenen hesapları veya cihazları gerçek zamanlı olarak izole eder.
İnsan hatalarının etkilerini en aza indirir.
e) “Human Firewall”: İnsanın mimariye dâhil edilmesi
- Modern mimariler çalışanları bir risk kaynağı olarak değil, güvenlik ekosisteminin bir parçası olarak görür.
- Kullanıcılar şüpheli e-postaları tek tıkla bildirebilir; bu e-postalar ardından YZ tarafından otomatik olarak analiz edilir.
- Kullanıcı geri bildirimleri de öğrenme modellerini iyileştirir.
İnsan ve makine giderek daha uyumlu biçimde birlikte çalışıyor.
3. Sınırlar ve zayıf noktalar
Tüm teknolojiye rağmen şu gerçekler değişmiyor:
- Stres, zaman baskısı ve rutin düşünmeden hareket etmeye yol açar.
- Deepfake saldırıları (ör. aslından ayırt edilemeyen sesler veya videolar) sosyal mühendisliği daha da sinsi hâle getiriyor.
- Birçok kurumda güvenlik kültürünün eksikliği, çalışanların hatalarını hemen bildirmeye cesaret edememesine neden oluyor.
Teknoloji hataları yakalayabilir, ancak hazırlıksız yakalanmayı telafi edemez.
Durumu ve çözümleri kısa ama anlaşılır biçimde anlattığınız için çok teşekkür ederiz!
