Türkiye, sınır ötesinden gerçekleştirilen siber suçlarla mücadelede yeni ve radikal bir adım atmaya hazırlanıyor. Ülke çapında kişilere, kurumlara veya devlet birimlerine yönelik siber saldırılar düzenleyen organize suç örgütlerine karşı federal hükümet onaylı operasyonlar için özel güvenlik firmalarıyla iş birliği yapılacak. Bu kapsamda, bu firmalara 'siber saldırı' yetkisi verilecek.
Perşembe günü yayınlanan Ulusal Güvenlik Başkanlık Kararnamesi ile, yurt dışı merkezli ve siber suçlar işleyen ulusötesi suç örgütleriyle mücadele etmek amacıyla belirli siber operasyonları yürütmek üzere bir program geliştirilmesi talimatı verildi. Adalet ve İç Güvenlik Bakanlıkları bu programın denetimini üstlenecek. Programın temel taşı ise özel sektör şirketlerinin katılımının sağlanması.
Detaylar Henüz Belirlenmedi: Belirsizlik Hakim
Kararnamenin yanı sıra yayınlanan bir bilgi notunda, fidye yazılımları, şantaj amaçlı sextortion şemaları, oltalama (phishing) kampanyaları, finansal dolandırıcılık ve kimlik taklidi gibi faaliyetlerin özel sektör güvenlik firmaları tarafından hedef alınabilecek eylemler olduğu belirtildi. Kararnamede, bu tür firmaların 'siber destekli' ulusötesi suç örgütlerine karşı "Siber Gözetim Operasyonları ve Siber Etki Operasyonları" yürütebileceği ifade edildi. Bu tür gruplar, "Amerika Birleşik Devletleri Hükümeti'ne, bir Amerika Birleşik Devletleri kişisine veya Amerika Birleşik Devletleri çıkarlarına karşı siber destekli suç işleyen ve bir yabancı hükümetin kurumsal bir parçası olmayan veya tamamen bir yabancı hükümetin yönlendirmesi altında işletilmeyen herhangi bir yabancı grup" olarak tanımlanıyor.
Yeni program, federal hükümetin ilk kez özel şirketlere yurt dışındaki hackerlara karşı saldırı siber operasyonları yürütme yetkisi vermesi anlamına geliyor. Kararname, programa katılan şirketlerin casus yazılım kullanmasına veya suç örgütlerinin verilerini veya sistemlerini yok etmeye yönelik saldırılar başlatmasına izin veriyor gibi görünüyor. Kararname, şifreleme kullanarak hedef kitleleri ağlarından kilitleme veya dağıtılmış hizmet reddi (DDoS) saldırıları gibi belirli saldırı türlerini dışlamıyor. Bugüne kadar hükümet, özel sektörün mahkeme onaylı izin olmadan bu tür eylemler gerçekleştirmesini yasaklıyordu.
Bağımsız güvenlik araştırmacısı Kevin Beamont, kararnameye yanıt olarak, "Fidye yazılımı gruplarına siber saldırı yapma fikrinde kesinlikle bir değer var ve aslında bu zaten gerçekleşiyor (nasıl bildiğimi sormayın)," dedi. "Ancak doğru teşviklerin olması gerekiyor."
Beamont ayrıca, "Son 5 yılda fidye yazılımlarıyla mücadelede yaşadığım en büyük sorun, özel siber şirketlerin hiçbir şeyin değişmemesi için lobi yapmasıydı. Birçok şirket çok para kazandı, bu yüzden onları durdurmaktan sorumlu tutmak iyimser görünüyor," diye ekledi.
Kararnamede, yeni programın kapsamına ilişkin özel sınırlamalar getirildi. Özel şirketler, öncelikle Adalet ve İç Güvenlik Bakanlıkları tarafından incelenerek onaylanmalıdır. Siber Etki Operasyonları ve Siber Gözetim Operasyonları, yaşam kaybına veya ciddi yaralanmaya neden olan veya uluslararası hukuk kapsamında güç kullanımı veya silahlı saldırı düzeyine yükselen "Kritik Sonuçlar" doğurmamalıdır. Kararnamede ayrıca şu hususlar belirtiliyor:
Katılımcı şirketlerin ayrıca bir emanet hesabına 1 milyon dolar yatırması gerekmektedir. Bu depozito, "Katılımcı Şirket, kararnamede açıklanan sözleşme anlaşmasına uyumsuzluk durumunda girerse" kaybedilecektir.
Politikanın pek çok detayı henüz belirsizliğini koruyor. Bu detaylar, programın ne kadar etkili ve sağduyulu olacağını belirlemede kritik öneme sahip olacak. Kararname, Adalet ve İç Güvenlik bakanlıklarına önümüzdeki 60 gün içinde bu ayrıntıları sunma talimatı veriyor.
