Manşetlere yayılan sürekli siber saldırı akışı bu noktada neredeyse kaçınılmaz görünebilir. Ve bazen saldırıya uğrayan kuruluşlar, siber güvenlik savunmalarında büyük boşluklar bırakarak kendilerini açıkça kolay hedefler haline getirirken, diğerleri, sofistike, ulus destekli bilgisayar korsanlarının görüş alanına girmekten tamamen şanssızdır.
Yeter artık Ülkemizin savunma oynamayı bırakıp bu siber suçlulara karşı aktif olarak savaşmasının tam zamanı.
Şu anda, federal düzeyde, ulus devletlerin ABD hedeflerine başarılı bir şekilde saldırmasını önleme çabalarımızdan çok az sonuç aldık. İhlallerin kurbanı olan işletmelerin, bankaların, hastanelerin ve kritik altyapı kuruluşlarının ellerinden gelen en iyi şekilde tepki vermekten başka çaresi yok; olası. Bunun insani ve finansal maliyetleri yüksek olabilir. Hassas kişisel veriler Dark Web’de ele geçirilebilir ve satılabilir. Hastane sistemleri uzun süre devre dışı kaldığında insan hayatı kaybolabilir. Ve firmaların gerekli tüm sigorta şirketleri, avukatlar ve siber güvenlik uzmanlarıyla ilişki kurmasının maliyeti astronomik olabilir.
Yeterli Korumaların Eksikliği
Dahası, son FBI InfraGard ihlali herhangi bir kanıtsa, açıkça görülüyor ki, kendi hükümetimiz bile sistemleri için yeterli koruma sağlama konusunda fazlasıyla yetersiz kalıyor. InfraGard bilgisayar korsanına, bir finans kuruluşunun CEO’su kılığına girdikten sonra FBI’ın kritik altyapı istihbarat portalına erişimi verildi. Bu kişinin kimliği hiçbir zaman düzgün bir şekilde doğrulanamadı (basit bir telefon görüşmesi bile bunu başarabilirdi) ve şimdi 87.000 yüksek profilli siber güvenlik paydaşı ve özel sektör bireyinin kişisel verileri tehlikeye girdi. Ayrıca, ülkemizin bazı gizli verileri de açığa çıkmış olabilir.
Daha da kötüsü, FBI tarafından sağlanan tavsiyeler ihlalden yaklaşık bir hafta sonra geldi ve bu 87.000 paydaşı savunmasız bıraktı ve çok uzun süre hangi hassas verilerin risk altında olduğunu net bir şekilde anlamadı. FBI tarafından sağlanan en son yanıt eksiksiz görünse de, bu epik veri koruma başarısızlığı için hesap verebilirlikten yoksundur. Saldırılar ulus-devletler veya bilgisayar korsanları tarafından ulusal çıkarlarımıza zarar vermeye çalıştığında, çoğu zaman olduğu gibi, hükümetimizin vatandaşlarını koruma ve saldırıları en başta ve mümkün olan en kısa sürede önleme görevi vardır.
Aslında, siber suçlara nasıl karşı koyacağımıza dair güçlü bir model için Avustralya hükümetine bakmalıyız. Telekomünikasyon devi Optus ve Avustralya’nın en büyük özel sağlık sigortası şirketi Medibank’ta milyonlarca kişinin kişisel verilerinin açığa çıktığı büyük çaplı ihlallerin ardından Avustralya, siber suçlulara karşı açıktan savaş ilan etti. Avustralya Federal Polisi ile Avustralya Sinyal Müdürlüğü arasındaki ortak bir siber polislik görev gücü üzerine inşa edilen yeni saldırının net bir görevi var: Siber suçluları avlamak ve operasyonlarını kesintiye uğratmak. Bazıları buna “çeşitli yayından kaldırma biçimleri” diyor.
Bu görev gücü, Medibank saldırısının arkasındaki bilgisayar korsanlarını tespit etmede ilerleme kaydedip adalete teslim edileceklerine söz vermekle kalmadı, aynı zamanda olası saldırganlara açık bir mesaj göndermeyi de önemli hale getirdi. Ülkenin siber güvenlik bakanı Clare O’Neil’in dediği gibi, görev gücü “dünyayı tarayacak, siber saldırılarda Avustralya’yı hedef alan suç örgütlerini ve çeteleri avlayacak ve çabalarını bozacak.”
Saldırıyı Al
Burada ABD’de davayı takip etmemiz gerekiyor. Saldırıya geçmeli ve Amerikan vatandaşlarına karşı işlenen siber suçların ciddi sonuçlara yol açmasına izin vermeyeceğimizi açıkça belirtmeliyiz.
En temel koruma önlemlerinin uygulanması bile kuruluşların burada da sorumluluk üstlenmesini, siber suçluları geçişte yönlendirmesini gerektirir – yani, düzenli parola sıfırlama işlemlerini otomatikleştirme, iki faktörlü kimlik doğrulamayı etkinleştirme, hassas bilgileri şifreleme, düzenli sızma testleri gerçekleştirme ve nihayetinde bir olay yaşama tehditler veya ihlaller meydana geldiğinde yanıt ekibi hazır.
Kongremizin federal düzeyde siber güvenlik geliştirme ve korumaya öncelik verme yönündeki son adımlarını görmek yüreklendirici olsa da, aşağıdaki örnekler yalnızca başlangıç noktalarıdır:
- Senatör Mark Warner’ın sağlık hizmetleri için önerdiği son politikalar iyi bir model.
- Temsilciler Meclisi, Siber Savunma Ulusal Muhafızları kurmanın fizibilitesine odaklanan bir yasa tasarısını araştırıyor
- Beyaz Saray Siber Strateji belgesi yaptırımlar ve saldırgan yaklaşımlar öneriyor
- İç Güvenlik ve Devlet İşleri Senato Komitesi oturumları, sağlık hizmetlerinin siber tehditlerden karşı karşıya kaldığı zorlukları ele almaya başlıyor
Senatörler Peters, Blumenthal, Hawley, Rosen, Paul, Sinema ve diğerleri de federal hükümetin yardım etmek için daha fazlasını yapabileceğini öne sürüyorlar. Düzenlemeler ve savunma taktikleri bizi ancak bir yere kadar götürebilir ve daha fazlasını yapmamız gerekiyor.
Geri yumruk atma zamanı. Ulusal güvenliğimize, işlerimize ve vatandaşlarımızın hayatlarına saldıran ulus destekli bilgisayar korsanlarını yakalayıp örnek alarak saldırıların önüne geçmenin zamanı geldi. Sonuçta, en iyi savunma iyi bir saldırıdır.