Tam yarım on yıl oldu. Aslında bunun üzerine düşünürken nereden başlayacağınızı bilmek zor. Kovid-19 salgını, hibrit çalışma modellerine (zorunlu) kitlesel bir geçişe tanık oldu ve güvenlik ekiplerine hızlı bir şekilde güvenlik sağlamaları için yeni ve karmaşık bir saldırı yüzeyi bıraktı. SolarWinds ve Uber’in CISO’larına karşı yapılan suçlamalar, konu siber saldırılar ve raporlama olduğunda CISO’ların yasal sorumlulukları konusunda bir emsal teşkil ediyor. Başka yerlerde, NIS2’den Siber Dayanıklılık Yasası’na kadar her yerde kuruluşları ve tüketicileri korumak için dünya çapında yeni düzenlemeler yasalaştırılıyor. Benzer şekilde, yapay zeka (AI) siber güvenlikte iyisiyle kötüsüyle devrim yarattı. Tehditlerle mücadele söz konusu olduğunda yapay zeka, bazı yönlerden güvenlik ekipleri için yararlı bir müttefik haline geldi; özellikle de ekipler her gün yeni ve özgün tehditlerle karşı karşıyayken. Öte yandan, saldırılardaki artış muhtemelen siber suçluların saldırıları hızlandırmak ve otomatikleştirmek için yapay zekayı daha fazla kullanmasından kaynaklanıyor. Bu kayda değer olaylar sadece (saldırı) yüzeyini çiziyor!
Siber endüstri her zaman hızlı olmuştur ve güvenlik ekipleri değişime yabancı değildir. Ancak son beş yıl, yeni tehditlerin benzeri görülmemiş hacmi ve karmaşıklığı, yetenekleri elde tutma sorunları ve tükenmişliğin artmasıyla sektöre önemli ölçüde meydan okudu. Her zaman olduğu gibi, bu zorluklar sektörün dayanıklılığına örnek teşkil etti. Birbirimizden öğreniyoruz ve topluluk olarak kolektif zorluklarımızdan bahsetmeye ve birbirimize yardım etmeye daha açık hale geldik. Bir kez daha bilinmeyene doğru giderken, sürekli bir açıklık ve topluluk duygusunu geliştirmeye devam etmemiz kritik önem taşıyor.
‘Tahminleri’ zor buluyorum. Bu, gizli su kuyularını bulmak için sopa kullanmaya benziyor. Önümüzdeki beş yıl içinde üzerimize salınacak kırılganlık baharını ortaya çıkaracak bir kristal kürem yok. Ancak son birkaç yılda dayanıklı olduğu kanıtlanmış ve yakın zamanda ortadan kalkmayacak önemli sorunların temsilcisi olan bazı trendler gördüm. Bunlar ileride ne olacağını görmek için arayabileceğim en iyi noktalar.
Önümüzdeki beş yıl içinde kuantum hesaplama olay ufkunu görebiliriz, bu durumda tüm bahisler geçersizdir. O günün, önceden söylenen o övülen Y2K gibi olacağını ama uzun bir süre içinde daha sorunlu olacağını düşünmüyorum. Kuantum hesaplamanın suç grupları tarafından günlük bir tehdit haline gelecek şekilde kolayca erişilebilmesi için hala uzun bir süre gerekecek… Ancak sırları koruyan hükümetler farklı bir gemide.
Ayrıca yapay zekanın, en azından LLM’leri veya benzer şeritteki şeyleri kullanan mevcut haliyle, dağılacağı ve düz düşeceği konusunda çok baharatlı bir yaklaşım yapacağım. Yapay zeka ocağına milyarlarca dolar para akıtmasına rağmen, önde gelen şirketlerin hiçbirinin ekonominin önemli kesimlerinde alımda büyük bir artış görmedik. Ayrıca AI Yüksek Lisans’larının mevcut lezzetinin sınırlarına ulaştığına ve artık eğitim için tüketilecek ve kullanılacak insan yapımı veri ve içerikten oluşan büyük bir koleksiyon olmadığından getirilerin azaldığına dair raporlar da var. İşte söyledim. ‘Yapay zekanın zirvesine’ yaklaşıyoruz. Hüzünlü trombon işaretle.
Ve şimdi tamamen farklı bir şey için…
Çok daha ciddi bir not olarak, önümüzdeki beş yılda siber güvenlikle ilgili önemli olayların, Çin’den başlayarak büyük ölçüde jeopolitik krizlerden kaynaklanacağını düşünüyorum.
Şimdi ile 2030 arasında, Tayvan’ın olası ‘ilhakının’ yol açtığı, hem sıcak hem de soğuk bir tür çatışmayla Çin’in saldırganlığının arttığını göreceğiz. Çin, bir süredir, Filipinler ve Tayvan da dahil olmak üzere bölge uluslarının toprak egemenliğine tecavüz etmek için polis eylemlerini (ve sivil balıkçı gemilerini) kullanıyor. Hong Kong’da yaşananların da benzer şekilde deneneceğinden ve karasuları sınırlarına saldırmaya yönelik bu yöntemlerin Tayvan’da bu taktik kitabını kullanarak bazı geleneksel batılı güçlerin rolünün azalmasıyla devam edeceğinden endişeleniyorum. Eğer bu gerçekleşirse ve ne yazık ki işlerin bu yönde ilerlediği görülüyorsa, bu gerçekten çok büyük sonuçları olan, felaket niteliğinde bir küresel olay olacak. Batı merkezli silikon üreticileri, şu ana kadar kaçtıkları ancak giderek daha fazla yöneldikleri bir şekilde, kritik ulusal altyapı olarak ulusal güvenlik aygıtının parçaları haline gelecek.
Daha kritik ulusal altyapı, casusluk, çatışma veya her ikisi nedeniyle daha büyük şekillerde başarısızlığa uğrayacaktır; Volt Typhoon ve Salt Typhoon’un eylemlerinde gördüğümüz gibi, Çinli devlet destekli aktörler, ISP’ler, telekomünikasyon şirketleri ve enerji şirketleri gibi altyapıları ele geçirmek için araştırma yapıyor. gelecekteki potansiyel bir çatışmayı ve stratejik öneme sahip iletişimleri izlemek. Benim korkum, siber güvenlik olgunluk yolculuğunda yeterince ilerlememiş olan telekomünikasyon şirketlerinin ve diğer “gündelik” kritik altyapı sektörlerinin kesintiye uğramasının, hükümetleri düzenleme ve doğrudan yardım yoluyla daha açık kontrol sağlamaya zorlayacağıdır. Ve bunların bir kısmının vadesi çoktan geçmiş olacak, çünkü 2024 yılında ayrıcalıklı (veya tüm) kullanıcılar için MFA gerektirmemek gerçekten savunulabilir mi? Veya güvenli olmayan dillerin hafızasından uzaklaşmıyor musunuz? Veya kritik sistem olaylarına ilişkin günlük tutmuyor musunuz? Bunlar şu anda kabul edilebilir olmamalı ama korkarım ki bu gerekliliklerin, bazı kuruluşların harekete geçmesine neden olacak kadar güçlü bir şekilde ifade edilmesi, geçtiğimiz birkaç yılda yaşadığımız siber krizlerden daha büyük bir felakete yol açacak. Not.
Rusya küresel zorba rolünü sürdürecek ancak yaptırımlar nedeniyle artık mevcut olmayan Windows cihazlarına ve diğer batı teknolojilerine yönelik güncellemelerin tükenmesiyle mücadele ederken daha fazla çatlak ortaya çıkacağını göreceğiz. Rusya merkezli fidye yazılımı grupları hükümetle daha yakın işbirliği içinde hareket edecek ve Kremlin’in vekil aktörleri haline gelecek; hatta şu anda olduklarından çok daha açık bir şekilde.
Tedarik zincirleri tekrar tekrar darbe alacak ve hatta daha fazlası. Ne yazık ki bu son birkaç yılda büyüyen bir trend ve bu yıl CrowdStrike’da da gördüğümüz gibi (bu bir tedarik zinciri saldırısı değildi… ancak yazılımlarının bozulması milyonlarca insanı etkileyen, işletmeleri aksatan, iptal eden küresel bir teknoloji olayına neden oldu) uçuşlar ve daha fazlası) bu teknolojiler kurumsal kurumsal BT ile neredeyse geri dönülemez biçimde iç içe geçmiş durumda ve art arda arızalara neden olabiliyor.
Saldırganlar ister Rusya ve Çin gibi ağır saldırgan ulus devletler olsun, ister fidye yazılımı çeteleri şeklinde yeni organize suçlar olsun, gelecek yıllarda aksaklıkların sıklığı ve şiddeti artacak şekilde görülecektir. Eninde sonunda hükümetler tarafından politika, hukuk ve siber eylem şeklinde konuşlandırılacak bir karşı güç ortaya çıkacak. Hala Washington ve Whitehall’daki iktidar salonlarında çalışan arkadaşlarım için umudum, saldırganlık eylemlerine orantılı ve kalıcı bir şekilde, aşırı düzeltme yapmadan, aynı şekilde yardım etme fırsatını boşa harcamadan etkili bir yanıt verebilmemizdir. Kullanıcı verilerinin, teknolojinin ve kamu hizmetlerinin sorumlu yönetimine ilişkin bazı normların yanı sıra toplum olarak ilkelerimize ve değerlerimize dayanan siber uzaydaki çatışma normlarını da uygulamaya koyacağız.
Elliott Wilkes baş teknoloji sorumlusudur veT Gelişmiş Siber Savunma Sistemleri (ACDS). Tecrübeli bir dijital dönüşüm lideri ve ürün yöneticisi olan Wilkes, hem Amerikan hem de İngiliz hükümetleriyle on yıldan fazla çalışma deneyimine sahip; son olarak da Sivil Hizmet’te siber güvenlik danışmanı olarak görev yapıyor.