NATO’nun Siber Güvenlik Politikası: Tarihsel Süreç ve Kırılma Noktaları

NATO’nun Siber Güvenlik Politikası: Tarihsel Süreç ve Kırılma Noktaları

Özet

Soğuk Savaş dönemi boyunca simetrik bir düşmanı bulunan ve geleneksel güvenlik anlayışıyla hareket eden North Atlantic Treaty Organization (Kuzey Atlantik Anlaşması Örgütü) (NATO), bu dönemin sona ermesiyle birlikte bu anlayışını yenilemek mecburiyetinde kalmıştır. Bu yenileme sürecinde NATO’yu en çok zorlayan meseleler arasında ‘siber güvenlik’ önemli bir yer işgal etmiştir. Özellikle önce 1999 yılında Kosova Savaşında maruz kaldığı siber saldırılar ve 2007 yılında müttefik ülke Estonya’ya yönelik siber saldırılar, NATO’yu siber tehditler konusunda daha fazla ihtiyatlı olmaya yöneltmiştir. Bu çalışmada NATO’nun 1999 yılında Kosova’da Sırp güçleri bombalarken kendisine yönelik düzenlenen siber saldırılar ile başlayan yaklaşık on yıllık siber savunma politikasındaki kırılma noktaları tarihsel bir süreç şeklinde incelenmiştir.

I. Giriş: Yeni Güvenlik Anlayışı ve Siber Güvenlik

“Geleneksel güvenlik” anlayışı güvenliği; devlet merkezli, askeri tehdit odaklı bir bakış açısı içinde yorumlamış ve büyük ölçüde suni tehditler güvenlik gündemini belirlemiştir.[1] Ancak 1980’li yıllar itibariyle hızlanan küreselleşme süreci, geleneksel güvenlik anlayışının terk edilmeye başlanmasına ve “yeni güvenlik” anlayışının doğmasına sebep olmuştur.[2] Herald Müller’e göre bu yeni güvenlik anlayışı bünyesinde değerlendirilebilecek alanlar arasında şunlar yer almaktadır: toplumsal güvenlik, birey güvenliği, küresel güvenlik, ekonomi güvenliği, bilgi güvenliği ve çevresel güvenliktir.[3]  Siber güvenlik ise aslında tüm bu yeni güvenlik alanlarının kesişim noktasında yer almaktadır. Zira günlük siber saldırılar birey ve bilgi güvenliğini doğrudan etkileyebilmekteyken, kapsamlı bir siber saldırı ise toplumsal, küresel, ekonomi ve çevre güvenliğini doğrudan etkileyebilmektedir.

En genel anlatımla “siber güvenlik,” siber uzayda kurum, kuruluş ve kullanıcıların varlıklarını korumak amacıyla kullanılan araçlar, politikalar, güvenlik kavramları, güvenlik teminatları, kılavuzlar, risk yönetimi yaklaşımları, faaliyetleri eğitim ve teknolojiler bütünü şeklinde tanımlanmaktadır.[4] Siber güvenlik olgusunu var eden “siber tehditler” ise kötü niyetli olarak bir bilgisayar ağını ya da sistemini akamete uğratma çabası şeklinde tanımlanmaktadır.[5] Son olarak bu iki olgunun yer aldığı siber uzay ise NATO tarafından şu şekilde tanımlanmaktadır: “Bilgisayarlar ve bilgisayar ağlarının ortaya çıkardığı; insanlar ve bilgisayarların bir arada bulunduğu ve çevrim içi faaliyetlerin tüm yönlerini içeren sayısal bir dünyadır.”[6]

II. NATO’nun Siber Güvenlik Politikası: Tarihsel Süreç ve Kırılma Noktaları

1. Çeçen Savaşı (1994 – 1996)

Soğuk Savaşın bitmesinden kısa bir süre sonra Çeçenler Rusya’ya karşı bağımsızlık mücadelesine başladığında Rus birlikler 1994 yılında Çeçenistan’ın başkenti Grozni’ye müdahalede bulunmuşlardır. Müdahale başlamadan önce Ruslar, Çeçenlerle başlayacak olan çatışmaların kısa süreceğini düşünmüşlerdir; ancak çatışmalar başladıktan kısa bir süre sonra Çeçen savaşçılar, öldürdükleri Rus askerlerin fotoğraflarını internete yüklediklerinde durum hiç de Rus birliklerin düşündüğü gibi olmamıştır.[7] İnternette çocuklarının ölü fotoğraflarını gören Rus anneler vakit kaybetmeksizin bir araya gelerek bu çatışmaların durması için kamuoyu yaratmışlardır. Bu durumun faydasını fark eden Çeçen savaşçılar ise interneti her geçen gün daha kapsamlı kullanarak aslında bugünkü sosyal medyanın ilk adımlarını atmışlardır. Bu durum aynı zamanda NATO için önemli bir işaret fişeği olmuştur; çünkü statükocu Soğuk Savaş zihniyetinin izlerini taşıyan NATO, yakın zamanda somut bir düşmandan ziyade soyut bir düşman ile karşılaştığında ne yapacağına dair hazırlık yapmamıştır. Takip eden süreçte, NATO’nun böylesi bir duruma hazır olmadığı Kosova Savaşı sırasında anlaşılmıştır.

2. Kosova Savaşı (1998 – 1999)

Rus birlikler ile Çeçen savaşçılar arasındaki çatışmadan sadece beş yıl sonra Yugoslavya Federal Cumhuriyeti’nden bağımsızlığını isteyen Kosovalılar ile Yugoslavya kimliği altında bunu durdurmaya çalışan Sırp güçler arasındaki çatışmanın giderek büyük bir felakete dönüşmesi üzerine NATO, 1999 yılının Mart ayında Sırp güçlere yönelik hava saldırılarına başlamıştır. 7 Mayıs 1999 tarihinde ABD Hava Kuvvetleri tarafından düzenlenen hava saldırısında yanlışlıkla Belgrad’daki Çin Büyükelçiliğinin vurulması üzerine üç Çinli gazeteci hayatını kaybetmiş, büyükelçilik binası ise hasar görmüştür.[8]

Dönemin ABD Başkanı Bill Clinton, bu olayın bir kaza olduğunu belirtip Çinli resmi makamlardan özür dilemişse de gerek Çin Hükümeti gerekse Çin kamuoyu bu olayın kasıtlı olduğunu düşünmüşlerdir. Takip eden süreçte hükümet destekli Çin kızıl hacker grubu NATO’nun ve ABD’nin birçok önemli internet sitesine siber saldırıda bulunmuştur.[9] Çinli hackerler kadar Sırp hackerler da ciddi siber saldırılarda bulunmuşlardır. Bu saldırılarda NATO’nun merkez karargâhında içinde e-mail sunucusunun da yer aldığı yaklaşık yüz sunucu kilitlenmiştir.[10] Bu sebepten NATO ne kendi içerisindeki online koordinasyonu sağlayabilmiştir ne de üye ülkelerle olan online ilişkisini muhafaza edebilmiştir. Çinli ve Sırp hackerler tarafından Kosova Savaşı’nda NATO merkezi sistemini hedef alan bu saldırılar tarihte NATO’yu doğrudan hedef alan ilk siber saldırıları oluşturmuştur.

Soğuk Savaş dönemi boyunca karşısında elle tutulur, gözle görülür bir düşmanı bulunan NATO bütün savaş stratejilerini de haliyle bu yönde hazırlamıştır. Ancak Soğuk Savaş sonrası dönemde tehdit algısının değişmesi NATO’yu 1999 yılında yeni bir stratejik doküman hazırlamaya zorlamıştır. Bu dokümanda siber tehditlere çok az değinilmiş olsa da NATO siber güvenlik alanında ilk adımı bu şekilde atmıştır.

3. 11 Eylül 2001 Saldırıları ve Sonrası

11 Eylül 2001 tarihinde ABD’ye düzenlenen saldırılar sonrasında ABD, Irak’ı işgal etmeye hazırlanırken 2002 yılının Kasım ayında NATO müttefikleri Prag Zirvesi’nde muhtemel ‘siber Pearl Harbor’ ya da ‘siber 11 Eylül’ üzerine hararetli tartışmalar yürütmüştür. Konunun önemini fark eden dokuz NATO üye ülkesi (ABD, Almanya, Birleşik Krallık, Fransa, Hollanda, İspanya, İtalya, Kanada ve Norveç) hiç vakit kaybetmeksizin 2003 yılının Kasım ayında bu konuda daha fazla bilgi paylaşmak için bir anlaşma imzalamıştır. Aynı yıl NATO bünyesinde siber tehlikelerle mücadele için Siber Savunma Programı (Cyber Defense Programme) başlatılmış ve Bilgisayar Olaylarına Müdahale Gücü Teknik Merkezi (Computer Incident Response Capability) oluşturulmuştur. Bu adımın atılmasından bir yıl sonra, NATO merkez karargâhı ile diğer karargâhlar arasındaki çoklu iletişimin sağlanması ve korunması için Belçika’nın Mons şehrinde İletişim ve Enformasyon Sistemleri Ajansı (Communication and Information System Services Agency) kurulmuştur. Bu ajans hala NATO merkez karargâhı ile diğer karargâhlar arasındaki online irtibatı sağlamaktadır.

Siber tehditlerin giderek belirginleşmesi üzerine, 2006 yılındaki Riga Zirvesinde siber tehditler ve siber güvenlik konuları daha fazla tartışılmıştır. Özellikle NATO’nun temelde sahip olduğu iletişim sistemlerini koruyacak sağlam bir altyapının olmadığı gerçeği ortaya çıkınca bunun önemli sonuçlarının olabileceği fark edilmiştir. Tam da böylesi bir fark edilme döneminde Rusya ve Estonya arasındaki ihtilaf siber boyuta taşınmıştır.

4. Estonya’ya Yönelik Siber Saldırılar (28 Nisan – 23 Mayıs 2007)

Dünyada interneti ve online sistemleri en iyi kullanan ülkelerin başında gelen Estonya, Soğuk Savaş döneminde SSCB’nin en önemli bilişim üslerinden biri olmuştur. Bu sebepten, Soğuk Savaş bitip, Estonya bağımsız bir devlet olduğunda Rusya, Estonya ile arasındaki bağı her daim güçlü tutmaya çalışmıştır. Ancak her geçen gün Batı’ya daha çok yaklaşan Estonya’nın özellikle 2002 yılında NATO’nun Prag Zirvesi’nde üyelik müzakerelerine başlaması ve 2004 yılında NATO’ya üye olması Rusya ile olan bağını zayıflatmış; 2007 yılına gelindiğinde ise kopma noktasına getirmiştir.

Estonya’nın başkenti Tallinn şehrinde SSCB döneminden kalmış olan Bronz Asker Heykeli (Bronze Soldier Monument), Estonyalı idareciler tarafından askeri mezarlığa taşınmak isteğinde Estonyalı Ruslar bu duruma tepki göstermekle kalmamış 27 Nisan gecesinde Estonya’nın bilişim sistemindeki bütün sinir uçlarını devre dışı bırakmışlardır. Estonyalı Ruslar, sadece Rusya’dan değil dünyanın yaklaşık yüz farklı noktasından aldıkları destekle yaklaşık bir ay boyunca bu saldırılara devam etmişlerdir.[11] Nihayetinde bir NATO müttefiki olan Estonya siber saldırılara maruz kalmışken NATO’nun bu konudaki birimleri böylesi bir saldırıya hazırlıklı olmadıkları için anlık destek sağlayamamışlardır.

5. Bükreş Zirvesi (2 – 4 Nisan 2008) ve Sonrası

NATO üyesi bir ülke olan Estonya’da her ne kadar bilişim üst yapısı güçlü olsa da alt yapıdaki sorunlar ülkeyi içinden çıkması zor bir krize sokmuştur. Kriz boyunca NATO üyesi olmasına rağmen yeterli dış desteği göremeyen Estonya özelinde siber savunma meselesi NATO’nun 2008 yılındaki Bükreş Zirvesi’nin en önemli tartışma konusu olmuş, Zirve Bildirgesinin 47. maddesi ile siber savunma NATO’nun öncelikli savunma alanlarına girmiştir.[12]

Bükreş Zirvesi’ni takip eden süreçte aynı yıl siber güvenliğe yönelik iki önemli karar alınmıştır. Önce NATO’nun merkezi olan Brüksel’de siber savunmayı tek bir merkezden yönetmek amacıyla Cyber Defence Management Authority (Siber Savunma Yönetimi Makamı) (CDMA) kurulmuştur; sonrasında Estonya’nın başkenti Tallinn’de Cooperative Cyber Defence Centre of Excellence (Siber Savunma Mükemmeliyet Merkezi) (CCDCOE) faaliyete geçirilmiştir.

NATO’nun siber savunma politikasının koordinasyonunu sağlamakla görevli olan ve Siber Savunma Yönetimi Kurulu tarafından idare edilen CDMA’nın en önemli görevi muhtemel bir siber saldırı anında NATO Anlaşmasının 5. maddesi uyarınca üye ülkelerinin talep etmeleri durumunda sağlanacak olan yardım ve işbirliğini koordine etmektir. CDMA ile eş zamanlı olarak 2008 yılında Estonya’nın başkenti Tallinn’de kurulan CCDCOE’nin görevleri arasında ise şunlar bulunmaktadır: NATO ve üye ülkelere siber savunmaya yönelik politika yapımında destek sağlamak; bilimsel çalışmalar yürütmek; strateji üretmek ve geliştirmek; eğitim faaliyetlerini yürütmek; tatbikatlar düzenlemek ve güncel gelişmeleri takip etmek.[13]

CCDCOE’nin bugüne kadar yapmış olduğu üç önemli proje bulunmaktadır. Bunlardan ilki siber uzaya dair hukuki boşluğu bir nebze olsun doldurma adına hazırlanan Tallinn El Kılavuzu’dur (The Tallinn Manual on the International Law Applicable to Cyber Warfare). Diğer projeler ise NATO üyesi ülkeler arasında 2010 yılı itibariyle her sene düzenlenmekte olan International Conference on Cyber Conflict (Uluslararası Siber İhtilaf Konferansı) ile International Locked Shields Exercises (Uluslararası Siber Savunma Tatbikatı)dır.

6. Gürcistan’a Yönelik Siber Saldırılar (1 Ağustos – 1 Eylül 2008)

2007 yılında Estonya’daki siber saldırı senaryonun hemen hemen aynısı sadece bir sene sonra Gürcistan’da vuku bulmuştur. Distributed Denial of Service (Dağınık servis dışı bırakma) (DDoS) yöntemi kullanılarak Gürcistan Hükümeti’nin bilişim altyapısındaki boşluklar hackerler tarafından tespit edilmiş ve yoğun saldırıya maruz bırakılmıştır. Saldırılar sürecinde Gürcistan’a sadece Rusya’dan değil dünyanın birçok bölgesinden siber saldırı düzenlenmiştir.

Gürcistan’ın NATO üyesi olmaması sebebiyle doğrudan yardım sağlayamayan NATO, ancak saldırıların son raddeye varması üzerine Estonya Hükümeti’nin girişimleri neticesinde bir grup uzmanı Gürcistan’a gönderebilmiştir. Bu uzmanların desteğiyle uzun süren siber saldırılardan sonra ülkedeki bilişim sistemi henüz yakın zamanda normale döndürebilmiştir. Gürcistan’ın maruz kaldığı bu saldırılar NATO’nun 2010 yılındaki Lizbon Zirvesindeki önemli alt konu başlıklarından birini oluşturmuştur.

7. Lizbon Zirvesi (19 – 20 Kasım 2010) ve Sonrası

2010 yılındaki Lizbon Zirvesi’nde NATO’nun bir süredir üzerinde politika üretmeye çalıştığı siber güvenlik alanında önemli eksiliklerin olduğu fark edilmiştir. Özellikle Gürcistan gibi organizasyona üye olma planı yapan bir ülkeye yönelik asimetrik saldırılarda NATO’nun fazla canlılık gösterememesi NATO üyeleri arasında tartışma konusu olmuştur. Bu sebepten aynı yıl NATO Savunma Bakanları yeni bir siber güvenlik politikası üzerinde anlaşmaya varmışlar ve muhtemel siber saldırılara en hızlı şekilde karşılık verme amacıyla Rapid Reaction Teams (Hızlı Tepki Timlerini) kurmuşlardır.

2012 yılındaki Şikago Zirvesi’nde ise üye ülkeler arasında hala önemli koordinasyon eksikliğini olduğu fark edilmiştir. Bunun için 2013 yılında beş NATO üye ülkesi (Danimarka, Hollanda, Kanada, Norveç ve Romanya) daha fazla işbirliği ve koordinasyon için Multinational Cyber Defense Capability Development Project (Çokuluslu Siber Savunma Kapasitesi Geliştirme Projesini) başlatmıştır. Ancak bu proje sadece bu beş ülke tarafından desteklendiği için fazla verimli olamamıştır.

8. Newport Zirvesi (4 – 5 Eylül 2014)

Küresel siyasette 2010 yılında başında başlayan hareketlilik NATO’yu birçok alanda varlık göstermeye zorladığı için belirli alanlara daha fazla ağırlık verilmesini gerektirmiştir. Özellikle 2014 yılındaki Newport Zirvesi’nde NATO’nun üzerindeki aşırı yük kendini göstermiş ve konjonktürel sebeplerden ötürü zirvenin ağırlığı Ukrayna Krizi ve IŞİD terör örgütüne verildiğinden siber savunma politikası haliyle ön plana çıkamamıştır.

NATO’nun aşırı iş yüküne rağmen siber güvenlik politikası Newport Zirvesi öncesinde belirlenen beş öncelikli (Ukrayna Krizi, Afganistan’ın geleceği, yeni tehditlerle mücadele, silahlı kuvvetler için desteğin artması ve üye ülkeler arasında işbirliğini güçlendirmek) alan içerisinde ‘yeni tehditlerle mücadele’ başlığı altında yer almıştır. Zirvede bu konuya dair kısıtlı tartışmalar neticesinde güçlendirilmiş Enhanced Cyber Defence Policy (Siber Savunma Politikası) kabul edilerek NATO’nun siber güvenlik politikasının gelişimi adına yeni bir adım daha atılmıştır. Zirvenin sonuç bildirgesinde ise dört (64, 72, 73 ve 104) maddede siber tehditlere ve güvenliğe dair aşağıdaki şu önemli kararlar alınmıştır:[14] gelecekte siber tehditlerin kapsamı ve sayısı artacağından üye ülkeler daha fazla işbirliği yapmalıdır; uluslararası hukukta siber uzaya dair büyük bir boşluk bulunduğundan üye ülkeler bu konuda daha fazla koordinasyon halinde olmalıdır; siber güvenliğe yönelik üye ülkeler kendi politikalarını güçlendirilmelidir; Avrupa Birliği gibi siber güvenlik konusunda girişimde bulunan oluşumlar ile ilişkiler arttırılmalıdır ve siber uzay sektöründe faaliyet gösteren şirketler ile ilişkiler güçlendirilmelidir.

III. Sonuç

1990’ların hemen başında sona eren Soğuk Savaş, uzun zamandır gebe olduğu birçok problemi doğurmuştur. Özellikle, yeni güvenlik anlayışı bünyesinde değerlendirilen alanların kesişim noktasında yer alan siber güvenlik konusu NATO’yu zorlayan en önemli meseleler arasından yer almıştır. Ancak siber uzaydaki hızlı gelişmeler, siber güvenlik konusunu orta ve uzun vadede tartışılacak ve üzerinde düşünülecek en önemli konu yapmaktadır. Siber tehditlerin her gün konsept değiştirmesi; tehditlerin kaynaklarının belirgin olmaması ve uluslararası hukuktaki büyük boşluk NATO ve üye ülkeler için zorlu günlerin habercisidir. Bu dâhilde, NATO ve üye ülkeler zaman kaybetmeksizin siber güvenliğe yönelik politikalarını güçlendirmek zorundadır; çünkü kapsamlı bir siber saldırı durumunda bu saldırılara çözüm üretmek çok daha zor olacaktır.

H. Mehmet Boyraz, Stratejik Araştırmalar Merkezi Öğrenci Platformu Akademi Başkanı

Makaleyi şu şekilde referans vererek kullanabilirsiniz:

Boyraz, H.M. (Aralık, 2015), “NATO’nun Siber Güvenlik Politikası: Tarihsel Süreç ve Kırılma Noktaları” Cilt IV, Sayı 12, s.32-40, Türkiye Politika ve Araştırma Merkezi (Research Turkey), Londra: Research Turkey (http://researchturkey.org/?p=10236&lang=tr)

Sonnotlar

[1] Bilal Karabulut, “Küreselleşme Sürecinde Güvenlik Alanında Değişimler: Karadeniz’in Güvenliğini Yeniden Düşünmek” Karadeniz Araştırmaları, Cilt: 6, Sayı: 23, Güz 2009, sayfa: 2.

[2] Bilal Karabulut, a.g.m., sayfa: 2.

[3] Bilal Karabulut, a.g.m., sayfa: 7.

[4] Hasan Çiftçi,  Her Yönüyle Siber Savaş, TÜBİTAK Popüler Bilim Kitapları, 2013, sayfa: 6.

[5] Oxford Dictionary, Cyber Threat, [Erişim Tarihi: 5 Ekim 2015], Şuradan ulaşılabilir:

http://www.oxforddictionaries.com/

[6] Hasan Çiftçi,  a.g.m., sayfa: 4.

[7] Salih Bıçakçı, Yeni Savaş ve Siber Güvenlik Arasında NATO’nun Yeniden Doğuşu, Uluslararası İlişkiler, Cilt:9, Sayı: 34, Yaz 2012, sayfa: 209.

[8] Yavuz Yener, İlk Siber Savaş Örneği Olarak Kosova, Siber Bülten, [Erişim Tarihi: 5 Ekim 2015], Şuradan ulaşılabilir:

http://siberbulten.com/makale-analiz/ilk-siber-savas-ornegi-olarak-kosova/

[9] Emre Bakır, Beşinci Boyutta Savaş: Siber Savaşlar – I, TÜBİTAK BİLGEM, [Erişim Tarihi: 5 Ekim 2015], Şuradan ulaşılabilir:

https://www.bilgiguvenligi.gov.tr/siber-savunma/5.-boyutta-savas-siber-savaslar-i.html

[10] Salih Bıçakçı, NATO’nun Gelişen Tehdit Algısı: 21. Yüzyılda Siber Güvenlik, Uluslararası İlişkiler, Cilt: 10, Sayı: 40, Kış 2014, sayfa: 118

[11] Yazarın Doç. Dr. Salih Bıçakçı ile 11 Mayıs 2015 tarihinde Skype Üzerinden Yapmış Olduğu Röportaj, [Erişim Tarihi: 5 Ekim 2015], Şuradan ulaşılabilir:

http://politikaakademisi.org/doc-dr-salih-bicakci-ile-natonun-siber-guvenlik-politikasi-uzerine-roportaj/

[12] Mehmet Meral,  NATO ve Siber Savunma, [Erişim Tarihi: 5 Ekim 2015], Şuradan ulaşılabilir:

https://mehmetmeral.wordpress.com/2015/01/17/nato-ve-siber-savunma/

[13] NATO Cooperative Cyber Defense Centre of Excellence, [Erişim Tarihi: 5 Ekim 2015], Şuradan ulaşılabilir:

https://ccdcoe.org/history.html

[14] NATO Wales Summit Declaration, [Erişim Tarihi: 5 Ekim 2015], Şuradan ulaşılabilir:

http://www.nato.int/cps/en/natohq/official_texts_112964.htm

Facebooktwitterlinkedinmail

Yorumlar

Loading Facebook Comments ...

Bir Cevap Yazın

E-posta hesabınız yayımlanmayacak.