Kamu-Özel Sektör İş Birliği

Yapay zeka, kuantum bilişim ve düzenlemeler siber savunmayı yeniden şekillendirirken hükümet ve özel sektörün birlikte çalışması gerekiyor.
 
Hükümetlerin artık siber güvenliğe verdiği önemin artması, siber ekosistemde oynadıkları kritik rolü yansıtıyor. Teknoloji sağlayıcıları günümüzün dijital ortamını tek başına güvenli hale getirme kabiliyetine sahip değil. Aynı zamanda, siber tehditlerin artan karmaşıklığını çözmek de mevzuattan, düzenlemeden veya yasa uygulamasından fazlasını gerektiriyor. Siber suçu etkili bir şekilde sekteye uğratmak için hem kamu hem de özel sektörün de bilgi paylaşımını, bilinçli politika yapımını ve koordineli müdahaleleri mümkün kılan sürekli ilişkileri sürdürmesi gerekiyor.
 
Öte yandan, DORinsight tarafından Fortinet Türkiye için hazırlanan “2025 Siber Güvenlik Araştırması”, siber saldırıların Türkiye'deki kurumlar için de günlük bir operasyonel gerçeklik haline geldiğini gösteriyor. Araştırmaya göre, kurumların %65,2'si geçtiğimiz yıl en az bir güvenlik ihlali yaşarken, %40,9'u mevcut savunma mekanizmalarının yetersiz olduğunu kabul ediyor. Katlanarak büyüyen sorunları çözmek adına kurumlar, stratejilerini reaktif önlemlerden proaktif ve akıllı savunma mekanizmalarına doğru kaydırıyor. Araştırma, yapay zekaya doğru kitlesel bir stratejik yönelim olduğunu vurguluyor: Büyük Ölçekli Yapay Zeka Adaptasyonu: Kurumların yaklaşık %88'i yapay zekayı benimsiyor; %37,4'ü halihazırda yapay zeka tabanlı güvenlik çözümleri kullanırken, %51,3'ü önümüzdeki 12 ila 24 ay içinde siber güvenlikte yapay zekaya yatırım yapmayı planlıyor.
 
Hükümetlerin katılımı yeni bir seviyeye ulaşıyor
Ülkelerin kendilerine özgü yasal, ekonomik ve güvenlik bağlamları olmasına rağmen, karşılaştıkları tehditler sınırları kolayca aşıyor. Siber suçlar, tedarik zinciri riskleri, yapay zeka destekli saldırılar ve yaygın olarak kullanılan teknolojilerdeki açıklar nadiren tek bir yargı alanıyla sınırlı kalıyor. Hükümetler arası ile kamu ve özel sektör arasındaki iş birliğinin de aynı şekilde sınırları aşabilecek kapasitede olması gerekiyor.
 
Black Hat sırasında, Fortinet CISO'su Dr. Carl Windsor dahil olmak üzere Fortinet yöneticileri; olmak üzere dünyanın dört bir yanından hükümet siber güvenlik ajanslarının yetkilileriyle bir araya geldi.  
 
Bu temaslar boyunca; hükümetlerin ve endüstrinin, yapay zeka, gelişen teknolojiler ve giderek karmaşıklaşan düzenleyici gereksinimler tarafından yeniden şekillendirilen bir tehdit ortamına nasıl yanıt verebileceğine dair yinelenen çeşitli endişeler ortaya çıktı.
 
Yapay zeka hem savunmayı hem de saldırıyı değiştiriyor
Yapay zeka, bu tartışmaların birçoğunda kilit bir konu oldu ancak tek, açıkça tanımlanmış bir politika sorunu olarak öne çıkmadı. Bunun yerine hükümetler ve endüstri, birbirine bağlı birkaç zorluğu aynı anda ele alıyor.
 
Yapay zeka savunuculara zafiyetleri tespit etmek, tehditleri analiz etmek, incelemeleri otomatikleştirmek ve müdahaleyi hızlandırmak için yeni yöntemler sağlarken; tehdit aktörleri de dolandırıcılıkları, sahtekarlıkları, kimliğe bürünmeleri, deepfake'leri (derin sahtekarlıkları) ve diğer sosyal mühendislik taktiklerini geliştirmek için yapay zekayı kullanıyor. Ayrıca daha sofistike saldırılar koordine etmek ve bir zamanlar çok daha fazla zaman, uzmanlık ve personel gerektiren faaliyetleri otomatikleştirip ölçeklendirerek operasyonlarını endüstriyelleştirmek için yapay zekadan yararlanıyorlar. Bu araçlar daha erişilebilir hale geldikçe hükümetler ve kurumların, yalnızca daha büyük bir saldırı hacmiyle değil, aynı zamanda daha yüksek hız, koordinasyon ve sofistike düzeyde hareket edebilen düşmanlarla karşı karşıya kalması bekleniyor.
 
Yapay zeka destekli araçlar potansiyel zafiyetleri daha hızlı ve çok daha büyük bir ölçekte tespit ettikçe; üreticiler bunları doğrulamak, önceliklendirmek, bildirmek ve düzeltmek konusunda yeni zorluklarla karşılaşıyor. Müşteriler ise ilgili bir zorlukla karşı karşıya: yönetilemeyen bir yama akışından ötürü "bin kesikle ölüm" (death by a thousand cuts) durumuna maruz kalmadan, hangi bildirimlerin acil eylem gerektirdiğini belirlemek. Finansal hizmetler ve sağlık gibi düzenlemeye tabi sektörlerde her değişiklik; test etme, onaylama ve dikkatle planlanmış bir dağıtım gerektirebiliyor. Önceliklendirilmemiş bir bildirim dalgası sınırlı kaynakları zorlayabiliyor, operasyonları aksatabiliyor ve hangi risklerin acil eylem gerektirdiğini belirlemeyi zorlaştırabiliyor.
 
Çözüm, zafiyet keşfini yavaşlatmak değil. Fortinet, çözümün daha hızlı keşfi, risk tabanlı önceliklendirme, sorumlu bildirim, net iletişim ve müşterilerin operasyonlarını yansıtan düzeltme süreçleriyle birleştirmek olduğunun altını çiziyor.
 
Kuantum bilişim bu kadar acil bir kaygı değil ama yine de tartışmanın önemli bir parçası olmaya devam ediyor. Zaman çizelgesi belirsizliğini korusa da, hükümetler ve kurumların bunun uzun vadeli güvenlik etkilerine hazırlanmaya başlaması gerekiyor. Kuantum güvenli güvenliğe geçiş; teknoloji sağlayıcıları, standart kuruluşları, hükümetler ve kritik altyapı işletmecileri arasında iş birliği gerektirecek.
 
Düzenlemeler esnek kalmalı
Görüşmelerde ayrıca yapay zeka düzenlemesi ve buna bağlı olarak AB Siber Dayanıklılık Yasası (EU Cyber Resilience Act), ürün sertifikasyon ve testleri ile ulusal ve bölgesel egemenliğe ilişkin gereksinimler de ele alındı. Hükümetler; hesap verebilirliğin tesis edilmesinde, vatandaşların, kurumların ve kritik altyapının korunmasında kritik bir rol oynuyor. Fakat siber politika, olağanüstü hızlı hareket eden bir ortamda işliyor. Teknoloji ve tehdit yöntemleri, düzenleyici çerçeveler hala geliştirilmekte ve uygulanmaktayken bile önemli ölçüde evrilebiliyor.
 
Bu durum, düzenleyici çevikliğin önemini ortaya koyuyor. Kuralların; savunucuların kullanabileceği araçlar ve yöntemlerde esneklik tanırken, net sonuçları ve sorumlulukları tanımlaması gerekiyor. Aşırı kuralcı gereksinimler, kurumları mevcut tehdit ortamıyla artık uyuşmayan eski varsayımlara hapsetme riski taşıyor. Güvenliği artırmayı amaçlayan düzenlemelerin, savunucuların uyum sağlama yeteneğini engellememesi gerekiyor.
 
Egemenlik, ilave bir katman getiriyor. Hükümetler ve düzenlemeye tabi kuruluşlar, benimsedikleri teknolojilerin veri yönetimi, ürün güvenliği, sertifikasyon ve operasyonel denetim konularındaki bölgesel standartlara uyduğuna dair kanıtları giderek daha fazla talep ediyor. Bu talepleri karşılamak, yalnızca kapsamlı bir güvenlik garantisinden fazlasını gerektiriyor. Bu durum; şeffaflığa, bağımsız olarak doğrulanmış yeteneklere ve farklı düzenleyici ortamlardaki müşterilere yardımcı olma kapasitesine dayanıyor.
 
Güven krizden önce inşa edilir
Kamu-özel sektör ortaklıkları, bazen yalnızca bir kriz sırasında başlıyormuş gibi ele alınıyor. Ancak etkili koordinasyon, acil bir durumdan çok önce kurulmuş ilişkilere dayanıyor.
 
Bu ortaklıklar, bir bilgi alışverişinden fazlasını sunuyor. Güvene dayalı ilişkiler aynı zamanda bu bilginin doğrulanmasını, bağlamına oturtulmasını ve eyleme dönüştürülmesini sağlıyor. Söz konusu güven; tutarlı iletişim, sorumlu şeffaflık, teknik güvenilirlik ve neyin işe yarayıp neyin yaramadığına dair samimi tartışmalar yoluyla inşa ediliyor.
 
Bununla birlikte, katılım yalnızca bir başlangıç. İlerlemenin gerçek ölçütü; bu sohbetlerin daha güçlü bilgi paylaşımına, daha etkili ürün güvenliği stratejilerine, egemenlik ve sertifikasyona yönelik pratik yaklaşımlara ve gelişen tehditlere uyum sağlayabilecek politika çerçevelerine yol açıp açmayacağı olacak.
 
Siber güvenlik artık hiçbir kuruluşun tek başına hareket edemeyeceği kadar hızlı evriliyor ve ulusal ile kurumsal sınırların çok ötesine uzanıyor. Siber savunmanın geleceği; güvene, kolaylaştırılmış operasyonel uygulamalara ve etkili koordinasyonu mümkün kılan düzenleyici esnekliğe dayanan, hükümet ve endüstri arasındaki iş birliğine bağlı.