ABD'de özel şirketlere devlet denetiminde siber operasyon yetkisi

ABD hükümeti, yurt dışındaki siber suç örgütleriyle mücadele operasyonlarına devlet denetimi altında katılabilecek onaylı özel şirketler için yeni bir program oluşturdu. Düzenleme şirketlere bağımsız hackleme misillemesi hakkı tanımıyor; bunun yerine gözetim ve müdahale operasyonlarına devlet kontrolü altında katılım kapısını aralıyor.

Beyaz Saray, 13'ünde (yerel saatle) Başkan Trump imzalı 'Ulusötesi Siber Suçla Mücadele Kapasitesinin Genişletilmesi' başlıklı memoyu yayımladı. Memo, Ulusal Koordinasyon Merkezi'ne özel şirket katılımlı bir program kurma talimatı veriyor ve operasyon kapsamını yurt dışı kaynaklı siber ulusötesi suç örgütleriyle sınırlıyor.

Programa katılan şirketler ABD Adalet Bakanlığı ve İç Güvenlik Bakanlığı'nın onayına ve denetimine tabi olacak. Operasyonlar, bilgi toplamayı ifade eden 'siber gözetim operasyonları' ile bilgi sistemlerinin bozulmasını, engellenmesini, düşürülmesini veya yok edilmesini kapsayan 'siber etki operasyonları' olarak ikiye ayrılıyor.

Ancak Beyaz Saray belgesi, özel şirketlerin saldırganları kendi başına takip edip karşılık verebileceğini belirtmiyor. Operasyonların federal hükümetin yasal yetkisi çerçevesinde yürütülmesi şart; Adalet Bakanlığı ve İç Güvenlik Bakanlığı yetkililerinin yazılı onayı olmadan hiçbir adım atılamıyor.

Programa katılan şirketlerden en az 1 milyon dolar tutarında teminat ya da emanet hesabı istenebiliyor. Sözleşme ihlali durumunda bu tutar müsadere edilebiliyor. Uygulama kılavuzunun memonun yürürlüğe girmesinden itibaren 60 gün içinde hazırlanması gerekiyor; kılavuzda şirket uygunluk kriterleri, hedef seçimi, onay süreci ve raporlama yükümlülükleri yer alacak.

Bir Amerikan vatandaşının ya da ABD içindeki bir sistemin işin içine girdiği durumlarda ayrı onay ve arındırma süreci gerekiyor. Operasyon sırasında bir Amerikalının, ABD içindeki bir bilgi sisteminin ya da bir Amerikalının kontrolündeki bir sistemin istemeden hedef alındığı fark edilirse operasyon derhal durdurulmalı ve durum Ulusal Koordinasyon Merkezi'ne bildirilmelidir.

TechCrunch, bu adımın ABD'nin bazı özel şirketlere siber saldırı izni verdiği ilk örnek olduğunu yazdı. Aynı haberde, söz konusu memonun genel anlamda hackleme misillemesine izin vermediği de vurgulandı. Programa hangi şirketlerin dahil olduğu şu aşamada açıklanmadı.

Bu adım, mevcut kamu-özel sektör iş birliğinden çok daha geniş bir kapsama sahip. ABD Adalet Bakanlığı, 3 Haziran'da (yerel saatle) açıkladığı 'Disruption Week' sonuçlarında özel sektörle birlikte milyonlarca sahte hesabı engellediğini ve 3,8 milyon dolardan fazla kripto para varlığının dondurulmasına destek olduğunu bildirmişti. O dönemki özel sektör katılımı, gönüllü hesap engelleme ve varlık dondurma iş birliğine daha yakındı.

TokenPost daha önce, Başkan Trump'ın yurt dışındaki ulusötesi suç örgütlerini hedef alacak şekilde federal kolluk kuvvetlerinin siber araç kullanımını genişleten bir memo imzaladığını duyurmuştu. Yeni belge, sanal varlık hırsızlığı, fidye yazılımı ve finansal dolandırıcılıkla mücadelede kullanılabilecek soruşturma araçlarını genişleten politika çizgisinin devamı niteliğinde.

Düzenlemenin özünde, özel sektör kapasitesinin kullanılması ama devlet yetkisinin sınırları içinde tutulması yer alıyor. Siber güvenlik şirketleri bugüne kadar genellikle ihlal göstergesi paylaşımı, kötü amaçlı altyapı takibi ve hesap engelleme desteği gibi savunma ve soruşturma destek rollerini üstlendi. Yeni program bu rolü devlet onaylı operasyon katılımına genişlettiği için tartışmalı bulunuyor.

Hukuki sorumluluk da gündemde. Lawfare, özel şirketlerin bağımsız olarak saldırgan siber operasyonlar yürütmesine imkan tanıyan mevcut bir federal yasal çerçeve bulunmadığını, Bilgisayar Dolandırıcılığı ve Kötüye Kullanım Yasası (CFAA) ile eyalet ve yabancı yasalar arasında çatışma ihtimalinin sürdüğünü belirtti. Devlet denetimi olsa bile, fiili operasyon sürecinde sorumluluğun kimde olduğunun karmaşıklaşabileceği anlamına geliyor.

Citizen Lab ise özelleştirilmiş siber savaşın denetimi zorlaştırabileceğini, yanlış değerlendirme ve tırmanma riskini artırabileceğini değerlendirdi. Yurt dışındaki suç örgütlerini hedef alan bir operasyon bile üçüncü taraf altyapılara ya da yabancı yargı alanlarına temas etme ihtimalini taşıyor.

Jake Williams(Jake Williams) Hunter Strategy Araştırma ve Geliştirme Başkan Yardımcısı, TechCrunch'a yaptığı açıklamada Amerikalıların yurt dışında 'düzensiz muharip' olarak sınıflandırılabileceğini söyledi. Bu açıklama, sivil personelin devlet operasyonlarına katılımı sırasında hukuki koruma ve yabancı hükümetlerin tepkisi sorununun birlikte gündeme geldiğini gösteriyor.

Politika çizgisi de değişti. Beyaz Saray, Mart ayına kadar özel şirketlerin doğrudan siber saldırı kampanyalarına katılımı fikrine mesafeli duruyordu. Ağustos ayındaki memo, savunma iş birliğinden devlet kontrollü operasyon katılımına geçişi temsil eden bir adım olarak değerlendiriliyor.

Adımın Türkiye'deki ve küresel kripto para piyasasına dolaylı etkileri de var. Uluslararası dolandırıcılık örgütleri, fidye yazılımı ve çalınan fonların aklanması; borsaların, cüzdan sağlayıcılarının ve soruşturma birimlerinin birlikte mücadele etmesi gereken bir alan. TokenPost yakın zamanda, Çin kökenli hackleme grubu Jewelbug'ın siber istihbarat faaliyetleri ile kripto para dolandırıcılığını aynı altyapı üzerinden yürüttüğünün tespit edildiğini aktarmıştı.

Fiili operasyon kapsamı, önümüzdeki dönemde yayımlanacak uygulama kılavuzuyla netleşecek. Beyaz Saray memosu, şirket uygunluk kriterlerinin, hedef seçiminin, onay sürecinin ve raporlama yükümlülüklerinin 60 gün içinde belirlenmesini şart koşuyor.