ABD, siber savaş için teknoloji şirketleri ile anlaşıyor

ABD Başkanı Donald Trump, ABD’li şirketlerin yabancı siber suç çetelerine karşı siber saldırılar düzenlemesi için yasal bir yol açıyor.

Bu, onaylanmış teknoloji ve siber güvenlik firmalarını dijital savaşın ön saflarına taşıyacak, önemli ve potansiyel olarak tartışmalı bir önlem.

Çarşamba günü geç saatlerde yayınlanan başkanlık memorandumu, Trump yönetiminin yabancı dolandırıcılık ve siber saldırılara karşı defalarca daha agresif önlemler alınmasını talep etmesi üzerine geldi

Beyaz Saray’ın belirttiğine göre bu saldırılar geçen yıl Amerikalılara yaklaşık 21 milyar dolarlık zarara yol açtı.

Bu bildiri, son yıllarda ABD siber politikasında gerçekleştirilen en büyük dönüşümlerden birini temsil ediyor.

Bildiri, internet altyapısı üzerindeki verileri ve kontrolü sayesinde yabancı hackleme operasyonlarına ilişkin benzersiz içgörüler sunan teknoloji ve güvenlik şirketlerine, devlet onayıyla dijital saldırılar düzenleme yetkisi verecek.

Bu tür şirketlerin çoğu halihazırda ABD istihbarat ve kolluk kuvvetleriyle yakın işbirliği içinde olsa da, bir dizi hukuki ve siyasi kısıtlama uzun süredir onların yabancı ağlar içinde doğrudan harekete geçmelerini engelliyordu.

Katılmak isteyen şirketlerin hem Adalet Bakanlığı hem de İç Güvenlik Bakanlığı ile sözleşme imzalamaları ve hükümetle çalışırken bildirgede “sıkı güvenlik incelemesi” olarak tanımlanan bir süreçten geçmeleri gerekecek.

Bu kapsamlı çaba, Trump yönetiminin daha önceki bir başkanlık kararnamesiyle kurulan ve Adalet Bakanlığı ile İç Güvenlik Bakanlığı’ndan ortak icra direktörlerinin görev yaptığı Ulusal Koordinasyon Merkezi tarafından denetlenecek.

Fakat memorandumda, Adalet Bakanlığı ve İç Güvenlik Bakanlığı’ndaki icra direktörlerinin, “Katılımcı Şirketlerin performansının tam denetimini ve kontrolünü” garanti eden “konsensüs prosedürlerini” Beyaz Saray İç Güvenlik Konseyi ile belirleyene kadar, şirketlerin hiçbir operasyonunun onaylanmayacağı belirtiliyor.

Memorandumda, bu prosedürlerin 60 gün içinde hazırlanması gerektiği ifade ediliyor. Bu prosedürlerin kapsamlı olması muhtemel.

Bu prosedürler, katılımcı şirketlerin önerilen saldırı amaçlı siber saldırı operasyonları için onay alabilmeleri amacıyla atmaları gereken adımları ana hatlarıyla belirleyecek.

Böylece hükümet, hedeflerin suç çeteleri olduğunu teyit edebilecek ve operasyonların ABD yasalarına uygun olmasını ve devam eden ABD istihbarat çabalarını baltalamamasını sağlayabilecek.

Şirketler, suçluların tespit edilmesine yardımcı olacak gözetleme operasyonları veya saldırılarını gerçekleştirmek için kullandıkları sistemleri devre dışı bırakmaya yönelik “etki” operasyonları önerebilirler.

Katılımcı şirketler, teknik uzmanlık ve personel güvenlik incelemesi konusunda asgari standartları karşılamak zorunda olacak ve onaylanan operasyonların can kaybına yol açabileceğini veya uluslararası hukuk kapsamında güç kullanımı düzeyine ulaşabileceğini düşündükleri takdirde federal hükümete bildirimde bulunmaları gerekecek.

Bazıları bu memorandumu, ABD hükümetinin ABD kolluk kuvvetlerinin erişim alanı dışında faaliyet gösteren yabancı siber suç çetelerine karşı mücadele etmesine yardımcı olacak kritik bir adım olarak görüyor.

ABD hükümeti için saldırı amaçlı siber araçlar geliştiren bir startup olan Twenty’nin CEO’su ve kurucu ortağı Joe Lin şöyle konuştu:

“Yıllardır Amerikan teknoloji sektörünü stratejik bir varlık olarak nitelendiriyorduk fakat siber alanda kenara itmiştik. Bu yönetim, paradigmayı değiştiriyor.”

Memorandumda, şirketlerin yalnızca “yabancı bir hükümetin kurumsal bir parçası olmayan veya tamamen yabancı bir hükümetin talimatı altında faaliyet göstermeyen” suçluları hedef almaya yetkili olacağı belirtiliyor.

ABD istihbarat topluluğunun yardımı olsa bile, bu ayrımı yapmak zor olabilir.

Memorandumda, yanlışlıkla bir ABD vatandaşını veya ağını hedef alan operasyonlar yürüten şirketlerin, operasyonu derhal durdurmaları ve ABD hükümetine bildirmeleri gerektiği belirtiliyor.

Öte yandan, “operasyonun onaylanmasından önce, adli veya başka türlü gerekli tüm yetkilendirmeleri” aldıkları sürece, kasıtlı olarak bir “ABD’li kişiye” “yöneltilen” faaliyetlerin engellenmediği anlaşılıyor.

ABD yasalarına göre, “ABD’li kişi” terimi bir Amerikan şirketini veya kuruluşunu ifade edebilir.

Birçok Kongre üyesi ve güvenlik uzmanı, siber suçlara karşı mücadelede özel sektörün daha büyük bir rol oynaması yönündeki çağrıları genel olarak destekliyor.

Fakat hepsi, özel sektöre aktif siber saldırı girişimleri başlatma yetkisi verilmesini onaylamıyor.