Son dönemde siber dünyada en çok tartışılan konulardan biri ABD ve İran arasındaki gerginliğin siber uzaydaki yansımaları. Bu çerçevede geçtiğimiz ay, İran’ın ABD’ye ait bir insansız hava aracını vurmasının ardından, ABD’nin İran’ın silah sistemlerine düzenlediği siber saldırılar gündeme gelmiş (1) ve saldırıların başarılı olduğu iddiası İranlı yetkililer tarafından yalanlanmıştı (2). Öte yandan, ABD’nin Rusya’nın elektrik şebekelerine dijital saldırılarını arttırdığına ilişkin haberler, enerji altyapılarında siber güvenlik konusunu yeniden gündeme taşımıştı.

Dijitalleşme dalgası kritik altyapı sistemlerini de dönüştüren bir süreci beraberinde getirdi. Bu çerçevede, bu sistemlerde artan siber güvenlik zafiyetlerinden bahsetmek mümkün hale geldi. Ponemon Enstitüsü’nün yayınladığı araştırma raporuna göre (3), kritik altyapı operatörlerinin %90’ı IT (Bilgi Teknolojileri) / OT (Operasyonel Teknolojiler) sistemlerinin son iki yılda siber saldırıya uğradığını ifade ediyor. Bu çerçevede, başta enerji sistemleri olmak üzere, kritik altyapıların siber güvenliğinin sağlanması çalışmaları uluslararası ve ulusal düzlemde hız kazanıyor. ZDNet’in haberine göre(4), ABD, siber saldırılara karşı savunma önlemi olarak "Retro" yani analog ve manuel teknolojilerin kullanılmasını zorunlu kılarak enerji santrallerinin güvenliğini artırmayı planlıyor. Habere göre, “Retro” teknolojiyi kullanma fikri şebekenin en önemli bileşenlerinden olan kontrol sistemlerine olabilecek yıkıcı bir saldırının önünü kesmeyi amaçlıyor.

Bu çerçevede, eğer onaylanırsa, SEIA (Securing Energy Infrastructure Act) ile ABD’deki ulusal laboratuvarların (National Labs) iki senelik bir pilot çalışma başlatması öngörülüyor. Bu çalışmada elektrik şebekelerindeki güvenlik zafiyetlerine ilişkin araştırmalar yürütülecek ve buna ek olarak kurulacak çalışma gruplarıyla, kritik sistemleri siber saldırılardan koruyacak ve onları izole edecek yeni analog cihazlar üzerinde çalışılacak. Cyware’in haberine göre, ABD’deki bu tasarı, Ukrayna’da 2015’te yaşanan siber saldırıdan ve 225.000’den fazla Ukraynalıyı etkileyen elektrik kesintisinden çıkarılan derslerden etkilenerek hazırlanmış (5). Ukrayna’yı hedef alan siber saldırıyı inceleyen araştırmacılara göre, eğer Ukrayna’daki elektrik altyapılarının kontrol sistemleri ve iş ağları arasındaki segmentasyon bu denli kuvvetli olmasaydı, saldırı çok daha ciddi sonuçlar doğurabilirdi (6).

Yasa önerisi hakkında konuşan ve tasarıyı 2016’da senatoya sunan ABD’li senatörler King ve Risch bu tasarının, otomatize sistemleri, insan operatörleri tarafından kontrol edilen manuel prosedürler gibi düşük teknolojili araçlarla değiştirmenin yollarını arayacağını belirtiyorlar. Öte yandan, uzmanlara göre, bu yaklaşım, şebekeye erişmek isteyen en yetenekli siber saldırganların bile fiziksel bir erişime ulaşmalarını zorunlu kılacak ve böylece siber saldırıların meydana gelmesi daha da zor bir hal alacak. Yine de 2020 Mali Yılı Ulusal Savunma Yetki Yasası'nın bir parçası olarak tanıtılan SEIA'nın uygulamaya girmesi için ABD Temsilciler Meclisinden onay alması gerekiyor.  Tasarının onaylanması halinde ulusal şebeke operatörleriyle elektrik şebekesi işletmecilerini incelemek ve olası güvenlik açıklarını tespit edebilmek için iki yıllık pilot bir program oluşturulacak.

Habere göre, yasa tasarısı 2015 yılında Ukrayna’nın enerji şebekelerine yapılan saldırıdan esinlendi. Rusya tarafından destekli grupların- BlackEnergy- düzenlendiği iddia edilen saldırıda, endüstriyel kontrol sistemlerine sızılarak, ülkenin elektrik şebekesinin bir bölümü ele geçirilmişti. Saldırı 225.000’den fazla Ukrayna vatandaşının Noel arifesinde elektriksiz kalmasına sebep olmuştu. Uzmanlara göre, saldırının görece daha az hasarla atlatılmasında analog sistemlerin rolü büyük. Zira, Ukrayna'nın enerji şebekesi manuel teknolojiye tabanlı olmasaydı saldırının çok daha ciddi sonuçlar doğurabileceği iddiası var. SEIA aracılığıyla ise, ABD’nin elektrik şebekesine yapılacak olası herhangi bir siber saldırının zararının, Ukrayna’da olduğu gibi benzer bir şekilde sınırlandırılması hedefleniyor.

ZDNet'teki haberi kaleme alan Catalin Cimpanu’ta göre ilgili tasarı, ABD’li siber güvenlik firması Symantec'in 2017 yılında, elektrik şebekesi operatörleri hedef alan Rusya bağlantılı hacker grubunu rapor etmesinin ardından gündeme geldi. Öte yandan, ABD istihbarat yetkilileri uzun zamandır hem Çin hem de Rusya’nın, ABD’nin güç şebekelerine sızma konusunda teknik yeteneklere sahip olduğu konusunda uyarılarda bulunuyor. Geçtiğimiz ay ise Trump yönetimi, Rusya'nın ABD’nin enerji sektörüne odaklanmasına karşılık olarak Rusya'nın elektrik şebekesini hedef alan siber operasyonları hızlandırdığını dile getirmişti. Son olarak, siber dünyada yaşanan tüm bu olayların siber tehdit aktörlerinin güç şebekeleri üzerinden artan mücadelesine işaret ettiğini de iddia etmek mümkün. 

Kaynaklar:

1. BBC, “US 'launched cyber-attack on Iran weapons systems”, 23 Haziran 2019, Erişim: https://www.bbc.com/news/world-us-canada-48735097
2. Aljazeera, Iran denies being hit by US cyberattack, 24 Haziran 2019, Erişim: https://www.aljazeera.com/news/2019/06/iran-denies-hit-cyberattack-190624064421998.html
3. Ponemon Institute, “Cybersecurity in Operational Technology: 7 Insights You Need to Know”, Erişim: http://imt.com.mx/wp-content/uploads/2019/04/PonemonCybersecurityinOTReport.pdf
4. ZDNet, “US wants to isolate power grids with 'retro' technology to limit cyber-attacks”, 02 Temmuz 2019, Erişim: https://www.zdnet.com/article/us-wants-to-isolate-power-grids-with-retro-technology-to-limit-cyber-attacks/  
5. Cyware, “US wants to isolate power grids with 'retro' technology to limit cyber-attacks”, 02 Temmuz 2019, Erişim: https://cyware.com/news/us-wants-to-isolate-power-grids-with-retro-technology-to-limit-cyber-attacks-a4a7b660
6. Security Today, “Senate Passes Bill To Explore ‘Analog’ Solutions to Securing America’s Energy Grid”, 09 Temmuz 2019, Erişim: https://securitytoday.com/articles/2019/07/09/senate-passes-bill-to-explore-analog-solutions-to-securing-americas-energy-grid.aspx