Siber Güvenlikte Hollanda’nın Yeni Stratejisi

Siber tehditler, dijitalleşen dünyanın yeni “baş belası” ve her geçen gün artan veri ihlalleri ve fidye yazılımı gibi saldırılar sadece şahısları, şirketleri, organizasyonları değil, ülkelerin güvenliğini de tehdit ediyor. Hâlihazırda siber saldırıları önlemek, tespit etmek, etkisiz hâle getirmek ve saldırıların yol açtığı zararları gidermek için dünya genelinde milyarlarca dolarlık harcama yapılıyor. Buna rağmen hâlâ saldırılara hedef olan kişilerin, kurumların veya şirketlerin dijital altyapıları yeterince güvenli değil.

Siber saldırılara karşı dijital varlıklarını, daha güvenli hale getirmek isteyen bireyler ile şirket ve organizasyonlar gibi tüzel kişiler, altyapılarını güçlendirmek ve kötü niyetli hackerlara karşı gerekli önlemleri almak zorundalar. Bu durum elbette ki devletler açısından da farklı değil!

Gün geçtikçe dönüşen ve çeşitleri artan saldırılar artık birçok ülkenin ana gündemlerinden. Hollanda’da da bu konuda yeni bir aşamaya geçildi ve 2022–2028 dönemini kapsayan yeni “Siber Güvenlik Stratejisi” 10 Ekim 2022’de yayınlandı^[1]. Strateji, Hollanda’yı dijital olarak güvence altına almak için somut adımlardan oluşan bir eylem planı içeriyor.

Dönemin Adalet ve Güvenlik Bakanı Dilan Yeşilgöz-Zegerius, bu konunun uzun zamandır gündemlerinde olduğunu ve çok hızlı bir şekilde artan dijital tehditlerin Hollanda çıkarlarını tehdit ettiğini söylemişti. Hollanda’nın son yıllardaki bütçe planlarında da “savunma” ile “adalet ve güvenlik” başlıklarında artık siber güvenliğe ilişkin yatırım planlarında gözle görülür bir artış vardı.^[2]

Peki bu yeni strateji ne anlama geliyor? Siber tehditler hakkındaki bilgilerin daha iyi paylaşılması, mağdurların daha iyi bilgilendirilmesi, işletmelerin daha iyi korunması ve dijital verilerin daha iyi güvence altına alınması ile bu konuda Hollanda Hükûmetine düşen görevler yeni planın en önemli amaçları arasında yer alıyor.

Hollanda’nın 2022-2028 Yeni Siber Güvenlik Stratejisi temel olarak aşağıdaki hususları içeriyor.

• Siber tehditlerin tespit edilmelerinin geliştirilmesi ve dijital direncin artırılması:

Tehditlerin kaynaklarına ve saldırı hedeflerine odaklanarak daha iyi tespit edilmesi için gerekli tedbirler alınması ve siber saldırılara karşı dijital dayanıklılığın artmasını sağlamak için daha fazla içgörü elde edilmek amaçlanıyor.

Bu amaca giden yolda merkezi hükûmet, artık uluslararası kuruluşlarla daha fazla iş birliği yapacak ve kamu-özel sektörü iş birliğine daha fazla katkı sağlayacak.

O tarihte yürürlükte olan NIS1 düzenlemesi enerji, ulaşım, sağlık, içme suyu ve dijital altyapı gibi sektörleri kapsıyordu. Hazırlıkları süren NIS2 Yönergesi’yle^[3] atık su, uzay, gıda, imalat ve posta ve kurye hizmetleri gibi sektörlerin de kapsama alınması öngörülüyordu.

Hükümet, ayrıca belirli sektörlerin dijital direncini artırmak için önlemlerini artırmayı planlıyor. Örneğin, sağlık ve eğitim sektörleri için ek standartlar getirilecek, kabine kuruluşların buna uymasına yardımcı olmak için çeşitli araçlar sunacak, İçişleri ve Krallık İlişkileri Bakanlığı tarafından çeşitli destek programları açılacak ve son olarak hükümet, yalnızca BT sistemlerinin dijital dayanıklılığına değil, aynı zamanda OT’nin (operasyonel teknoloji) dayanıklılığına da daha fazla dikkat çekecektir.

Kuruluşların, siber olaylar, tehditler ve riskler ve bunlarla nasıl başa çıkılacağı konusundaki bilgi düzeylerinin ve farkındalıklarının artırılması ve böylece siber tehditlere karşı daha hızlı yanıt vermeleri planlanıyor.

• Daha fazla siber güvenlik uzmanı istihdam edilmesi.

2022’de dile getirilen tahminlere göre 2025’e kadar dünya genelinde yaklaşık 3 milyon siber güvenlik çalışanına daha ihtiyaç duyulacaktı ve elbette bu işgücü ihtiyacı Hollanda için de geçerliydi. Şirketler bu alanda yetişmiş personel bulmakta sorunlar yaşıyorlar. Yeni stratejiye göre iç ve dış insan kaynaklarının artırılması planlanıyor.

Hükümet, siber güvenlik uzmanlarının sayılarını artırmak için eğitim kurumları, iş dünyası ve diğer ilgili taraflarla birlikte çalışacak. Bununla birlikte, siber güvenlik kurslarını da içeren bilim ve teknoloji alanındaki yüksek mesleki eğitim kurslarına daha fazla yatırım yapacak. Bu konuda öğrenci kabulünün artırılması, eğitimi yarıda bırakma ve bölüm değiştirme oranlarının düşürülmesi, başka alanlardan geçişlerin kolaylaştırılması ve mezunların işgücü piyasasına geçişinin desteklenmesi için daha fazla kaynak kullanılması planlanıyor.

• Devlet ve özel sektörün bu konuda daha fazla sorumluluk alması.

Siber suçların yaygınlaşması ve yol açtığı zararların büyümesi doğal olarak otoritelerin kaygı düzeylerini ve durumsal farkındalığı da artırıyor ve hem devletin hem de özel sektörün daha fazla sorumluluk alması gerektiğini gösteriyor. Şirketler ve kuruluşların yalnızca kendi hizmetlerinin sürekliliği nedeniyle değil, aynı zamanda müşteriler, tedarikçiler veya bağımlı üçüncü tarafları ve Hollanda’nın dijital güvenliğini de etkilediğinden dolayı sorumluluk alanları daha da genişletilecek.

Ayrıca hükümet, bulut hizmetleri ve 5G teknolojisi gibi BİT ürünleri, hizmetleri ve süreçleri için Avrupa siber güvenlik sertifikasyon planlarının geliştirilmesine ve benimsenmesine katkıda bulunacak ve özel taraflarla iş birliğini artıracak. Bu şekilde, sertifikasyon kullanımını teşvik ederek ve kolaylaştırarak, tüketicilerin ve kuruluşların güvenli seçimler yapmasının sağlanması isteniyor.

Temel siber güvenlik önlemleri konusundaki farkındalığın artırılması için Hollanda devleti çeşitli hedef gruplarına özel siber güvenlik bilgilendirme kampanyaları ve programları düzenleyecek.

• Dijital dayanıklılığın müfredatın bir parçası haline gelmesi

Çocukların, dijital ürün ve hizmetleri güvenli bir şekilde nasıl kullanacaklarını erken yaşlardan itibaren öğrenmesi planlanıyor. Hollanda Müfredat Geliştirme Kurumu (SLO), öğretmenlerle birlikte ilk ve orta öğretim için somut temel beceri hedefleri geliştirmekle görevlendirildi; dijital okuryazarlık ve dijital güvenlik de bu çalışmanın kapsamında. Ayrıca, öğretmenlerin de bu konuda en iyi eğitimi verecek donanıma sahip olmasını sağlamak için bir plan oluşturulacak.

• Daha iyi denetim ve gerekli mevzuatın geliştirilmesi.

Yeni stratejiye göre, organizasyonlarda daha fazla önlem alınmasını sağlamak için net kanunlar ve düzenlemeler getirilecek. Örneğin, bir siber güvenlik uzmanının bilgi güvenliği araştırması ve bu konuda yayın yapması tehlikeli olabiliyor ve bazen bu tür araştırmaları yürütmek ve yayınlamak suç sayılabiliyordu^[4]. Yeni yaklaşım, güvenlik açıklarını sorumlu biçimde araştıran ve bildiren uzmanların hukuki belirsizlikle karşılaşmasını azaltmayı amaçlıyor; araştırmacının etik ilkelere ve güvenlik açığı bildirim kurallarına uyması, soruşturma ya da kovuşturma kararında dikkate alınacak.

Dijital ürünler ve hizmetler geliştirirken başlangıç noktasının güvenlik olması gerektiğini Avrupa Komisyonu’nun Eylül 2022’de önerdiği Siber Dayanıklılık Yasası (Cyber Resilience Act) zaten öngörüyordu ancak yeni stratejiye göre bu ürün ve hizmetlerin tüm süreçlerinde üreticiler ve tedarikçilerin de özen yükümlülüğüne dâhil edilmesi planlanıyor.

• “Tek Bir Ulusal Siber Güvenlik Otoritesi”

Bu amaçla, “Ulusal Siber Güvenlik Merkezi”, “Dijital Güvenlik Merkezi” ve “Dijital Hizmet Sağlayıcılar için Siber Güvenlik Olay Müdahale Ekibi” tek bir ulusal siber güvenlik otoritesinde birleştirilecektir. Bu merkezi otorite kamu ve özel sektör ortakları ile iş birliği yapacak, kuruluşlar, hükümetler ve vatandaşlara bilgi sağlayacak ve sistemin güçlendirilmesi sayesinde siber olaylarla daha etkin mücadele edilecek.

• Kaynak ayırma ve yatırımlar.

Yeni stratejiye göre, önceki hükümetin ayırdığı 95 milyon euroya ek olarak siber güvenlik için 111 milyon euroluk yeni yapısal kaynak ayrılacak!

Önümüzdeki altı yıl içinde, ilk aşamada, AIVD (Genel İstihbarat ve Güvenlik Servisi), MIVD (Askeri İstihbarat ve Güvenlik Servisi) ve NCSC (Ulusal Siber Güvenlik Merkezi) için büyük yatırım yapılması, ülke genelindeki siber güvenlik iş birliği ağının güçlendirilmesi ve kritik sektörlerin dijital dayanıklılığının artırılması planlanıyor.

*****

Rusya’nın Ukrayna’yı işgal etmesinin ardından, birçok ülke büyük siber savaşın etkisinden korunmak için tedbirler geliştirmeye başladı. Mesela; ABD Başkanı Joe Biden, mart ayında “siber savunmanın derhal güçlendirilmesi” çağrısı yaptı. Avustralya, siber güvenliği “bakanlık seviyesine” çıkardı. Hollanda’nın da bu konuda geliştirdiği eylem planı ve atmayı düşündüğü bu büyük adımlar önümüzdeki yıllarda siber güvenliğin çok daha önemli bir hale geleceğini gösteriyor.