Hükümet bir siber tehdidi saniyeler içinde duyurabiliyor. Ancak bu tehdidin gerçekten kapatılıp kapatılmadığını öğrenmek günler sürebiliyor. Güney Kore'deki son siber olaylar, bir yazılım zafiyetinin tespit edilmesi ile etkilenen sistemlerin onarıldığının doğrulanması arasındaki farkı açıkça gösteriyor.
Perşembe günü hükümet, web siteleri ve çevrimiçi hizmetler için yaygın kullanılan PHP programlama dilinde iki ciddi açığın ifşa edilmesinin ardından özel sektöre yönelik siber alarm seviyesini “ilgi” düzeyinden “dikkat” düzeyine yükseltti. Bu seviye, dört kademeli sistemde en düşük ikinci seviye.
Açıklar, uzaktan saldırganların etkilenen sunucularda kod çalıştırmasına olanak verebiliyor. Yazıya göre alarm gerekçeliydi, ancak daha önemli bir soruyu yanıtsız bıraktı: Yamayı kaç işletmecinin uygulayabileceği ve kaç kurumun bunun tamamlandığını doğrulayabileceği.
PHP sorunu tablonun yalnızca bir parçası. Polise göre yapay zekâ destekli bir hack operasyonu, 90'dan fazla yerli şirketi hedef aldı ve iddiaya göre kişisel bilgi içeren 8,2 milyon kaydı çaldı.
PHP açıkları ile iddia edilen sızma kampanyası birbirinden ayrı olaylar. Yine de ikisi de otomasyonun bir yazılım zafiyetini nasıl büyük çaplı bir ihlale dönüştürebileceğini gösteriyor. Yapay zekâ, araştırmacıların kodda hata aramasına yardımcı oluyor. Saldırganlar da benzer araçlarla, bu işin eskiden gerektirdiği teknik bilgiye ihtiyaç duymadan savunmasız sistemleri bulabiliyor.
Açığın açıklanması ile istismar edilmesi arasındaki süre kısalıyor. Bir açık kamuoyuna duyurulduğunda saldırganlar ayrıntılarını inceleyebiliyor ve her işletmeci yamayı uygulamadan önce yamayı tersine mühendislikle çözümleyebiliyor.
Büyük kuruluşlar, sistemleri denetleyip güncellemeleri hızla uygulayabilecek ekiplere sahip olabilir. Yıllar önce dış bir yüklenici tarafından yapılmış web sitesine sahip küçük bir klinik ya da çevrimiçi bir dükkân ise benzer bir kapasiteye sahip olmayabilir. Bir güncelleme de, işinin bağlı olduğu hizmeti kesintiye uğratabilir.
Dijital genişleme çoğu zaman bakımın önüne geçti. Kuruluşlar, kullandıkları yazılımın güvenilir bir kaydını tutmadan ya da bu yazılımdan kimin sorumlu olduğunu açıkça belirlemeden çevrimiçi hizmetler ekledi. Bazı eski sürümler artık güvenlik güncellemesi almıyor. Dış kaynak kullanımı sorumluluğu daha da bulanıklaştırabiliyor: Bir barındırma sağlayıcısı sunucuyu yönetirken, müşteri eskimiş bir uygulamadan hâlâ sorumlu kalabiliyor.
Hükümet denetimi de eksik. Bir parlamento incelemesi sırasında Kore İnternet ve Güvenlik Ajansı, savunmasız PHP sürümlerinin kamu kurumlarında ne kadar yaygın kullanıldığını ya da tüm yamaların uygulanıp uygulanmadığını belirleyemediğini söyledi. Ajans ayrıca sistemleri doğrudan denetleme yetkisinin sınırlı olduğunu dile getirdi.
Bu durumda yetkililer, uyumu doğrulamadan talimat verebiliyor. Sorumluluk kurumlar ve sektörler arasında bölündüğü için, hâlâ açık durumdaki sistemlerin tamamını gören tek bir kurum bulunmuyor.
Politika, onarımı izlenebilir kılmalı. Yetkililerin, kritik hizmetlerde çalışan yazılımların güncel bir envanterine ihtiyacı var. Her yamanın uygulanmasından ve doğrulanmasından sorumlu kişinin de açıkça belirlenmesi gerekiyor.
Güncelleme yoksa ya da bir sistem hızla onarılamıyorsa işletmecilerin alternatiflere ihtiyacı var. Örneğin, savunmasız hizmet güvenli hale getirilene kadar yalıtılabilir.
Kamu kurumları ve özel güvenlik firmaları, tehdit istihbaratını paylaşacakları güvenilir bir kanala ihtiyaç duyuyor. Bu istihbarata göre harekete geçme sorumluluğu da açıkça atanmalı.
Küçük işletmelerin bu talepleri karşılaması için pratik destek gerekiyor. Hükümet desteği, güvenlik değerlendirmelerinin ve eskimiş sistemlerin değiştirilmesinin finansmanına yardımcı olmalı. Bu işi yürütmek için gereken teknik uzmanlığı da kapsamalı.
Büyük miktarda kişisel bilgi tutan şirketler, sürekli güvenlik ihmali yaptıklarında cezalarla karşılaşmalı. Teşvikler ise bakıma ve zamanında güncellemeye yapılan sürekli yatırımı ödüllendirmeli.
Yapay zekâ tespiti iyileştirebilir, ancak kimin harekete geçmesi gerektiğini belirleyemez ya da birinin harekete geçmesini sağlayamaz. Her uyarı, kimin sorumlu olduğunu belirtmeli ve onarımın tamamlandığına dair bağımsız bir doğrulama gerektirmeli.
Güney Kore, siber savunmalarını uyarı ile doğrulanmış onarım arasındaki süreye göre değerlendirmeli. Yapay zekâ yazılım açıklarını bulma ve istismar etme süresini kısalttıkça hükümetin asıl görevi, uyarıların düzeltmelere yol açmasını ve bu düzeltmelerin doğrulanmasını sağlamak.
