AB'nin siber savunmasında açık: Erken uyarı sistemi hala çalışmıyor

Avrupa Sayıştayı’nın Avrupa Birliği’nin siber güvenlik kapasitesine ilişkin denetimi, büyük ölçekli siber saldırılara karşı oluşturulan sistemde önemli sorunlar bulunduğunu ortaya çıkardı. 2022-2025 dönemini inceleyen denetimde, özellikle erken uyarı mekanizmaları, üye ülkeler arasındaki bilgi paylaşımı ve siber güvenlik kaynaklarının kullanımı mercek altına alındı.

Denetçiler, AB ülkeleri ve kurumları arasındaki bilgi paylaşımının siber tehditlere karşı ortak mücadelede önemli bir zayıflık oluşturduğuna dikkat çekti. Büyük saldırıların erken aşamada tespit edilmesi ve ortak müdahalenin etkin biçimde yürütülmesi konusunda mevcut sistemin henüz istenen seviyeye ulaşmadığı belirtildi.

1,4 milyar euroluk fon için güvenlik uyarısı

AB’nin siber güvenlik amacıyla ayırdığı yaklaşık 1,4 milyar euroluk kaynağın üçüncü taraf kuruluşlara aktarılması da denetimin başlıkları arasında yer aldı.

Raporda, söz konusu kuruluşların düşman devletlerin etkisine açık olup olmadığına ilişkin değerlendirmelerin bağımsız biçimde doğrulanmadığına dikkat çekildi. Denetçilere göre bu durum hassas altyapıların yanı sıra operasyonel bilgiler ve kritik teknolojiler açısından güvenlik riski oluşturabilir.

Erken uyarı sistemi henüz tamamlanmadı

AB’nin büyük siber saldırıları daha erken tespit edebilmesi amacıyla oluşturduğu Avrupa Siber Güvenlik Alarm Sistemi’nde de eksiklikler bulunduğu bildirildi.

Sistemin önemli bileşenleri arasında yer alan ATHENA ve ENSOC merkezlerinde, ihale süreçlerindeki gecikmeler nedeniyle bazı araçların henüz tamamlanamadığı belirtildi.

Denetçiler, üye ülkeler arasındaki bilgi paylaşımını AB’nin siber savunmasındaki temel sorunlardan biri olarak değerlendirdi. 2016’dan bu yana hiçbir üye devletin tek bir siber olayı resmi olarak “büyük ölçekli” olarak sınıflandırmadığı kaydedildi.

Raporda, WannaCry, NotPetya ve 2024’te dünya genelinde geniş çaplı aksamalara yol açan CrowdStrike kaynaklı olayın da bu kapsamda değerlendirilmediğine dikkat çekildi.

Bu durumun, AB’nin büyük siber krizlerde oluşturduğu tam ölçekli müdahale prosedürünün bugüne kadar tamamen uygulanmamış olmasıyla sonuçlandığı belirtildi.