Thorsten Delbrouck, Giesecke+Devrient Grup CSO’su – Röportaj Serisi

Thorsten Delbrouck, Giesecke+Devrient’in Grup CSO’su, iki thập kỷdan fazla deneyimle bir entreprise altyapısı, dijital kimlikler ve kritik sistemleri güvence altına alan bir siber güvenlik yöneticisidir. 2011 yılında Giesecke+Devrient’e (G+D) Kurumsal Bilgi Güvenliği Müdürü olarak katıldığından beri, şirketin küresel güvenlik stratejisini finans, telekomünikasyon ve hükümet altyapısı gibi yüksek düzenlenmiş sektörlerde yönetmiştir. 2020 yılında, Güvenlik ve CISO Başkanı olarak görevini genişletti. Delbrouck ayrıca, siber güvenlik ve risk yönetimi konusunda önde gelen bir küresel otorite olan Bilgi Güvenliği Forumu’nun (ISF) Başkanı olarak görev yapmaktadır ve Infineon Technologies (IFX.SW ), COMLINE ve TÜV Secure iT’de üst düzey güvenlik liderliği rollerinde bulunmuştur.

Giesecke+Devrient (G+D) bir Münih merkezli küresel GüvenlikTeknoloji şirketidir ve 1852 yılında kurulmuş bir banknot baskı şirketinden, dijital güvenlik, finansal teknoloji ve para teknolojisi çözümleri sağlayıcısı olarak büyümüştür. Şirket, Dijital Güvenlik, Finansal Platformlar ve Para Teknolojisi olmak üzere üç temel segmentte faaliyet göstermektedir ve mobil bağlantıyı, dijital kimlikleri, bankacılık sistemlerini, ödeme platformlarını ve hem fiziksel hem de dijital paraları güvence altına alan teknolojiler sunmaktadır. G+D, hükümetler, merkez bankaları, finansal kurumlar ve dünya çapındaki şirketlerle birlikte çalışmaktadır ve eSIM’ler, kimlik doğrulama sistemleri, dijital ödemeler, siber güvenlik ve Merkez Bankası Dijital Paraları (CBDC’ler) için çözümler sağlamaktadır. Şirket, dijital ekonomi için güvenilir bir altyapı sağlayıcısı olarak konumlandırılmaktadır ve 14.000’den fazla çalışanı ve kritik sistemleri ve finansal ekosistemleri güvence altına alma konusundaki yıllarca süren uzmanlığı ile faaliyet göstermektedir.

Siber güvenlik liderliği rollerinde yaklaşık üç thập kỷ geçirdiniz ve TÜV Secure iT, Infineon ve şimdi 15 yıldan fazla süredir Giesecke+Devrient’de görev yaptınız. Tehdit manzarası geleneksel entreprise güvenlik risklerinden bugünün AI destekli siber zorluklarına nasıl evrimleşti ve endüstrinin mevcut yönü konusunda en çok neye karşı uyarıda bulunuyorsunuz?

Sanırım kendi kariyerim boyunca yaşanan en önemli değişiklik hız ve etkidir. Güvenlik yönetimine 1990’ların sonlarında başladığım zaman, ciddi bir güvenlik sorunu genellikle yanlış yapılandırılmış bir güvenlik duvarı veya yamalı bir sunucuydu, patlama yarıçapı genellikle oldukça sınırlıydı.

Ve her şey daha hızlı. Daha fazla sistem ve daha yüksek bant genişlikleriyle uğraşıyoruz. Bugün, internet trafiğinin neredeyse yarısı insanlar tarafından üretilmiyor – ve bazı tahminlere göre toplam trafiğin yaklaşık %40’ı kötü amaçlı taramalar, kötü amaçlı yazılımlar ve DDoS gibi kötü amaçlı faaliyetlerden oluşuyor.

Aynı zamanda, manzara oldukça konsolide ve yoğunlaştı. İnternetin orijinal tasarım felsefesi olan冗余性 ve merkezden uzaklaşma kaybetti. Sonuç olarak, sadece birkaç merkezi hata noktasına yönelik saldırılar, eskiden olduğundan çok daha yıkıcı sonuçlara sahip.

Son zamanlarda Dario Amodei’nin yaptığı yorumlar, gelişmiş AI sistemlerinin yazılım açıklarını ölçeklenebilir bir şekilde tanımlama konusundaki korkuları yeniden alevlendirdi. Şirketlerin AI destekli geliştirme hızının mevcut güvenlik süreçlerini nasıl chóng chóng aşabileceğini küçümsediklerine inanıyorum.

Evet, birçok şirketin bu değişimin hızını küçümsediklerine inanıyorum. İlk başta, AI’nin hem saldırganlara hem de savunuculara yaklaşık eşit şekilde fayda sağlayacağı düşünülüyordu. Ancak endişe verici bir gerçek ortaya çıkıyor: AI, tamamen yeni siber suç kategorileri icat etmedi; bunun yerine, sofistike saldırı yeteneklerini demokratikleştirdi, tehdit aktörlerinin keşif, sosyal mühendislik ve yazılım açıklarını otomatikleştirmesini ve insan savunucuların emeklemekte zorlandığı bir hız ve ölçekte keşfetmesini sağladı.

Sorun, AI’nin güvenlik açığı keşfini hızlandırması, ancak aynı zamanda düzeltme sürecinde kullanılmamasıdır. Bu, tehlikeli bir dengesizlik yaratıyor. AI destekli güvenlik açığı keşfi, savunucuların başa çıkabileceğinden daha fazla iş üretiyor.

AI sistemleri artık insan analistlerden daha hızlı güvenlik açıklarını tanımlayabiliyor, ancak düzeltme hala büyük ölçüde insan işlemlerine bağlı. Şirketlerin kendi başlarına yama yönetimine geçmesi gerekiyor mu?

Evet, otomatik yama yönetimi artık bir lüks değil, bir operasyonel gerekliliktir. Bugün güvenlik açıklarının sayısı, insan triaj kapasitesini aşmaktadır.

Devletler dünya çapında dijital kimlik sistemleri, CBDC’ler ve bağlantılı altyapıyı uygulamaya çalışıyor. AI destekli siber tehditlerin, düzenleyici ve ulusal güvenlik hazırlığını aşabileceğinden endişe ediyor musunuz?

Düzenleyici çerçeveler gibi NIS2 ve Siber Dayanıklılık Yasası, konuya doğru bir şekilde yaklaşıyor, ancak düzenleme, sorunların çözülmesi için tek başına yeterli değildir. Şirketlerin, düzenleyici çerçevenin ötesinde, sistemlerini sürekli olarak güvence altına almaları ve tehdit manzaralarını anlamaları gerekir.

İleri AI modellerini “siber silahlar” olarak tanımlayan bazı uzmanlar var, ancak diğerleri bu tanımlamanın abartılı olduğunu söylüyor. AI sistemlerinin gerçek dünya risklerini nasıl değerlendiriyorsunuz?

İnsanların siber savaşın fiziksel savaşın mantığına göre işlediğini varsaymaları yanlış. Bir siber saldırının, bir duvarı delmek için yeterli güce sahip bir silahla başarılı olacağı düşünülüyor. Ancak siber saldırılar böyle çalışmıyor.

Bir siber saldırının başarılı olması, genellikle bir güç gösterisinden değil, bir açığı keşfetmekten kaynaklanıyor. AI, bu açıkları daha hızlı ve daha ucuz bir şekilde keşfetmeyi sağlıyor, ancak bu, siber savaşın mantığını değiştirmez.

Gelecekte AI’den kaynaklanan en büyük siber güvenlik tehdidi, karmaşık devlet saldırılarından, otomatik sömürüden, içerdeki suistimallerden, tedarik zinciri zafiyetlerinden veya endüstrinin henüz yeterli dikkat göstermediği bir şeyden mi gelecek?

Gelecekteki güvenlik tehditlerini öngörmenin her zaman zor olduğunu düşünüyorum. Karmaşık devlet saldırıları, otomatik sömürü, içerdeki suistimal, tedarik zinciri zafiyetleri – tüm bunlar gerçek ve artan tehditlerdir. Ancak ben, bunların hepsi sonuçlar, değil kök nedenler olduğunu düşünüyorum.

Harika bir röportaj için teşekkür ederiz, daha fazla bilgi edinmek isteyen okuyucular Giesecke+Devrient‘i ziyaret edebilir.