Thorsten Delbrouck, Giesecke+Devrient Grup CSO’su – Röportaj Serisi

Thorsten Delbrouck, Giesecke+Devrient’de Grup CSO’su olarak görev yapan ve kurumsal altyapıyı, dijital kimlikleri ve kritik sistemleri koruma konusunda yirmi yılı aşkın deneyime sahip kıdemli bir siber güvenlik yöneticisidir. Giesecke+Devrient’e (G+D) 2011’de Kurumsal Bilgi Güvenliği Direktörü olarak katılmasından bu yana finans, telekomünikasyon ve kamu altyapısı dahil sıkı düzenlemelere tabi sektörlerde şirketin küresel güvenlik stratejisine liderlik etti. 2020’de görevi Grup Başkan Yardımcısı, Güvenlik Başkanı ve CISO olarak genişledi. Delbrouck ayrıca siber güvenlik ve risk yönetimi alanında önde gelen küresel otoritelerden Information Security Forum’un (ISF) başkanlığını yürütüyor; Infineon Technologies (IFX.SW ), COMLINE ve TÜV Secure iT’de üst düzey güvenlik görevlerinde bulundu.

Giesecke+Devrient (G+D), 1852’de kurulan tarihî bir banknot matbaasından dijital güvenlik, finansal teknoloji ve para altyapısı çözümlerinin önemli bir sağlayıcısına dönüşen Münih merkezli küresel bir SecurityTech şirketidir. Şirket; Dijital Güvenlik, Finansal Platformlar ve Para Teknolojisi olmak üzere üç ana bölümde faaliyet gösterir ve mobil bağlantıları, dijital kimlikleri, bankacılık sistemlerini, ödeme platformlarını ve hem fiziksel hem dijital paraları güvence altına alan teknolojiler sunar. G+D, dünya çapında hükümetler, merkez bankaları, finans kuruluşları ve işletmelerle çalışır; eSIM, kimlik doğrulama sistemleri, dijital ödemeler, siber güvenlik ve Merkez Bankası Dijital Paraları (CBDC) alanlarında çözümler sağlar. Şirket, 14.000’den fazla çalışanı ve kritik sistemlerle finansal ekosistemleri korumaya yönelik onlarca yıllık uzmanlığıyla kendisini dijital ekonominin güvenilir altyapı sağlayıcısı olarak konumlandırır.

TÜV Secure iT ve Infineon’dan başlayıp Giesecke+Devrient’de 15 yılı aşan görev sürenize uzanan yaklaşık otuz yıllık siber güvenlik liderliği deneyiminiz var. Tehdit ortamı geleneksel kurumsal güvenlik risklerinden günümüzün yapay zekâ odaklı siber zorluklarına nasıl evrildi ve sektörün mevcut yönünde sizi en çok ne endişelendiriyor?

Kendi kariyerim boyunca gördüğüm başlıca değişimin hız ve etki olduğunu düşünüyorum. 1990’ların sonunda güvenlik yönetimine başladığımda ciddi bir güvenlik sorunu, yanlış yapılandırılmış bir güvenlik duvarı veya yaması yapılmamış bir sunucu anlamına gelirdi ve etki alanı genellikle oldukça sınırlıydı. Son otuz yılda tek bir ihlalin sonuçlarının operasyonel bir aksaklıktan sistemik riske dönüştüğünü gördüm.

Üstelik her şey hızlandı. Daha fazla sistem ve daha yüksek bant genişlikleriyle uğraşıyoruz. Bugün internet trafiğinin ancak yarısı insanlar tarafından üretiliyor ve bazı tahminlere göre toplam trafiğin yaklaşık %40’ı kötü amaçlı taramalar, zararlı yazılımlar ve DDoS gibi kötü niyetli faaliyetlerden oluşuyor.

Aynı zamanda ortam büyük ölçüde bütünleşti ve yoğunlaştı. İnternetin başlangıçtaki yedeklilik ve merkeziyetsizlik tasarım felsefesi kayboldu. Sonuç olarak yalnızca birkaç merkezi arıza noktasını hedefleyen saldırılar eskisinden çok daha yıkıcı sonuçlar doğuruyor. Bu durum modern BT sistemlerinin kurulumu ve işletiminde hataya neredeyse hiç yer bırakmıyor. Yapay zekâ da saldırganların zaman çizelgesini daha da kısaltıyor.

Dario Amodei’nin son açıklamaları, gelişmiş yapay zekâ sistemlerinin yazılım açıklarını büyük ölçekte belirlemesine ilişkin endişeleri yeniden alevlendirdi. Sizce şirketler, yapay zekâ destekli geliştirmenin mevcut güvenlik süreçlerini ne kadar hızlı aşabileceğini küçümsüyor mu?

Evet, birçok şirketin bu dönüşümün hızını küçümsediğini düşünüyorum. Başlangıçta yapay zekânın saldırganlara ve savunmacılara yaklaşık eşit ölçüde yarar sağlayacağı izlenimi vardı. Ancak kaygı verici bir gerçek ortaya çıkıyor: Yapay zekâ tümüyle yeni siber suç kategorileri icat etmedi; bunun yerine gelişmiş saldırı yeteneklerini demokratikleştirdi. Tehdit aktörlerinin keşfi otomatikleştirmesine, kimlik avındaki dil engellerini ortadan kaldırmasına ve yazılım açıklarını insan savunmacıların yetişmekte zorlandığı hız ve ölçekte bulmasına olanak sağladı.

Sorun şu ki yapay zekâ, açıkların belirlenmesinde büyük bir artışı tetiklerken giderme sürecinde henüz aynı ölçüde kullanılmıyor. Bu tehlikeli bir dengesizlik yaratıyor. Yapay zekâ destekli açık keşfi, savunmacıların yönetebileceğinden daha fazla iş üretiyor. Giderme amaçlı yapay zekâ yetiştikçe birkaç yıl içinde durum iyileşebilir, ancak şu anda büyüyen bir sorunla karşı karşıyayız.

Ayrıca son modellerini siber tehditlerden kurtuluş olarak sunan şirketlerin aynı anda sorunun bir bölümünü beslemesi ironiden yoksun değil. Yapay zekâ destekli kodlama araçları yazılım üretimini hızlandırıyor, ancak sık sık özensiz ve savunmasız kod üreterek güvenlik ürünlerinin daraltmayı vaat ettiği saldırı yüzeyini genişletiyor. Ekonomik açıdan zekice; güvenlik açısından pek öyle değil.

G+D’de yapay zekâ kullanım senaryolarını bir Yapay Zekâ Kurulu aracılığıyla yapılandırılmış biçimde değerlendiriyor ve kontrolsüz olarak ölçeklendirmiyoruz. Sorun yapay zekânın kendisi değil, uygulanmasındaki yönetişim eksikliğidir. Bu, G+D’nin kurum içinde de uyguladığı ilkeyle uyumlu: Yapay zekâ yalnızca yenilik değil, kurumsallaşmış değerlendirme ve onay süreçleri gerektirir.

Birçok kuruluş yapay zekâyı öncelikle savunmaya yönelik bir siber güvenlik aracı olarak görüyor. Sizce yapay zekâ şu anda kurumsal ortamlarda nerede korumadan çok risk yaratıyor?

Siber güvenlik ekiplerinin çoğu güvenlik olaylarını tespit etmek, sınıflandırmak, değerlendirmek ve önceliklendirmek için yapay zekâyı çeşitli düzeylerde zaten kullanıyor ve bu son derece iyi çalışıyor.

Ancak bu yararların yanında tümüyle yeni riskler de beliriyor. Yapay zekâ mimarisine özgü açıklar hâlihazırda geniş biçimde tartışılıyor ve büyük ölçüde anlaşılıyor. Artık yalnızca statik kodu değil, deterministik olmayan sistemleri güvence altına alıyoruz. Bu durum, kötü amaçlı verilerin bir LLM’i güvenlik sınırlarını göz ardı etmeye yönelttiği komut enjeksiyonu; eğitim sırasında modelin mantığını bozan veri zehirleme; ve özel kurumsal verilerin model çıktılarında kazara açığa çıktığı veri sızıntısı gibi yepyeni tehdit vektörleri getiriyor. Bir açığın tanımını temelden değiştiriyor.

Geleneksel ve iyice prova edilmiş savunmalarımızın da uyum sağlaması gerekiyor. Kullanıcı ve Varlık Davranışı Analizi (UEBA) birçok kuruluş için hâlâ görece yeni bir kavram. Sıkı veri gizliliği düzenlemeleri, katı iş kanunları ve işçi konseylerinin ortak karar hakları nedeniyle pek çok şirket bu yaklaşımı tam olarak benimsemiş değil. Şimdi temel çizgi değişti ve yapay zekânın insan davranışını kusursuz biçimde öğrenip taklit edebileceği bir gelecekte UEBA’nın ne kadar etkili kalacağı belirsiz.

İleriye baktığımızda UEBA insan davranışını otomatik saldırılardan ayırabilecek mi veya iyi niyetli bir yapay zekâ aracısını kötü niyetli olandan seçebilecek mi? Bunu vaat eden ürünler şimdiden var, ancak pazarlama vaatlerinden gerçek hayatta çalışan performansa geçmek genellikle zaman alır. Bunu ele almak için modern güvenlik mimarilerine sahip yeni kavramlara ihtiyacımız olacak.

Information Security Forum Başkanı olarak büyük küresel şirketlerin güvenlik liderleriyle görüşüyorsunuz. CISO’lar yapay zekâ tarafından üretilen kodun kalitesi konusunda mı daha kaygılı, yoksa daha büyük sorun katlanarak büyüyen kod tabanlarını güvenceye almanın operasyonel yükü mü?

Her iki sorun da gerçek, ancak etkileri farklı. Yapay zekâ tarafından üretilen kodun kalitesi haklı bir kaygıdır. Bu kod çoğu zaman temiz görünür, fakat tam da makul göründüğü için yakalanması daha zor olan ince mantık hataları, güvensiz varsayılanlar veya yanlış kullanılmış kitaplıklar içerebilir. CISO’lar bunda haklı olarak endişeli.

Ancak ISF üyesi kuruluşlardaki güvenlik uzmanlarıyla yaptığım görüşmelerde daha yüksek sesle çalan alarm operasyonel: Açık barındırabilecek ve bu nedenle denetlenmesi gereken kodun muazzam hacmi.

Farklı sektörlerdeki meslektaşlarımdan sürekli duyduğum şey, bağımlılık sorununun belirleyici yüke dönüşmüş olması. Haricî bileşenlere ve üçüncü taraf kitaplıklarına yoğun bağımlılık, her bir bağımlılığın titizlikle izlenmesini, yönetilmesini ve sürekli yamalanmasını gerektiriyor. Yalnızca kodda değil, muhtemelen farklı bulut ortamlarına yayılan araç zincirinde de. Bu zaten önemli bir zorluktu. Yapay zekâ destekli geliştirme şimdi bunu büyütüyor. Sorunun doğası değiştiği için değil, ölçeği patladığı için: Daha hızlı üretilen, daha fazla bağımlılığa sahip, daha çok depoya yayılan daha fazla kod.

Öncelik vermem gerekirse kod kalitesi çözülebilir bir mühendislik problemidir: Daha iyi araçlar, daha sıkı incelemeler ve geliştirme hattında daha güçlü koruma sınırları. Katlanarak büyüyen bir kod tabanını ve yayılan bağımlılık zincirlerini güvenceye almanın operasyonel yükü ise daha yapısal ve kalıcı bir zorluktur. Asıl baskı burada ve kıdemli CISO görüşmelerinde tekrar tekrar gündeme gelen konu da bu.

Giesecke+Devrient dijital kimlik, ödemeler, bankacılık altyapısı, eSIM teknolojisi ve merkez bankası dijital paraları dahil çok hassas sektörlerde faaliyet gösteriyor. Yapay zekâ çağında kritik altyapıyı güvenceye almak, geleneksel kurumsal sistemleri korumaktan nasıl farklı?

G+D’de güvenliği ciddiye alan her kuruluşla aynı temel sorumluluklara sahibiz. Ancak standartlarımız olağanüstü yüksek ve hata payımız çok küçük. Altyapımızdaki bir güvenlik olayının tipik bir şirketteki ihlalden çok daha geniş sonuçlar doğuracağının son derece farkındayız; siber güvenlik riskine iştahımızın olağanüstü düşük olmasının nedeni bu.

Yapay zekânın bizim için ayrı bir karmaşıklık katmanı eklediği yer operasyonel mimarinin kendisidir. Özellikle ödeme sistemlerine, dijital kimliklere veya merkez bankalarına yönelik ürünlere bağlı yüksek güvenlikli bileşenlerimizin çoğu, yüksek değerli varlıklardır ve sıkı sertifikasyon ile güvenlik gereksinimlerine tabidir. Bu bileşenler, yalnızca mantıksal ayrımdan dış bağlantısı hiç olmayan, tamamen hava boşluklu ağlara kadar uzanan ayrı ortamlarda geliştirilmeli, test edilmeli ve işletilmelidir.

Bu, yapay zekâdan önce de zordu; ancak şimdi kuruluşlar geliştirme ve işletim iş akışlarına yapay zekâ destekli araçları dahil ediyor. Bu araçlar genellikle bulut bağlantısına, büyük ölçekli veri erişimine ve sürekli model güncellemelerine dayanıyor. Yanlış bağlantı noktasına takılan tek bir ağ kablosunun bile ciddi bir politika ihlali sayılacağı ortamlarla bunu uzlaştırmak, çok gerçek bir mühendislik ve yönetişim zorluğudur.

Bu durum yapay zekâ entegrasyonumuzda son derece bilinçli davranmamızı zorunlu kılıyor. Yalnızca doğru yapay zekâ modelini seçmiyoruz; bu araçların yerel olarak mı kurulması gerektiği, yoksa bulut üzerinden mi kullanılabileceği konusunda altyapı düzeyinde stratejik kararlar alıyoruz.

Yapay zekâ kodlama yardımcılarının ve özerk geliştirme aracılarının hızla benimsendiğini görüyoruz. Şirketlerin sonunda yapay zekâ tarafından üretilen kod için devreye almadan önce ayrı doğrulama ve sertifikasyon süreçleri istemesini bekliyor musunuz?

Belirleyici ölçütün kodun bir insan mı yoksa yapay zekâ mı tarafından yazıldığı olmaması gerektiğini düşünüyorum. Belirleyici ölçüt risktir. Ancak yapay zekâ üretimi kod, düzenlemeye tabi veya yüksek güvenlikli ortamlarda kesinlikle köken bilgisine, izlenebilirliğe ve daha sıkı incelemeye ihtiyaç duyacaktır.

Tehdit modelleme, güvenli kodlama politikaları ve SAST araçlarını geliştirme araç zincirine katmak bugün zaten standart uygulamadır; araçlar da doğal olarak yapay zekâyla güçleniyor. Geliştirme ekipleri ayrıca hangi işlevlerin güvenlik açısından kritik olduğunu veya düzenlemeye tabi, son derece hassas bileşenlere ait bulunduğunu titizlikle izlemelidir. Bunun ötesinde, alttaki bağımlılıklar eksiksiz anlaşılmalı ve sürekli test edilmelidir.

Ekonomi kaçınılmaz biçimde giderek daha kritik bir rol oynayacak. Büyük yapay zekâ sağlayıcılarının mevcut token fiyatları maliyetleri karşılamıyor. Pazar payı kazanmak için muazzam altyapı ve çıkarım açıklarını üstleniyorlar; bu, uzun vadede ekonomik olarak sürdürülemez, sübvansiyonlu bir modeldir. Yapay zekâyı kurumsal iş akışlarına yerleştirmenin ticari maliyetleri gerçek altyapı giderlerini yansıtacak biçimde yukarı ayarlandığında sorun yaşayacağız. Sektör o noktada küçük, yerel ve belirli amaçlara yönelik modellere geçmek zorunda kalacak. Bu küçük modelleri hedefli kullanım senaryoları için eğitmek, sert maliyet artışını azaltmada hayati bir strateji olacaktır.

En yüksek güvenlik taleplerine sahip kategorilerde insan gözetimi zorunlu kalacaktır. Zorluk da tam burada yatıyor: Sınırlı insan kapasitesini mümkün olduğunca verimli kullanmak.

Yapay zekâ sistemleri artık açıkları insan analistlerden çok daha hızlı belirleyebiliyor, ancak giderme hâlâ büyük ölçüde insan iş akışlarına dayanıyor. Şirketler yama yönetiminin de özerk olması gereken bir noktaya mı yaklaşıyor?

Evet, özerk yama yönetimi artık lüks değil, operasyonel bir gerekliliktir. Bugünkü açıkların muazzam hacmi insan önceliklendirme kapasitesini basitçe aşıyor.

Bununla birlikte gerçek uygulamanın kademeli ve pragmatik bir yaklaşım izlemesi gerektiğine inanıyorum. Standart, kritik olmayan ortamlar için doğru koruma sınırları bulunduğunda tam otomasyon tamamen mümkün olmalıdır. Kritik ve yüksek etkili sistemlerde bütünüyle özerk giderme kesinlikle gerekli olsa da öngörülebilir gelecekte uygulanması büyük olasılıkla oldukça zor kalacaktır.

Temel unsurların gerçekten önemli olduğu yer burasıdır. Bu iki kategori arasındaki ayrım kulağa basit gelir, ancak böylesine farklı yaklaşımlara sahip karmaşık bir ortamı temiz ve otomatik biçimde işletmek pratikte muazzam ölçüde hassas, ayrıntılı ve sürekli düzenleme çalışması gerektirir. Bu emeği küçümsemek kolaydır.

Çoğu zaman olduğu gibi gerçek zorluk, sürecin mekanik icrası değil daha geniş sistemdir. Akıllı karar alma ancak bütün sistem bunu desteklediğinde mümkündür. Yama yönetimi yalnızca daha otomatik değil, önemli ölçüde daha akıllı ve hızlı hâle gelmelidir.

Her zaman olduğu gibi son derece hassas ortamlarda kontrollü istikrar ile yüksek hız birlikte yürümelidir. Zor olan bu gerilimdir ve çoğu kuruluş henüz buna hazır değildir.

Dünya genelinde hükümetler dijital kimlik sistemlerini, CBDC’leri ve bağlantılı altyapıyı hayata geçirmek için yarışıyor. Yapay zekâ odaklı siber tehditlerin düzenleyici ve ulusal güvenlik hazırlığını geride bırakmasından ne kadar endişelisiniz?

NIS2 ve Siber Dayanıklılık Yasası gibi düzenleyici çerçeveler işleri doğru yöne itiyor, ancak düzenleme sonuçta yapbozun yalnızca bir parçasıdır. Genel sistem açısından önemlidir fakat bir kural yayımlamanın sorunu hemen çözeceğini varsayamayız. Şirketlerin yönergeleri uygulaması, sistemlerini sürekli güvende tutması ve tehdit ortamlarıyla koruma hedeflerini sağlam biçimde anlaması; bunları sürekli geliştirmesi ve uyumlu tutması gerekir.

Kuruluşların mevzuata uyumu gerçek güvenliğin yerine koymaması şartıyla temkinli biçimde iyimserim. Modern güvenlik yönetimi de düzenlemeyi beklemez. Hatta bunun tersi olmalı: En iyi gerçek dünya uygulamaları düzenlemeye akmalı, düzenleme uygulamayı belirlememelidir.

Dijital kimlik ve ödeme altyapısı gibi yüksek güvenlikli alanlarda operasyonel hazırlık kendiliğinden oluşmaz. G+D burada yalnızca bir tedarikçi değil, dünya çapında merkez bankaları ve hükümetler için bir diyalog ortağıdır. Ayrıca Almanya Federal Cumhuriyeti’nin BT güvenliği ortağı Secunet aracılığıyla kritik dijital altyapıların korunmasında aktif rol oynar.

Bazı uzmanlar gelişmiş yapay zekâ modellerini «siber silahlar» olarak tanımlarken diğerleri bu çerçevenin abartılı olduğunu savunuyor. Sizce insanlar öncü yapay zekâ sistemlerinin gerçek dünya riskleri konusunda neyi yanlış anlıyor?

İnsanların yanıldığı nokta, siber çatışmaların fiziksel savaşın mantığını izlediği varsayımıdır; yani yeterince güçlü bir silahın her savunmayı kaçınılmaz olarak aşacağı düşüncesi. «Siber silah» çerçevesinin büyük bölümü bu kinetik zihniyetten ödünç alınır: Daha büyük top daha kalın duvarı, daha akıllı füze daha hızlı uçağı yener. Ancak siber dünya böyle işlemez.

Başarılı bir siber saldırı neredeyse hiçbir zaman kaba üstün güçle gerçekleşmez. Bir boşluktan yararlanarak başarılı olur: yanlış yapılandırma, yamalanmamış açık, insan hatası veya tedarik zincirindeki zayıf halka. Yapay zekâ bu temel dinamiği değiştirmez. Bu boşlukları aramayı daha hızlı ve ucuz kılar, bunlardan yararlanmak için gereken beceri eşiğini düşürür. Bu ciddi bir sorundur, ancak «durdurulamaz silah» anlatısından çok farklıdır.

Gerçek risk yapay zekânın hiçbir savunmanın dayanamayacağı mutlak güçlü bir saldırı yeteneği yaratması değildir. Gerçek risk, onlarca yıldır düzeltmekte zorlandığımız aynı sıradan zayıflıkların istismarını, onları kapatma yeteneğimizi aşan bir hızla artırıp ölçeklendirmesidir.

Yapay zekâyı siber silah olarak çerçevelemek dikkati bundan uzaklaştırır. Gerçekte gereken daha iyi operasyonel hijyen, daha hızlı giderme ve daha dayanıklı mimarilerken silahlanma yarışı zihniyetini teşvik eder. Tehdit yeni bir süper silah değil, yeni bir hızla sömürülen eski boşluklardır. Dolayısıyla evet, yapay zekâyı siber silah olarak tanımlamak önemli bir abartıdır.

İleriye baktığınızda yapay zekâ kaynaklı en büyük siber güvenlik tehdidinin gelişmiş ulus-devlet saldırılarından, büyük ölçekte özerk istismardan, içeriden kötüye kullanımdan, tedarik zinciri açıklarından veya sektörün henüz yeterince dikkat etmediği başka bir şeyden geleceğini mi düşünüyorsunuz?

Güvenliğin geleceğini tahmin etmek her zaman özellikle zordur. Ulus-devlet saldırıları, özerk istismar, içeriden kötüye kullanım ve tedarik zinciri ihlalleri; bunların hepsi gerçek ve büyüyen tehditlerdir, hiçbirini göz ardı etmem. Ancak bunların kök nedenler değil sonuçlar olduğunu savunurum. Nedeni ne olursa olsun savunmacılar yetişemediğinde başarılı olurlar: Bir açık henüz kamuya açıklanmamış, yama henüz hazır olmamış veya iş yükü fazla yüksek olabilir.

Son unsur, önümüzdeki iki ila üç yıl için en büyük riski gördüğüm yerdir: Güvenlik ekiplerinin sırf iş yükü nedeniyle bunalmaları.

Mevcut ve ortaya çıkan tüm konular —düzenleme, egemenlik, karmaşık bulut altyapıları ve bunlarla gelen her şey— uyarıları önceliklendirme, olay müdahalesi, kimlik avı analizi, açık ve yama yönetimi, belgeleme, denetimler ve raporlamayla zaten sınırına dayanmış ekiplere yükleniyor. Yapay zekâyla ilgili her şeyin eklediği iş yükü bardağı taşıran son damla olabilir; fakat gerçekte tek bir damladan çok, çok daha fazlasıdır.

Mevcut küresel ekonomik durum göz önüne alındığında tüm bunlar, zaten ciddi maliyet baskısı altındaki kuruluşları her yönden vuruyor. Son derece iyi yönetilmezse sonunda kaldırılamayacak kadar ağır olacaktır.

Bu değerli röportaj için teşekkür ederiz. Daha fazla bilgi edinmek isteyen okurlar Giesecke+Devrient sitesini ziyaret edebilir.