Japonya, art arda gelen veri sızıntılarının ardından acil siber güvenlik paketi hazırladı

Japonya Başbakanı Sanae Takaichi, 6 Kasım’da başbakanlıkta topladığı ikinci siber güvenlik bakanlar toplantısında, son dönemde art arda yaşanan yetkisiz erişim ve veri sızıntılarına karşı hazırlanan “Siber Güvenlik Acil Önlem Paketi”nin hızla ve etkili biçimde uygulanmasını istedi. Takaichi, hükümetin aynı sabah paketin hemen gereken bölümü için yaklaşık 10 milyar yenlik ödeneği yedek ödenekten ayırdığını açıkladı ve Maliye Bakanlığı ile ilgili bakanlıklardan paketin tamamı için gereken bütçeyi sağlamaya yönelik çalışmayı sürdürmelerini istedi. Takaichi toplantıda, “Şu anda bile yetkisiz erişim ve veri sızıntısı vakaları art arda yaşanıyor ve insanların günlük yaşamını ve şirketlerin faaliyetlerini ciddi biçimde etkiliyor” dedi.

Paketin gerekçesi

Paket taslağına göre son sızıntıların çoğunda bilinen açıkların yamasız bırakılması, web siteleri gibi sistemlerdeki yapılandırma hataları ve uygulama geliştirme sırasında güvenlik önlemlerinin eksik kalması gibi, kurumun kendisinde ya da yüklenicisinde temel önlemlerin yetersiz olduğu görülüyor. Hükümete göre yapay zekâdaki ilerleme bu açıkların kısa sürede ve büyük ölçekte istismar edilmesine yol açıyor. Bu nedenle sorun belirli bir kurum ya da sektörle sınırlı görülmüyor. Paketin hedefi, bütün kurumların temel önlemleri olağan bir iş olarak aldığı ve saldırıya uğrandığında kamu ile özel sektörün bilgi paylaşıp hızla toparlanabildiği, dünyanın en üst düzeyinde siber dayanıklılığa sahip bir toplum.

Paketin dört başlığı

Toplantıda sunulan özet belgeye göre paket, hızla uygulanabilecek önlemleri dört başlık altında topluyor:

• Yapay zekâdan da yararlanan temel önlemler: Ekonomi, Ticaret ve Sanayi Bakanlığı Kasım ayı içinde Bilgi Teknolojilerini Teşvik Ajansı (IPA) bünyesinde seçkin uzmanlardan oluşan bir ekip kuracak ve özel şirketler dahil sızma testlerinin yaygınlaşmasını destekleyecek. Devletin bilgi sistemlerinde yapay zekâ destekli açık taraması öne çekilecek, yerel yönetimlerden de bu taramayı yapmaları istenecek. Kişisel Bilgileri Koruma Komisyonu gereksiz kişisel verilerin silinmesini isteyecek ve güvenlik önlemleri yönergesini değiştirecek (değişikliğin Ocak 2027’de yürürlüğe girmesi hedefleniyor). Fotoğrafla kimlik doğrulama yerine kimlik kartlarındaki çiple doğrulama yaygınlaştırılacak. Japonya’nın yapay zekâ güvenlik enstitüsü (AISI), İngiltere’deki muadiliyle birlikte gelişmiş yapay zekâ modellerinin siber saldırı yeteneklerini değerlendirecek.
• Bilgi toplama ve analiz: Güvenlik şirketlerinin ve bulut sağlayıcılarının hükümetin siber güvenlik konseyine katılması ve yabancı büyük şirketler ve öncü yapay zekâ şirketleriyle iş birliği yoluyla saldırı ve açık bilgileri erkenden toplanacak. Ciddi olaylarda bakanlıklar mağdur şirketlerden hızla bilgi alıp Ulusal Siber Güvenlik Ofisi’ne bildirecek. Ulusal Bilgi ve İletişim Teknolojileri Enstitüsü (NICT), yapay zekâ ajanlarıyla yapılan saldırıları yeniden üretip inceleyebileceği bir ortam kuracak. IPA, NICT ile birlikte saldırıları günün her saatinde izleyen bir gözlem ağının pilot uygulamasını başlatacak.
• Saldırılara stratejik müdahale: Ulusal Siber Güvenlik Ofisi, olası mağdurlarla önceden temasa geçecek, gerektiğinde kamu ve özel sektörden uzmanlardan oluşan ekipler, ciddi olaylarda da birden fazla kurumun personelinden oluşan ekipler gönderecek. Polis bünyesinde kayıtların korunması gibi ilk adımları üstlenecek “Fast Forensic Force” (geçici adı) adlı yeni bir birim kurulacak. Şirketlere yıl sonuna kadar tehdit avı kılavuzu ve tespit araçları verilecek. Saldırı altyapısının çökertilmesi, uluslararası ortak soruşturmalar ve saldırıların kamuoyu önünde belirli aktörlere atfedilmesi de paketin bu başlığında yer alıyor.
• Mağdurlara destek: Şirketler için polisin kurumsal mağdur hattına ek olarak ücretsiz danışma noktaları açılacak, bireyler için de yerel tüketici merkezleri ilk başvuru noktası olacak. Ülke genelindeki yaklaşık 60 bin dijital destek görevlisi siber güvenlik eğitimi alacak ve dijital araçlara alışkın olmayan kişilere yardım edecek. Hükümetin 30 Ekim’de açtığı siber olay özel sitesi danışma hatlarını ve uyarıları tek yerde topluyor.

Takaichi’nin talimatları

Takaichi toplantıda Bakan Furukawa’dan, Japonya’yı hedef alan saldırılar hakkında bilgi toplama kapasitesini artırmak için aktif siber savunmayı düzenleyen Siber Müdahale Kapasitesini Güçlendirme Yasası’nda değişiklik yapılmasını incelemesini istedi. Takaichi, yapay zekâ çağında saldırıların hızına yetişebilmek için kritik altyapı işletmecilerinin saldırıya uğradıklarını mümkünse birkaç saat içinde, en geç aynı gün Ulusal Siber Güvenlik Ofisi’ne bildirmesinin hedeflenmesini istedi. Takaichi ayrıca ofisin özel şirketlere yönelik şüpheli trafiği de izleyip inceleyebileceği bir düzenin diğer ülkelerdeki örnekler dikkate alınarak incelenmesini, BT sistemleri ve cihazlardaki tedarik zinciri risklerini azaltmak için gereken düzenlemelerin de Ulusal Güvenlik Sekreterliği öncülüğünde incelenmesini istedi.

Japonya’da son haftalarda büyük şirketleri etkileyen sızıntılar art arda geldi. Sitede yazdığımız Burger King Japonya olayında 11 milyondan fazla üyenin bilgileri sızdı, Iris Ohyama’nın çevrim içi mağazasındaki olayda ise yaklaşık 7,7 milyon kişinin bilgileri sızmış olabilir.