Enerji sistemleri için en büyük siber tehdit hâlâ insanlar

Yapay zekânın kontrolden çıkarak kendi başına büyük siber saldırılar düzenlemesi, son dönemde güvenlik tartışmalarının merkezine yerleşti. Ancak enerji sistemleri açısından daha yakın ve somut tehdit, hâlâ insanların elindeki saldırı araçları. Siber güvenlik uzmanları, üretken yapay zekânın kötü niyetli kişiler tarafından kullanılmasıyla saldırı kapasitesinin arttığını, enerji altyapısının ise bu değişime karşı hazırlıksız kaldığını belirtiyor.

Bu tablo, elektrik şebekeleri ve enerji tesislerinin yapısal özellikleri nedeniyle daha da kritik hâle geliyor. Evlerde ışıkların yanması, buzdolaplarının çalışması ve hastanelerdeki yaşam destek cihazlarının kesintisiz hizmet vermesi, büyük ölçüde bu altyapının güvenliğine bağlı. Enerji sistemlerine yönelik bir saldırı yalnızca teknoloji şirketlerini değil, doğrudan günlük yaşamı etkileyebiliyor.

Asıl risk yapay zekânın kendisi değil, onu kullananlar

Institute for Security and Technology bünyesinde kamu güvenliği ve dayanıklılık alanında görev yapan Joshua Corman, yapay zekânın kötü niyetli aktörler için bir güç çarpanı hâline geldiğini söylüyor. Corman’a göre saldırı düzenlemek isteyen kişiler, artık geçmişe kıyasla daha güçlü araçlara erişebiliyor.

Uzmanların kaygısı, yapay zekânın bağımsız bir karar vererek insanlığın kontrolünden çıkmasından önce, mevcut saldırganların bu teknolojiyi kullanarak daha etkili hâle gelmesi. Üretken yapay zekâ; saldırı hazırlığı, hedef araştırması ve karmaşık işlemlerin yürütülmesi gibi alanlarda kötü niyetli kişilerin kapasitesini artırabiliyor. Bu nedenle enerji şirketlerinin savunmalarını yalnızca gelecekte ortaya çıkabilecek otonom yapay zekâ ajanlarına göre değil, bugün bu araçları kullanabilecek insanlara karşı da güçlendirmesi gerekiyor.

Yapay zekâ geliştiren şirketlerde görev yapan bazı yöneticiler, teknolojinin kontrolden çıkarak insanlık için varoluşsal bir tehdit oluşturup oluşturamayacağını tartışıyor. Ancak enerji altyapısına yönelik risk değerlendirmesinde, uzmanların önceliği bağımsız hareket eden “saldırgan” yapay zekâ değil; bu teknolojiyi kullanan saldırganlar olmaya devam ediyor.

Eski enerji altyapısı savunmayı zorlaştırıyor

Enerji sektöründeki siber güvenlik sorunlarının önemli bir bölümü, sistemlerin başlangıçta internete bağlı çalışmak üzere tasarlanmamış olmasından kaynaklanıyor. Elektrik santralleri ve benzeri kritik tesislerde kullanılan ekipmanların çalışma ömrü genellikle onlarca yıla uzanıyor. Bu sistemlerin birçoğu, günümüzün internet bağlantılı tehditleri hesaba katılmadan üretildi.

ABD’deki nükleer reaktörlerin ortalama yaşı yaklaşık 44 yıl. Bu yaş, enerji altyapısının ne kadar uzun süre kullanıldığını gösterirken, aynı zamanda eski teknolojilerin modern siber güvenlik gereksinimleriyle uyumlu hâle getirilmesinin neden zor olduğunu da ortaya koyuyor.

Başlangıçta internete bağlı olmayan altyapıların zaman içinde çevrim içi sistemlerle ilişkilendirilmesi, yeni güvenlik açıklarını beraberinde getirdi. Sonradan eklenen bağlantıları düzeltmek ise kolay değil. Enerji sektöründe kullanılan bazı ekipmanları geliştiren şirketlerin artık faaliyet göstermemesi, eski sistemler için yazılım güncellemesi veya güvenlik yaması hazırlanmasını da güçleştiriyor.

Enerji şirketleri için savunma baskısı artıyor

Enerji tesislerinin onlarca yıl boyunca çalışması, güvenlik yatırımlarının yalnızca yeni kurulan sistemlere odaklanamayacağı anlamına geliyor. Kurumların bir yandan eski donanımları koruması, diğer yandan internete bağlanan bileşenleri denetlemesi gerekiyor. Yapay zekâ destekli saldırı araçlarının yaygınlaşması, bu yükü daha da artırıyor.

Buradaki temel mesele, saldırının mutlaka kendi kararlarını veren bir yapay zekâ tarafından başlatılması değil. Kötü niyetli bir kişinin elindeki yapay zekâ araçları, zaten kırılgan olan sistemlere yönelik tehdidi büyütebiliyor. Enerji altyapısının uzun ömrü, eski ekipmanların güncellenmesindeki zorluklar ve çevrim içi bağlantıların artması birlikte değerlendirildiğinde, siber güvenliğin operasyonların sonradan eklenecek bir parçası değil, sistemin temel unsurlarından biri olması gerekiyor.