Yorum: BSI, BND'nin sıfır gün sağlayıcısı olmamalıdır

kapanış bildirimi

Bu makale İngilizce olarak da mevcuttur. Teknik yardımla tercüme edildi ve yayınlanmadan önce editoryal olarak gözden geçirildi.

Bir daha gösterme.

Federal İçişleri Bakanlığı (BMI) tarafından bu hafta sunulan İstihbarat Yasası reform taslağı, gelecekte Federal Bilgi Güvenliği Dairesi'nin (BSI) kendisi tarafından bilinen sıfır gün güvenlik açıklarını Federal İstihbarat Servisi'ne iletmesini öngörüyor. Ve bu, bir yama bile mevcut olmadan önceydi. Burada istihbarat ihtiyacı olarak satılan şey, aslında devlet ile siber güvenlik camiası arasında yıllar içinde titizlikle geliştirilen güven temelinin terk edilmesi anlamına geliyor ve teşkilatın asıl misyonundan bir kopuşa işaret ediyor.

Tasarıyı okuyan herkes, bunun artık sadece yetkilerdeki bireysel değişikliklerle ilgili olmadığını, daha ziyade dijital ulusal güvenlik politikasında temel bir yön değişikliğiyle ilgili olduğunu hemen fark edecektir. Yaklaşık 700 sayfada, dijital alanda güvensizliğin istisnadan kurala dönüştüğü, giderek aktifleşen bir güvenlik mimarisi ortaya çıkıyor.

Gizli servisler tehlike durumunda giderek daha hızlı hareket edebiliyor, temel hakların temel alanlarının korunması sınırlı ve hatta müdahil olmayan üçüncü taraflar bile dijital devlet istihbarat önlemlerine giderek daha fazla dahil olabiliyor. Bu projenin aynı zamanda BSI'nin Federal İstihbarat Servisi (BND) ile işbirliği yapma yükümlülüğünü de tesis etmesi, bu yeni çerçeveye mükemmel bir şekilde uymaktadır.

Güvenlik açıklarından “değer yaratın”

Tasarı özellikle, ulusal kamu kurumlarının, yabancı istihbarat keşiflerine ihtiyaç duyulduğuna dair somut göstergeler ortaya çıktığı anda, kişisel veriler de dahil olmak üzere bilgileri BND'ye iletebilmesini sağlıyor. Hatta BSI'nın açık bir yükümlülüğü de var. Siber güvenlikle ciddi olarak ilgilenen herkes gözlerine inanamaz. Birkaç yüz sayfa sonra taslak gerekçe, BMI'ın gerçekte ne olduğunu açıklıyor. Özellikle sıfır gün güvenlik açıkları durumunda, dahili işleme, üreticilere raporlama, yazılım hatasının düzeltilmesi ve bir yamanın son kurulumu arasındaki süre, gelecekte bu tür boşluklardan istihbarat amacıyla yararlanmak için kullanılmalıdır – projede yalnızca kısaca “katma değer” olarak tanımlanmıştır.

Bu, gelecekte Almanya'nın ulusal siber güvenlik mimarisini saçmalık düzeyine indirecektir. BSI, yasal yetkisi BSI Yasası'nın ilk paragrafında “ulusal düzeyde bilgi güvenliği için merkezi ofis olarak tanımlanan” bir otoritedir. Ve şimdi, asıl görevleri hızlı bir şekilde ortadan kaldırılması olacak olan güvenlik açıkları hakkında bilgi aktarmaya zorlanmaları gerekiyor.

Sessizliğin bedeli

Eğer BMI artık bu ölümcül tasarım hatasının hiçbir sonuç doğurmayacağına inanıyorsa, bu yanlıştır. Gelecekte, güvenlik araştırmacıları, kritik altyapı operatörleri ve en önemlisi NIS2'den etkilenenler, keşfedilen güvenlik açıklarını BSI ile tekrar paylaşma konusunda iki kez düşünecek. En azından bildirilen bir boşluğun mümkün olan en kısa sürede doldurulup doldurulmayacağı veya paylaşılıp istihbarat operasyonlarına açık tutulup tutulmayacağı netleşene kadar. Söz konusu olan tam olarak Otoritenin son yıllarda BT güvenliği topluluğu için tarafsız bir muhatap olarak titizlikle oluşturduğu güven ve bununla birlikte gönüllü olarak işbirliği yapma isteğidir.

Orta ve uzun vadede, özellikle dış politika gerilimlerinin ve hibrit tehditlerin zaten arttığı bir dönemde, dijital altyapının daha fazla açık hale gelme riski bulunuyor. Bu, yasa koyucu için ek bir dijital güvenlik riski teşkil etmektedir.

Güvenlik kazancına dair kanıt yok

Saldırı amaçlı siber yeteneklerin gerçekte ortaya çıkan riskleri haklı çıkaracak bir güvenlik kazanımı ürettiği henüz kanıtlanmamış olsa da, projenin geniş kapsamlı müdahaleleri içermesi de dikkat çekicidir. Bunun yerine genel referans yabancı istihbarat ihtiyacına yöneliktir. Bu tür sıfır gün bilgilerinin aslında ne sıklıkla güvenilir sonuçlara yol açtığına, güvenlik açığı keşfi ile yama dağıtımı arasındaki kısa süre içinde anlamlı eylemlerin gerçekleştirilip gerçekleştirilemeyeceğine ve gecikmeli kapatma sonucunda kaç ek saldırı yüzeyinin ortaya çıktığına dair somut kanıtlar – tüm bunların gerekçesi oldukça zayıf kalıyor.

Ulusal siber güvenlik mimarimize bu kadar derinden müdahale eden bir yasa tasarısı, bu teknik hususu siyasi tartışmaya bırakmamalı. Bunun başlangıçtan itibaren güvenilir rakamlarla ve kanıtlarla desteklenmesi gerekiyor.

İstihbarat kontrolünde kaçırılan fırsatlar

Reform, basit bir kararın ötesinde, Güvenlik Sektöründe Bilgi Teknolojileri Merkez Ofisi'nin (kısacası ZITiS) yasal olarak yaygın konumuna sağlam bir yasal temel sağlamak için çok gecikmiş olsa da iyi bir fırsat olabilirdi. Ancak bunun yerine yanlış inşaat alanlarına odaklanıyorlar. Aynı zamanda, istihbarat kontrol mekanizmaları giderek zayıflıyor ve prosedürde şeffaflığa neredeyse hiç izin vermeyecek şekilde merkezileşiyor.

Bazen uzun zaman alan bir şeyin kötü olduğu ortaya çıkar. Bu, istihbarat yasası reform tasarısı gibi neredeyse diğer tüm yasa teklifleri için de geçerlidir. BSI'yi saldırgan istihbarat uygulamaları tedarikçisi haline getiren herkes, teşkilatın güvenlik camiası nezdindeki güvenilirliğini ortadan kaldırır ve devlet ile sivil toplum arasında güvenilir bir arabulucu olma işlevini yok eder. Yasa koyucunun bu büyük tasarım hatasını, Almanya'nın siber güvenliği ve dijital egemenliği açısından kalıcı bir gerileme haline gelmesinden önce, sonraki parlamento sürecinde mutlaka düzeltmesi gerekiyor.

(yardımcı)