Pall Mall Süreci'nde ilk sektör rehberi: 14 ülke ticari hacking ve spyware şirketlerinden müşteri denetimi istiyor
İngiltere ve Fransa'nın yürüttüğü Pall Mall Süreci'nde 14 hükümet, ticari siber saldırı yeteneği geliştiren ve satan şirketler için ilk davranış rehberini kabul etti. Rehber bağlayıcı değil ve yaptırım içermiyor; konferansa katılan 43 ülkenin yarısından azı imza attı.
Spyware sektörünü dizginlemek için İngiltere ve Fransa'nın öncülük ettiği diplomatik girişim Pall Mall Süreci'nde, 14 hükümet ticari siber saldırı yetenekleri (commercial cyber intrusion capabilities, CCIC) geliştiren, satan ya da finanse eden şirketler için ilk rehberi 11 Kasım'da kabul etti. The Record'un aktardığına göre Fransa Dışişleri Bakanlığı metni "sorumlu davranışın ilk küresel standardı" olarak tanımladı.
Bakanlık, bir zamanlar yalnızca birkaç uzman devlet kurumunun elindeki yeteneklerin yaygınlaştığını, artık bir telefona sessizce sızma imkânının "raftan" satın alınabildiğini vurguladı. Bu araçların istihbarat ve organize suçla mücadelede kullanıldığını kabul eden bakanlık, gazetecileri, siyasetçileri, aktivistleri ve şirketleri hedef alan gözetim kampanyalarında da adlarının geçtiğini hatırlattı.
Rehber şirketlerden ne istiyor?
- Müşterilerin incelenmesi (vetting) ve kötüye kullanıma karşı teknik önlemler.
- Kötüye kullanımı izleme ve bildirme sistemleri.
- Ciddi kötüye kullanım riski inandırıcı olduğunda satışın ve desteğin durdurulması.
- İnsan hakları ihlali mağdurları için telafi yollarının "değerlendirilmesi".
Rehber gönüllü ve şirketler değil hükümetler tarafından onaylanıyor. Uymamanın bir yaptırımı yok; baskının bu araçları satın alan ve ihracatına lisans veren hükümetlerden gelmesi bekleniyor. Fransa Dışişleri, metnin yeni uluslararası yükümlülük doğurmadığını ve devletlerin ulusal güvenlik, savunma ve siber güvenlik alanındaki "meşru" kullanımlarını sorgulamadığını da not etti.
Kimler imzaladı, kimler imzalamadı?
Rehber, girişimin 43 ülkenin katıldığı üçüncü konferansında onaylandı; ancak katılımcıların yarısından azı imza attı. İmzacılar arasında İngiltere ve Fransa'nın yanı sıra ABD, Almanya, İtalya ve Japonya var. Geçen yılki konferansta hükümetler için bir davranış kuralları metni çıkmış ve bu metni bugüne kadar 27 ülke imzalamıştı. Yeni metni imzalamayan 15 ülkenin gerekçesi açıklanmadı.
The Record, girişimin 2024'teki Londra açılışından bu yana eleştirildiğini de hatırlatıyor: tartışmalı ürünleriyle anılan şirketler ilk toplantıda yer almamıştı; bazı katılımcılar da İngiltere ve Fransa'nın kendi spyware sektörlerini korurken başka devletlerin erişimini kısıtlamaya çalıştığını öne sürmüştü.
Ne yapılmalı?
- Gazeteci, avukat, siyasetçi ve üst yönetici gibi yüksek riskli kullanıcıları olan kurumlar, rehberin yaptırımsız olduğunu hesaba katarak savunmayı kendi tarafında kurmalı: iOS'ta Lockdown Mode, Android'de Advanced Protection gibi korumalar bu kullanıcılar için değerlendirilmeli.
- Telefonların ve işletim sistemlerinin güncellemeleri geciktirilmemeli; spyware zincirleri çoğunlukla patch'lenmiş açıklardan yararlanıyor.
- Kurumlar, mobil cihaz yönetiminde güncel olmayan sürümleri raporlayan uyumluluk kurallarını gözden geçirmeli.
- Hedefli saldırı şüphesinde cihaz kapatılmadan ve sıfırlanmadan önce uzman bir olay müdahale ekibine başvurulmalı.
