Beyaz Saray AI görev gücü, AI destekli saldırılara uğrayan kurumlara en az 12 ay düzenleyici esneklik istedi
Görev gücü, AI çağında eski siber güvenlik standartlarının yetersiz kaldığını ve iyi niyetle bildirim yapan kurumların cezai işlem ya da hukuki sorumluluk korkusu yaşamaması gerektiğini söyledi; CISA'nın sürece dahil olup olmadığı belirsiz.
ABD'de Beyaz Saray'ın yapay zekâ görev gücü, 12 Kasım Perşembe günkü ikinci toplantısının ardından yaptığı açıklamada siber olaylar sonrası kurumlara uygulanan düzenleyici standartların AI çağında "güncelliğini yitirmiş olabileceğini" söyledi. Görev gücüne göre kısa süre önce makul korumalara sahip olan kurumlar bugün daha savunmasız; bu nedenle saldırıya uğrayan şirketlere karşı düzenleyici işlem eşiği yeniden düşünülmeli.
Açıklamaya göre bu esneklik en az 12 ay sürmeli ve risk ortamının değerlendirmesine göre uzatılabilmeli. Gerekçe olarak, ağır yaptırımların bildirim ve bilgi paylaşımını caydırması gösterildi.
Görev gücü ne istiyor?
- Kritik altyapı işletmecileri ve sektör ortakları riskleri kendiliğinden tespit edip bildirebilmeli; iyi niyetli gönüllü bildirimler cezai, idari işleme ya da hukuki sorumluluğa yol açmamalı.
- 2015 tarihli Cybersecurity Information Sharing Act'in (tehdit verisi paylaşan şirketlere sorumluluk koruması veren, süresi dolmak üzere olan yasa) uzun vadeli olarak yenilenmesi destekleniyor.
- CISA'nın hazırladığı zorunlu olay bildirim kuralı destekleniyor; ancak görev gücü kuralın "tekrarı en aza indiren, açık ve uygulanabilir" olmasını istiyor. Bu kuralın arka planını CISA'nın yeni olay bildirim formu haberimizde anlatmıştık.
AI tarafında neler konuşuldu?
Beyaz Saray'ın toplantı notuna göre Ticaret Bakanı Howard Lutnick ve Ulusal Siber Direktör Sean Cairncross yeni AI modellerinin güvenlik risklerini belirleme çalışmalarını anlattı. NSA ve NIST'in büyük AI laboratuvarlarıyla birlikte frontier modelleri test ettiği belirtildi. Cairncross ve Pentagon'un araştırmadan sorumlu yetkilisi Emil Michael, şirketlerin AI kaynaklı olayları gönüllü bildirebileceği bir süreç üzerinde sektörle görüştüklerini söyledi: devlet bildirimleri analiz edip benzer tehditlere karşı özel sektörle paylaşacak. Ulusal laboratuvarların olay müdahalesinde kullanılması da gündemde, ancak ayrıntı verilmedi. Küçük ve orta ölçekli işletmelerin altyapı güvenliği için "uygulanabilir önlemler" belirleme çalışmasının sürdüğü de aktarıldı.
Toplantı notu CISA'nın toplantıya katılıp katılmadığını söylemiyor; Beyaz Saray bu konudaki soruya yanıt vermedi. Ajansın başına önerilen isim için CISA direktör adaylığı haberimize bakabilirsiniz.
Ne yapılmalı?
- ABD'de faaliyeti ya da ABD'li müşterisi olan kurumlar, olay bildirim süreçlerini CISA kuralı kesinleşmeden gözden geçirmeli; aynı olayın birden çok kuruma bildirilmesi durumunu şimdiden haritalamalı.
- Açıklama bir yasa ya da kural değil, bir niyet beyanıdır. Mevcut yükümlülükler (sektör düzenleyicileri, SEC bildirimi, eyalet yasaları) yürürlükte kalır; hukuk ekipleri buna göre plan yapmalı.
- Türkiye'deki kurumlar için doğrudan bir etkisi yok; ancak KVKK ve sektör düzenlemelerindeki bildirim yükümlülüklerinin "iyi niyetli bildirimi teşvik etme" yönünde tartışılması için örnek oluşturabilir.
