Siber Saldırılar Uluslararası Hukukta 'Silahlı Saldırı' Statüsüne Ne Zaman Girer?

Question

Küresel gerilimlerin arttığı ve siber saldırıların sıradanlaştığı bu dönemde, bir ülkenin kritik altyapısına yapılan ciddi bir siber operasyonun uluslararası hukukta 'silahlı saldırı' olarak kabul edilmesi için hangi eşiklerin aşılması gerekiyor? Bir devletin müdahale hakkı doğar mı, yoksa durum tamamen farklı bir kategoriye mi girer? Geçenlerde okuduğum bir makale kafamı çok kurcaladı, bu konudaki güncel doktrin ve içtihatlar nelerdir merak ediyorum.

Answer 1

Değerli okuyucum, siber uzayın giderek karmaşıklaşan ve ne yazık ki tehlikeli hale gelen doğası, uluslararası hukukun en büyük meydan okumalarından biri haline geldi. Özellikle 'Siber Saldırılar Uluslararası Hukukta 'Silahlı Saldırı' Statüsüne Ne Zaman Girer?' sorusu, sadece hukukçuların değil, karar vericilerin, stratejistlerin ve hatta siber güvenlik profesyonellerinin de zihnini meşgul eden merkezi bir konu. Geçtiğimiz günlerde okuduğunuz bir makalenin kafanızı kurcaladığını belirtmeniz çok doğal; zira bu konuda henüz tam bir mutabakat oluşmuş değil, ancak belirginleşen bazı eğilimler var.

Gelin, bu çetrefilli konuyu uzman bir bakış açısıyla, derinlemesine inceleyelim.

---

Uluslararası Hukukta 'Silahlı Saldırı' Kavramı: Geleneksel Çerçeve

Uluslararası hukukta bir devletin meşru müdafaa hakkını kullanabilmesi için, kendisine karşı bir 'silahlı saldırı' gerçekleşmiş olması gerekir. Bu, Birleşmiş Milletler Şartı'nın 51. maddesinde açıkça belirtilmiştir: "Bu Antlaşma'nın hiçbir hükmü, Birleşmiş Milletler üyelerinden birine karşı bir silahlı saldırı vukuunda, Güvenlik Konseyi uluslararası barış ve güvenliğin korunması için gerekli önlemleri alıncaya kadar doğal olan meşru müdafaa hakkına halel getirmez."

Geleneksel olarak, 'silahlı saldırı' kavramı, kuvvetin fiziksel kullanımıyla ilişkilendirilir: askerlerin sınırları geçmesi, füze saldırısı, bombardıman gibi eylemler. Uluslararası Adalet Divanı'nın (UAD) 1986 tarihli Nikaragua Kararı, bu tanımı daha da detaylandırarak, doğrudan askeri saldırıların yanı sıra, bir devletin başka bir devlete karşı silahlı gruplar göndermesi veya önemli büyüklükte silahlı eylemler gerçekleştiren grupları desteklemesini de silahlı saldırı olarak kabul etmiştir.

Ancak siber saldırılar, bu geleneksel çerçeveye tam olarak uymakta zorlanır. Mermilerin uçuşmadığı, tankların ilerlemediği bir ortamda, neyin 'kuvvet kullanımı' neyin 'silahlı saldırı' sayılacağı belirsizleşir.

---

Siber Alanın Getirdiği Zorluklar: Geleneksel Tanımlar Neden Yetersiz Kalıyor?

Siber saldırıların kendine özgü doğası, uluslararası hukuku yeni bir dönemeçle karşı karşıya bırakıyor:

1. Fiziksel Eşik Problemi: Bir siber saldırı fiziksel hasar, can kaybı veya yaralanmaya yol açmadığında, geleneksel tanıma göre bir "silahlı saldırı" olarak nitelendirilmesi zorlaşır. Örneğin, bir web sitesini çökertmek, bir istihbarat toplama operasyonu veya propaganda yaymak, çoğu zaman silahlı saldırı eşiğini aşmaz.
2. Atıf (Attribution) Zorluğu: Siber saldırının gerçek kaynağını (yani hangi devlete ait olduğunu) güvenilir bir şekilde belirlemek, teknik olarak son derece karmaşıktır. Saldırganlar kimliklerini gizlemek, üçüncü ülkelerin sunucularını kullanmak veya vekil aktörler aracılığıyla hareket etmek konusunda ustadır. Uluslararası hukukta devlet sorumluluğunun doğması için atıf kritik öneme sahiptir.
3. Niyetin Belirlenmesi: Bir siber saldırının amacı neydi? Casusluk mu, sabotaj mı, yoksa yıkım mı? Niyet, saldırının hukuki niteliğini belirlemede önemli bir rol oynar.

---

Eşik Belirleme: Etki ve Ölçek Odaklı Yaklaşım (Tallinn Kılavuzu)

Küresel gerilimlerin artması ve siber saldırıların kritik altyapılara yönelmesiyle birlikte, uluslararası hukukçular ve devletler, siber saldırıların ne zaman bir "silahlı saldırı" olarak kabul edilebileceğine dair yeni kriterler geliştirmeye başladı. Bu konuda en etkili çalışmalardan biri, NATO Mükemmeliyet Merkezi tarafından hazırlanan ve uluslararası hukuk uzmanlarının katkılarıyla oluşturulan Tallinn Kılavuzu'dur.

Tallinn Kılavuzu ve genel kabul görmeye başlayan doktrin, bir siber saldırının 'silahlı saldırı' olarak kabul edilmesi için etki ve ölçek odaklı bir yaklaşımı benimser. Yani, saldırının fiziksel gücün kullanımına eşdeğer veya ona benzer sonuçlar doğurması gerekir. Bu kapsamda, aşağıdaki eşikler öne çıkar:

1. Fiziksel Hasar ve Can Kaybı

   Eğer bir siber saldırı doğrudan ve önemli fiziksel hasara (örneğin bir enerji santralinin fiziksel olarak patlamasına, bir barajın kapaklarının açılmasına yol açarak sele neden olmasına) veya can kaybına/yaralanmaya yol açıyorsa, bu, konvansiyonel bir silahlı saldırının doğuracağı sonuçlarla eşdeğer kabul edilebilir.
   * Örnek: 2010 yılında İran'ın nükleer programına yönelik olarak kullanıldığı iddia edilen Stuxnet solucanı, santrifüjleri fiziksel olarak tahrip etmiş ve programın hızını yavaşlatmıştır. Her ne kadar bu olay açıkça bir devlet tarafından "silahlı saldırı" olarak nitelendirilmemiş olsa da, siber saldırıların fiziksel yıkım potansiyelini çarpıcı bir şekilde göstermiştir. Benim tecrübelerime göre, bu türden fiziksel etki yaratan siber saldırıların uluslararası hukukta silahlı saldırı olarak değerlendirilme ihtimali oldukça yüksektir.

2. Fonksiyonel Bozukluk ve Kritik Hizmet Kesintisi

   Bir siber saldırının fiziksel hasara neden olmasa bile, bir ülkenin kritik altyapısını felç ederek, toplumun işleyişi üzerinde yıkıcı bir etki yaratması durumunda da "silahlı saldırı" eşiği aşılabilir. Bu altyapılar arasında şunlar yer alır:
   Enerji şebekeleri: Uzun süreli ve geniş çaplı elektrik kesintileri, özellikle soğuk iklimlerde insan yaşamını doğrudan tehdit edebilir.
   Su ve kanalizasyon sistemleri: Halk sağlığı için hayati öneme sahip sistemlerin çökmesi.
   Sağlık hizmetleri: Hastanelerin ve acil durum hizmetlerinin çalışamaz hale gelmesi.
   Finansal sistemler: Ülkenin ekonomisini tamamen felç edecek geniş çaplı ve uzun süreli çöküşler.
   Ulaşım ve iletişim ağları: Hava trafik kontrolü, demiryolu ağları veya temel iletişim altyapısının çökmesi.
   Örnek: Rusya-Ukrayna savaşında gördüğümüz siber saldırılar, bu eşiğin ne kadar hassas olduğunu gözler önüne seriyor. Özellikle 2022'de Ukrayna'nın Viasat uydu ağının hedef alınması gibi operasyonlar, askeri ve sivil iletişim üzerinde geniş çaplı kesintilere yol açmıştır. Ayrıca, Ukrayna'nın elektrik şebekesine yapılan saldırılar, kış aylarında milyonlarca insanı elektriksiz bırakarak, dolaylı yoldan insani krizlere yol açmıştır. Bu tür saldırılar, fiziksel yıkım olmasa bile, yarattığı geniş çaplı ve felç edici etki nedeniyle "silahlı saldırı" statüsüne yaklaşan eylemler olarak değerlendirilmektedir.

Özetle, uluslararası hukukta bir siber saldırının 'silahlı saldırı' sayılabilmesi için, sonuçlarının geleneksel bir silahlı saldırının sonuçlarına eşdeğer olması beklenir. Basit bir tabirle, "eğer bu etki geleneksel bir silahla (bomba, füze vb.) yaratılsaydı silahlı saldırı sayılır mıydı?" sorusuna "evet" yanıtı verilebiliyorsa, siber saldırının da bu statüye girme ihtimali güçlenir.

---

Atıf (Attribution) Meselesi ve Devlet Sorumluluğu

Bir siber saldırının 'silahlı saldırı' olarak nitelendirilmesinde, saldırının bir devlete atfedilebilmesi hayati öneme sahiptir. Teknik atıf (saldırının nereden geldiği) ile hukuki atıf (hangi devletin sorumlu olduğu) arasında fark vardır. Hukuki atıf, saldırının belirli bir devletin kontrolü altında veya onun talimatıyla gerçekleştirildiğini gösteren yeterli delil gerektirir.

Devletler, bu konuda kendi iç hukuki mekanizmalarını ve istihbarat kapasitelerini kullanarak atıf yapmaya çalışırlar. Ancak, bu her zaman kolay değildir ve uluslararası arenada güçlü deliller sunmayı gerektirir. Eğer bir devlet, başka bir devletin kendisine karşı "silahlı saldırı" düzenlediğini iddia ediyorsa, bu iddiayı destekleyen güvenilir ve doğrulanabilir kanıtlar sunmak zorundadır. Benim şahsen gözlemlediğim kadarıyla, atıf konusunda şeffaflık ve uluslararası işbirliği, gelecekte bu tür iddiaların kabul edilebilirliği açısından çok daha kritik olacak.

---

Meşru Müdafaa Hakkı ve Orantılılık

Eğer bir siber saldırı "silahlı saldırı" statüsüne ulaşırsa, hedef devletin Birleşmiş Milletler Şartı'nın 51. maddesi uyarınca meşru müdafaa hakkı doğar. Bu hakkın kullanımı da belirli ilkelerle sınırlıdır:

• Gereklilik (Necessity): Yapılan savunma eylemi, saldırıyı durdurmak veya püskürtmek için gerçekten gerekli olmalıdır.
• Orantılılık (Proportionality): Savunma eylemi, uğranılan saldırıya orantılı olmalıdır. Yani, bir siber saldırıya karşı verilecek cevap, saldırının kendisinden çok daha büyük bir yıkıma yol açmamalıdır.

Peki, siber bir "silahlı saldırıya" karşı ne tür bir meşru müdafaa cevabı verilebilir?
Siber karşılık siber mi olmalı? Çoğu doktrin, siber bir saldırıya karşı siber bir yanıtın (örneğin, karşı tarafın aynı kritik altyapısına yönelik bir siber saldırı) orantılı olabileceğini kabul eder.
Kinetik karşılık ne zaman meşru olur? Bu en hassas konudur. Eğer siber saldırının etkileri, geleneksel bir silahlı saldırının etkilerine eşdeğerse (örneğin binlerce can kaybı veya kritik altyapının tamamen yok olması), bazı durumlarda kinetik (fiziksel) bir karşılığın da meşru müdafaa kapsamında değerlendirilebileceği ileri sürülür. Ancak bu, uluslararası gerilimi tırmandırma potansiyeli taşıdığı için devletler tarafından son derece dikkatli değerlendirilmesi gereken bir adımdır.

---

Gri Alanlar ve Gelecek Perspektifleri

Siber saldırıların uluslararası hukukta tam olarak nereye oturduğu hala tam anlamıyla netleşmiş değil. Ortada birçok gri alan bulunuyor:

• Casusluk, Propaganda ve Silahlı Saldırı Arasındaki Çizgi: Bir devletin başka bir devlete ait sistemlere sızması, casusluk mu, yoksa silahlı saldırı hazırlığı mı? Dezenformasyon kampanyaları, bilgi savaşı mı, yoksa daha fazlası mı?
• Vekil Aktörler ve Devlet Sorumluluğu: Devletler tarafından desteklenen veya tolere edilen siber suç grupları veya hacktivistlerin eylemlerinden devletler ne zaman sorumlu tutulabilir?
• Egemenlik İhlali ve Silahlı Saldırı Farkı: Her siber sızma veya izinsiz erişim, bir devletin egemenliğinin ihlalidir. Ancak bu, otomatik olarak 'silahlı saldırı' anlamına gelmez. Bu iki kavram arasındaki çizgi iyi çizilmelidir.

---

Uzman Görüşü ve Tavsiyeler

Küresel gerilimlerin arttığı bu dönemde, siber saldırıların 'silahlı saldırı' statüsüne girme eşiği, uluslararası istikrar ve barış için hayati bir önem taşımaktadır. Benim şahsi kanaatim ve deneyimlerim gösteriyor ki, devletlerin bu konuda net, şeffaf ve kamuya açık doktrinler geliştirmesi elzemdir. Türkiye gibi kritik jeopolitik konumda olan ülkeler için siber direnç ve siber güvenlik kapasitesini artırmak, sadece savunma değil, aynı zamanda caydırıcılık açısından da stratejik öneme sahiptir.

Devletlerin, siber uzayda kendi kırmızı çizgilerini ve kabul edilebilir yanıtlarını belirlemesi, potansiyel saldırganlar için caydırıcı bir etki yaratabilir. Ayrıca, uluslararası işbirliği, siber tehditlere karşı ortak savunma mekanizmaları oluşturma ve atıf kapasitesini artırma konularında vazgeçilmezdir. Uluslararası hukukun bu alandaki evrimi devam ederken, sürekli diyalog ve norm geliştirme çabaları büyük önem taşımaktadır.

---

Sonuç

Siber saldırılar ve bunların uluslararası hukuktaki yeri, yirmi birinci yüzyılın en karmaşık hukuki ve stratejik sorunlarından biridir. Bir siber saldırının 'silahlı saldırı' statüsüne ne zaman gireceği sorusu, saldırının etkisinin ve ölçeğinin geleneksel bir silahlı saldırının sonuçlarına eşdeğer olup olmadığına bakılarak yanıtlanmaktadır. Fiziksel yıkım, can kaybı veya kritik altyapının felç olması gibi sonuçlar, bu eşiğin aşılmasında kilit rol oynamaktadır.

Bu konuda henüz nihai bir uluslararası mutabakat olmasa da, devlet uygulamaları ve doktrinler, 'etki odaklı' bir yaklaşımın giderek daha fazla kabul gördüğünü göstermektedir. Bu hassas dengeyi korumak, hem devletlerin egemenliğini korumak hem de uluslararası hukukun temel prensiplerini siber uzaya adapte etmek için hayati öneme sahiptir. Bu alandaki gelişmeler, gelecekteki uluslararası ilişkileri şekillendirecek en önemli faktörlerden biri olmaya devam edecektir.