Sınır ötesi siber saldırılarda devletin uluslararası hukuki sorumluluğu neye göre belirleniyor?

Question

Son zamanlarda devlet destekli siber saldırı haberlerini çok sık duyuyorum ve bu beni çok düşündürüyor. Acaba uluslararası hukukta bir devletin bu tür bir saldırıdan sorumlu tutulması için hangi deliller ya da koşullar gerekiyor, yoksa bu konuda uluslararası hukuk hâlâ genelde hep gri alanda mı kalıyor?

Answer 1

Merhaba sevgili okuyucu,

Son zamanlarda sıkça duyduğumuz devlet destekli siber saldırı haberleri, sadece sizin değil, benim de uzun yıllardır üzerinde çalıştığım bu alanda pek çok soruyu beraberinde getiriyor. Siber uzay, hepimizin hayatının bir parçası haline gelirken, bu yeni savaş alanı, geleneksel uluslararası hukukun sınırlarını zorluyor. "Acaba bir devletin sınır ötesi bir siber saldırıdan sorumlu tutulması için hangi deliller ya da koşullar gerekiyor, yoksa bu konuda uluslararası hukuk hâlâ genelde hep gri alanda mı kalıyor?" sorunuz o kadar isabetli ki, gelin bu karmaşık ve bir o kadar da hayati konuyu, uzman bakış açısıyla birlikte derinlemesine inceleyelim.

Siber Uzayın Yeni Kuralları: Devlet Sorumluluğunun Temelleri

Uluslararası hukukta bir devletin hukuki sorumluluğunu belirleyen temel metin, Uluslararası Hukuk Komisyonu'nun Devletlerin Uluslararası Hukuka Aykırı Fiillerinden Doğan Sorumluluğuna Dair Taslak Maddeleridir (ARSIWA). Bu taslak maddeler, siber saldırılar için de birincil referans noktamızı oluşturur. Bir devletin sorumlu tutulabilmesi için iki temel unsurun varlığı şarttır:

1. Fiilin bir devlete atfedilebilir olması (Attribution): Yani, siber saldırının doğrudan o devlete ait bir organ tarafından gerçekleştirildiğinin ya da devletin kontrolü veya yönlendirmesi altında yapıldığının ispatlanması gerekir.
2. Bu fiilin uluslararası bir yükümlülüğün ihlali teşkil etmesi: Yani, saldırının uluslararası hukukun tanıdığı bir normu veya anlaşmayı çiğnemesi gerekir.

İşin en zorlayıcı kısmı ise hiç şüphesiz atfetme (attribution) meselesidir.

Siber Uzayda Atfetme: Sanal Bir İğne Deliği

Siber saldırılarda "failleri" bulmak, adeta samanlıkta iğne aramaya benzer. Saldırganlar kimliklerini gizlemek için çeşitli teknikler kullanır: IP adreslerini maskeleme, üçüncü ülke sunucuları üzerinden yönlendirme, "sahte bayrak" operasyonları düzenleme ve hatta saldırıyı tamamen bağımsız bir grup gibi gösterme gibi yöntemler. İşte bu yüzden, bir siber saldırının arkasında gerçekten hangi devletin olduğunu kanıtlamak büyük bir zorluktur.

Uluslararası hukuk, atfetme konusunda bize birkaç senaryo sunar:

• Doğrudan Atfetme: Bir devletin askeri, istihbarat veya diğer resmi kurumları tarafından yapılan siber saldırılar bu kategoriye girer. Eğer bir devletin siber birimi doğrudan saldırıyı gerçekleştiriyorsa, sorumluluk net bir şekilde devlete aittir.
• Dolaylı Atfetme: Bu, konunun en "gri" olduğu alanlardan biridir. Burada mesele, saldırıyı gerçekleştiren sivil ya da paramiliter grupların, bir devletin yönlendirmesi, kontrolü veya talimatı altında hareket edip etmediğidir.
  • "Etkin Kontrol" Standardı: Uluslararası Adalet Divanı'nın (UAD) Nikaragua Davası'nda ortaya koyduğu "etkin kontrol" standardı, bir devletin doğrudan operasyonun her bir aşamasını yönettiğini gösteren çok yüksek bir eşik gerektirir. Siber saldırıların karmaşıklığı göz önüne alındığında, bu standardı sağlamak oldukça zordur.
  • "Genel Kontrol" Standardı: Eski Yugoslavya Uluslararası Ceza Mahkemesi'nin (ICTY) Tadić Davası'nda belirlediği "genel kontrol" standardı, etkin kontrole göre biraz daha düşük bir eşiktir. Bu, bir devletin grubun genel faaliyetleri üzerinde önemli bir etkisi olduğunu, fon sağladığını, eğitim verdiğini veya desteklediğini göstermeyi gerektirebilir. Ancak siber saldırılarda dahi bunun kanıtlanması yine de meşakkatlidir.

Örnekler mi istiyorsunuz?

• NotPetya (2017) ve SolarWinds (2020) vakaları: ABD, Birleşik Krallık gibi bazı ülkeler, bu yıkıcı saldırıları Rusya'ya atfettiler. Bu atfetmeler genellikle derinlemesine istihbarat raporları, teknik analizler ve müttefik ülkelerle paylaşılan bilgiler ışığında yapıldı. Ancak bu tür atfetmeler, uluslararası mahkemelerde hukuki bir delil olarak her zaman kabul görmeyebilir; zira istihbarat bilgileri genellikle gizlidir ve kamuya açıklanamaz.
• Stuxnet (2010): İran'ın nükleer tesislerine yönelik bu saldırının ABD ve İsrail tarafından yapıldığına dair yaygın bir kanaat olsa da, resmi bir atfetme ve dolayısıyla uluslararası hukuki bir dava hiç olmadı. Bu, devletlerin bazen politik nedenlerle resmi atfetmeden kaçınabildiğini gösterir.

Hangi Siber Saldırı Bir Uluslararası Yükümlülük İhlali Demektir?

Her siber saldırı, bir devletin hukuki sorumluluğunu doğurmaz. İşte bazı önemli ihlaller:

1. Egemenliğin İhlali: Eğer bir siber saldırı, başka bir devletin toprak bütünlüğüne veya siyasi bağımsızlığına zarar veriyorsa, egemenlik ihlali söz konusu olabilir. Tallinn El Kitabı (Uluslararası hukuk uzmanlarının siber savaş üzerine kapsamlı bir çalışması), fiziksel yıkıma neden olan veya önemli işlevsel kesintiye yol açan siber operasyonları egemenlik ihlali olarak değerlendirir.
2. Kuvvet Kullanma Yasağının İhlali: Bir siber saldırı, ölüme, yaralanmaya veya önemli ölçüde altyapısal yıkıma yol açıyorsa, Birleşmiş Milletler Şartı'nda yer alan kuvvet kullanma yasağını ihlal edebilir ve bu bir "silahlı saldırı" olarak kabul edilebilir. Örneğin, bir ülkenin enerji şebekesini çökertip toplu ölümlere neden olan bir siber saldırı.
3. Müdahale Yasağının İhlali: Bir devletin iç işlerine, ekonomik veya siyasi süreçlerine, örneğin seçimlerine siber yollarla müdahale etmek, uluslararası hukukun müdahale yasağını ihlal edebilir.
4. Özen Yükümlülüğü (Due Diligence): Bu çok önemli bir noktadır! Bir devletin, kendi topraklarından kaynaklanan siber saldırıların diğer devletlere zarar vermesini önlemek için makul ölçüde özen gösterme yükümlülüğü vardır. Eğer bir devlet, kendi topraklarında barınan siber suç gruplarını bilerek veya göz yumarak diğer devletlere saldırmasına izin veriyorsa, bu da bir uluslararası hukuki sorumluluğa yol açabilir.

"Gri Alanlar" ve Uluslararası Hukukun Geleceği

Evet, itiraf edelim ki uluslararası hukuk siber alanda hala pek çok "gri alana" sahip. Bunun temel nedenleri:

• Konsensüs Eksikliği: Devletler, mevcut uluslararası hukukun siber alana nasıl uygulanacağı konusunda tam bir fikir birliğine varabilmiş değiller. Bazı devletler daha geniş yorumlar yaparken, bazıları daha dar ve muhafazakar bir yaklaşım sergiliyor.
• Kanıtın Doğası: İstihbarat temelli kanıtların mahkemelerde kullanılması zorluğu.
• Teknolojinin Hızı: Hukuk, teknolojinin gelişim hızına ayak uydurmakta zorlanıyor.
• Cevabın Orantılılığı: Bir siber saldırıya nasıl karşılık verileceği, bunun uluslararası hukuka uygun olup olmadığı da ayrı bir tartışma konusudur.

Ancak bu, hukukun tamamen işe yaramaz olduğu anlamına gelmez. Tallinn El Kitabı gibi akademik çalışmalar, BM Hükümet Uzmanları Grupları (GGE) ve Açık Uçlu Çalışma Grupları (OEWG) gibi platformlardaki tartışmalar, hukukun bu alanda gelişmesine katkıda bulunuyor. Devletlerin Fransa, Hollanda gibi kendi ulusal pozisyonlarını netleştirmesi, gelecekteki normların oluşumuna zemin hazırlıyor.

Sonuç Yerine: Gelişen Bir Alan, Artan Sorumluluklar

Sınır ötesi siber saldırılarda devletin uluslararası hukuki sorumluluğunu belirlemek, karmaşık bir bulmaca gibidir. Atfetme zorluğu, uluslararası yükümlülüklerin siber alana uygulanması ve devletlerarası konsensüs eksikliği bu alanın temel zorluklarıdır. Ancak, uluslararası hukukun genel ilkeleri ve devletlerin egemenlik, müdahale yasağı, kuvvet kullanma yasağı ve özen yükümlülüğü gibi temel yükümlülükleri, siber alanda da geçerliliğini korumaktadır.

Unutmayalım ki, uluslararası hukuk asla durağan değildir; sürekli gelişen bir organizmadır. Siber tehditler arttıkça, devletlerin bu alandaki sorumlulukları ve işbirliği ihtiyacı da artmaktadır. Hukukun bu gri alanlarını aydınlatmak, sadece hukukun uzmanlarının değil, tüm devletlerin ve uluslararası toplumun ortak sorumluluğudur. Ancak bu şekilde, siber uzayın barışçıl ve güvenli bir alan olarak kalmasını sağlayabiliriz.

Umarım bu detaylı makale, aklınızdaki sorulara ışık tutmuştur.

Saygılarımla,

[Uzman Adınız/Unvanınız]