Dijitalleşmenin hızlanması, sivil toplum kuruluşlarının (STK’lar) faaliyetlerini dönüştürürken, bu kuruluşları yeni ve çoğu zaman görünmez güvenlik riskleriyle de karşı karşıya bırakmaktadır. İnsani yardım, insan hakları, sağlık, eğitim, çevre, mülteci desteği ve demokratik katılım gibi alanlarda çalışan kuruluşlar; üyelerine ve yardımda bulundukları kişilere ilişkin hassas verileri toplamakta, bağışçılarıyla dijital kanallar üzerinden iletişim kurmakta ve çoğu zaman çatışma bölgelerinde ya da siyasi açıdan kırılgan ortamlarda faaliyet göstermektedir. Bu nedenle, bir siber saldırı, yalnızca bilgisayar sistemlerinin devre dışı kalması veya verilerin çalınması anlamına gelmemekte; yardım faaliyetlerinin kesintiye uğraması, savunmasız kişilerin kimliklerinin açığa çıkması ve toplumsal güvenin zedelenmesi gibi doğrudan insani sonuçlar doğurabilmektedir.
Siber güvenlik, yapay zekâ, siber suçlar ve dezenformasyonla mücadele alanlarında tanınan küresel bir güvenlik uzmanı ve yönetici olan Stéphane Duguin’in 2026 yılında John Wiley & Sons tarafından yayımlanan Cybersecurity for NGOs: Attack Prevention and Threat Response (STK'lar için Siber Güvenlik: Saldırıları Önleme ve Tehditlere Müdahale) başlıklı eseri, bu sorunu teknik güvenlik literatürünün dar sınırlarının ötesine taşıyarak ele almaktadır. Protect.ngo’nun CEO’su olan Duguin, kitabında siber güvenliği nihai bir amaç olarak değil, insani ve toplumsal misyonların sürdürülebilmesini sağlayan bir araç olarak konumlandırır. Bu yaklaşım, eserin temel düşünsel eksenini oluşturmaktadır: siber uzayda STK’ları korumak, aynı zamanda bu kuruluşların hizmet sunduğu insanları, hakları ve demokratik değerleri de korumaktır.
Kitap, 4 temel bölümden oluşmaktadır. İlk bölümde sivil toplum kuruluşlarının neden hedef haline geldiği ve saldırıların insani etkileri açıklanmaktadır. İkinci bölüm, kimlik avı, fidye yazılımı, casus yazılım, yönetici taklidi, bilgi manipülasyonu ve yapay zekâ destekli tehditleri incelemektedir. Üçüncü bölüm, devletlerin siber alandaki sorumluluklarını ve saldırgan ekosisteminin hesap verebilirlik sorununu tartışmaktadır. Dördüncü ve son bölüm ise, NIST Siber Güvenlik Çerçevesi’ni STK’ların kaynak ve kapasite koşullarına uyarlayarak uygulanabilir bir dayanıklılık modeli önermektedir. Bu yazıda, önce kitabın temel argümanları ve bölümleri özetlenecek, ardından eserin Siyaset Bilimi, Uluslararası İlişkiler ve Siber Güvenlik literatürüne katkıları eleştirel biçimde değerlendirilecektir.
1. Yazar ve Eser Hakkında Genel Bilgiler
Stéphane Duguin, kariyerini siber suçların ve teknolojinin kötüye kullanımının izlenmesine adamış Fransız bir uzmandır. Kitabın girişinde, Avrupa Birliği’nin kolluk kuvveti Europol bünyesindeki çalışmaları da dahil olmak üzere yaklaşık 30 yıllık deneyiminin, siber güvenlik sorunlarının yalnızca teknik değil kurumsal ve insani boyutlarını anlamasını sağladığını belirtmektedir. Duguin, Protect.ngo’nun (önceki adıyla CyberPeace Institute) yöneticisi olarak sivil toplum kuruluşlarının dijital güvenliğini güçlendirmeye yönelik çalışmaları koordine etmektedir.
Eserin Önsöz bölümünde, Justin Spelhaug, sivil toplum kuruluşlarının yoksulluk, yerinden edilme, eğitim ve sağlık gibi alanlarda hayati hizmetler sunduğunu, buna karşılık dijital tehditler karşısında çoğu zaman yeterli kaynak ve uzmanlığa sahip olmadığını vurgular. Önsözde Protect.ngo’nun son 4 yılda kâr amacı gütmeyen kuruluşlara yönelik 155.993 siber saldırı tespit ettiği; email temelli tehditlerin yüzde 35,2, kimlik bilgilerini hedefleyen oltalama girişimlerinin ise yüzde 50,4 arttığı bilgisi aktarılmaktadır. Bu rakamlar, kitabın yayımlandığı dönemdeki tehdit ortamını göstermesi bakımından önemlidir; ancak belirli bir veri toplama dönemi ve Protect.ngo’nun izleme kapasitesi çerçevesinde değerlendirilmelidir.
Duguin’in eseri, yalnızca bir teknik el kitabı değildir. Yazar, çalışmayı bir başvuru kaynağı, sözlük, stratejik rehber ve eylem çağrısı olarak tasarlamıştır. Nitekim metin boyunca STK yöneticilerinin, çalışanların, gönüllülerin, bağışçıların, devlet temsilcilerinin ve siber güvenlik uzmanlarının deneyimlerine yer verilmektedir. Saldırıya uğrayan kuruluşların ve kişilerin kimlikleri, güvenliklerini korumak amacıyla açıklanmaz; saldırganlar da sansasyon yaratmamak ve saldırı yöntemlerini özendirmemek amacıyla belirli örneklerde isimlendirilmez. Yazarın metodoloji bölümüne göre, çalışma, İngilizce, Fransızca ve İspanyolca kaynaklara dayalı masa başı araştırmasını; STK’larla anket, görüşme, odak grup ve tanıklıklar yoluyla kurulan doğrudan teması bir araya getirmektedir. Ayrıca, siber güvenlik şirketlerinin raporları, tehdit istihbaratı veri tabanları, resmi kurum yayınları, akademik çalışmalar ve açık kaynaklı haberler kullanılır.
Bu yöntem, kitabın uygulamaya dönük niteliğini güçlendirir. Bununla birlikte, Duguin, tek tek kuruluşların güvenlik denetimi yaptığını iddia etmez; analizlerin sektör genelindeki riskler ve kamuya açık göstergeler üzerinden yürütüldüğünü açıkça belirtir. Dolayısıyla, eser, belirli bir STK’nın teknik güvenlik açığını teşhis eden bir denetim raporu değil, sivil toplum alanının ortak kırılganlıklarını ve çözüm seçeneklerini ortaya koyan bir politika ve uygulama rehberidir.
2. Kitabın Özeti
Bölüm 1: Kimler, Neden Hedef Alınıyor?: Kitabın ilk bölümü, siber saldırıların sivil toplum kuruluşları açısından neden sistematik bir sorun haline geldiğini açıklamaktadır. Duguin, “sivil toplum kuruluşu” kavramını geniş biçimde kullanır; kâr amacı gütmeyen kuruluşlar, hükümet dışı örgütler, yardım kuruluşları, dernekler ve kamu yararına çalışan diğer yapılar bu kapsama dahildir. Sağlık, yoksullukla mücadele, temiz suya erişim, enerji, kadın hakları, eğitim, insani yardım, kalkınma, insan hakları, iklim, göç ve barış gibi alanlarda çalışan bu kuruluşlar, devletin veya piyasanın yeterince karşılayamadığı ihtiyaçlara yanıt vermektedir.
Yazara göre, STK’ların dijital risklerini arttıran ilk unsur, kurumsal işleyiş biçimleridir. Bu kuruluşlar, çoğu zaman acil bir toplumsal ihtiyaca yanıt vermek üzere hızla örgütlenir ve insan kaynağı ile mali kaynaklarını doğrudan saha faaliyetlerine yöneltir. Yönetim, muhasebe, bilgi teknolojileri ve siber güvenlik gibi destek işlevleri ikinci planda kalabilir. Çalışanların birden fazla görevi üstlenmesi, gönüllülere bağımlılık, uzman personeli işe alma ve elde tutma güçlüğü, eski sistemlerin kullanılması ve güvenilir olmayan altyapılar bu kırılganlığı derinleştirir. Bağışların belirli projelere tahsis edilmesi de siber güvenlik gibi kurumsal kapasite yatırımlarına ayrılabilecek esnek bütçeyi daraltmaktadır.
Duguin, bu durumu “siber açıdan yoksul, hedef açısından zengin” (cyber-poor and target-rich) ifadesiyle özetler. STK’lar çoğu zaman yeterli güvenlik önlemlerine sahip değildir; buna karşılık önemli miktarda bağış fonunu yönetir ve hassas kişisel veriler barındırır. Kitapta aktarılan araştırmaya göre, kâr amacı gütmeyen kuruluşların yalnızca onda biri çalışanlarına düzenli siber güvenlik eğitimi vermekte, dörtte biri ağlarını izlemekte ve beşte biri yazılı bir siber güvenlik planına sahip olmaktadır. Bu oranlar, kuruluşların savunma kapasitesindeki yapısal açığı göstermektedir.
STK’ların hedef seçilmesinin ikinci nedeni, yürüttükleri faaliyetlerin siyasi ve ideolojik sonuçlarıdır. İnsan hakları ihlallerini belgeleyen, yolsuzluğu araştıran, çatışma bölgelerinde yardım ulaştıran veya dezenformasyon kampanyalarını açığa çıkaran kuruluşlar, bazı devletlerin, siyasi grupların ya da çıkar ağlarının faaliyetlerini zorlaştırabilir. Bu nedenle, saldırılar yalnızca mali kazanç amacı taşımaz; bir kuruluşun misyonunu engellemek, bilgi toplamak, çalışanları korkutmak, itibarını zedelemek veya belirli bir topluluğa yardım ulaştırılmasını engellemek de hedeflenebilir. Yazar, Ukrayna’ya yardım sağlayan sivil toplum kuruluşlarına gönderilen ve kötü amaçlı yazılım içeren sahte resmi belge örneğini bu bağlamda kullanmaktadır.
Bölümün önemli bir katkısı, saldırının etkisini yalnızca teknik hasar ve maddi kayıpla ölçmemesidir. Bir kuruluşun sistemlerine erişememesi, yardımın gecikmesine veya tamamen durmasına yol açabilir. Veri ihlalleri, yararlanıcıların kimliklerini, sağlık bilgilerini, konumlarını veya insan hakları savunucularının ilişkilerini açığa çıkarabilir. Baskıcı yönetimlerin eline geçen veriler fiziksel takip, şantaj, kaçırma veya başka ağır ihlaller için kullanılabilir. Duguin, Cemal Kaşıkçı vakasını casus yazılımın dijital gözetim ile fiziksel güvenlik arasındaki bağlantısını göstermek üzere anmaktadır.
Saldırıların çalışanlar üzerindeki psikolojik etkisi de önemlidir. Hatalı bir bağlantıya tıklayan personelin suçlanması veya cezalandırılması, gelecekte saldırıların gizlenmesine yol açabilir. Oysa güvenlik kültürünün gelişmesi, hataların erken bildirilmesini ve olaylara kurumsal öğrenme perspektifiyle yaklaşılmasını gerektirir. Uzun vadede ise, itibar kaybı, bağışçı güveninin azalması ve finansman kanallarının daralması, kuruluşun toplumsal etkisini yıllarca zayıflatabilir.
Duguin, son yıllardaki gelişmeleri üç ana başlıkta toplar. COVID-19 salgını, STK’ların dijital araçlara bağımlılığını hızlandırmış ve yeni güvenlik açıkları yaratmıştır. Rusya’nın 2022’de Ukrayna’yı işgali, siber operasyonların savaşın ve jeopolitik rekabetin ayrılmaz bir parçası haline geldiğini göstermiştir. Son olarak, yapay zekâ, saldırıların ölçeğini, ikna ediciliğini ve uyarlanabilirliğini arttırmıştır. Yazarın “nexus” kavramı, siber saldırılar ile bilgi manipülasyonunun stratejik kesişimini ifade eder. Bu birleşik tehditler, veri ihlali, casusluk, propaganda ve psikolojik baskıyı aynı operasyonel çerçevede buluşturabilmektedir.
Bölüm 2: Dayanıklılık ve Saldırıların Anatomisi: İkinci bölüm, STK’lara yönelik başlıca saldırı türlerini ve bunlara karşı alınabilecek önlemleri incelemektedir. Duguin’in yaklaşımı, saldırıların teknik işleyişini açıklamakla sınırlı kalmaz; her tehdidin kuruluşun misyonu ve hizmet sunduğu insanlar üzerindeki etkisini de ortaya koyar.
Kimlik avı (phishing), bölümde en yaygın tehdit olarak ele alınır. Saldırganlar, güvenilir bir kurumdan veya kişiden geliyormuş izlenimi veren emailler göndererek çalışanları bağlantıya tıklamaya, dosya açmaya ya da parola paylaşmaya yönlendirir. Kimlik avı, çoğu zaman saldırının nihai amacı değil, sisteme giriş sağlayan ilk aşamadır. Ele geçirilen kimlik bilgileri daha sonra veri hırsızlığı, fidye yazılımı veya kurumsal ağ içinde ilerleme amacıyla kullanılabilir. Hedefli kimlik avı (spear phishing), belirli bir çalışan veya yönetici hakkında önceden bilgi toplanarak daha inandırıcı mesajlar hazırlanmasıyla ayırt edilir. Yazar, çalışanların düzenli olarak eğitilmesini, çok faktörlü kimlik doğrulamanın kullanılmasını, email güvenliğinin güçlendirilmesini ve şüpheli mesajların doğrulanmasını temel savunma adımları olarak sunar.
Fidye yazılımı (ransomware), kuruluşun dosyalarını şifreleyerek veya sistemlerine erişimini engelleyerek fidye talep eden bir saldırı türüdür. Ancak günümüzde tehdit yalnızca verilerin şifrelenmesiyle sınırlı değildir; saldırganlar çaldıkları bilgileri yayımlamakla tehdit ederek çift yönlü şantaj uygulayabilir. STK’lar açısından bu durum özellikle ağırdır; çünkü veriler yalnızca kurumsal belgelerden değil, korunması gereken kişilerin hassas bilgilerinden de oluşabilir. Duguin’in önerileri arasında çevrimdışı veya ayrı ortamlarda yedekleme, sistemlerin güncel tutulması, erişim yetkilerinin sınırlandırılması, olay müdahale planlarının hazırlanması ve saldırı sonrasında uzman desteği alınması yer almaktadır. Fidye ödemek, verilerin geri geleceğini veya saldırının sona ereceğini garanti etmez.
Casus yazılım (spyware), bölümde yalnızca bir veri toplama aracı olarak değil, aynı zamanda bir sindirme ve sansür mekanizması olarak da değerlendirilir. Özellikle gazeteciler, insan hakları savunucuları, aktivistler ve hassas dosyalar üzerinde çalışan STK personeli hedef alınabilir. Casus yazılım, mesajlara, konum bilgilerine, fotoğraflara ve iletişim ağlarına erişebilir. Böylece, dijital gözetim, kişinin kaynaklarını ve temaslarını açığa çıkararak fiziksel güvenliğini tehdit edebilir. Yazar, şüpheli cihazın kullanılmaya devam edilmemesi, uzman desteği alınması, cihazın güvenli biçimde incelenmesi ve yüksek riskli çalışanlar için ek koruma tedbirleri uygulanması gerektiğini vurgular.
CEO dolandırıcılığı (CEO fraud) veya yönetici taklidi, üst düzey yöneticinin ya da güvenilir bir çalışanın kimliğine bürünerek para transferi veya hassas bilgi talep edilmesine dayanır. Bu saldırılar, kuruluşların bağış ve ödeme süreçlerini, kamuya açık mali raporlarını ve yöneticilerinin görünürlüğünü istismar edebilir. Yapay zekâ destekli ses ve görüntü üretimi, sahte talimatların inandırıcılığını arttırmaktadır. Duguin’in önerdiği temel yöntem, para transferi ve veri paylaşımı taleplerinin ikinci bir iletişim kanalı üzerinden doğrulanması, tek kişinin onayına dayalı süreçlerden kaçınılması ve aciliyet baskısına karşı kurumsal prosedürlerin uygulanmasıdır.
Bilgi manipülasyonu, kitabın teknik güvenlik ile demokratik dayanıklılık arasındaki bağlantıyı en açık biçimde kurduğu başlıklardan biridir. Yanlış bilgi (misinformation) kasıt unsuru olmaksızın yayılan hatalı bilgiyi, dezenformasyon (disinformation) ise kasıtlı biçimde üretilen veya dolaşıma sokulan yanıltıcı içeriği ifade eder. Sivil toplum kuruluşları, yürüttükleri faaliyetleri itibarsızlaştırmak, bağışçıların güvenini sarsmak veya yararlanıcı toplulukları birbirine düşürmek amacıyla hedef alınabilir. Sahte belgeler, bağlamından koparılmış görseller, duygusal tepki üretmek üzere tasarlanmış içerikler ve koordineli çevrimiçi kampanyalar bu sürecin araçlarıdır.
Yazar, bilgi manipülasyonuna karşı aceleci ve duygusal tepkiler yerine doğrulama, şeffaf iletişim ve uzun vadeli güven inşasını önerir. Kuruluşların iddiaları kaynaklarıyla birlikte kontrol etmesi, çalışanlarını bilişsel önyargılar ve manipülasyon teknikleri konusunda eğitmesi, güvenilir ortaklarla eşgüdüm sağlaması ve yanlış içeriğin dolaşımını büyütecek tepkilerden kaçınması önemlidir. Kurumsal itibarın korunması, yalnızca kriz anında yapılan açıklamalara değil, kriz öncesinde kurulmuş güven ilişkilerine bağlıdır.
Bölümün son başlığı, gelişen teknolojilerin kötüye kullanımı ve özellikle yapay zekâdır. Yapay zekâ, saldırganların daha ikna edici oltalama mesajları üretmesine, sahte ses ve görüntüler hazırlamasına, hedefler hakkında bilgi toplamasına ve saldırı süreçlerini otomatikleştirmesine yardımcı olabilir. Bununla birlikte yazar, yapay zekâyı yalnızca tehdit olarak görmez; savunma, izleme ve tehdit istihbaratı faaliyetlerinde de kullanılabileceğini kabul eder. Asıl sorun, teknolojinin kurumsal yönetişim, insan denetimi ve risk değerlendirmesi olmadan kullanılmasıdır. Bu nedenle STK’ların yapay zekâ araçlarını kullanırken hangi verilerin sisteme yüklendiğini, bu verilerin nasıl işlendiğini ve hangi kararların insan denetiminde kalması gerektiğini belirlemesi gerekir.
Bölüm 3: Hesap Verebilirlik, Devlet Sorumluluğu ve Saldırgan Ekosistemi: Üçüncü bölüm, kitabın siyasal ve hukuki boyutunu oluşturur. Duguin, sivil toplumun siber uzayda korunmasının yalnızca kuruluşların kendi önlemlerine bırakılamayacağını savunur. Devletlerin iki yönlü bir yükümlülüğü vardır: bir yandan sivil toplumu siber saldırılara karşı korumak, diğer yandan kendi kurum ve araçlarıyla bu kuruluşlara zarar vermemek. Bu ayrım, devletlerin siber güvenlik alanındaki sorumluluğunu değerlendirmek açısından temel önemdedir.
Yazar, uluslararası normların ve sözleşmelerin varlığının tek başına yeterli olmadığını belirtir. Hukuki çerçeveler, somut kurumlara, yetkilere, bütçelere, soruşturma süreçlerine ve denetlenebilir uygulamalara dönüşmediği takdirde sembolik kalabilir. Duguin’in “hukuk tiyatrosu” olarak nitelendirdiği risk, devletlerin sorumlu davranış ilkelerini destekler görünürken uygulamada etkili koruma sağlamamasıdır. Bir başka deyişle, normların kabul edilmesi ile bunların operasyonel hale getirilmesi arasında ciddi bir boşluk bulunmaktadır.
Devletin koruma yükümlülüğü, siber suçların soruşturulmasını, mağdurların desteklenmesini, sınır aşan iş birliğinin geliştirilmesini ve sivil toplumun güvenli biçimde faaliyet gösterebilmesini gerektirir. Buna karşılık “zarar vermeme” yükümlülüğü, devletlerin gözetim, sızma, veri erişimi ve siber operasyon yetkilerini hukuka uygun, gerekli ve orantılı biçimde kullanmasını gerektirir. Devletlerin insan hakları savunucularını, gazetecileri veya sivil toplum kuruluşlarını hedef alan araçlar geliştirmesi ya da kullanması, koruma iddiasıyla çelişir.
Birleşmiş Milletler Siber Suç Sözleşmesi tartışması, yazarın çerçeve ile uygulama arasındaki gerilimi somutlaştırdığı örneklerden biridir. Duguin, uluslararası iş birliği için oluşturulan mekanizmaların siber suçlarla mücadeleyi güçlendirmesi gerektiğini, fakat yeterli insan hakları güvenceleri ve denetim mekanizmaları bulunmadığında bu araçların baskıcı uygulamalara da kapı aralayabileceğini ileri sürer. Bu nedenle, uluslararası düzenlemeler yalnızca soruşturma yetkilerini genişletmekle kalmamalı; ifade özgürlüğü, mahremiyet, örgütlenme özgürlüğü ve etkili başvuru yollarını da güvence altına almalıdır.
Bölümün diğer temel tartışması, atıf (attribution) ve sorumluluk ilişkisidir. Bir siber saldırının teknik olarak hangi altyapıdan veya aktörden kaynaklandığını belirlemek, her zaman saldırının arkasındaki siyasi sorumluluğu kanıtlamak anlamına gelmez. Saldırganlar, farklı ülkelerdeki sunucuları, aracı grupları ve suç ağlarını kullanabilir. Devlet destekli aktörlerle bağımsız suç grupları arasındaki sınırlar bulanıklaşabilir. Bu durum, devletlerin saldırganlarla ilişkilerini inkâr etmesini veya soruşturma süreçlerinin sonuçsuz kalmasını kolaylaştırabilir.
Duguin’e göre, hesap verebilirlik yalnızca saldırganın kimliğinin kesin biçimde tespit edilmesine indirgenmemelidir. Devletlerin kendi yetki alanlarında faaliyet gösteren ve tekrar tekrar zarar veren ağlara karşı bilerek hareketsiz kalması da sorumluluk tartışmasının parçasıdır. Bu yaklaşım, teknik atıf güçlüğünün siyasi ve kurumsal eylemsizlik için otomatik bir mazeret olarak kullanılmasına karşı çıkar. Devletlerin kanıta dayalı atıf yapması, hukuki ve diplomatik araçları koordine etmesi, kötüye kullanıma açık altyapıları denetlemesi ve bağımsız gözetim mekanizmaları kurması gerekir.
Bölüm, saldırgan ekosisteminin çok aktörlü niteliğine de dikkat çeker. Siber suçlular, devlet destekli gruplar, ideolojik amaçlarla hareket eden hacktivistler, aracılar, barındırma hizmetleri ve finansal ağlar aynı tehdit ortamının parçaları olabilir. Bu nedenle tek tek kuruluşların kendi başlarına savunma geliştirmesi yeterli değildir. Olay bilgilerinin güvenli biçimde paylaşılması, ortak göstergelerin toplanması, saldırı örüntülerinin birleştirilmesi ve uluslararası iş birliği, hesap verebilirliği güçlendirebilir. Yazarın temel sonucu, sorumluluğun yalnızca normatif bir beyan değil, somut ve ölçülebilir bir operasyonel yükümlülük olması gerektiğidir.
Bölüm 4: Sivil Topluma Uygun Bir Güvenlik Çerçevesi: Son bölüm, kitabın en pratik ve çözüm odaklı kısmıdır. Duguin, ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) tarafından geliştirilen Siber Güvenlik Çerçevesi’ni (Cybersecurity Framework) STK’ların koşullarına uyarlamaktadır. NIST modeli temel olarak beş işlevden oluşur: Identify (Tanımla), Protect (Koru), Detect (Tespit Et), Respond (Müdahale Et) ve Recover (İyileş). Duguin, sivil toplumun yapısal sorunlarını dikkate alarak bu modele iki tamamlayıcı boyut ekler: Empower (Güçlendir) ve Enable (Olanak Sağla).
Identify işlevi, kuruluşun hangi varlıklara, verilere ve sistemlere sahip olduğunu, bunların hangilerinin kritik olduğunu ve hangi risklere maruz kaldığını belirlemeyi amaçlar. Kuruluşun veri envanterini çıkarması, erişim yetkilerini tanıması, üçüncü taraflarla ilişkilerini değerlendirmesi ve riskleri önceliklendirmesi gerekir. Ne korunacağının bilinmediği bir ortamda etkili güvenlik stratejisi kurmak mümkün değildir.
Protect işlevi, belirlenen varlıkları korumaya yönelik önlemleri kapsar. Çok faktörlü kimlik doğrulama, güçlü parola ve erişim yönetimi, yazılım güncellemeleri, güvenli yapılandırma, personel eğitimi, veri şifreleme, yedekleme ve ağların bölümlendirilmesi bu çerçevede önem kazanır. Duguin, STK’ların karma teknoloji ortamları ve gönüllü çalışanları nedeniyle standart kurumsal çözümleri doğrudan uygulamakta zorlanabileceğini belirtir. Bu nedenle, güvenlik önlemleri kuruluşun büyüklüğüne, faaliyet alanına ve risk profiline uyarlanmalıdır.
Detect işlevi, saldırı veya güvenlik ihlalinin zamanında fark edilmesine odaklanır. Ağların ve hesapların izlenmesi, sızdırılmış verilerin kontrol edilmesi, tehdit istihbaratından yararlanılması ve güvenlik olaylarının kaydedilmesi erken uyarı kapasitesini arttırır. Yazar, Shadowserver Foundation, Cyber Threat Alliance ve Tracer gibi girişimleri örnek gösterir. Bu tür hizmetler, kendi uzman ekibini kuramayan kuruluşların dış kaynaklı bilgi ve izleme kapasitesinden yararlanmasına olanak sağlar.
Respond, bir olay tespit edildiğinde zararı sınırlamak ve saldırının yayılmasını önlemek için uygulanacak adımları ifade eder. Her kuruluşun kimin karar vereceğini, hangi sistemlerin izole edileceğini, hangi dış uzmanlara başvurulacağını, çalışanların ve yararlanıcıların nasıl bilgilendirileceğini önceden belirlemesi gerekir. Olay müdahale planı, yalnızca teknik personelin değil yönetimin, iletişim biriminin ve gerektiğinde hukuk danışmanlarının da rolünü tanımlamalıdır. FIRST, NGO-ISAC ve NetHope gibi ağlar, kuruluşların birbirlerinin deneyimlerinden yararlanmasına yardımcı olabilecek yapılar olarak sunulur.
Recover işlevi, saldırı sonrasında normal faaliyetlere dönmeyi ve yaşanan olaydan kurumsal dersler çıkarmayı hedefler. Yedeklerden geri yükleme, hizmetlerin öncelik sırasına göre yeniden başlatılması, etkilenen kişilerin bilgilendirilmesi, itibarın onarılması ve güvenlik planının güncellenmesi bu sürecin parçalarıdır. Özellikle insani yardım ve sağlık gibi kesintinin doğrudan insan hayatını etkileyebileceği alanlarda iyileşme planı, teknik sistemlerin yeniden açılmasından daha geniş düşünülmelidir.
Duguin’in modele eklediği Empower boyutu, insan kaynağı sorununa yanıt vermektedir. STK’ların çoğu, büyük şirketlerle rekabet ederek deneyimli siber güvenlik uzmanlarını istihdam edemez. Bu nedenle, gönüllü uzman ağları, ortak hizmet modelleri, burs ve staj programları, siber güvenlik klinikleri ve kamu-özel sektör iş birlikleri önem taşır. Protect.ngo’nun "Builders" programı, farklı uzmanlıklara sahip gönüllüleri sivil toplum kuruluşlarının ihtiyaçlarıyla buluşturan örneklerden biridir. Bu model, teknik uzmanlığı tek tek kuruluşların bünyesinde toplamak yerine ortak bir kapasite olarak değerlendirmektedir.
Enable boyutu ise finansman sorununu merkeze alır. Siber güvenlik, kısa süreli proje hibelerinin tali bir kalemi olarak görülmemeli; kuruluşların sürdürülebilir faaliyetlerinin temel unsuru olarak finanse edilmelidir. Bağışçıların yalnızca görünür saha faaliyetlerini değil, veri güvenliği, personel eğitimi, altyapı bakımı ve olay müdahale kapasitesini de desteklemesi gerekir. Duguin, kısıtlayıcı ve kısa vadeli fonlama biçimlerinin siber savunma ekosistemini zayıflattığını; esnek ve uzun vadeli kaynakların ise uzmanların ve altyapıların sürekliliğini sağlayabileceğini savunur.
Bölüm boyunca Protect.ngo Builders, Hack4Values, Global Cyber Alliance, siber güvenlik klinikleri, Shadowserver ve çeşitli uluslararası ağlar gibi uygulama örnekleri sunulur. Bu örnekler, STK’ların tek başına pahalı güvenlik teknolojileri satın almak zorunda olmadığını; gönüllü uzmanlık, ortak bilgi paylaşımı ve bağışçı desteği yoluyla daha erişilebilir bir koruma modeli geliştirebileceğini göstermektedir. Böylece, güvenlik, yalnızca kuruluşun kendi teknik kapasitesi değil, daha geniş bir dayanışma ve destek ekosistemi olarak düşünülür.
3. Eleştirel Analiz
3.1. Eserin Güçlü Yönleri ve Literatüre Katkıları
Kitabın en önemli katkısı, siber güvenlik tartışmasını teknik sistemlerin korunmasıyla sınırlamayıp insani güvenlik, insan hakları ve sivil toplumun demokratik işlevleriyle ilişkilendirmesidir. Duguin, saldırıya uğrayan bir STK’nın yalnızca kendi verilerini değil, hizmet verdiği toplulukların güvenliğini de riske attığını ikna edici örneklerle göstermektedir. Bu yaklaşım, siber güvenliğin ulusal güvenlik ve kritik altyapı literatüründe sıklıkla devlet ve büyük şirket merkezli ele alınmasına karşı önemli bir tamamlayıcı perspektif sunar.
İkinci güçlü yön, tehditlerin çeşitliliğini bir arada değerlendirmesidir. Kimlik avı ve fidye yazılımı gibi bilinen saldırı türlerinin yanında casus yazılım, yönetici taklidi, bilgi manipülasyonu ve yapay zekâ destekli sahtekârlıkların aynı kurumsal risk ortamının parçaları olduğu ortaya konur. Özellikle dijital saldırılar ile dezenformasyonun birleştiği “nexus” yaklaşımı, günümüz hibrit tehditlerini anlamak bakımından işlevseldir.
Üçüncü katkı, devlet sorumluluğu ve hesap verebilirlik tartışmasıdır. Kitap, siber saldırıların kaynağını teknik olarak belirlemenin zorluğunu kabul etmekle birlikte, bu zorluğun devletleri sorumluluktan bütünüyle kurtarmaması gerektiğini savunur. Devletlerin hem koruma hem de zarar vermeme yükümlülükleri bulunduğu fikri, uluslararası hukuk ve insan hakları perspektifini siber güvenlik politikalarına dahil etmektedir.
Dördüncü güçlü yön, çözüm önerilerinin STK’ların gerçek kaynak koşullarına göre tasarlanmasıdır. NIST modelinin beş temel işlevine Empower ve Enable boyutlarının eklenmesi, teknik güvenliğin insan kaynağı ve finansmandan ayrı düşünülemeyeceğini gösterir. Bu öneri, yalnızca teknoloji satın almayı değil, kurumsal kapasiteyi, gönüllü ağları, sürdürülebilir fonlamayı ve ortak savunmayı esas alır.
Son olarak, kitap, akademik tartışmayı saha deneyimleriyle birleştirmektedir. STK yöneticileri, güvenlik uzmanları, bağışçılar ve gönüllülerin tanıklıkları, soyut ilkelerin pratikte nasıl karşılık bulduğunu göstermektedir. Bu yönüyle eser, hem akademisyenlere, hem de uygulayıcılara hitap eden disiplinlerarası bir çalışma niteliğindedir.
3.2. Sınırlılıklar ve Eleştirel Değerlendirme
Eserin uygulamaya dönük gücü, bazı analitik sınırlılıkları da beraberinde getirmektedir. Öncelikle kitap, siber güvenlik alanında faaliyet gösteren Protect.ngo’nun deneyimlerinden ve çalışma ağından yoğun biçimde yararlanmaktadır. Bu durum, sahaya yakınlık ve pratik bilgi bakımından avantaj sağlarken, sunulan çözüm modellerinin belirli bir kurumsal ekosistemin yaklaşımını yansıtması ihtimalini de doğurur. Farklı bölgelerdeki STK’ların hukuki, mali ve teknolojik koşulları aynı değildir. Afrika’da kırsal alanda çalışan küçük bir yardım kuruluşu ile Avrupa’da faaliyet gösteren uluslararası bir insan hakları örgütünün ihtiyaçları önemli ölçüde farklılaşabilir. Bu nedenle, önerilen çerçevenin yerel bağlamlara uyarlanması gerekir.
İkinci olarak, kitapta verilen istatistikler tehdit ortamının ciddiyetini ortaya koymakla birlikte, veri toplama yöntemleri ve örneklem sınırları dikkate alınarak yorumlanmalıdır. Saldırıların sayısı, tespit kapasitesi ve raporlama eğilimleri arasında ilişki vardır. Daha güçlü izleme kapasitesine sahip kuruluşlar daha fazla olayı kayda geçirebilir; düşük kapasiteye sahip kuruluşlarda ise saldırılar fark edilmeyebilir veya raporlanmayabilir. Bu nedenle sektör genelindeki eğilimleri karşılaştırmak için ortak tanımların, şeffaf veri setlerinin ve uzun dönemli ölçüm yöntemlerinin geliştirilmesi önemlidir.
Üçüncü olarak, devlet sorumluluğu bölümü güçlü bir normatif çerçeve sunsa da uluslararası sistemde bu yükümlülüklerin nasıl uygulanacağı sorusu daha fazla açılabilir. Siber operasyonlarda atıf sorunu, devletlerin farklı hukuki yorumları, istihbarat faaliyetlerinin gizliliği ve büyük güç rekabeti, hesap verebilirlik mekanizmalarının kurulmasını zorlaştırmaktadır. Kitap bu sorunları teşhis etmekte; ancak devletlerin hangi koşullarda hangi yaptırımlarla karşılaşacağı, uluslararası soruşturma mekanizmalarının nasıl işletileceği ve mağdurların hangi başvuru yollarına sahip olacağı konularında daha ayrıntılı bir kurumsal tasarım tartışmasına ihtiyaç bulunmaktadır.
Dördüncü sınırlılık, teknolojik değişimin hızıdır. Eser 2026 yılında yayımlanmış olsa da yapay zekâ, otomatik saldırı araçları, sentetik medya ve bulut tabanlı hizmetlerdeki gelişmeler çok kısa süre içinde yeni riskler yaratabilir. Bu nedenle kitabın önerileri sabit bir kontrol listesi olarak değil, düzenli güncellenmesi gereken bir kurumsal öğrenme çerçevesi olarak okunmalıdır. Yapay zekâ kullanımında veri mahremiyeti, model sağlayıcılarının sorumluluğu, algoritmik önyargı ve otomatik kararların denetlenmesi gibi başlıklar gelecekte daha kapsamlı biçimde ele alınabilir.
Son olarak, STK’ların güvenliği yalnızca teknik ve mali kapasite meselesi değildir. Otoriterleşme, çatışma, hukukun üstünlüğündeki gerileme ve ifade özgürlüğüne yönelik baskılar, kuruluşların dijital risklerini doğrudan etkiler. Bu bağlamda siber güvenlik politikaları, örgütlenme özgürlüğü ve demokratik alanın korunmasıyla birlikte değerlendirilmelidir. Duguin’in kitabı bu bağlantıyı kurmakta; ancak farklı rejim türleri ve bölgesel siyasal koşullar arasında daha sistematik bir karşılaştırma, eserin siyaset bilimi boyutunu daha da derinleştirebilirdi.
Sonuç
Stéphane Duguin’in Cybersecurity for NGOs: Attack Prevention and Threat Response adlı eseri, sivil toplum kuruluşlarının dijital güvenliğini teknik bir uzmanlık alanının ötesinde, insani yardımın, insan haklarının ve demokratik dayanıklılığın temel unsurlarından biri olarak değerlendirmektedir. Kitabın ana mesajı açıktır: siber saldırıların hedefi yalnızca kuruluşların bilgisayarları veya veri tabanları değildir; bu kuruluşların korumaya çalıştığı insanlar ve toplumsal değerler de saldırının sonuçlarından doğrudan etkilenmektedir.
Eser, STK’ların neden hedef alındığını açıklarken kaynak yetersizliği, uzman personel eksikliği, hassas veri birikimi ve siyasi açıdan tartışmalı faaliyetlerin bir araya gelerek yapısal bir kırılganlık yarattığını göstermektedir. Kimlik avı, fidye yazılımı, casus yazılım, yönetici taklidi ve bilgi manipülasyonu gibi tehditlerin farklı biçimleri bulunsa da bunların ortak sonucu, kuruluşların faaliyetlerini aksatmak ve güven ilişkilerini zedelemektir. Yapay zekâ, bu tehditlerin ölçeğini ve inandırıcılığını arttırırken, savunma tarafında da yeni imkânlar yaratmaktadır.
Kitabın en dikkat çekici kuramsal ve politika katkılarından biri, devletlerin siber uzayda hem koruma hem de zarar vermeme yükümlülüğüne sahip olduğunu vurgulamasıdır. Uluslararası normların ve sözleşmelerin etkili olabilmesi için somut uygulama, denetim ve hesap verebilirlik mekanizmalarıyla desteklenmesi gerekir. Teknik atıf güçlüğü, saldırgan ağlara karşı eylemsizliğin sürekli gerekçesi haline gelmemelidir.
Duguin’in NIST modelini STK’lara uyarlayarak Empower ve Enable boyutlarını eklemesi ise kitabın pratik değerini arttırmaktadır. Kuruluşların risklerini tanımlaması, sistemlerini koruması, tehditleri tespit etmesi, olaylara müdahale etmesi ve faaliyetlerini yeniden işler hale getirmesi kadar; uzman insan kaynağına ve sürdürülebilir finansmana erişmesi de gereklidir. Bu yaklaşım, siber güvenliği tekil bir teknoloji yatırımı değil, ortak sorumluluk ve dayanışma alanı olarak ele almaktadır.
Uluslararası ilişkiler açısından bakıldığında, eser, siber uzaydaki güç ilişkilerinin yalnızca devletler ve askeri kurumlar arasında şekillenmediğini; uluslararası sivil toplumun, özel sektörün, bağışçıların, gönüllü uzman ağlarının ve uluslararası kuruluşların da bu alanın aktörleri olduğunu ortaya koymaktadır. Büyük güç rekabetinin, bölgesel çatışmaların ve bilgi operasyonlarının yoğunlaştığı bir dönemde STK’ların korunması, yalnızca insani bir tercih değil, uluslararası sistemde güven ve iş birliğinin sürdürülebilmesi bakımından da stratejik bir gerekliliktir.
Sonuç olarak, Cybersecurity for NGOs, sivil toplum kuruluşlarının dijital çağda karşılaştığı tehditleri anlaşılır bir dille açıklayan, devletlerin sorumluluğunu tartışmaya açan ve uygulanabilir bir dayanıklılık çerçevesi sunan önemli bir başvuru kaynağıdır. Kitabın temel yaklaşımı, “koruyanları korumak” fikrinde özetlenebilir. Dijital güvenliğin güçlendirilmesi, insani yardımın ve demokratik katılımın devamlılığı için vazgeçilmezdir. Bu nedenle, eser; siber güvenlik uzmanlarının yanı sıra Uluslararası İlişkiler, Siyaset Bilimi, insan hakları, insani yardım ve sivil toplum çalışmaları alanlarında çalışan akademisyenler, karar alıcılar ve uygulayıcılar için de yararlı bir kaynak niteliğindedir.
Prof. Dr. Ozan ÖRMECİ
KAYNAKÇA
- Duguin, Stéphane (2026), Cybersecurity for NGOs: Attack Prevention and Threat Response, Hoboken, New Jersey: John Wiley & Sons, ISBN: 978-1-394-40123-9.
