Project 2025 Siber Güvenlik Bağlamında Venezuela Operasyonu: “Karanlık ve Ölümcüldü”

3 Ocak 2026 gecesi Caracas karanlığa gömüldü. Sokak lambaları söndü, trafik ışıkları devre dışı kaldı, şehir modern çağdan çıkıp antik bir karanlığa büründü. Saatler sonra, ABD Özel Kuvvetleri Venezuela Devlet Başkanı Nicolás Maduro’yu gözaltına aldı. Trump, Mar-a-Lago’daki basın toplantısında operasyonu anlatırken şunları söyledi: “Karanlıktı, Caracas’ın ışıkları büyük ölçüde söndürülmüştü—sahip olduğumuz belirli bir uzmanlık sayesinde. Karanlıktı ve ölümcüldü.“

Bu açıklama, ABD’nin bir ülkenin kritik altyapısına yönelik siber operasyon kapasitesini kamuya açık biçimde ima ettiği nadir anlardan biriydi. Bağımsız izleme kuruluşları, operasyon sırasında Caracas’ta elektrik ve internet kesintilerini tespit etti. Venezuela devlet petrol şirketi PDVSA ise daha önce, 15 Aralık 2025’te ABD kaynaklı bir siber saldırıya maruz kaldıklarını açıklamıştı.

Venezuela örneği, siber güvenlik tartışmalarının merkezine yerleştirilmesi gereken kritik bir soruyu gündeme getiriyor: Bir ülkenin altyapısı uzaktan “kapatılabilir” mi? Cevap açık: Evet. Ve bu risk, yalnızca Venezuela gibi yaptırım altındaki ülkeler için değil, dijital altyapıya bağımlı her ülke için geçerli.

Venezuela’nın elektrik şebekesi yıllardır sorunluydu—yatırım eksikliği, yaptırımlar ve sabotaj iddiaları. Ancak Grid Brief’in analizine göre, ülkenin 36 gigavatlık kurulu kapasitesinden yalnızca 10-12 gigavatı güvenilir şekilde çalışıyordu. Elektrik olmadan petrol üretimi durur, su pompaları çalışmaz, hastaneler jeneratörlere mahkum kalır. Altyapı bağımlılığı, bir domino etkisi yaratır.

Bu senaryo, yalnızca Venezuela için geçerli değil. 2015 ve 2016’da Rusya bağlantılı hackerlar Ukrayna’nın elektrik şebekesine saldırarak yüz binlerce kişiyi karanlıkta bıraktı. 2021’de Colonial Pipeline saldırısı, ABD’nin doğu kıyısında yakıt krizine yol açtı. Kritik altyapıya yönelik siber saldırılar, artık teorik bir tehdit değil, yaşanmış gerçeklik.

Bu bağlamda sorulması gereken soru şu: Türkiye’nin kritik altyapıları—elektrik, su, telekomünikasyon, savunma sanayi—benzer bir senaryoya karşı ne kadar dayanıklı?

Venezuela’da yaşananlar, bir ülkenin dijital altyapısının ne kadar savunmasız olabileceğini gösterdi. Peki bu altyapıları korumakla görevli kurumlar ne durumda? Cevap için ABD’nin siber güvenlik ajansı CISA’ya bakmak gerekiyor.

CISA Nedir ve Neden Önemli?

Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), ABD’nin kritik altyapı korumasından sorumlu temel kurumudur. Enerji şebekeleri, su arıtma tesisleri, telekomünikasyon ağları, finansal sistemler, sağlık altyapısı—tüm bu sektörlerin siber güvenlik koordinasyonu CISA’nın görev alanına girer.

Kurum, 16 Kasım 2018’de—ironik bir şekilde—Donald Trump tarafından imzalanan yasayla kuruldu. Trump, o dönemde CISA’yı “kritik altyapımızı korumak için hayati önem taşıyan” bir yapı olarak nitelendirmişti.

Ancak iki yıl sonra, 17 Kasım 2020’de, Trump kendi atadığı CISA Direktörü Chris Krebs’i Twitter üzerinden görevden aldı. Krebs’in “suçu”, 2020 seçimlerinin “ABD tarihinin en güvenli seçimi” olduğunu açıklamaktı. Bu görevden alma, CISA’nın bağımsızlığına yönelik ilk sistematik saldırının işaret fişeğiydi.

Project 2025 Siber Güvenlik Bağlamı: On Yıllık Stratejinin Sistematizasyonu

Ocak 2025’ten bu yana yaşanan CISA tasfiyesi, ani veya rastgele değil. Heritage Foundation’ın on yılı aşkın süredir geliştirdiği ve 2022’de kurulan Project 2025 girişimiyle sistematize ettiği kapsamlı bir stratejinin uygulaması.

Heritage Foundation, 1973’te kurulan muhafazakar bir düşünce kuruluşu. 2017’de, Trump’ın Paris İklim Anlaşması’ndan çekilme kararını açıklamasından önce bile, Heritage “Paris’ten Çekilmek İçin UNFCCC’den Çekilin” başlıklı politika önerisini yayımlamıştı. Project 2025 ise bu dağınık önerileri 900 sayfayı aşan sistematik bir “hükümet ele geçirme” planına dönüştürdü.

Belgenin İç Güvenlik Bakanlığı bölümünü kaleme alan Ken Cuccinelli—Trump’ın birinci döneminde İç Güvenlik Bakanlığı Müsteşar Yardımcısı—CISA’yı “Sol tarafından silahlandırılmış” bir kurum olarak tanımlıyor ve ajansın “dar misyonuna” döndürülmesi gerektiğini savunuyor. Bu “dar misyon” retoriği, pratikte kritik altyapı koruması, seçim güvenliği ve dezenformasyonla mücadele gibi işlevlerin tasfiye edilmesi anlamına geliyor.

CISA’nın Sistematik Tasfiyesi: Kronoloji

2025 boyunca CISA, sistematik bir iç boşaltma sürecinden geçti. Aşağıdaki kronoloji, bu sürecin boyutlarını ortaya koyuyor:

Nisan 2025: Kapsamlı personel kesintileri başladı. Tehdit avı sözleşmeleri iptal edildi. Bir CISA çalışanının ifadesiyle: “Kesintiler beklediğimizden çok daha derindi.“

Mayıs 2025: Altı operasyonel bölümden beşinin ve on bölgesel ofisin altısının üst düzey yöneticileri ayrıldı veya ayrılmaya zorlandı. Bölgesel direktörler John Durkin, Jay Gamble, Phil Kirk ve Patrick Massey 30 Mayıs’ta görevi bıraktı.

Temmuz 2025: Ajans, işgücünün üçte birini kaybetti. Bütçede 495 milyon dolarlık kesinti önerildi. Bölgesel ofis çalışanlarının büyük bölümü ayrıldı.

Ekim 2025: Paydaş Katılım Bölümü‘ndeki (SED) 95 çalışanın neredeyse tamamı işten çıkarıldı. Bu bölüm, kritik altyapı sahipleriyle koordinasyonu sağlıyordu. Sağlık, enerji, finans sektörleriyle ortak güvenlik projeleri yürütüyordu.

Kasım 2025: Kritik görev alanlarında yaklaşık yüzde 40 boşluk oranı tespit edildi. Yeni işe alım stratejisi açıklandı—ancak bu, kaybedilenleri telafi etmekten çok, hasarı sınırlamaya yönelikti.

Aralık 2025: Fidye yazılımı erken uyarı programının (PRNI) tek sorumlusu David Stern istifa etti. Program, 2023’te 1.200’den fazla, 2024’te 2.100’den fazla uyarı göndermişti. CISA’nın tahminlerine göre bu uyarılar, milyarlarca dolarlık potansiyel zararı önlemişti.

Sektör Tanıklıkları: “Artık Bize Güvenmiyorlar”

CISA’nın zayıflatılmasının sektör üzerindeki etkisi, doğrudan paydaş tanıklıklarında somutlaşıyor:

Health-ISAC (Sağlık Sektörü Bilgi Paylaşım ve Analiz Merkezi) Güvenlik Şefi Errol Weiss: “Sağlık sektörü en çok hedef alınan ve en savunmasız sektörlerden biri. Federal desteği geri çekmek için en yanlış zaman. Bu kesintiler tehlikeli bir boşluk yaratıyor.“

Doğal gaz sektörü yöneticisi (anonim): “Bu işten çıkarmalar ulusal güvenliğimiz üzerinde olumsuz etkilere yol açabilir. Tam işlevli ve tam kadrolu bir CISA, temel programların ve girişimlerin sürdürülmesi için elzemdir.“

Anonim CISA çalışanı: “CISA’nın desteklemesi gereken insanlar artık bize güvenmiyor.“

Savunma Demokrasileri Vakfı Siber ve Teknoloji İnovasyon Merkezi Başkanı Mark Montgomery: “Bu işten çıkarmalar ulusal güvenliğe günlük olarak zarar veriyor—bu sadece aksama değil, gerçek anlamda istikrarsızlaştırma. Ayrıca dirençli bir siber savunma inşa etmenin kritik bağlantı noktası olan kamu-özel işbirliğini zayıflatıyor.“

Salt Typhoon: Tasfiyenin Somut Maliyeti

CISA zayıflatılırken, ABD tarihinin en büyük telekomünikasyon sızıntısı yaşandı. Çin bağlantılı Salt Typhoon grubu, AT&T, Verizon, T-Mobile, Lumen ve dört telekomünikasyon şirketine daha sızdı—toplam dokuz şirket.

Salt Typhoon’un eriştiği sistemler sıradan değildi: CALEA (İletişim Yardım Kolluk Kuvvetleri Yasası) kapsamında mahkeme kararıyla yapılan yasal dinleme altyapısı. Başka bir deyişle, FBI ve istihbarat birimlerinin kullandığı dinleme sistemleri, Çinli hackerların eline geçti.

Saldırının boyutları endişe vericiydi: Milyonlarca kullanıcının arama ve mesaj metadata’sına erişim sağlandı, hedefler Washington D.C. bölgesinde yoğunlaştı. Trump ve Vance’in telefonlarının hedef alındığı, Kamala Harris kampanya ekibinin iletişimlerinin tehlikeye girdiği raporlandı. “Yüksek profilli hükümet hedeflerinin” ses kayıtlarına erişildiği tespit edildi.

Ulusal Güvenlik Danışman Yardımcısı Anne Neuberger, Aralık 2024 sonunda gazetecilere şunları söyledi: “Çinliler ağlara erişim sağladı, esasen geniş ve tam erişim elde etti. Bu nedenle milyonlarca kişinin konumunu belirleme ve istedikleri zaman telefon görüşmelerini kaydetme kapasitesine sahip olduklarına inanıyoruz.”

En çarpıcı detay: Telekom şirketleri, uzun süredir bilinen güvenlik açıklarını kapatmamıştı. Senatör Cantwell’in ifadesiyle: “Bazen pizza sipariş etmek için bile iki faktörlü kimlik doğrulama gerekiyor. Neden sağlayıcılarımız bu temel hijyen uygulamalarını hayata geçirmiyor?“

AT&T ve Verizon, Aralık 2024’te ağlarının güvenli olduğunu açıkladı. Ancak Haziran 2025’te Senatör Cantwell her iki şirketin CEO’sundan iyileştirme belgesi istediğinde, şirketler herhangi bir bilgi sağlayamadı. (Senator Cantwell, Haziran 2025)

Türkiye İçin Ders: Durdurulabilirlik Riski

Venezuela ve Salt Typhoon vakaları, kritik bir gerçeği gözler önüne seriyor: Bir ülkenin altyapısı ne kadar gelişmiş olursa olsun, uzaktan durdurulabiliyorsa anlamını yitirir.

Türkiye, savunma sanayinde önemli atılımlar gerçekleştirdi. Bayraktar TB2 ve TB3, AKINCI, ANKA, Altay tankı, yerli füze sistemleri, elektronik harp platformları—bunlar stratejik bağımsızlık açısından kritik kazanımlar. Bu başarılar, on yıllara yayılan kararlı bir millileştirme politikasının ürünü.

Ancak savunma sanayinin işleyişi, arka planda çalışan sivil dijital altyapıya—elektrik şebekeleri, telekomünikasyon ağları, veri merkezleri, lojistik sistemleri—bağlı. Venezuela örneği gösterdi ki, elektrik olmadan hiçbir şey çalışmaz. Petrol pompaları durur, su arıtma tesisleri devre dışı kalır, hastaneler jeneratörlere mahkum olur, savunma üretimi sekteye uğrar.

Bu bağlamda, Türkiye’nin siber güvenlik stratejisinin yalnızca askeri sistemlere değil, tüm kritik altyapı ekosistemine odaklanması gerekiyor. Sorulması gereken sorular şunlar:

Elektrik şebekesi: Türkiye’nin elektrik dağıtım şebekesi, SCADA (Denetimsel Kontrol ve Veri Toplama) sistemleriyle yönetiliyor. Bu sistemlerin ne kadarı yerli yazılımla çalışıyor? Yabancı kaynaklı donanım ve yazılım bağımlılığı ne düzeyde? Ukrayna’da 2015 ve 2016’da yaşanan elektrik şebekesi saldırıları—Rusya bağlantılı Sandworm grubunun gerçekleştirdiği—yüz binlerce kişiyi karanlıkta bırakmıştı. Benzer bir senaryo Türkiye için düşünüldüğünde, yedek sistemler ne kadar süre dayanabilir?

Telekomünikasyon: Salt Typhoon gibi bir saldırı Türkiye’de gerçekleşse, tespit edilebilir mi? ABD’de uzun süredir bilinen zafiyetler giderilmemişti. Türkiye’deki operatörlerin güvenlik olgunluk düzeyi ne durumda? BTK’nın Şebeke ve Bilgi Güvenliği Yönetmeliği kapsamında yapılan denetimler yeterli mi? Yasal dinleme altyapıları—ABD’de Çinli hackerların ana hedefi olan sistemler—Türkiye’de ne kadar güvenli?

Su altyapısı: İstanbul, Ankara, İzmir gibi büyükşehirlerin su arıtma ve dağıtım sistemleri uzaktan kontrol ediliyor. 2021’de Florida’da bir hacker, su arıtma tesisindeki sodyum hidroksit seviyesini tehlikeli düzeye yükseltmeye çalışmıştı—son anda fark edildi. Türkiye’deki su altyapısının siber güvenlik denetimleri düzenli yapılıyor mu?

Savunma sanayi tedarik zinciri: Baykar, ASELSAN, ROKETSAN, TAI gibi şirketlerin üretim tesisleri otomasyon sistemleriyle çalışıyor. Tedarik zinciri yazılımları, lojistik yönetim sistemleri, tasarım verileri—bunların her biri potansiyel saldırı yüzeyi. Yerli platform üretimi önemli, ancak bu platformların tasarım ve üretim süreçlerinde kullanılan yazılımlar ne kadar yerli?

7545 sayılı Siber Güvenlik Kanunu ve Siber Güvenlik Başkanlığı’nın (SGB) kuruluşu, bu soruları yanıtlamak için önemli bir çerçeve oluşturdu. Kanun, kritik altyapı sahiplerine sertifikalı ürün ve hizmet kullanma zorunluluğu, siber olay bildirimi yükümlülüğü ve düzenli denetim gereklilikleri getiriyor. Aralık 2025’te SGB’nin misyonu genişletilerek “siber güvenlik ve dijital devlet” olarak yeniden tanımlandı. Kadro sayısı 135’ten 204’e yükseltildi. Şirket kurma yetkisi dahil yeni kapasiteler eklendi.

Ancak yapısal kapasite, tek başına yeterli değil. ABD örneği gösteriyor ki, kurumlar siyasi müdahaleye açık olduğunda veya misyon netliği kaybolduğunda, on yıllık birikimler birkaç ayda tasfiye edilebiliyor. Türkiye’nin siber güvenlik mimarisi için çıkarılacak dersler şunlar:

Birincisi, kurumsal süreklilik. CISA’nın yıkımı, personel bağımlılığının risklerini ortaya koydu. Kritik bilgi ve yetenekler, bireylerden kurumlara aktarılmalı. Dokümantasyon, bilgi transferi ve yedekleme kültürü oluşturulmalı.

İkincisi, sektörler arası koordinasyon. CISA’nın Paydaş Katılım Bölümü tasfiye edildiğinde, sağlık, enerji, finans sektörleriyle iletişim koptu. Türkiye’de SGB, sektörel SOME’ler (Siber Olaylara Müdahale Ekipleri) ve özel sektör arasında güçlü koordinasyon mekanizmaları kurmalı.

Üçüncüsü, tedarik zinciri güvenliği. Salt Typhoon, yasal dinleme altyapısına sızdı—yani en hassas sistemlere. Türkiye’de kritik altyapılarda kullanılan yabancı kaynaklı ekipman ve yazılımların güvenlik denetimleri sistematikleştirilmeli.

Dördüncüsü, hız ve şeffaflık dengesi. ABD’de telekom şirketleri, sızıntıyı aylarca gizledi ve uzun süredir bilinen zafiyetleri gidermedi. Türkiye’de 7545 sayılı Kanun’un getirdiği bildirim yükümlülüklerinin (özellikle Madde 6 kapsamındaki siber olay bildirimi) etkili uygulanması kritik.

İkinci Bölüme Köprü: Devlet-Şirket İttifakı

CISA’nın iç boşaltılması, hikayenin yalnızca bir yarısı. Diğer yarısı, ABD’nin küresel teknoloji şirketleriyle kurduğu yeni ilişki biçiminde yatıyor.

7 Ocak 2025’te—Trump’ın göreve başlamasından 13 gün önce—Mark Zuckerberg, Meta’nın doğruluk kontrolü programını sonlandırdığını duyurdu. Açıklamasında şunu söyledi: “Trump yönetimiyle birlikte çalışarak, daha fazla sansür uygulamak isteyen yabancı hükümetlere karşı mücadele edeceğiz.“

Bu cümle, yeni dönemin formülünü özetliyordu: ABD hükümeti, şirketlerin düzenleyicisi olmaktan çıkıp koruyucusu haline geldi. Bir tarafta CISA zayıflatılırken, diğer tarafta teknoloji şirketleri yabancı düzenlemelerden korunuyordu.

Bu ittifakın somut boyutlarını—24 ayar altın plaketten gümrük muafiyetlerine, AB’ye vize yasaklarından DSA krizine—ikinci bölümde inceleyeceğiz.

 

Kapak Resmi:

Francisco José de Goya y Lucientes – The sleep of reason produces monsters (https://commons.wikimedia.org/wiki/File:Francisco_Jos%C3%A9_de_Goya_y_Lucientes_-_The_sleep_of_reason_produces_monsters_%28No._43%29,_from_Los_Caprichos_-_Google_Art_Project.jpg)

---

Devam edecek: İkinci Bölüm – Devlet-Şirket İttifakının Anatomisi: 24 Ayar Diplomasi, DSA Krizi ve “Sansür” Söyleminin Yapıbozumu