Siber güvenlik artık sadece uzmanların meselesi değil. İspanya'da ve Avrupa'nın geri kalanında dijitalleşme, birçok kuruluşun eşdeğer savunmalarla ayak uyduramadığı bir hızla ilerliyor ve bu boşluk saldırganlar için bir fırsat haline geliyor . Artık sadece büyük şirketlerden bahsetmiyoruz: devlet kurumları, hastaneler, limanlar, KOBİ'ler, serbest çalışanlar ve temel altyapıların hepsi aynı riski paylaşıyor.
Son olaylar ve sektör analizleri aynı yöne işaret ediyor: tehdit büyüyor, daha karmaşık hale geliyor ve giderek daha çok otomatik araçlara bağımlı hale geliyor . Yapay zeka, endüstriyel sistemlerin birbirine bağlanması ve bulut hizmetlerine bağımlılık, savunmasız alanı genişletti. Uzmanlar ve kuruluşlar, yanıtın yatırım, personel eğitimi, düzenleyici uygulama ve kamu-özel sektör koordinasyonunun iyileştirilmesinde yattığı konusunda hemfikir.
Yapay zekâ sayesinde daha güvenilir tehditler ortaya çıkıyor.
Yapay zekâ, dolandırıcılık yöntemlerini değiştirdi. Birkaç yıl önce, birçok dolandırıcılık, yazım hataları, kötü kopyalanmış logolar veya doğal olmayan mesajlar sayesinde kolayca tespit edilebiliyordu . Şimdi ise, sektöre ve alıcıya özel olarak uyarlanmış, son derece güvenilir e-postalar, mesajlar ve hatta telefon görüşmeleri veya görüntülü aramalar oluşturmak mümkün. Yapay zekâ, çeviri yapma, bir yöneticinin ses tonunu taklit etme ve ses ve görüntü klonlama olanağı sağlayarak, dolandırıcılığın belirgin işaretlerini azaltıyor ve yapay zekâ ile siber güvenliği dijital mücadelenin temel direkleri haline getiriyor.
Kimlik avı (phishing) en yaygın giriş noktası olmaya devam ediyor. E-posta, SMS, telefon görüşmesi veya video konferans yoluyla gelen bu saldırılar, genellikle kurbanı hızlı hareket etmeye teşvik etmek için banka hesabı, e-posta erişimi veya bulut hizmetleriyle ilgili bir sorun varmış gibi gösterir. Buradan, kimlik bilgilerini çalabilir, kötü amaçlı yazılım yükleyebilir veya yetkisiz erişim sağlayabilirler. Sistemleri şifreleyen ve fidye talep eden fidye yazılımları ve tedarikçileri, patronları veya meslektaşları taklit etme yöntemleri, giderek çeşitlenen saldırı kataloğunu tamamlıyor. İş dünyasında, para transferi veya hassas bilgilerin elde edilmesini amaçlayan dolandırıcılıkları tanımlamak için iş e-postası ele geçirme, yönetici dolandırıcılığı veya maaş dolandırıcılığı gibi terimler kullanılır.
Galiçya bölgesinden elde edilen veriler, bu olguyu daha iyi anlamamıza yardımcı oluyor. 2025 yılında Galiçya şirketlerinin %15'inden fazlası siber güvenlik olayına maruz kaldı. En sık görülen olay dış kaynaklı kimlik avı olurken, bunu iç kaynaklı kimlik hırsızlığı, virüsler, hizmet reddi saldırıları, izinsiz girişler ve kötü amaçlı yazılımlar izledi. En yaygın sonuç ise BT hizmetlerinin kullanılamaması , ardından verimlilik kaybı ve ek masraflar oldu. Bu rakamlar, belirli bir şirket türüyle sınırlı olmayan, yaygın bir sorunu yansıtıyor.
Üretken sektör, özellikle KOBİ'ler ve sanayi, mercek altında.
Küçük ve orta ölçekli işletmeler (KOBİ'ler), İspanyol iş sektörünün omurgasını oluşturuyor ve şirketlerin %99,8'ini temsil ediyor. Ayrıca, çoğu durumda uzman personel ve büyük bütçelerden yoksun oldukları için cazip bir hedef teşkil ediyorlar . Mikro işletmelerde ve serbest çalışanlar arasında, aynı cihazın hem kişisel hem de profesyonel yaşam için kullanılması yaygın olup, bu da riski artırıyor. CEOE'den (İspanyol İşveren Örgütleri Konfederasyonu) Alfredo Díez, dijital güvenliğin artık vazgeçilebilir bir masraf değil, işletmenin hayatta kalması için bir koşul olduğunu vurguluyor.
Bir saldırının etkisi yalnızca euro cinsinden ölçülmez. Finansal kayıplara ek olarak, itibar kaybı, müşteri güveninin azalması ve üçüncü taraf verilerinin potansiyel olarak ifşa edilmesi de söz konusudur. İtibarı yeniden inşa etmek zaman alır ve büyük şirketler giderek artan bir şekilde herhangi bir sözleşme yapmadan önce tedarikçilerinin güvenliğini gözden geçiriyorlar. Bu nedenle, sistemlerini koruyan bir KOBİ de rekabet avantajı elde eder . Hazırlık, OBS İşletme Okulu'nda profesör olan Jesús Cristóbal'ın özetlediği basit bir fikre dayanarak, eğitimli personel, doğrulama süreçleri ve teknik önlemleri bir araya getirir: asla olmayacağına inanmak değil, olursa tepki vermeye hazır olmak önemlidir.
Endüstriyel sektörde dijitalleşme, siber güvenliği işlevsel güvenliğin merkezine yerleştirmiştir. 2023 yılında onaylanan ve 2027'de yürürlüğe girecek olan yeni Makine Direktifi, bağlı bir makinenin davranışının yetkisiz erişimle değiştirilebileceği gerekçesiyle dijital koruma ile ilgili gereksinimler getirmektedir. Bu yaklaşım, İspanya'daki 1215/1997 sayılı Kraliyet Kararnamesini anımsatmaktadır, ancak odak noktası artık yazılım ve bağlantıya da uzanmaktadır. CE İşaretlemesi, üç temel unsuru ele almayı gerektirecektir: tasarımla güvenlik, varsayılan olarak güvenlik ve güvenli bir yaşam döngüsü. Bu, PLC'leri, HMI'ları, değişken frekanslı sürücüleri, yazılımları, uzaktan bağlantıyı ve güncellemeleri etkiler. Birçok eski endüstriyel protokol, iletişimi şifrelemez veya her komutu kimin gönderdiğini doğrulamaz, bu nedenle yalnızca bir güvenlik duvarı kurmak yeterli değildir: şifreleme, erişim kontrolü ve doğru yapılandırılmış kimlikler ve izinler şarttır . Sorumluluk, üreticiler, entegratörler ve tesis sahipleri arasında paylaşılmaktadır.
Düzenleme, yatırım ve yetenek: İspanya ve Avrupa'nın yanıtı
Avrupa yaklaşımını genişletti. Siber güvenlik artık sadece ağların ve sistemlerin korunması olarak değil, endüstri, savunma, diplomasi, rekabet, haklar ve dayanıklılık gibi konuları da kapsayan bir mesele olarak anlaşılıyor. Elcano Kraliyet Enstitüsü, kritik altyapı ve olay yönetimine odaklanan mevcut modelin, devlet aktörlerinin oldukça aktif olduğu jeopolitik bir bağlamda yetersiz kaldığını savunuyor . Önerisi, savunma, dış politika ve istihbaratla daha fazla koordinasyon sağlamayı ve güvenliği stratejik özerklik, rekabet gücü ve teknolojik gelişmeyle dengelemeyi içeriyor. Kamu-özel sektör ortaklıkları, güven ve etki açısından hâlâ zemin kaybetmelerine rağmen, önemli bir unsur olarak ortaya çıkıyor.
Yatırımlar da artış gösteriyor. Galiçya'da, on veya daha fazla çalışanı olan şirketler, BT güvenliğine 669 milyon Euro'dan fazla ve yapay zeka sistemlerine 70,6 milyon Euro ayırdı. Mikro işletmeler ise BT güvenliğine yaklaşık 47,4 milyon Euro ve yapay zekaya 2,3 milyon Euro harcadı. Ayrıca, Galiçya'daki en büyük şirketlerin beşte biri BT uzmanı istihdam ediyor ve en çok aranan profiller veri ve siber güvenlik uzmanları. Şirketlerin yaklaşık %30'u gelecekte uzman personele ihtiyaç duyacaklarını veya duymayı beklediklerini belirtiyor; bu da niteliklerini artırmak için siber güvenlik sertifikalarına yönelmeyi teşvik ediyor . Galiçya hükümeti (Xunta), 2026-2027 akademik yılı için 340 kontenjan sunarak 14 uzmanlaşmış BT ve OT siber güvenlik kursuyla eğitimi güçlendirdi. Aragon'da, IFP Campus Digital, siber güvenlik, yapay zeka, büyük veri, dijital dönüşüm ve IoT konularında modüller verecek uzman eğitmenler için açık pozisyonlar duyurdu; bu modüller arasında güvenli dağıtım, bilgisayar adli tıpı ve IoT veri platformları ve yönetimi yer alıyor.
Düzenlemeler katalizör görevi görüyor. NIS2, büyük şirketleri ve tedarikçilerini risk yönetimi, uyumluluk ve bilgi güvenliğini profesyonelleştirmeye zorluyor. Giderek daha fazla kuruluş bu sorumlulukları dış uzmanlara devretmeyi tercih ediyor. Galiçya'da Inprosec, Bilgi Güvenliği bölümündeki çalışan sayısını sadece bir yılda iki kişiden on kişiye çıkardı ve grubun tamamı 48'den 65 profesyonele genişledi. SAP güvenliği, risk yönetimi, uyumluluk ve endüstriyel siber güvenlik konularında bilgi sahibi profesyonellere talep var. Sektör bazında, olaylardan etkilenen şirketlerin en yüksek yüzdesi perakende sektöründe, ardından inşaat ve sanayi sektöründe yer alıyor. Özellikle sanayi sektörü özel bir dikkat gerektiriyor çünkü bir saldırı üretimi durdurabilir, tedarik zincirini aksatabilir veya fiziksel süreçleri etkileyebilir; bu da otomotiv, gıda, imalat ve enerji sektörlerinde önemli bir sorundur. Igape, INCIBE ve INEO gibi kuruluşlar, şirketlerin siber güvenliğini iyileştirmek için yardım ve destek sağlıyor.
Konsolidasyon, kritik altyapı ve temel hizmetler
İspanyol pazarı da oldukça hareketli. Allurity holding şirketine bağlı İspanyol bir grup olan Aiuken Cybersecurity, Navarra, Aragon, La Rioja ve Bask Ülkesi'nde önemli bir varlığa sahip endüstriyel siber güvenlik konusunda uzmanlaşmış 4Elitech şirketini satın aldı. Bu satın alma, OT güvenliği, kritik altyapı ve Nesnelerin İnterneti alanlarındaki konumunu güçlendiriyor . 4Elitech, hastaneler, limanlar, boru hatları ve temel altyapı ile çalışıyor ve son beş yılda gelirini dört katına çıkardı. Fiyat açıklanmamış olsa da, piyasa kaynakları yaklaşık 20 milyon Euro olduğunu tahmin ediyor. Juan Miguel Velasco tarafından 2012 yılında kurulan Aiuken, 2022 yılında İsveç fonu Trill Impact tarafından satın alındı ve İspanya, Şili, Suudi Arabistan ve Dubai'de önemli bir varlığa sahip olmak üzere on iki ülkede faaliyet gösteriyor. Allurity'nin 18 ülkede 900 profesyoneli bulunuyor ve grup binden fazla kurumsal müşteriyi koruyor.
Temel hizmetlerin korunması bir başka zorluk olmaya devam ediyor. Renfe örneğinde, teknik kanıtlar, şirketin sistemleriyle bağlantılı olan ve daha önce güvenliği ihlal edilmiş Adif sunucularından kaynaklandığını gösteriyor . Şirket, protokollerini devreye soktu, etkilenen ortamları izole etti ve bağımsız uzmanların desteğiyle olağanüstü önlemler aldı. Soruşturma, kullanıcı adlarına ve e-posta adreslerine sınırlı erişim olduğunu, şu ana kadar kamuya açık bir ifşa olduğuna dair kesin bir kanıt bulunmadığını ve bankacılık veya finansal verilere, ödeme yöntemlerine veya ulusal kimlik kartlarına erişim olduğuna dair bir belirti olmadığını gösteriyor. Olay, haftalarca süren ve tespit edilip engellenen sürekli girişimlerin ardından meydana geldi. Renfe, kritik altyapı için kendi sertifikalarını ve standartlarını koruyor, izleme ve güvenliğe sürekli yatırım yapıyor ve demiryolu hizmeti devam ederken yetkililerle işbirliği yapıyor.
Bu tablo, daha kapsamlı, daha düzenlenmiş ve daha zorlu bir siber güvenlik ortamını gözler önüne seriyor. Yapay zeka, saldırıları daha ucuz ve daha karmaşık hale getirirken, işletmeler ve devlet kurumları da yatırım, eğitim ve düzenlemelerle karşılık veriyor . KOBİ'ler ve endüstri güvenlik açıklarını kapatmak zorunda, temel hizmetler güvenlik önlemlerini güçlendirmeli ve uzmanlaşmış yetenek stratejik bir kaynak haline geliyor. OT sektörünün konsolidasyonu ve kamu ve özel paydaşlar arasındaki iş birliği, giderek dijitalleşen bir ekonomiyi korumanın yolunu açıyor.