Bilgi, Bilgi Güvenliği ve Süreçleri
GİRİŞ Dünyada olduğu gibi ülkemizde de bilişim teknolojilerinin yaygınlaşması ve kullanımı hızla artmaktadır (1–3). Bu teknolojilerin kullanımı ülkemizde hızla yaygınlaştırılmaya çalışılırken, geliştirilmesi ve etkin kullanımı konusunda birçok yetersizlik söz konusudur. Gelişen bilişim teknolojilerinin etkin kullanımında olması gereken seviyenin oldukça altında bulunduğumuz ve bilgi toplumunun ana unsurları olan kullanım yaygınlığı, etkin kullanım, kültür ve üretim gibi konularda ise gerilerde olduğumuz bilinmektedir (3). Bilişim teknolojileri ile bu teknolojilerin hammaddesi, girdisi ve çıktısı olan bilginin önemi tam olarak anlaşılmış değildir. Bilginin ne olduğu ve ne gibi bir öneme ve potansiyele sahip olduğu yeterince anlaşılmadığından; bilişim teknolojileri ve bilgi güvenliği konusunda gereken ehemmiyet gösterilememektedir (3–9). Bu çalışmada; bilgi güvenliğine gerekli önemin verilebilmesi için genel olarak önemli kavramlar incelenmiş, bilgi ve bilgisayar güvenliği konuları, unsurları ve süreçleri üzerinde durulmuş ve yüksek derecede bir güvenlik için uygulanması gerekenler açıklanmıştır. Bunun sonucunda; bilgi ve bilgisayar güvenliğine neden önem verilmesi gerektiği ve bilgi güvenliğinin en temel anlamda nasıl oluşturulabileceği gibi sorulara kapsamlı cevaplar aranmaya çalışılmıştır. Bu çalışmanın bilginin ve onun daha ilerisinde özbilginin önemi, bu önemi algılayıp elde bulunan ve kullanılan bilginin korunmasına yönelik güvenlik süreçlerinin oluşturulması aşamaları, belirli bir sistematik içerisinde açıklanmıştır. Bu çalışmada, Bölüm 2’de veri, bilgi ve özbilgi kavramları genel olarak incelenmektedir. Bilginin ne gibi özellikler içerdiği; gerçeklikten hikmete ulaşmak için aşılması gereken veri, bilgi ve özbilgi basamakları bu bölümde aktarılmaktadır. Bilgi kullanımında bilişim teknolojilerinin etkisi ve yaygınlığı yine bu bölümde istatistiklerle ortaya konulmuştur. Bilgi ve bilgisayar güvenliği ile bu sistemlere yapılan saldırılar Bölüm 3’de incelenmiştir. Eksiksiz bir bilgi güvenliğinin taşıması gerektiği unsurlar Bölüm 4’de aktarılmaktadır. Bilgi güvenliğinin bu unsurları karşılaması için oluşturulması gereken güvenlik politikasını meydana getiren temel güvenlik süreçleri; önleme, saptama ve karşılık verme Bölüm 5’de açıklanmıştır. Bölüm 6’da bu çalışmadan elde edilen sonuçlar ve yapılan değerlendirmeler sunulmuştur. Bilginin yaşadığımız çağa damgasını vuran bir varlık olduğu bir gerçektir. Bu açıdan bakıldığında, çağımızın altın değerindeki hammaddesi olan bilgiyi tanımlamak, kavramak ve bilgi ile ilgili hususları incelemek, insanlığın başlangıcından itibaren geçen süreçte ileriye yönelik gelişimimizi şekillendirmenin en önemli anahtarıdır (6). Günümüzde bilgi ön plana çıkmış gibi gözükse de, aslında bilgi; dünün ve bugünün anahtarları iken, geleceğin şekillenmesinde de her zaman anahtar rollere sahiptir. Digital Object Identifier 10.2339/2006.9.3.165174 Bilginin doğası ile ilgili aşağıda derlenen sözler, bilginin değerini ve boyutlarını bir kez daha gözler önüne sermek açısından faydalı olabilir (10). Bilgi; • boşlukta ve zamanda yer kaplar. • gürültü çıkarmadan hareket edemez. • hareketi için enerji gerekir. • yaşam ve herhangi bir düzenli etkinlik için gereklidir. • hem maddesiz biçim, hem biçimsiz maddedir. • ağırlığa sahiptir. Bir giga bayt, bir parmak izinden daha az ağırlıktadır. • zaman içinde hareketli veya donmuş olabilir. • bir soruya tatmin edici, belki de rahatsızlık verici bir cevaptır. • katı hale sahiptir, donarak katılaşır (depolama). • sıvı hale sahiptir, akar (iletişim). • bir yerlerde bilgi hareket eder, evren gümbürder ve gerçeği gürler. • maddeden farklı olarak bilgi aynı anda birden fazla yerde olabilir. • el sıkışma, baş sallama, bakış veya iç çekiştir. • rastsallık denizinde parlar. Şekil 1. Gerçeklikten hikmete ulaşmak için aşılması gereken bilgi basamakları Bilgi çağında ilerlemek, bir merdivenin basamaklarını kullanarak bir üst seviyeye çıkmaya benzetilebilir (11). Şekil 1’de gerçeklik (reality) ile hikmet (wisdom) arasında gösterilen bu merdivenin basamakları, veri (data), bilgi (information), özbilgi (knowledge) basamaklarıdır. Çoğu durumda, her basamak, atlanmadan teker teker geçilir. Yukarıya çıktıkça elimizdeki şeyin miktarı azalırken, değeri artar. Yine yukarıya çıktıkça, bir sonraki basamağa adım atmak daha da zorlaşır veya daha çok çaba ister. Bu yüzden, merdivenin alt basamaklarında verinin ve bilginin paylaşımı daha kolay iken yahut insanlar veya çalışanlar elde ettikleri veri ve bilgileri paylaşmaya daha açık iken, daha yukarı çıkıldığında özbilginin paylaşımı için aynı şey söylenemez (12). Genel olarak bilimin getirdiği yöntemlerden, ölçme ile eldeki gerçeklikten veriye, ispat ile veriden bilgiye ve kavrayış ile bilgiden özbilgiye ulaşılır (13). Özbilgiden hikmete ulaşma, sentezleme içeren bir düşünüş gerektirir. Bu düşünüş, fikirlerin öyle bir şekilde bir araya getirilmesidir ki ulaşılan bütün parçalarının toplamından daha büyüktür (14). Bir başka gözlem de, merdivenin alt basamaklarında, daha algoritmik ve programlanabilir bir yaklaşıma ihtiyaç duyulurken, daha yukarı basamaklar, algoritmik olmayan ve programlanamayan bir yapı arz etmesidir (15). Veri ve bilginin iletiminde bilişim teknolojileri kullanılabilirken, özbilgi de buna ek olarak insan etkeni de işin içine girmektedir (16). Bir özbilginin gerçeklik haline dönüştürülmesi için yönetim biliminden yararlanılır. Bilgi ve özbilgi kavramları veya basamakları, ülkemizde çoğu kez birbirleri ile karıştırılmaktadır (3). Bu sebepten dolayı, ilgili kavramlar takip eden paragraflarda detaylı olarak tanımlanmış ve açıklanmıştır. Verinin; İngilizce karşılığı olarak kullanılan “data”, Latince “datum” kelimesinden (çoğul şekli “data” ve “vermeye cesaret etmek” fiilinin geçmiş zamanı, dolayısıyla “verilen şey”) gelmektedir. Latince “data” (dedomena) kavramının M.Ö. 300 yıllarında Öklid’in bir çalışmasında geçtiği bildirilmektedir (17). Dilimizde de “verilen şey” anlamında, “veri” olarak kullanılmaktadır. Bilişim teknolojisi açısından veri, bir durum hakkında, birbiriyle bağlantısı henüz kurulmamış bilinenler veya kısaca, sayısal ortamlarda bulunan ve taşınan sinyaller ve/veya bit dizeleri olarak tanımlanabilir. Bilgi; verinin belli bir anlam ifade edecek şekilde düzenlenmiş halidir. Bu aşamada, veri ve ilişkili olduğu konu, bilgi üretecek şekilde bir araya getirilir. İşlenmiş veri olarak da ifade edilebilecek bilgi, Shannon tarafından “bir konu hakkında var olan belirsizliği azaltan bir kaynak” olarak tanımlanmıştır. Kısaca, veri üzerinde yapılan uygun bütün işlemlerin (mantığa dayanan dönüşüm, ilişkiler, formüller, varsayımlar, basitleştirmeler, v.s.) çıktısı, bilgi olarak ifade edilebilir. Özbilgi; tecrübe veya öğrenme şeklinde veya iç gözlem şeklinde elde edilen gerçeklerin, doğruların veya bilginin, farkında olunması ve anlaşılmasıdır. Bilgisayar kullanım oranı İnternet Kullanım oranı Toplam Kadın Erkek Toplam Kadın Erkek (Nis-Haz.2005) Türkiye 17,65 5,77 11,88 13,93 4,33 9,60 Kent 23,16 7,92 15,24 18,57 6,06 12,51 Kır 8,28 2,12 6,16 6,05 1,39 4,66 Üç ay bir yıl önce Türkiye 1,88 0,71 1,17 1,52 0,54 0,99 Kent 2,44 0,95 1,49 1,96 0,72 1,24 Kır 0,92 0,29 0,63 0,78 0,22 0,56 Bir yıldan çok oldu Türkiye 3,42 1,53 1,89 2,10 0,74 1,36 Kent 3,98 1,83 2,16 2,54 0,92 1,61 Kır 2,45 1,03 1,42 1,36 0,43 0,92 Hiç kullanmadı Türkiye 77,06 42,28 34,78 82,45 44,68 37,76 Kent 70,41 38,65 31,77 76,94 41,65 35,29 Kır 88,35 48,45 39,90 91,81 49,84 41,97 Çizelge 2. Cinsiyete göre Türkiye, kentkır ayrımında bilgisayar ve İnternet yüzde kullanım oranları (2) Verileri bir araya getirilip, işlenmesiyle bilgiyi oluştursa da özbilgi, kullanılan bilgilerin toplamından daha üstte bir kavramdır. Bir güç oluşturabilecek, katma değer sağlayabilecek veya bir araç haline dönüşmek üzere, daha fazla ve özenli olarak işlenmiş bilgi, asıl değerli olan özbilgidir. Özbilgi, ne olduğunu (knowwhat), niçin olduğunu (knowwhy), nasıl olduğunu (knowhow) ve kim olduğunu (knowwho) bilmek şeklinde dört sınıftan oluşur. Ne olduğunu bilmek, gerçeklerin toplamıdır ve bilgiye en yakın olan sınıftır. Niçin olduğunu bilmek, teknolojik gelişmenin altında yatan ilke ve yasaların açıklandığı bilimsel özbilgidir. Nasıl olduğunu bilmek, bir şeyi yapabilme becerisidir. Kimin olduğunu bilmek, kimin neyi ve kimin neyi nasıl yapılacağını bildiğini bilmek olarak özetlenebilir (18). Hikmet (wisdom), tasavvur, ileri görüş ve ufkun ötesini görme yetisi ile en ileri seviyede soyutlama ve bir kişinin özel bir iş sahasındaki meslek hayatı boyunca elde edilmiş deneyimin özüdür (19). Hikmet, ayrıca, güvenilir yargıda bulunmak ve karar vermek için özbilginin nasıl kullanılacağını kavramak olarak da tanımlanmaktadır (20). Veri, bilgi, özbilgi ve hikmet gibi kavramların bilişim teknolojilerinin temel yapı taşları olduğunu göz ardı etmemek gerekir. Bu bakış açısı, bilginin önemini ve bilgi ve bilgisayar güvenliğini her zaman öncelikli bir konumda tutmakta yardımcı olacaktır. Her ne kadar, bilgi ile ilgili belirtilen kavramlar, burada bilişim teknolojileri ve özbilgi yönetimi açısından değerlendirilse de bu kavramların altında binlerce yıllık bir insanlık medeniyetinin yattığını da hatırlatmak gerekir. Bilginin önemini kavrayan tarihteki her uygarlık, onu korumaya yönelik olarak, farklı güvenlik yöntemleri geliştirmişlerdir (7–9). Günümüzde bilginin üretilme, depolanma, korunma, kullanılma, paylaşma, yayılma, etkileşme ve artma hızı, teknolojinin getirdiği hızlı bilgi işleme ve iletişim araçları ile baş döndürücü bir hal almıştır. Bilgisayar ve haberleşme teknolojilerinde yaşanan baş döndürücü gelişmeler ve özellikle İnternet’in katalizör etkisi ile insanların çalışma, iletişim kurma ve her türlü günlük ihtiyaçlarını karşılama biçimi sürekli bir dönüşüm halindedir (21). İnternet’in ulaştığı boyutları ortaya koymak açısından yapılan bir çalışmanın sonuçlarını burada aktarmak yerinde olacaktır. Çizelge 1’de Kasım 2005 tarihi itibari ile dünyada İnternet kullanımının her bir bölge için ne kadar olduğu ve 2000–2005 yılları arasındaki İnternet kullanımı artışı gösterilmektedir. Sunulan raporda, dünya nüfusunun %15’i (964 289 701 kişi) İnternet kullanmaktadır. İnternet kullanıcı sayısındaki artış 2000–2005 yılları arasında %167,1’dir. Bu süreler zarfında kullanıcı artışının en çok olduğu bölgeler %428,7 ile Afrika, %370,4 ile Ortadoğu ve %302,9 ile Latin Amerika/Karayip bölgeleridir. Çizelge 1. Dünya İnternet Kullanım ve Nüfus İstatistiği (1) Bölgeler Nüfus % Dünya İnternet Kullanım % Nüfus % Dünya (2005 tahmini) Nüfusu Kullanımı Büyümesi Yaygınlık Kullanıcı Afrika 896 721 874 % 14, 23 867 500 % 428,7 % 2,7 % 2,5 Asya 3 622 994 130% 56,4 327 066 713 % 186,1 % 9,0 % 33,9 Avrupa 804 574 696 % 12,5 283 482 940 % 169,7 % 35,2 % 29,4 Ortadoğu 187 258 006 % 2,9 15 452 500 % 370,4 % 8,3 % 1,6 Kuzey Amerika 328 387 059 % 5,1 223 971 489 % 107,2 % 68,2 % 23,2 L.Amerika/Karayip 546 723 509 % 8,5 72 792 797 % 302,9 % 13,3 % 7,5 Okyanusya/Avustralya 33 443 448 % 0,5 17 655 762 % 131,7 % 52,8 % 1,8 DÜNYA TOPLAM 6 420 102 722 % 100,0 964 289 701 % 167,1 % 15,0 % 100,0 Çizelge 2’de verilen araştırma sonuçlarından da görülebileceği gibi gerek ülkemizde gerekse dünyada bilgisayar ve İnternet kullanımı gittikçe yaygınlaşmaktadır. İnsanlar, İnternet’i bilgiye ulaşmak için daha uygun bir ortam olarak değerlendirmekte ve kullanmaktadır. Amerika Birleşik Devletleri’nde 2003 Ocak ayında Google, AOL Search, Yahoo, MSN Search, Ask Jeeves, InfoSpace, AltaVista, Overture, Netscape, Earthlink, Looksmart ve Lycos İnternet arama motorlarında günlük yapılan arama sayısı toplam olarak 319 milyon olarak belirtilmiştir (22). Bu sayının günümüzde çok daha fazla olduğu değerlendirilmektedir. Üretilen bilgilerin büyüklüğü, saklanması ve aktarılması da önemli konulardandır. Üretilen bilgi; kâğıt (kitap, gazete, büro belgeleri, süreli yayınlar, mektup v.s.), film (fotoğraf, sinema, televizyon film ve dizileri, video, x ışını), manyetik (video, ses ve sayısal bant, miniDV, disket, zip, flash ve sabit disk) ve optik (ses CD, CD ROM ve DVD) saklama ortamlarında depolanmakta; telefon, radyo, televizyon ve İnternet gibi elektronik kanallar aracılığıyla akmaktadır. Yıllara göre üretilen toplam bilgiyi çıkartmaya yönelik bir araştırmaya göre 2002 yılında bu dört bilgi saklama ortamında depolanan yeni bilginin kapasitesi toplam 5 eksa bayt’tır (1018 bayt’tır). Amerikan Kongresi Kütüphanesinde var olan basılı koleksiyonun tamamının 10 tera bayt’lık bir bilgi kapasitesinde olduğu düşünülürse, 2002 yılında üretilip depolanan yeni bilgi, 100 000 Amerikan Kongresi Kütüphanesindeki bilgiye denk düşmektedir. 2002 yılında üretilen 5 eksa bayt’lık verinin %92’si çoğunlukla sabit disk olmak üzere manyetik ortamda saklanmaktadır. Yine bu araştırmanın sonuçlarına göre 2002 yılında 18 eksabayt’lık yeni bilgi telefon, radyo, televizyon ve İnternet aracılığıyla akmaktadır. Bu bilginin %98’i hem ses hem de veri dâhil olmak üzere telefon aracılığıyla gönderilmiş ve alınmıştır. 2002 yılında İnternet üzerinden akan veri miktarı 0,5 eksa bayt’tır (23). Günümüz insanı, günlük yaşamında bile yoğun bir bilgi bombardımanı altındadır. Bu yüzden bilgiye erişimde seçici yöntemler kullanılarak, doğrudan ulaşılmak istenilen bilgiye eriştirecek yöntemler geliştirilmelidir. Bilgiye etkin bir şekilde ulaşım ve bilgi işleme ile ilgili bu konular bu çalışmanın kapsamı dışındadır. Bilgi ile ilgili bir başka önemli konu da, bilginin taşıdığı değerdir. Bilginin değerli veya değersiz olduğunu belirlemek veya bilginin taşıdığı değeri ölçmek, en az bilginin kendisi kadar önemlidir. Elde edilen bilgiyi değerlendirirken, bilginin kalitesini gösteren özelliklere bakılması gerekir. Doğruluk, güncellik, konuyla ilgili olma, bütünlük ve öz, gereksinimlere uyum gösterme, iyi sunulma ve fiziksel ve idrak yolu ile erişim gibi ölçütler bilginin kalitesini belirleyen etmenlerden bazılarıdır (24). Bilginin çok önemli bir varlık olması, ona sahip olma ile ilgili bazı konuların düzenlenmesi ve yeni şartların getirdiği özelliklere göre ayarlanmasını gerekmektedir. Bilgi, en basit benzetme ile para gibi bir metadır. Kişiler, kurumlar ve ülkeler için bilgi, elde edilmesi zor, aynı zamanda elde tutulması da zor bir metadır. Entelektüel mülk (intellectual capital, property) olarak tanımlanan bu meta, bir kurumun bilgi ve özbilgi varlığıdır (25). Bu mülkün korunması, hayati bir önem arz etmektedir. Bu korunma, hem bilgi kullanımındaki karmaşayı, yozlaşmayı ve kötüye kullanımı önleyeceği gibi hem de bilgiyi bir çaba göstererek elde eden tüzel veya gerçek kişilerin haklarının korunmasını da sağlayacaktır. Bu sayede firmalar, çetin rekabet ortamında, sahip oldukları fark yaratan ve aynı zamanda koruyabildikleri entelektüel mülk ile avantajlı konumlarını koruyabilmektedirler (26). İşte bu yüzden patent, telif hakkı ve ticari marka gibi haklar, entelektüel mülkü korumak amacıyla oluşturulmuştur (27). Fakat bilginin korunması, daha doğrusu bilginin güvenliği, özellikle elektronik ortamda çok daha kapsamlı bir konudur. Bilginin değerinin olması, bu değeri elde etmek için emek ve zamanın harcanması ve kazanılan bilginin fark yaratması nedeniyle bilgi, korunması gereken bir varlık olarak görülmektedir (28). Bu açıdan bilginin korunmasına yönelik olarak, bilgi güvenliği, dünya gündeminde olan ve bundan sonra daha da önemini arttırarak devam eden bir konu olarak karşımıza çıkmaya devam edecektir. BİLGİ VE BİLGİSAYAR GÜVENLİĞİ Bilgi güvenliği, elektronik ortamlarda verilerin veya bilgilerin saklanması ve taşınması esnasında bilgilerin bütünlüğü bozulmadan, izinsiz erişimlerden korunması için, güvenli bir bilgi işleme platformu oluşturma çabalarının tümüdür. Bunun sağlanması için, uygun güvenlik politikasının belirlenmeli ve uygulanmalıdır. Bu politikalar, faaliyetlerin sorgulanması, erişimlerin izlenmesi, değişikliklerin kayıtlarının tutulup değerlendirilmesi, silme işlemlerinin sınırlandırılması gibi bazı kullanım şekillerine indirgenebilmektedir. Bilgi güvenliği daha genel anlamda, güvenlik konularını detaylı olarak ele alan “güvenlik mühendisliği”nin bir alt alanı olarak görülmektedir. Şekil 2. Saldırı Karmaşıklığı ile Saldırgan Teknik Bilgisi (31). Bilgi ve bilgisayar güvenliğinde, karşı taraf, kötü niyetli olarak nitelendirilen kişiler (korsanlar veya saldırganlar) ve yaptıkları saldırılardır. Var olan bilgi ve bilgisayar güvenliği sistemini aşmak veya atlatmak, zafiyete uğratmak, kişileri doğrudan veya dolaylı olarak zarara uğratmak, sistemlere zarar vermek, sistemlerin işleyişini aksattırmak, durdurmak, çökertmek veya yıkmak gibi kötü amaçlarla bilgisayar sistemleri ile ilgili yapılan girişimler saldırı veya atak olarak adlandırılmaktadır. Saldırganlar, amaçlarına ulaşmak için çok farklı teknikler içeren saldırılar gerçekleştirmektedirler. Saldırı türlerinin bilinmesi, doğru bir şekilde analiz edilmesi ve gereken önlemlerin belirlenmesi, bilgi güvenliği için büyük bir önem arz etmektedir. Bilgi güvenliği, “bilginin bir varlık olarak hasarlardan korunması, doğru teknolojinin, doğru amaçla ve doğru şekilde kullanılarak bilginin her türlü ortamda, istenmeyen kişiler tarafından elde edilmesini önleme olarak” tanımlanır. Bilgisayar teknolojilerinde güvenliğin amacı ise “kişi ve kurumların bu teknolojilerini kullanırken karşılaşabilecekleri tehdit ve tehlikelerin analizlerinin yapılarak gerekli önlemlerin önceden alınmasıdır”. Özellikle ülkemizde, ne yazık ki, birçok kurum ve kuruluşun ve her seviyeden bilgisayar kullanıcısının çoğunlukla bilgi ve bilgisayar sistemlerine ve bilgi güvenliğine bakış açısının yeterli seviyede olmadığı tespit edilmiştir (4, 29). KasımAralık 2004 tarihleri arasında yapılan bir araştırmada, 800 civarında ADSL abonesi ve 500’ün üzerinde şirketin güvenlik sisteminin denetlenmesi ile gerçekleştirilen “Türkiye İnternet Güvenliği Araştırması” sonuçlarına göre şirketlerin %27'sinin bilişim sistemlerinde çok yüksek seviyede açıklar gözlenmiş, ADSL abonelerinin %72’sinin güvenlik duvarı yapılandırmalarında ciddi açıklar görülmüştür (4). Türkiye Bilimsel ve Teknik Araştırma Kurumu TÜBİTAK’ın Yönlendirme Kurulu, yapmış olduğu “Bilim ve Teknoloji Strateji Belgesi” çalışmasında (30), ülkemizin 2023 yılına ışık tutacak bilim, teknoloji ve yenilik ufkunu belirlerken, bilgi toplumuna geçiş için, teknolojik altyapının güçlendirilmesi hedefi doğrultusunda yapılması gerekenler arasında bilgi güvenliği konusunun göz ardı edilmeyip çeşitli stratejilerin belirlenmiş olması ümit vericidir. Şekil 2’de gösterildiği gibi, saldırılar zamanla ve gelişen teknoloji ile oldukça farklılıklar göstermektedir. Parola tahmin etme ya da işyerlerinde kâğıt notların atıldığı çöpleri karıştırma gibi basit saldırılar, günümüzde artık yerini daha kapsamlı olan çapraz site betikleme (cross site ******ing), oto koordineli (auto coordinated), dağıtık (distributed) ve sahnelenmiş (staged) saldırılara bırakmıştır. Saldırılar veya saldırılarda kullanılan araçlar, teknik açıdan gittikçe karmaşıklaşırken, bu saldırıyı yürütecek saldırganın ihtiyaç duyduğu bilginin seviyesi de gittikçe azalmaktadır. Bu durum saldırı ve saldırgan sayısını, saldırılar sonucunda oluşacak zararları artırırken, saldırıyı önlemek için yapılması gerekenleri de zorlaştırmaktadır. Son günlerde, bilgi sistemlerinde bilgi güvenliği konusunda zafiyet oluşturan, virüsler, solucanlar, Truva atları, arka kapılar, mesaj sağanakları, kök kullanıcı takımları, telefon çeviriciler, korunmasızlık sömürücüleri, klavye dinleme sistemleri, tarayıcı soyma ve casus yazılımların yanında, reklâm, parazit, hırsız, püsküllü bela yazılım, tarayıcı yardımcı nesnesi, uzaktan yönetim aracı, ticari RAT, bot ağı, ağ taşkını, saldırgan ActiveX, Java ve betik, IRC ele geçirme savaşı, nuker, paketleyici, ciltçi, şifre yakalayıcılarsoyguncular, şifre kırıcılar, anahtar üreticiler, eposta bombardımanı, kitle postacısı, web böcekleri, aldatmaca, sazan avlama, web sahtekârlığıdolandırıcılığı, telefon kırma, port tarayıcılar, sondaj aracı, arama motoru soyguncusu, koklayıcı, kandırıcı, casus yazılım ve iz sürme çerezleri, turta, damlatıcı, savaş telefon çeviricileri ve tavşanlar adı altında ve her biri farklı amaçlara yönelik değişik yöntemler kullanan çok çeşitli kötücül yazılımın var olduğu da tespit edilmiştir (6). Bu saldırılar ve zafiyetler karşısında, bilgi güvenliğini sağlamak için bu güvenliği oluşturan unsurların belirlenmesi gereklidir. Bu unsurların yokluğu veya bu unsurlarda oluşabilecek zafiyetler, doğrudan oluşturulmak istenen güvenliğin etkinliğini belirleyecektir. Bilgilerin, istenmeyen hasarlardan korunması için, en temel açıdan atılması gereken adımlar, güvenlik unsurlarının yerine getirilmesi ile sağlanmaktadır. Bu konu Bölüm 4’de ayrıntılı olarak incelenmiştir. Gizlilik(confidentiality), bütünlük(integrity), kullanılabilirlik(availability), kimlik kanıtlama(authentication) ve inkâr edememe(nonrepudiation) bilgi güvenliğinin en temel unsurlardır. Bunun dışında sorumluluk(accountability), erişim denetimi(access control), güvenilirlik(reliability) ve emniyet(safety) etkenleri de bilgi güvenliğini destekleyen unsurlardır. Bu unsurların tamamının gerçekleştirilmesiyle ancak bilgi güvenliği tam olarak sağlanabilecektir. Şekil 3’den de görülebileceği gibi, bu unsurların bir veya birkaçının eksikliği, güvenlik boyutunda aksamalara sebebiyet verebilecektir. Bu unsurların birbirini tamamlayıcı unsurlar olduğu hiçbir zaman unutulmamalıdır. TSE17799 “Bilgi Güvenliği Yönetim Standardı” belgesinde, gizlilik, “bilginin sadece erişim hakkı olan yetkili kişilerce erişilebilir olmasının temini” olarak; bütünlük, “bilgi ve bilgi işleme yöntemleri ile veri içeriğinin değişmediğinin doğrulanması” olarak; kullanılabilirlik, “yetkili kullanıcıların ihtiyaç duyulduğunda bilgi ve ilişkili varlıklara erişme hakkının olmasının temini” olarak tanımlanmıştır (32). Kimlik kanıtlama, geçerli kullanıcı ve işlemlerin tanınması ve doğrulanması ile bir kullanıcının veya prosesin hangi sistem kaynaklarına erişme hakkının olduğunun belirlenmesi sürecidir. İnkâr edememe, bir bilgiyi alan veya gönderen tarafların, o bilgiyi aldığını veya gönderdiğini inkâr edememesini sağlama işlemidir. Sorumluluk, belirli bir eylemin yapılmasından, kimin veya neyin sorumlu olduğunu belirleme yeteneğidir. Tipik olarak etkinliklerin kayıtlarını tutmak için bir kayıt tutma (logging) sistemine ve bu kayıtları araştıracak bir hesap inceleme (auditing) sistemine ihtiyaç duyar. Erişim denetimi, bir kaynağa erişmek için belirli izinlerin verilmesi veya alınması olarak tanımlanabilir. Güvenilirlik, bir bilgisayarın, bir bilginin veya iletişim sisteminin şartnamesine, tasarım gereksinimlerine sürekli ve kesin bir şekilde uyarak çalışması ve bunu çok güvenli bir şekilde yapabilme yeteneğidir. Emniyet, bir bilgisayar sisteminin veya yazılımın işlevsel ortamına gömülü olduğunda, kendisi veya gömülü olduğu ortam için istenmeyen potansiyel veya bilfiil tehlike oluşturacak etkinlik veya olayları önleme tedbirlerini içermektedir. Telekomünikasyon Kurumu tarafından 15 Ocak 2004 tarih ve 5070 sayılı “Elektronik İmza Kanunu”na temel alınarak hazırlanmış olan “Elektronik İmza Kanununun Uygulanmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik”te bilgilerin gizliliği ve korunması ile ilgili gerekli hususların sunulması ise bilgi ve bilgisayar güvenliği konusunda dünya ülkeleriyle beraber gerekli adımları zamanında atıyor olmamız açısından, bir diğer olumlu adım olarak değerlendirilmektedir (5). Güvenlik unsurların gereklerini yerine getirmek, güvenlik süreçlerini ve politikalarını oluşturma ve uygulamayla başarıya ulaşacaktır. Güvenlik süreçleri Bölüm 5’de incelenmişte detaylı olarak incelenmiştir. Bilgi güvenliği çerçevesinde kurulacak güvenlik sistemi altyapısının ve politikasının doğru bir şekilde belirlenebilmesi için, korunmak istenen bilginin değerlendirilmesi ve güvenlik yönetiminin doğru ve eksiksiz bir şekilde yapılması gerekir. Güvenlik yönetimi, bilgi ve bilgisayar güvenliğini olumsuz yönde etkileyecek faktörlerinin belirlenmesi, ölçülmesi ve en alt düzeye indirilmesi sürecidir. ISO Rehber 73’e göre risk, bir olayın ve bu olayın sonucunun olasılıklarının birleşimi olarak tanımlanmaktadır. Risk yönetiminin bir adımı olan risk değerlendirmesi, risklerin tanımlandığı ve tanımlanan bu risklerin etkilerinin ve önceliklerinin belirlendiği bir süreçtir. Risk yönetimi, kabul edilebilir düzeyde bir riskin belirlenmesi, hali hazırdaki riskin değerlendirilmesi, bu riskin kabul edilebilir düzeye indirilebilmesi için gerekli görülen adımların atılması ve bu risk düzeyinin sürdürülmesidir. Bilgi ve diğer varlıklar, bu varlıklara yönelik tehditler, var olan sistemde bulunan korunmasızlıklar ve güvenlik sistem denetimleri, mevcut riski tayin eden bileşenlerdir. Korunması gereken bilgi ya da varlıkların belirlenmesi; bu varlıkların kuruluşlar açısından ne kadar değerli olduğunun saptanması; bu varlıkların başına gelebilecek bilinen ve muhtemel tehditlerden hangilerinin önlenmeye çalışılacağının ortaya konulması; muhtemel kayıpların nasıl cereyan edebileceğinin araştırılması; her bir varlığın maruz kalabileceği muhtemel tehditlerin boyutlarının tanımlanması; bu varlıklarda gerçekleşebilecek zararların boyutlarını ve ihtimallerini düşürmek için ilk planda yapılabileceklerin incelenmesi ve ileriye yönelik tehditleri asgari seviyede tutmak için atılması gereken adımların planlanması, risk değerlendirmesinin belli başlı safhalarındandır (35). Risk yönetimi sonucunda kurulacak ve yürütülecek güvenlik sisteminin maliyeti, dikkate alınması gereken bir başka önemli husustur. Güvenlik sisteminin maliyeti, korunan bilginin değeri ve olası tehditlerin incelenmesiyle belirlenen risk ile sınırlı olmalıdır. %100 güvenliğin olmayacağı ilkesi ile beraber, bilgi güvenliğinin ideal yapılandırılması üç süreç ile gerçekleştirilir. Bu süreçler, önleme (prevention), saptama (detection) ve karşılık vermedir (response ya da reaction). Şekil 4’de güvenlik süreçlerine bir örnek verilmiştir. Bu şekilde, 4 farklı saldırı [1][4] i
0 yorum yazılmıştır