SPL Bilgi Sistemleri Güvenliği Konu Anlatımı

Bilgi güvenliği yönetimi, bilginin gizliliğini, bütünlüğünü ve erişilebilirliğini kabul edilebilir düzeyde korumak için kurulan organizasyonel yapı, politika, prosedür, süreç ve kontrol bütünüdür. Konu yalnız teknik ekipman güvenliğiyle sınırlı değildir; üst yönetimin sahiplenmesi, rollerin yazılı biçimde tanımlanması, çalışan farkındalığı, tedarikçi ve dış paydaş etkileri, risk yönetimi ve sürekli ölçüm birlikte düşünülür. Bilgi güvenliği ile siber güvenlik birbirini tamamlar: bilgi güvenliği bilginin kendisini ve hem fiziksel hem dijital bilgi varlıklarını korumaya odaklanırken, siber güvenlik daha çok dijital ortam, ağlar, sistemler ve siber uzaydaki tehditlerle ilgilenir. Yönetim yaklaşımında varlıklar belirlenir, zafiyetler ve tehditler analiz edilir, risk değerlendirilir, risk işleme seçilir ve kontrollerin etkinliği izlenir. Bu döngü, güvenliği tek seferlik proje olmaktan çıkarıp kurumsal yönetime bağlar.

Varlık yönetimi, bilgi güvenliğinin hangi varlıkların korunacağını görünür kılan bölümüdür. Kurum önce bilgi sistemleriyle ilişkili donanım, yazılım, ağ cihazı, kullanıcı cihazı, depolama ortamı, taşınabilir araç ve bunlar aracılığıyla işlenen veriyi tanımalı; varlıkların sahibi, konumu, kullanım amacı, kritikliği ve yaşam döngüsünü izlemelidir. Envanter, risk yönetimi için başlangıç noktasıdır; bilinmeyen varlık için zafiyet, tehdit, yetki, yedekleme veya imha kontrolü sağlıklı kurulamaz. Sınıflandırma, bilginin hassasiyetine göre gizlilik ve koruma seviyesini belirler; etiketleme bu sınıfın kullanıcılar tarafından anlaşılmasını sağlar. Uygun kullanım kuralları, taşınabilir varlıklar, kişisel cihazlar, çıkarılabilir ortamlar ve imha süreçleriyle birlikte ele alındığında varlık yönetimi, bilgi güvenliği politikasını günlük operasyonlara bağlayan somut kontrol alanına dönüşür. Bu yapı, denetim izini güçlendirir ve bilgi güvenliği kontrollerinin kapsamını netleştirir.

Fiziksel ve çevresel güvenlik, bilgi sistemlerinin yalnız yazılım ve ağ kontrolleriyle korunamayacağını gösterir. Sunucular, ağ bileşenleri, veri depolama ortamları ve bunların bulunduğu tesisler yetkisiz fiziksel erişim, yangın, su baskını, enerji kesintisi, sıcaklık, nem ve elektromanyetik girişim gibi tehditlere açıktır. Fiziksel kontroller güvenli alan, giriş çıkış denetimi, ziyaretçi kaydı, kamera izleme, güvenlik personeli, kapı ve turnike düzeni gibi önlemlerle yetkisiz erişimi sınırlar. Çevresel kontroller ise iklimlendirme, yangın algılama ve söndürme, su ve duman dedektörleri, yedekli enerji, UPS, jeneratör, kablolama güvenliği ve acil kapatma mekanizmalarıyla hizmet sürekliliğini destekler. Bu başlıkta temel ilişki, fiziksel hasarın veri kaybına, hizmet kesintisine, gizlilik ihlaline ve sistem bütünlüğü üzerinde kontrol kaybına dönüşebilmesidir. Bu nedenle iyi erişim veya ağ güvenliği, uygun tesis güvenliği olmadan tamamlanmış sayılmaz.

Ağ güvenliği, kurum içinde ve kurum dışıyla bağlantı kuran uç noktalar, protokoller, ağ cihazları ve uygulamalar arasında taşınan bilginin korunmasıdır. Ağ, iki veya daha fazla uç noktanın ortak bir iletim ortamı üzerinden haberleşmesiyle oluşur; bilgisayar, sunucu, yazıcı, mobil cihaz, IoT cihazı, anahtar, yönlendirici, kablosuz erişim noktası ve güvenlik duvarı bu yapının parçalarıdır. İnternet, intranet ve extranet ayrımı, erişimin kimlere açıldığını gösterir. OSI ve TCP/IP modelleri ağ iletişimini katmanlar halinde anlamayı sağlar; her katmanda farklı protokol, cihaz ve risk bulunur. Saldırganlar keşif, açıklık arama, istismar, yetki yükseltme ve iz silme gibi aşamalarla ilerleyebilir; sosyal mühendislik, kablosuz ağ, web uygulaması ve zararlı yazılım vektörleri kullanılabilir. Savunma ise derinliğine ve genişliğine kontrol mantığıyla güvenlik duvarları, IDS/IPS, VPN, NAC, kablosuz güvenlik, işletim sistemi ve mobil cihaz güvenliğini birlikte ele alır.

Erişim güvenliği, bilgi sistemleri kaynaklarından kimlerin hangi işlemleri yapabileceğini belirleyen kontrol alanıdır. Erişim; okuma, yazma, silme, değiştirme, program çalıştırma veya bağlantı kurma gibi yetenekleri kapsar. Erişim kontrolü, bu taleplerin izin verilmesi ya da reddedilmesi sürecidir. Fiziksel erişim bina ve tesis girişleriyle ilişkiliyken, mantıksal erişim bilgi sistemi kaynaklarıyla etkileşimi yönetir. Mantıksal erişimin temel zinciri kimlik tanımlama, kimlik doğrulama ve yetkilendirmedir. Kullanıcı önce kim olduğunu iddia eder, sonra bu iddiasını parola, token, akıllı kart, tek kullanımlık parola veya biyometrik özellik gibi faktörlerle kanıtlar, ardından hangi nesnelere hangi ayrıcalıklarla erişebileceği belirlenir. Zorunlu erişim kontrolü merkezi ve katı kurallara dayanırken, isteğe bağlı erişim kontrolünde nesne sahibi erişimi belirleyebilir. Güvenli yaklaşım envanter, sınıflandırma, erişim listeleri, en az ayrıcalık ve düzenli kayıtlamayla bütün katmanlarda uygulanır.

Veri ve iz kayıtlarının güvenliği, bilginin ham veri halinden kullanılabilir bilgiye dönüşmesini, yaşam döngüsü boyunca korunmasını ve sistem olaylarının güvenilir biçimde kaydedilmesini kapsar. Veri; üretim, kullanım, saklama, taşıma ve imha aşamalarında gizlilik, bütünlük ve erişilebilirlik açısından değerlendirilir. Her veri aynı önemde olmadığı için sınıflandırma yapılır; sınıf, erişim ve koruma seviyesini belirler. İz kayıtları sistemlerde ve ağlarda gerçekleşen olaylara ilişkin kayıtlardır; işlem türü, işlemi yapan kişi veya uygulama, tarih ve saat gibi bilgiler denetim ve olay incelemesi için değerlidir. Logların anlamlı olabilmesi için zaman damgalarının merkezi zaman kaynağıyla uyumlu olması, kayıtların bozulmaya ve silinmeye karşı korunması gerekir. Şifreleme bu yapıyı tamamlar: özet fonksiyonları bütünlüğü, simetrik şifreleme hızlı gizliliği, asimetrik şifreleme anahtar değişimi ve dijital imzayı, açık anahtar altyapısı ise sertifika temelli güven ilişkisini destekler.

Üçüncü taraflarla iletişim güvenliği, kurumun doğrudan kontrol etmediği kişiler ve kuruluşlarla kurduğu bilgi paylaşımı ve sistem erişimi ilişkilerini güvence altına alır. Üçüncü taraf; kurum, kuruluş, ortaklık ve müşteriler dışında kalan gerçek veya tüzel kişileri ifade eder. Bu taraflara erişim verilmeden önce güvenlik gereksinimleri tanımlanmalı, aktarılan bilginin kötüye kullanım veya bozulmaya karşı korunması sağlanmalıdır. İlişki bir yaşam döngüsü olarak okunur: başlama aşamasında veri gizliliği, veri konumu, fiziksel güvenlik, siber güvenlik, bağlantı biçimi, uzaktan erişim ve hizmet seviyesi anlaşmaları değerlendirilir; sürdürme aşamasında değişiklikler, erişimler, varlıklar, açıklıklar, testler, raporlar ve hizmet seviyeleri izlenir; sonlandırma aşamasında kullanıcı hesapları, sertifikalar, tokenlar, kartlar, anahtarlar ve uzak erişim yetkileri kapatılır. Verilerin silinmesi, arşivlenmesi, anonimleştirilmesi ve iz kayıtlarının saklanması da kontrollü biçimde tamamlanır.