Fiziksel ve Çevresel Güvenlik Konu Anlatımı

Fiziksel ve çevresel güvenlik, bilgi güvenliğinin somut dünyaya temas eden tarafıdır.

Bir kurumun kimlik doğrulama, yetkilendirme, ağ segmentasyonu veya şifreleme kontrolleri güçlü olabilir; fakat kritik sistemlerin bulunduğu oda kolayca açılabiliyor, enerji kesintisine karşı yedekleme yoksa veya yangın algılama sistemi çalışmıyorsa bilgi güvenliği bütün olarak zayıflar.

Bu alanın konusu, bilgi sistemlerini ve onları barındıran fiziksel mekanları yetkisiz fiziksel erişime, doğal veya insan kaynaklı felaketlere ve çevresel koşulların bozucu etkilerine karşı korumaktır.

Fiziksel kontroller daha çok mekana kimlerin, hangi koşullarda, hangi alanlara girebildiğini yönetir.

Çevresel kontroller ise sistemlerin çalıştığı ortamın sıcaklık, nem, enerji, yangın, su, duman ve benzeri riskler bakımından güvenli kalmasını sağlar.

Bu başlıkta bilgi işleme tesisi kavramı merkezi önemdedir.

Bilgi işleme tesisi yalnız bina anlamına gelmez; bilgi işlem faaliyetlerinde kullanılan sistem, servis, altyapı ve bunların konuşlandırıldığı fiziksel ortamların bütünü olarak düşünülür.

Bu nedenle risk değerlendirmesi sunucu odasının kapısından ibaret değildir.

Tesisin fiziksel niteliği, coğrafi konumu, destekleyici altyapı hizmetleri ve kullanılan sistemlerin statik, mobil veya taşınabilir oluşu birlikte değerlendirilir.

Statik sistemler sabit binalarda kurulu çalışır; mobil sistemler sabit olmayan araçlarda benzer işlevleri yerine getirir; taşınabilir sistemler ise belirli bir mekana bağlı olmadan kullanılabilir.

Her çalışma biçimi farklı fiziksel risk üretir.

Örneğin sabit veri merkezi için yangın ve su baskını, mobil sistem için konum güvenliği, taşınabilir cihaz için kayıp veya yetkisiz elleçleme daha görünür hale gelir.

Fiziksel ve çevresel güvenlik tedbirlerinin etkisi dört ana sonuç üzerinden anlaşılır.

İlk sonuç fiziksel hasardır; donanım zarar gördüğünde sistemlerin tamiri, değiştirilmesi veya yedeklerden geri yüklenmesi gerekir.

İkinci sonuç faaliyet kesintisidir; zararın büyüklüğü kesintinin süresine, zamanlamasına ve kesilen hizmetin önemine bağlıdır.

Üçüncü sonuç bilgilerin izinsiz ifşasıdır; fiziksel erişim elde eden kişi depolama ortamına, çıktı belgelerine veya ağ cihazlarına ulaşarak gizlilik ihlali yaratabilir.

Dördüncü sonuç sistem bütünlüğü üzerinde kontrol kaybıdır; fiziksel erişim, mantıksal erişim kontrollerini atlatma, cihaz ayarlarını değiştirme veya iz bırakmadan müdahale etme imkanı verebilir.

Bu yüzden fiziksel güvenlik, mantıksal güvenliğin alternatifi değil, onun dayandığı zemindir.

Fiziksel kontrollerin ilk öğretici ilkesi güvenli alan yaklaşımıdır.

Kritik bilgi sistemleri, herkesin erişebildiği ofis alanlarında değil, kontrollü ve izlenebilir alanlarda bulundurulmalıdır.

Bu alanlarda giriş ve çıkışların kayıt altına alınması, ziyaretçilerin kimlik doğrulama ve refakat süreçlerinden geçirilmesi, yetkili personelin erişim haklarının rolüne göre sınırlanması gerekir.

Kapılar, turnikeler, kartlı geçiş sistemleri, biyometrik kontroller, güvenlik görevlileri ve kapalı devre kamera sistemi birbirini tamamlayan önlemler olarak düşünülür.

Buradaki amaç yalnız kişiyi durdurmak değildir; kimin ne zaman, nereye girdiğinin izlenebilmesi, olaydan sonra geriye dönük değerlendirme yapılabilmesi ve caydırıcılık sağlanmasıdır.

Fiziksel erişim kontrolünde güvenlik ile can güvenliği dengesi de önemlidir.

Acil çıkışların, yangın kaçış yollarının ve tahliye imkanlarının güvenlik gerekçesiyle kullanılamaz hale getirilmesi doğru değildir.

Bunun yerine güvenli alanların tasarımı, acil durumda tahliyeyi engellemeden yetkisiz erişimi sınırlayacak şekilde yapılmalıdır.

Örneğin kapılar normal zamanda yetkiyle açılırken acil durumda uygun alarm ve kayıt mekanizmalarıyla tahliyeye izin verebilir.

Benzer biçimde iki kapılı geçiş düzenekleri, tek seferde yalnız yetkili bir kişinin kontrollü alana girmesini sağlayarak başkasının peşinden girme riskini azaltır.

Bu tür kontroller, insan davranışını ve fiziksel mekanın kullanım biçimini hesaba kattığı için yalnız teknik cihaz seçimi değildir.

Çevresel kontroller ise bilgi sistemlerinin kesintisiz ve zarar görmeden çalışabileceği koşulları kurar.

Sistem odasında sıcaklık ve nem değerlerinin uygun aralıkta tutulması, iklimlendirme sistemlerinin yedekli ve düzenli bakımlı olması gerekir.

Aşırı sıcak donanım arızasına, yüksek nem korozyona, düşük nem statik elektrik riskine yol açabilir.

Su, duman ve yangın dedektörleri erken uyarı için stratejik noktalara yerleştirilmelidir.

Yükseltilmiş zemin altı, drenaj çevresi, tavan döşemesi üstü ve altı gibi alanlar özellikle önemlidir; çünkü tehdit çoğu zaman kullanıcı gözünün görmediği yerden başlar.

Dedektörlerin yalnız kurulması yetmez, çalışırlığı, güç kaynağı ve merkezi uyarı sistemiyle bağlantısı düzenli kontrol edilmelidir.

Yangın güvenliği çevresel kontrollerin en kritik örneklerinden biridir.

Yangın kontrol panelleri farklı alarm bölgelerini yönetebilir, alarmları izleyebilir ve gerektiğinde sessize alma veya devre dışı bırakma gibi işlemleri kontrollü yapabilir.

Taşınabilir yangın söndürme tüpleri risklere uygun tür, miktar ve konumda bulunmalı, işaretlenmeli ve periyodik kontrol edilmelidir.

Yangın uyarı butonları otomatik algılama dışında insan müdahalesiyle alarmın başlatılmasını sağlar.

Sabit söndürme sistemleri ise yangını sınırlayacak, panik yaratmayacak ve insanlara zarar vermeyecek şekilde tasarlanmalıdır.

Su bazlı yağmurlama sistemleri ile gazlı söndürme sistemleri arasındaki fark da buradan doğar.

Bilgi sistemleri ortamında su donanıma zarar verebilir; gazlı sistemlerde ise kullanılan gazın insan güvenliği ve çevresel etkisi dikkate alınmalıdır.

Enerji güvenliği, hizmet sürekliliğinin çevresel boyutudur.

Tam kesinti, düşük gerilim, kısa süreli gerilim düşmesi veya yükselmesi ve elektromanyetik girişim donanım hasarı, veri kaybı veya sistem çökmesine neden olabilir.

Bu nedenle sistem odasının enerji ihtiyacı doğrudan şebekeye bırakılmamalı, UPS sistemleriyle desteklenmeli ve daha uzun kesintiler için jeneratör planlanmalıdır.

Enerji hattının yedeklenmesi, farklı kaynaklardan besleme yapılması, jeneratör yakıtının hazır tutulması, UPS ve jeneratör bakım testlerinin kayıt altına alınması kontrolün sürdürülebilirliğini gösterir.

Kısa süreli voltaj dalgalanmaları için gerilim aşımı koruyucuları ve gerilim düzenleyiciler yararlı olabilir; fakat uzun kesinti için tek başına yeterli değildir.

Kablolama ve yapısal dayanıklılık da çevresel güvenlik içinde değerlendirilir.

Güç kablolarının haberleşme kablolarından ayrılması hem elektriksel riskleri hem de haberleşme kesintilerini azaltır.

Yangına dayanıklı kablo, yükseltilmiş taban altı kablo kanalı, topraklama kontrolü ve paratoner bakımı, sistem odasının günlük görünmeyen fakat olay anında belirleyici olan güvenlik katmanlarıdır.

Duvar ve zeminde neme ve aleve dayanıklı malzeme kullanılması, yangının yayılmasını geciktirir ve müdahale için zaman kazandırır.