Veri ve İz Kayıtlarının Güvenliği Konu Anlatımı

Veri ve iz kayıtlarının güvenliği, bilgi sistemlerinde korunacak şeyin yalnız uygulama veya cihaz olmadığını, asıl değerin veride ve o veriye yapılan işlemlerin izlenebilirliğinde bulunduğunu gösterir.

Veri, olgu, kavram veya komutların iletişim, yorum ve işlem için elverişli biçimli gösterimi olarak düşünülebilir.

Tek başına ham veri çoğu zaman anlam üretmez; ilişkiler kurulduğunda enformasyona, kullanılabilir hale geldiğinde bilgiye, karar ve eylem düzeyine taşındığında daha üst bir kavrayışa dönüşür.

Bu nedenle güvenlik bakışı, veriyi yalnız dosya olarak değil, iş süreçlerinin ve kararların hammaddesi olarak ele alır.

Veri zarar görürse, yanlış kişiye açılırsa veya gerektiğinde erişilemezse bilgi sisteminin güvenilirliği doğrudan bozulur.

Verinin korunması yaşam döngüsü üzerinden düşünülmelidir.

Kaynakta bu döngü üretim, kullanım, saklama, taşıma ve imha aşamalarıyla açıklanır.

Üretim aşamasında verinin doğru, yetkili ve gerekli bağlamda oluşturulması önemlidir.

Kullanım aşamasında kimlerin hangi veriye hangi amaçla eriştiği kontrol edilir.

Saklama aşaması depolama ortamı, yedekleme, erişim yetkileri ve fiziksel korumayla ilişkilidir.

Taşıma aşamasında veri ağ üzerinden, taşınabilir ortamla veya sistemler arası aktarım yoluyla hareket eder; bu sırada gizlilik ve bütünlük riski artar.

İmha aşamasında ise verinin artık gerekli olmadığı durumda geri getirilemeyecek veya yetkisiz kişilerin eline geçmeyecek şekilde yok edilmesi gerekir.

Her aşamada gizlilik, bütünlük ve erişilebilirlik üçlüsü yeniden değerlendirilir.

Veri sınıflandırması bu yaşam döngüsünde uygulanacak kontrol düzeyini belirler.

Bütün veriler aynı hassasiyette değildir; bazı veriler kamuya açık olabilirken, bazıları yalnız belirli görevleri olan kişilerin bilmesi gereken nitelikte olabilir.

İş gereklerine göre çok gizli, gizli, özel, hizmete özel veya tasnif dışı benzeri sınıflar kullanılabilir.

Sınıflandırma yapılmadan erişim kuralları, saklama süreleri, şifreleme gereksinimi veya imha yöntemi tutarlı belirlenemez.

Örneğin kişisel veri niteliğindeki bilgiler, yalnız kurum içi bir işlem kaydı gibi görülemez; ilgili mevzuat ve kurum politikaları nedeniyle işleme, saklama, transfer ve imha açısından ek tedbirler gerektirir.

Metaveri de ihmal edilmemelidir; veri hakkındaki veri, başka metaverilerle birleştiğinde anlamlı ve hassas bir bilgi kümesine dönüşebilir.

İz kayıtları, sistemler ve ağlar içinde meydana gelen olayların kaydıdır.

Bir log satırı, belirli bir olay hakkında işlem türü, işlemi yapan uygulama veya kişi, tarih ve saat gibi bilgileri içerebilir.

Başlangıçta problem takibi için kullanılan loglar, günümüzde güvenlik izleme, olay inceleme, denetim ve bazı koşullarda hukuki kanıt niteliği bakımından önem kazanmıştır.

Başarılı veya başarısız erişim denemeleri, sistem değişiklikleri, ağ bağlantıları, uygulama işlemleri, fiziksel giriş çıkış kayıtları ve güvenlik olayları iz kaydı kaynağı olabilir.

Denetçi açısından log, yalnız teknik çıktı değil, hesap verebilirliği ve olayın yeniden kurulmasını sağlayan kanıt zinciridir.

İz kayıtlarının güvenilirliği birkaç koşula bağlıdır.

Öncelikle kayıtların zaman bilgisi tutarlı olmalıdır.

Farklı sistemlerin saatleri birbirinden kopuksa aynı olayın sırası yanlış anlaşılır, saldırı zinciri veya işlem akışı sağlıklı kurulamaz.

Bu nedenle sistemlerin ağ zaman protokolü gibi merkezi bir zaman kaynağından referans alması ve zaman damgalarının eşleşmesi gerekir.

İkinci olarak loglar oluşturulduktan sonra bozulmaya, silinmeye veya yetkisiz değiştirmeye karşı korunmalıdır.

Bir saldırgan sisteme girdikten sonra izlerini silebiliyorsa, olay müdahalesi ve denetim zayıflar.

Üçüncü olarak log kaynakları yönetilmelidir; hangi sistemlerin kayıt ürettiği, kayıtların nereye toplandığı, ne kadar saklandığı ve kimlerin erişebildiği belirlenmelidir.

İz kaydı saklama süreleri ve kaynak yönetimi veri güvenliğinin süreklilik tarafını oluşturur.

Çok kısa saklama süresi, olay geç fark edildiğinde kanıtın kaybolmasına neden olabilir.

Gereğinden uzun ve kontrolsüz saklama ise gereksiz veri birikimi ve gizlilik riski yaratabilir.

Bu nedenle saklama süreleri kurumun mevzuat, denetim, iş sürekliliği ve olay müdahalesi gereksinimleriyle uyumlu olmalıdır.

Logların merkezi toplanması, bütünlüğünün korunması, erişimlerinin sınırlandırılması ve düzenli incelenmesi gerekir.

Sadece kayıt üretmek yeterli değildir; kayıtların anlamlandırılması, olağan dışı davranışların fark edilmesi ve gerektiğinde raporlanması güvenlik değerini ortaya çıkarır.

Şifreleme, veri ve iz kayıtları güvenliğinde önemli ama tek başına yeterli olmayan bir kontrol grubudur.

Kriptografik özet fonksiyonları, veriden sabit uzunlukta bir özet üretir ve bütünlük kontrolünde kullanılır.

Aynı veriden aynı özetin üretilmesi beklenir; veri değişirse özet de değişmelidir.

Bu nedenle dosya bütünlük kontrolü gibi alanlarda özet fonksiyonları değerlidir.

Ancak özetleme şifreleme değildir; özetten asıl veriye geri dönülmesi amaçlanmaz.

Simetrik şifrelemede aynı anahtar hem şifreleme hem çözme için kullanılır.

Bu yöntem hızlıdır ve yüksek hacimli veri için uygundur; fakat anahtarın güvenli paylaşımı temel sorundur.

Anahtar ele geçirilirse şifreli verinin gizliliği de tehlikeye girer.

Asimetrik şifreleme, açık ve gizli anahtar çiftine dayanır.

Açık anahtar paylaşılabilir, gizli anahtar sahibi tarafından korunur.

Bu yaklaşım sadece gizlilik için değil, anahtar değişimi ve dijital imza için de kullanılır.

Güvensiz bir ağda asimetrik yöntemle güvenli anahtar değişimi yapılabilir, ardından daha hızlı simetrik şifreleme ile veri aktarımı sürdürülebilir.

Dijital imzada ise mesajın veya mesaj özetinin gizli anahtarla işlenmesi, açık anahtarla doğrulanabilen bir sahiplik ve inkar edilemezlik ilişkisi kurar.

Bu mantık güvenli internet erişimi, e-posta güvenliği, VPN, SSH ve elektronik imza gibi alanlarda karşımıza çıkar.

Açık anahtar altyapısı, açık anahtarların gerçekten kime ait olduğunu güvenilir biçimde göstermek için sertifika temelli bir düzen kurar.

Sertifika otoritesi anahtar sahipliğini belgeleyen sertifikaları üretir, yönetir, dağıtır ve gerektiğinde iptal eder.

Kayıt otoritesi sertifika isteyen tarafın kimliğini doğrulama sürecinde rol alır.

Sertifika deposu, zaman sunucusu ve imza sunucusu gibi bileşenler de altyapının parçası olabilir.

Bu yapı sayesinde güvensiz internet ortamında gizlilik, bütünlük, kimlik doğrulama ve inkar edilemezlik desteklenir.

Ancak açık anahtar altyapısı da güven problemi taşır; kullanılan yazılım, donanım, süreç ve merkezi otoriteye güven gerekir.