Bilgi Güvenliği Nedir? Gizlilik, Bütünlük ve Erişilebilirlik

Bilgi güvenliği üç ilkeye dayanır. Her birini farklı bir olay bozar ve her biri farklı kontrollerle korunur:

Bazı çerçeveler bu üçlüye özgünlüğü (authenticity) ve inkâr edilemezliği (non-repudiation) de ekler: elektronik imzalı bir belgenin kimden geldiği doğrulanabilir ve imzalayan bunu inkâr edemez.

İlkeler bazen çatışır. Bir dosyayı çok sıkı kilitlemek gizliliği artırır ama erişilebilirliği düşürür. Dengeyi bilginin değeri belirler; bu yüzden ilk adım bilgiyi sınıflandırmaktır (ör. herkese açık, kuruma özel, gizli).

Bilgi güvenliği yönetim sistemi (BGYS, İngilizce ISMS), bilgi güvenliğini kişilerin iyi niyetine bırakmadan yöneten sistemdir. Kurum korunacak bilgiyi ve kapsamı belirler, riskleri değerlendirir, kontrolleri seçer ve işletir, iç denetimle ölçer, bulduğu eksikleri düzeltir. Bu döngü her yıl tekrarlanır.

BGYS'nin gerekliliklerini ISO/IEC 27001 standardı tanımlar. Güncel sürüm ISO/IEC 27001:2022'dir; Ek A'da kurumsal, insan, fiziksel ve teknolojik olmak üzere dört temada 93 kontrol vardır. Kurum bu kontrollerden riskine uyanları seçer, seçmediklerinin gerekçesini uygulanabilirlik bildirgesine yazar. Belgeyi akredite belgelendirme kuruluşları verir.

93 kontrolün yalnız 34'ü teknolojiktir. İşe alımda geçmiş kontrolü, gizlilik sözleşmesi, ziyaretçi kaydı ve tedarikçi sözleşmesindeki güvenlik maddeleri de BGYS'nin parçasıdır.

Bilgi güvenliği politikası, üst yönetimin onayladığı, kurumun bilgi güvenliğine yaklaşımını, hedeflerini ve sorumlulukları belirleyen üst belgedir. ISO/IEC 27001 bu belgeyi açıkça ister (madde 5.2) ve kurum içinde duyurulmasını şart koşar.

İyi bir politika kısa ve okunur olur; ayrıntıyı konuya özgü politikalara bırakır. Genellikle şunları içerir:

• Amaç, kapsam ve üst yönetimin taahhüdü,
• Roller: bilgi güvenliğinden kim sorumlu, olay kime bildirilir,
• Konuya özgü politikalar: erişim kontrolü, parola ve kimlik doğrulama, kabul edilebilir kullanım, yedekleme, uzaktan çalışma, tedarikçi ilişkileri, olay yönetimi,
• İhlal hâlinde uygulanacak disiplin süreci,
• Gözden geçirme sıklığı (en az yılda bir ve büyük değişikliklerden sonra).

Politika yazmak işin kolay kısmıdır. Denetçi de saldırgan da aynı şeye bakar: yazılanın sahada uygulanıp uygulanmadığına.

KVKK, veri sorumlusundan kişisel verinin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek için gerekli teknik ve idari tedbirleri almasını ister (md. 12). Bu yükümlülük doğrudan bilgi güvenliğinin işidir. Ama KVKK'nın aydınlatma, açık rıza, saklama ve imha gibi güvenlik dışı yükümlülükleri de vardır; ISO 27001 belgesi tek başına KVKK uyumu anlamına gelmez.

Üç ilke ayrı ayrı hedef alınabilir. Birinci vakada saldırganlar ödeme talimatlarının bütünlüğünü, ikincisinde verinin hem gizliliğini hem erişilebilirliğini hedef aldı:

• Bir merkez bankasının ödeme sistemi · 2016 · Finansal mesajlaşma altyapısının ele geçirilmesi

  Saldırganlar bankanın sistemlerine yerleşip uluslararası ödeme mesajlaşma altyapısına erişti ve yaklaşık bir milyar dolarlık sahte transfer talimatı oluşturdu. Zararlı, yerel kayıtları ve yazıcı çıktılarını değiştirerek izleri gizledi. Bir yazım hatası transferlerin çoğunu durdurdu.

  Sonuç: 81 milyon dolar geri alınamadı; olay, ödeme altyapısına yönelik saldırılar için dünya çapında uyarı oldu.

  Önleyen çözüm: Kanıt hızla toplanır; gizlenen izler zaman çizelgesinde ortaya çıkar. Adli Analiz

• Çifte şantajı yaygınlaştıran fidye modeli · 2019 · Şifrelemeden önce veri çalma

  Saldırganlar sistemleri şifrelemeden önce hassas verileri dışarı çıkarmaya başladı. Yedekten dönebilen kurumlar için bile ikinci bir baskı doğdu: fidye ödenmezse veri yayımlanacaktı. Veri sızıntısı siteleri ve çifte şantaj kısa sürede başka fidye operasyonlarına da yayıldı.

  Sonuç: Fidye yazılımı yalnız erişilebilirliği değil, veri gizliliğini de hedefleyen bir şantaj modeline dönüştü.

  Önleyen çözüm: Hassas verinin yeri saldırgandan önce bulunur, sınıflandırılır ve korunur. Hassas Veri Keşfi