ADL201U-BÜRO TEKNOLOJİLERİ
Ünite 7: Bilgi Güvenliği ve Yönetimi
Giriş
Bilgiyi saklama, koruma ve aktarma ihtiyacı insanlık tarihinin her aşamasında önemli bir konu olagelmiştir. Bilginin saklanmasının ve paylaşılmasının başlandığı andan itibaren korunması ihtiyacı ortaya çıkmıştır (Dlamini, Eloff ve Eloff, 2009). Bilgi ve iletişim teknolojilerinin büyük bir hızla geliştiği ve dijitalleşmenin hayatın her alanında etkili olduğu günümüz dünyasında her geçen gün yeni riskler, tehditler ve güvenlik açıkları ortaya çıkarken bilginin güvenliği çok daha önemli bir boyut kazanmıştır.
Bilgi Güvenliğine İlişkin Temel Kavramlar
Bilgi güvenliği; bilgiyi izinsiz erişimden ve kullanımdan korumak, bilginin ifşa edilmesini, bozulmasını, değiştirilmesini veya imha edilmesini engellemek amacıyla yürütülen çalışmalardır.
Bilgi Güvenliği Prensipleri
Bilgi güvenliğinin temel amacı; bilgilerin gizliliğini, bütünlüğünü ve erişilebilirliğini korumaktır (Fazlida ve Said, 2015). Bu üç amaç aynı zamanda bilgi güvenliğinin temel prensiplerini oluşturmaktadır.
Gizlilik
Gizlilik, bilginin sadece yetkili kişilerin erişimine açık olması ve onlar tarafından kullanılabilmesi anlamına gelmektedir. Bilgileri saklarken ve aktarılırken gizliliği sağlamanın önemli bir yolu şifreleme (encryption) işlemidir. Bilgi gizliliğini sağlamanın bir başka yolu da erişim kontrolleridir.
Bütünlük
Bütünlük, bilginin geçerliliği ve doğruluğu ile ilgilidir. Bir bilginin bütünlüğe sahip olması için değiştirilmemesi, geçerli ve doğru olması gerekmektedir. Bütünlük, bilgi sistemleri ve bu sistemdeki verilerin doğru olduğu, sistem içindeki verilerde izinsiz değişiklik yapılamadığı anlamına gelmektedir.
Erişilebilirlik
Erişilebilirlik, bilginin ihtiyaç duyulduğunda erişilebilir ve kullanılabilir olması anlamına gelmektedir (Andress, 2014). Güvenilir bir bilgi sisteminde yetkili kişiler ihtiyaç duydukları an bilgiye ulaşabilmektedir.
Kurumsal Bilgi Güvenliği
Kurumsal bilgi güvenliği; bir örgütün bilgi, donanım, yazılım vb. bilgi varlıklarını ve altyapısını kasıtlı ya da yanlışlıkla olabilecek ifşa, değişiklik, silme ve kötüye kullanmadan korumak amacıyla yürütülen faaliyetlerdir.
Bilgi Güvenliği Standartları
Örgütlere bilgi güvenliği yönetimi konusunda yol gösteren, riskler ve denetimler konusunda iyi uygulama örnekleri sunan ISO/IEC 27000 serisi standartlar Uluslararası Standartlar Örgütü (ISO) ve Uluslararası Elektroteknik
Komisyonunun (IEC) BS-7799 standardı üzerinde yaptıkları çalışmalar sonucunda ortaya çıkmıştır.
ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi
ISO/IEC 27001, bilgi güvenliği yönetim sisteminin kurulması, uygulanması, sürdürülmesi ve sürekli iyileştirilmesine yönelik gereklilikleri sağlamak amacıyla hazırlanmış bir uluslararası bilgi güvenliği standardıdır.
ISO 27001 BGYS standardı, ISO 27001 Standardının temel maddeleri şu şekilde sıralanabilir (Doğantimur, 2009): Bilgi güvenlik politikası, bilgi güvenliği organizasyonu, varlık yönetimi, insan kaynakları güvenliği, fiziksel ve çevresel güvenlik, haberleşme ve işletim yönetimi, erişim kontrolü, bilgi sistemleri tedarik, geliştirme ve bakımı, bilgi güvenlik ihlal olayı yönetimi, iş sürekliliği yönetimi, uyum.
ISO/IEC 27001 standardı BGYS’nin uygulanmasında döngüsel bir sistem oluşturan Planla, Uygula, Kontrol et, Önlem al (PUKÖ) modelini sunmaktadır.
Bilişim Etiği ve Gizliliği
Etik, insanların davranışlarının temelini oluşturan ahlaki ilkeleri, yol gösteren değerleri, standartları ve tutumları kapsayan bir kavramdır (Bingöl, 2019).
Bilişim Toplumu ve Etik
Bilişim toplumu; tarım ve endüstri devrimlerinden sonra, 20. yüzyılın sonlarında ortaya çıkan yeni bir uygarlık aşamasıdır. Bireylerin ve örgütlerin yaşamın her alanında bilişim teknolojilerinin hizmetlerinden yararlanabildikleri, iletişim ağlarından yararlanarak bilgiye erişebildikleri endüstri-ötesi toplum düzenidir (Köksal, 2018).
Bilişim toplumunda ortaya çıkan etik sorunları şu başlıklar altında toplamak mümkündür (Dedeoğlu, 2006): Bilginin doğruluğu sorunu, özel yaşama ilişkin sorunlar, bilgisayar suçları, fikrî mülkiyet hakları, işsizlik sorunu, sağlık sorunları, sosyal ilişkiler, ev ofisleri ve aileye ilişkin sorunlar, sanal ortam ve ilişkilere ilişkin sorunlar, dijital eşitsizlik sorunu, yapay zekâ.
Bilişim Etiği İlke ve Uygulamaları
Bilişim Etiği, bilişim alanında uyulması gereken yazılı ve yazılı olmayan kurallar bütünüdür. Bilişim etiğinin temel konuları şu başlıklar altında toplanabilir (TBD, 2010):
1. Bilgisayar kullanımına ait etik kurallar 2. İnternet kullanımına ait etik kurallar 3. Bilişim sistem ve ağ yönetimine ait etik kurallar 4. Yazılım geliştirmeye yönelik etik kurallar 5. Adli ve yönetsel incelemelere ait etik kurallar 6. Son kullanıcıya yönelik etik kurallar
Bilişim alanının önde gelen ülkelerinde ve Birleşmiş Milletler, OECD, Avrupa Konseyi gibi çeşitli uluslararası örgütlerde uzun süredir bilişim toplumunda ortaya çıkan etik sorunların çözümüne ilişkin çalışmalar yapılmaktadır. Bu çalışmalar daha çok bilişim suçları alanındaki hukuki boşluğu doldurmaya ve uluslararası hukuki düzenlemeleri oluşturmaya yöneliktir. Bunun dışında, bilişim alanında
faaliyet gösteren çeşitli meslek kuruluşları ise bu konudaki etik kodları ortaya koymaya çalışmaktadır.
Bilgi Güvenliği İhlalleri
Örgütlerin bilgi sistemlerine, ağlarına, yazılımlarına zarar veren eylemler bilgi güvenliğine yönelik tehditler olarak tanımlanmaktadır. Yapılan çalışmalar; doğal afetler, teknik arızalar, prosedür eksikleri, zararlı yazılımlar, insan faktörü gibi birçok unsurun bilgi güvenliğine yönelik tehdit oluşturduğunu göstermektedir (Peltier, 2013).
Güvenlik Açıkları
Bir bilgi sistemindeki zayıflık veya kusurlara güvenlik açığı adı verilir. Bunlar bilgi sisteminin tasarımı sırasında yapılan hatalar olabileceği gibi dahili kontrollerin nasıl kullanıldığı ya da kullanılmadığı ile ilgili kusurlar olabilir.
Güvenlik Açığı Türleri
Bilgi sistemleri açısından pek çok güvenlik açığı türü bulunmaktadır. Bunlar dört genel kategoride toplanabilir (Grama, 2020): İnsanlar ile ilgili güvenlik açıkları, süreçler ile ilgili güvenlik açıkları, tesis ile ilgili güvenlik açıkları, teknoloji ile ilgili güvenlik açıkları.
Güvenlik Tehditleri
Bilgi sistemlerine zarar verebilecek her şey tehdit olarak algılanmaktadır. Tehditler, güvenlik açıklarına karşı gerçekleştirilen başarılı saldırılardır.
Güvenlik tehditlerini dört kategoride ele almak mümkündür. Bunlardan ilki insanlardan kaynaklanan tehditlerdir. İkinci güvenlik tehdidi doğa olayları ve doğal afetlerdir. Bilgi güvenliğine yönelik üçüncü tür güvenlik tehdidi ise teknolojik ve operasyonel tehditlerdir. Dördüncü ve son güvenlik tehdidi kategorisi ise fiziksel ve çevresel tehditlerdir.
Bilgi Güvenliğine Yönelik Saldırılarda Kullanılan Teknikler
Bilgi güvenliğini tehdit eden, yaygın olarak kullanılan saldırı yöntemleri şunlardır: Omuz sörfü (Shoulder Surfing), Sosyal mühendislik saldırıları (Social Engineering), Oltalama saldırıları (Phishing), Kötü amaçlı yazılım saldırıları (Malware), Casus yazılımlar ve tuş kaydediciler (Spyware and Keystroke Loggers), Mantık bombaları (Logic Bombs), Arka kapı saldırısı (Backdoors), DoS (Denial of Services) ve DDoS Saldırıları (Distributed Denial of Service Attacks).
Bilgi Güvenliği Önlemleri
Bilgi güvenliğinin sağlanmasında yönetsel önlemlerin ve prosedürlerin, bilgi güvenliği standartlarının yanında teknik ve teknolojik önlemlerin de göz önünde bulundurulması gerekmektedir.
Bilgi Güvenliğine Yönelik Kurumsal Önlemler
Kurumların bilgi varlıklarını tespit ederek, güvenlik açıklarını belirlemeleri ve güvenlik analizlerini yaparak, önlemlerini almaları gerekmektedir.
Bu önlemlere rağmen saldırganların bulabilecekleri güvenlik açıklarının olabileceği düşünülmeli ve bu güvenlik açıklarını bulabilecek bazı temel donanım ve yazılım araçları kullanılmalıdır. Bunlar; güvenlik duvarları, erişim denetimi, antivirüs yazılımları, sayısal imza ve yedeklemelerdir (Kim ve Solomon, 2016). Güvenlik Duvarı (Firewall), Erişim denetimi (Access control), Antivirüs Yazılımları (Antivirus Scanning Software), Sayısal İmza (Digital Signature), Yedekleme (Backup).
Kişisel Güvenlik Önlemleri ve Uygulamaları
Bilgi sistemlerindeki teknolojik gelişmeler, rekabetin küresel boyutlara erişmesi ile firmalar müşterilerinin bilgilerini, tutum ve davranışlarına ilişkin verileri karar süreçlerinde daha çok kullanmaya başlamıştır. Dolayısıyla kişisel verilerimiz firmalar açısından giderek daha önemli bir hâl almıştır. Bu çerçevede, kişilerin sosyal medya kullanımının getirdiği sorumluluklar konusunda daha fazla bilgilendirilmesi gerekmektedir.
Bilgi Güvenliğine İlişkin Düzenlemeler
Bilgi güvenliğine yönelik ulusal düzenlemeleri; Türkiye’de bilgi toplumuna ilişkin stratejiler, bu çerçevede oluşturulan kurumlar, yasal mevzuat, Anayasa’da geçen kişisel hak ve özgürlüklere ilişkin başlıklar, bilişim suçlarına ilişkin hükümler ve konuyla ilgili uluslararası sözleşmeler çerçevesinde değerlendirmek mümkündür.
Türkiye’de Bilgi Toplumuna Geçiş Uygulamaları
Bilgi ve iletişim teknolojileri alanında yaşanan hızlı gelişmeler Türkiye’nin bilgi toplumu olma ve dijital dönüşüm politikalarını da etkilemiş ve bu alanda önemli adımlar atılmıştır. Bunlardan ilki Türkiye ve Dünya Bankası iş birliğinde hazırlanarak 1993’te yayımlanan “Bilişim ve Ekonomik Modernizasyon Raporu”dur.
Bir başka çalışma ise 1999’da Ulaştırma Bakanlığı ile TÜBİTAK iş birliğinde gerçekleştirilmiştir. “Türkiye Ulusal Enformasyon Altyapısı Anaplanı- (TUENA)” olarak adlandırılan bu çalışma Türkiye’nin enformasyon teknolojileri alanında uygulaması gereken politikaları belirlemek amacıyla hazırlanmıştır. 1998’de ise elektronik ticaret ile ilgili olarak e-Ticaret Koordinasyon Kurulu (1998-2002) kurulmuştur. Aynı yıl Başbakanlığın 19.03.1998 tarih ve B.02.0.PPG.0.12.320-04993 (1998/13) sayılı genelgesi ile; kamu bilgisayar ağları konusunda yapılan faaliyetlerin değerlendirilmesi, koordinasyonu, izlenmesi ve finansmanı konusunda KamuNET (1998- 2002) oluşturulmuştur.
Konuyla ilgili bir başka gelişme “e-Türkiye” girişimidir. Bilgi ekonomisi ve bilgi toplumu dönüşümü çerçevesinde ve e-Avrupa + Eylem Planı’nın Türkiye’ye uyarlanmasına yönelik Başbakanlığın 9.10.2001 tarihli ve 352 sayılı Genelgesi ile başlatılmıştır. 27 Şubat 2003’de yayımlanan 2003/12 sayılı Başbakanlık Genelgesi ile “e-Dönüşüm Türkiye Projesi”ne başlanmıştır. e-Dönüşüm Türkiye Projesi’nin en önemli aşaması e-Devlet Kapısının kurulması olmuştur. 2006’da e-Devlet Kapısının
kurulmasına ve yönetilmesine ilişkin Bakanlar Kurulu Kararı sonrasında 2008’de e-Devlet Kapısı erişime açılmıştır.
Türkiye’de Cumhurbaşkanlığı Hükûmet Sistemine geçiş sonrasında farklı kurumlarda ayrı ayrı sürdürülen e-Devlet ve siber güvenlikle ilgili çalışmalar Cumhurbaşkanlığı çatısı altında birleştirilmiş ve 2018’de Cumhurbaşkanlığı Dijital Dönüşüm Ofisi (CBDDO) kurulmuştur. e-Devlet Kapısının yönetilmesi görevi de bu tarihten sonra Dijital Dönüşüm Ofisi Başkanlığına bırakılmıştır.
Dijital Dönüşüm Ofisinin görev ve teşkilat yapısı 2019 tarihli 48 Sayılı Cumhurbaşkanlığı Kararnamesi ile detaylandırılmış ve Dijital Dönüşüm Ofisi Başkanı, Kamu Dijital Dönüşüm Lideri şeklinde tanımlanmıştır.
Türkiye’de Bilgi Güvenliğine İlişkin Yasal Düzenlemeler
Türkiye’de bilgi güvenliği ile ilgili yürürlükteki hukuki düzenlemeler şunlardır:
• 5237 Sayılı Türk Ceza Kanunu: Bilişim suçları TCK’nin “Bilişim alanında suçlar” başlıklı onuncu bölümünde düzenlenmiştir. Kanun’da ayrıca bilişim sistemleri kullanılarak işlenebilecek olası suç tiplerinden de söz edilmiştir. Bu çerçevede Kanun’da; Bilişim sistemine girme, Sistemi engelleme, bozma, verileri yok etme veya değiştirme, Banka veya kredi kartlarının kötüye kullanılması, Yasak cihaz veya programlar ve Tüzel kişiler hakkında güvenlik tedbiri uygulanması konuları düzenlenmiştir. • 5809 Sayılı Elektronik Haberleşme Kanunu: Kanun, 2008’de Resmî Gazete’de yayımlanmıştır. Kanun’un amacı “Elektronik haberleşme sektöründe düzenleme ve denetleme yoluyla etkin rekabetin tesisi, tüketici haklarının gözetilmesi, ülke genelinde hizmetlerin yaygınlaştırılması, kaynakların etkin ve verimli kullanılması, haberleşme altyapı, şebeke ve hizmet alanında teknolojik gelişimin ve yeni yatırımların teşvik edilmesi ve bunlara ilişkin usul ve esasların belirlenmesi” olarak tanımlanmıştır. • 5070 Sayılı Elektronik İmza Kanunu: Elektronik imzanın hukukî ve teknik yönleri ile kullanımına ilişkin esasları düzenleyen 5070 sayılı Elektronik İmza Kanunu, 2004’de Resmî Gazete’de yayımlanmıştır. Kanun, elektronik imzanın hukukî yapısı, hizmet sağlayıcı faaliyetleri ve elektronik imzanın kullanımına ilişkin işlemleri kapsamaktadır. • 5651 Sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun: İnternet ortamında işlenen suçlarla mücadele amacıyla hazırlanan 5651 Sayılı Kanun 2007’de Resmî Gazete’de yayımlanarak yürürlüğe girmiştir. Söz konusu Kanun ile “içerik sağlayıcı, yer sağlayıcı, erişim sağlayıcı ve toplu
kullanım sağlayıcıların yükümlülük ve sorumlulukları ile internet ortamında işlenen belirli suçlarla içerik, yer ve erişim sağlayıcıları üzerinden mücadeleye ilişkin esas ve usulleri düzenlemek” amaçlanmıştır. Kanun; içerik, yer, erişim ve toplu kullanım sağlayıcılarının yükümlülüklerini ve sorumluluklarını açıkça tanımlamakta ve İnternet ortamında işlenen bazı suçlarla mücadelenin esaslarını ve usullerini belirlemektir. • 6698 Sayılı Kişisel Verilerin Korunması Kanunu: Kanun, kişisel verilerin işlenmesinde özel hayatın gizliliği gibi kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyenlerin yükümlülüklerini ve uyacakları usul ve esasları düzenlemek amacıyla hazırlanmış ve 2016’da yürürlüğe girmiştir. Söz konusu Kanun; Genel ilkeler, Kişisel verilerin işlenmesi, Haklar ve Yükümlülükler, Başvuru, Şikâyet ve Veri Sorumluları Sicili, Suçlar ve Kabahatler, Kişisel Verileri Koruma Kurumu ve Teşkilat ve Çeşitli Hükümler başlıklı yedi bölümden oluşmaktadır.