İŞL209U-İŞLETME BİLGİ SİSTEMLERİ
Ünite 8: Bilgi Sistemleri Güvenliği ve Etik Konular
Bilgi Güvenliğinin Temel İlkeleri
Günümüzde işletmeler çoğunlukla en değerli varlıklarından olan bilgilerini hem kontrol etmesi kolay olduğu için hem de daha hızlı erişilebildiği için dijital ortamlarda tutmaktadırlar. İşletmelerde bilgi sistemlerinin kullanımının artması ile birlikte bu bilgi sistemlerinde kaydedilen veriler artmış dolayısıyla bilgi güvenliğinin önemi de gün geçtikçe artmıştır. Bilgi güvenliği, bilginin yetkisiz veya izinsiz bir biçimde kullanılması, erişilmesi, değiştirilmesi, silinmesi veya kullanılmaz hale gelmesini önlemek amacı ile alınacak önlemler olarak adlandırılır.
Bilgi güvenliğinin dayandığı kavramlar aşağıda listelenmiştir:
• Gizlilik • Bütünlük • Erişilebilirlik • İzlenebilirlik • Kimlik sınaması • Güvenilirlik • İnkâr edememe
Gizlilik, bütünlük ve erişilebilirlik birincil olarak, diğer kavramlar ise ikincil olarak bilgi güvenliği için sağlanmalıdır.
Gizlilik: Bu ilke, bilginin yetkisiz kişilerin eline geçmemesi ve yetkisiz erişime izin verilmemesi olarak tanımlanabilir.
Bütünlük: Bu ilke, bilginin yetkisiz kişiler tarafından değiştirme, silme ya da tahrip etmeye karşı korunması olarak tanımlanabilir.
Erişilebilirlik: Bu ilke, bilginin sadece yetkili kişiler tarafından ihtiyaç duyulduğunda ulaşılabilir olmasıdır.
İzlenebilirlik: Bu ilke, bilgi sistemini kullanarak gerçekleştirilmiş olan tüm olayların kullanıcı, parametreler, olay türü ve zaman damgası gibi bilgilere göre takibi ile ilgilidir.
Kimlik Sınaması: Bu ilke, bir kullanıcının bilgi sistemini kullandığı sırada kendisinin yetkili bir kullanıcı olduğunu ispatlayabilmesidir. Kullanıcı, sistemi kullanırken yapmak istediği işlemin yetki seviyesine göre birçok yerde örneğin sisteme giriş yaparken giriş yaptıktan sonra yüksek yetkili bir işlem yaparken kimlik sınamasına tabi tutulabilir.
Güvenilirlik: Sistemin kuruluş amacında tanımlanan performans ölçütlerini her koşul altında karşılaması ile ilgili olan bu ilke, özellikle çok kullanıcılı sistemler için çok daha önemlidir. Bilgi sisteminin çok kullanıcılı sistem kullanıldığında da aynı performans ve doğrulukta çalışması gerekir ki bu ilke sağlanmış olsun aksi takdirde bu ilke sağlanamaz.
İnkâr Edememe: Bu ilke, bir bilgi sistemine kaydedilen verilerin izinsiz değiştirilmediği veya orijinal olup olmadığı konusunda anlaşmazlık olduğunda devreye girer.
Sözü edilen ilkenin doğrulanması için hem anlaşmazlığa düşen kişilerin kimliklerinin hem de belgenin orijinalliğinin de üçüncü bir kurum tarafından doğrulanması gereklidir.
Kötü amaçlı yazılımlar, kullanıcının bilgisi dışında sistem üzerinde istenmeyen değişiklikler yapan yazılım olarak adlandırılırlar. Zararlı yazılımlara virüsler, truva atları, solucanlar, arka kapılar, fidye yazılımlar, rootkit yazılımlar ve casus yazılımlar örnek olarak verilebilir.
Virüsler: Bilgisayardaki çalıştırılabilir dosyalara veya sistem dosyalarına kendisini ekleyerek yayılan kendi kendini çoğaltan bilgisayar programıdır. Virüs bulaştığı dosyayı kullanılmaz hâle getirebilir, dosyanın doğal çalışma şeklinden farklı çalıştırabilir veya veriler üzerinde değişiklikler yapabilir.
Truva Atları: Bilgisayardaki dosyalara zarar vermekten daha çok bilgisayarı ele geçirip uzaktan müdahaleye açık hâle getirmeyi hedefleyen yazılımlardır. Truva atları çoğu zaman gerçek yazılım gibi görünen programlardır.
Solucanlar: Genellikle bilgisayar ağlarını kullanarak bir bilgisayardan diğer bilgisayara bulaşır. Solucanlar e-posta ekleri, güvenli olmayan web sayfaları, güvenli olmayan dosya paylaşım ortamlarından yayılırlar.
Arka kapılar: Truva atı ile karıştırılabilir ancak arka kapı yazılımlar truva atlarından biraz daha farklıdırlar. Bazen zararlı olmayan bir yazılım, bir özelliğinden dolayı sistemi uzaktan açık hâle getirebilir. Bazen bu, arka kapı yaratabilen yanlış kodlar işletim sistemi seviyesinde de olabilirler. Bu tür açıkları önlemek için işletim sistemi sürekli güncelleştirilmelidir. Arka kapılar bazı durumlarda uzaktan müdahale eden kişiye truva atlarından daha üstün müdahale imkânı veya bilgisayarı dinleme imkânı verebilir (Türkiye Bilişim Derneği, 2006).
Fidye yazılımlar: Bu tür yazılımlar özellikle işletmelerin veya kişisel kullanımdaki bilgisayarların sabit disklerini hedef alırlar. Bulaştığı sistemdeki dosyaların bir kısmını veya tamamını şifreleyerek kullanıcının erişimini engellerler. Bu engellemenin kalkması için kullanıcıdan para talep edilir. Ancak bu tür saldırılarda para ödense dahi verilerin kurtarılacağı garanti değildir. Bu tür fidye yazılımlar ülkemizde hem de dünya ekonomisinde çok ciddi zararlara sebep olmuşlardır.
Rootkit yazılımlar: Bilgisayarlardaki işletim sistemlerinin çekirdek yazılımları etkileyerek bulaştığı bilgisayarda, yönetici yetkisi ile işlem yapmayı sağlayan bulunması çok zor olan en tehlikeli yazılımlardandır (Samet ve Aslan, 2018). Bu tür yazılımlar tek başlarına değil, virüs, solucan ve truva atları ile birlikte bütün sisteme saldırırlar. Bulaştıkları dosyalar işletim sistemini oluşturan temel dosyalar olduğu için antivirüs yazılımlar tarafında da çok zor tespit edilirler. Bu tür virüsler Unix ve Linux türevi işletim sistemleri ve Windows işletim sistemi için geliştirilebilirler.
Casus yazılımlar: Kullanıcıların bilgilerini gizlice Bilgisayar yoluyla dolandırıcılık, kötü amaçlı kişinin toplayan ve üçüncü bir bilgisayara gönderen yazılımdır. bilgisayar ve/veya internet teknolojilerini kullanarak Bu tür yazılımlar, kullanıcının klavyesinde bastığı her dolandırıcılık suçunu işlemesi olarak tanımlanır. tuşun, girdiği her internet sayfasının kaydını tutabilir, sabit Bilgisayar yoluyla sahtecilik, gerçek dünyada bilinen diskinde tarama yapıp belli tür dosyaları uzaktaki bir yöntemler yerine bilgisayar veya bilgi teknolojilerini bilgisayara gönderebilir, bu sayede bulaştığı kullanarak sahtecilik yapmaktır. bilgisayardaki dosyaları, kredi kartı bilgilerini veya istediği bilgiyi alabilir. Bilişim Etiği
Zararlı yazılımlardan korunmanın en çok bilinen yöntemi Bilişim etiği, elektronik ve internet ortamlarında yazılı bilgisayar veya akıllı cihaza antivirüs (virüs koruma) olan veya olmayan ancak büyük oranda üzerinde uzlaşma programı kurmaktır. Antivirüs programı, bilgisayarları sağlanmış uygulamalar veya davranış kalıpları olarak virüslere, casus yazılımlara, solucanlara vb. zararlı tanımlanmaktadır. Türkiye Bilişim Derneği, raporunda yazılımlara karşı koruyan bir programdır. bilişim etiğini bilişim hizmeti sunanlar ve bunlardan faydalanan kişilerin birbirleri ile olan davranışlarını Ayrıca bir bilgisayar ağına bağlı olarak çalışan inceleyen ve etiğin bir alt dalı olarak tanımlamıştır. bilgisayardaki iletişim portları üzerinden birçok saldırı gerçekleştirilebilir. Bu ağ üzerinden gelen giden veriyi Özellikle 2020 yılının başlarında tüm dünyanın inceleyerek, sadece kullanıcının tanımladığı yazılımların gündemine damgasını vuran Covid-19 salgını nedeniyle yine kullanıcının tanımladığı portlar üzerinden iletişimine evden çalışma düzeninin yaygın bir şekilde kullanılmaya izin vererek saldırıları önleyen güvenlik duvarı (firewall) başlaması ile aile-iş arasındaki sınırların ortadan kalkması, yazılımları/donanımları da vardır. iş süresinin 8 saatin üzerine çıkması, boş zamanların bile bilgisayar başında geçmesi, aile ve sosyal ilişkileri tehdit Zararlı yazılımlardan korunmak için hem bireysel hem de etmektedir. Yaşadığımız dünyada fabrikalar, bankalar, işletme bazında önlemler alınabilir. Yukarıda anlatılan devlet kuruluşları, hastaneler, üniversiteler gibi pek çok önlemler hem bireysel olarak hem de işletmede bilgi işlem örgüt bilgi teknolojisine ve sistemlerine bağımlıdırlar ve politikası olarak belirlenebilecek önlemlerdendir. İşletme herhangi bir olumsuzluk ya da hata ile karşı karşıya bazında alınabilecek diğer önlemler; tüm işletmenin kalmaları, onları savunmasız hale getirmektedir. Sözü bilgisayar ağını sürekli gözlemleyen antivirüs yazılımları edilenler ilave olarak yeni istihdam olanaklarının kurulmalıdır. İşletmelerin dış dünya ile bağlantı yaratılmasının dışında iş kayıplarına da neden olduğu noktalarını kontrol eden güvenlik duvarı (firewall) bilinen bir gerçektir. Veri, bilgi, bilgisayar ve diğer bilgi yazılım/donanımları kullanılmalıdır. kaynakları ve tüm bu kaynaklara erişim, toplumun bütün
Bilişim Suçları kesimlerine adil bir biçimde dağıtılmamaktadır.
Teknolojinin sahip olduğu avantajların kötüye kullanımı, Kişisel Veri ve Kişisel Verileri Koruma Kanunu bilişim suçları, siber suçlar, teknolojik suçlar, sayısal 28 Ocak 1981 tarihinde imzaya açılan “Kişisel Verilerin suçlar ve internet suçları gibi çeşitli şekillerde ifade Otomatik İşleme Tabi Tutulması Karşısında Bireylerin edilmektedir. Ülkemizde genel kabul görmüş olanı bilişim Korunması Sözleşmesi” 1 Ekim 1985 tarihinde yürürlüğe suçlarıdır. girmiştir. Bu sözleşme 17 Mart 2016 tarih ve 29656 sayılı
Türk Ceza Kanunu’nun 5237 sayılı maddesinde bilişim Resmi Gazete’de yayımlanarak Türkiye’deki hukuk suçu, bir bilişim sisteminin bütününe veya bir kısmına, sistemine dâhil edilmiştir. Bu sözleşmenin amacı, üye hukuka aykırı olarak girmek ve orada kalmaya devam ülkelerde kişilerin kişisel verilerini, otomatik veya etmek, sistemin işleyişini engellemek veya verileri otomatik olmayan yollarla işleme tabi tutulmasına karşı bozmak, yok etmek, değiştirmek veya erişilmez kılmak, güvence altına almaktır. TBMM tarafından 6698 sayılı sisteme veri yerleştirmek, var olan verileri başka bir yere Kişisel Verilerin Korunması Kanunu (KVKK) kabul göndermek veya başkasına ait bir banka veya kredi kartını, edilmiş ve 07.04.2016 tarihli 29677 sayılı Resmi her ne suretle olursa olsun ele geçiren veya elinde Gazete’de yayımlanarak yürürlüğe girmiştir. KVKK’nın bulunduran kimse, kart sahibinin veya kartın kendisine üçüncü maddesine göre kişisel veri “Kimliği belirli veya verilmesi gereken kişinin rızası olmaksızın bunu belirlenebilir gerçek kişiye ilişkin her türlü bilgi” olarak kullanmak veya kullandırtmak olarak tanımlanmıştır. tanımlanmaktadır.
Bilgisayar sabotajı saldırıları en kolay, zararlı yazılımlar Kişisel Verilerin Korunması Kanununun 12’nci kullanılarak yapılır. Zararlı yazılımların verileri silme, maddesinin (1) numaralı fıkrasında veri sorumlusunun veriye erişimi engelleme, veriyi çalma, performans görevleri açıkça belirtilmiştir. Bu görevler:
düşmesi gibi birçok kötü etkisi vardır. Zararlı yazılımlar • Kişisel verilerin hukuka aykırı olarak işlenmesini internet üzerinden veya harici disk (USB hafıza disk) önlemek kullanımı sırasında çok kolaylıkla bulaşabilirler. Kötü • Kişisel verilere hukuka aykırı olarak erişilmesini amaçlı kişiler, zararlı yazılımları kullanarak bilgisayarınızı önlemek ya da verilerinizi kullanılmaz hâle getirebilir. • Kişisel verilerin muhafazasını sağlamaktır.
Kişisel verilerin hangi durum sonrasında işlenebileceği, ilgili Kanun’da detaylı olarak belirtilmiştir. Kişisel verilerin işlenebilmesi için kullanıcıların açık rızalarının olması gereklidir. Açık rıza olabilmesi için KVKK’ya göre üç şartın sağlanması gereklidir. Bu şartlar; alınan rızanın belirli bir konu ile ilişkili olması, rıza açıklaması ile ilgili bilgilendirmenin bulunması, son olarak da kişinin herhangi bir etki altında kalmaksızın özgür iradesi ile beyan açıklamasında bulunmasıdır.
Kişisel veriler üzerinde anonimleştirme yapmak için elimizde veri setinin tamamı olmalıdır, bu bütün veri seti üzerinden anonimleştirme yapılabilir. Eğer elimizde anonim veri yani belirli bir kişi ile ilişkilendirmesi mümkün olmayan bir veri varsa bunun üzerinde anonimleştirme yapmaya gerek yoktur. Verileri anonimleştirmek için çeşitli yöntemler kullanılabilir: Maskeleme yöntemi, bazı alanlar silinerek veya yıldızlanarak verinin belirlenemez hâle getirilmesidir. Diğer bir yöntem toplulaştırma/ kümülatif veri yaratma olarak bilinir, bu yöntemde veriler toplulaştırılır. Bir başka yöntem veri türetme yöntemidir. Verilerde bulunan detay veriler daha büyük karşılıkları ile değiştirilir. Örneğin bir okuldaki öğrencilerin doğum tarihlerini gün-ay-yıl detayında vermeyip bu değerin yaşa çevrilerek listelenmesi ile doğum tarihi verileri anonimleştirilir. Diğer bir yöntem ise veri karması yöntemidir. Bu yöntemde veri seti içerisindeki değerler veri setine zarar vermeyecek şekilde yer değiştirilebilirler.
KVKK’nda kişisel verileri anonim hale getirmenin tanımı, “kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi” olarak yapılmıştır. KVKK, kişisel verilerin silinmesi işlemini, ilgili kişilere ait kişisel verilerin hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesi olarak tanımlamıştır.