Dokuz Eylül Üniversitesi Sosyal Bilimler Enstitüsü Dergisi Cilt: 11, Sayı:4, Yıl: 2009, Sayfa: 01-15 ISSN: 1302-3284 BİLGİ GÜVENLİĞİ NEDİR, NE DEĞİLDİR, TÜRKİYE’ DE BİLGİ GÜVENLİĞİ SORUNLARI VE ÇÖZÜM ÖNERİLERİ Mete EMİNAĞAOĞLU* Yılmaz GÖKŞEN** Özet Günümüzde Bilgi Güvenliği Yönetimi; uluslararası standartlar, ölçümleme yöntemleri, ilgili ulusal veya uluslararası yasalar, ticari yükümlülükler, gelişen teknolojiler ve değişen iş süreçlerine paralel olarak sürekli değişen ve önemi artan riskleri de kapsayacak şekilde büyük önem kazanmakta ve hem bilişim hem de iş dünyasındaki en öncelikli konulardan birisi haline gelmektedir. Bilgi Güvenliği Yönetimi’nin başarıyla uygulamada gerekli birçok çözümler, yöntemler, teknolojiler ve ürünler hazırda olmasına rağmen, uygulamada birçok yanlışlıklar yapılmakta, bazı konularda yanlış yaklaşımlar sergilenmekte ve bunun sonucunda güvenlik sorunları artarak sürmektedir. Bu çalışmada, dünyadan ve Türkiye’den en güncel istatistiksel bilimsel verilerle mevcut durum ortaya konularak bilgi güvenliğinde ortak yapılan en yaygın yanlışlara dikkat çekilmekte ve bunlara yönelik olarak kısa ve uzun vadede toplum geneline ve kurumlara uygulanabilecek etkin çözüm önerileri sunulmaktadır. Anahtar Kelimeler: Bilgi Güvenliği Yönetimi, Farkındalık Eğitimi, Bilgi Güvenliği Risk Analizi, Bilgi Güvenliği Anketleri. INFORMATION SECURITY; WHAT IS AND WHAT IS NOT, INFORMATION SECURITY PROBLEMS IN TURKEY AND SOME RELATED SOLUTIONS Abstract In today’s challenging and tremendously changing business world, Information Security Management has become one of the most important topics with the relevant trade laws, IT laws, regulations and international standards. Despite all the existing best- practices, years of experience, knowledge, methods, brand-new technologies and tools in information security management domain, everyone seems to be yet at serious stake due to misunderstandings, wrong implementations and unconscious approaches. In this study, the current situation regarding information security risks and problems are summarized by using the statistical surveys conducted in Turkey and other countries and the most common mistakes related with these problems are analyzed. * Öğr. Gör., Yaşar Üniversitesi Meslek Yüksek Okulu Bilgisayar Programcılığı Bölümü, [email protected] ** Yrd. Doç. Dr., Dokuz Eylül Üniversitesi İktisadi ve İdari Bilimler Fakültesi İşletme Bölümü, [email protected] 1 Eminağaoğlu, M., Gökşen, Y. DEÜ SBE Dergisi Cilt11, Sayı:4 Some effective and practical solutions that can be applied to communities and corporations in the short and long term are also given in this study. Keywords: Information Security Management, Awareness Training, Information Security Risk Analysis, Information Security Surveys. Journal of Economic Literature (JEL) Classification System M - Business Administration and Business Economics; Marketing; Accounting M1 - Business Administration M15 - IT Management 1. GİRİŞ 21. yüzyılda şirketler, devletler, kurumlar, bireyler ve toplumların tamamının ortak bileşkesi bilgi çağında yaşıyor olmaları ve bilgi çağının gereklerine ayak uydurma zorunda olmalarıdır. Üretim, hizmet veya tüketim sürecinde, bilgi en değerli ve en vazgeçilmez rekabet ve başarı unsuru haline gelmiştir. Aynı zamanda, her türlü örgütsel yapılanmada, iş sürecinde ve kurumda veya şirkette; ilgili her türlü iş sürecinde mutlaka bilgi ilintili işler, parçalar ve unsurlar da vazgeçilmez bir biçimde yer almaktadır. Bu kadar vazgeçilmez ve değerli bir unsur olan bilginin güvenliği ve güvenilirliği de, artık yadsınamaz bir kavram olarak karşımıza çıkmaktadır. İşin niteliği veya sürecin yapısı ne olursa olsun, teknoloji bağlantılı olmayan süreçlerin yönetiminde bile, bilgi güvenliğinin de etkin, sürekli ve başarılı bir şekilde sağlanarak yönetilmesi çok önemli bir gereksinim olmaktadır. İşlerin ve süreçlerin sağlıklı yönetimi aynı zamanda ilgili bilgi güvenliği süreçlerinin de sağlıklı yönetimini zorunlu kılmaktadır. Bilgi güvenliği stratejileri ve bunları yönetecek uygun yöntemleri olmayan kurumlar, sadece güvenlik açısından değil, operasyonel ve diğer her türlü iş süreçlerinin yönetimi açısından da ciddi sıkıntılar, maddi ve/veya manevi kayıplarla yüzleşmektedir (Tipton ve Krause, 2007). İş yaşamımızda kullandığımız, iş gereği bizimle paylaşılan, çalışmalarımızla, türlü deneyimlerle elde ettiğimiz her bilgi değerlidir ve / veya özeldir. Günümüzde bilgisayar ortamlarında her türlü değerli bilgi tutulmaktadır. İnternet ve elektronik iletişim; banka, alışveriş, eğlence alanlarında yaygın olarak kullanılmaktadır. Öyle ki, artık bir ilkokul öğrencisi de bir emekli de İnternet kullanıcısı olmuştur (Mitnick, 2005). Kurumların ve çalışanlarının ellerindeki değerleri koruma gerekçeleri olarak; kurum ve işin sürekliliği, başarısı, kamu, toplum, ticari ve bağımsız organizasyonlara karşı yerine getirilmesi gereken sorumluluklar sayılabilir. “Bilgi güvenliği konusunda kurumlar, bireyler ve toplum ne gibi problemler yaşıyor, bilgi güvenliğinde ne gibi risklerle ve sorunlarla karşı karşıyayız?” soruları artan sıklıkla sorulmaktadır. İlginç olan ise; çözümleri olmasına karşın bu gibi sorunlar her türlü sektörde artarak yaşanmaktadır. Kurumların gizli bilgilerinin, ticari sırlarının dışarı sızdırılmasından tutun da, 2 Bilgi Güvenliği Nedir… DEÜ SBE Dergisi Cilt11, Sayı:4 yasalara uygun olmayan iş yapış şekilleri, kazalar, afetler, vb. sonucu yaşanan ciddi iş kayıpları, maddi ve manevi (saygınlık, vb) kayıplar olmak üzere çok değişik bilgi güvenliği sorunları bunlara örnek olarak verilebilir. Bilgi güvenliği, her organizasyonun sürekliliğinin sağlanmasında büyük önem taşır ve organizasyonun başta elektronik olmak üzere, çeşitli ortamlardaki kritik bilgilerinin ve diğer bilgi varlıklarının korunmasını sağlar. Sadece büyük şirketler, holdingler değil bunun yanı sıra KOBİ'ler, devlet kurumları veya kar amacı gütmeyen herhangi bir organizasyon, okul, vb. de bilgi güvenliği sorunları ve risklerini farklı düzeylerde de olsa sürekli yaşamaktadır. Bu gerçek, dünya genelinde olduğu gibi ülkemizde de sürekli artan boyutlarda ortaya konan bir olgu haline gelmektedir. 2. ÜLKEMİZDE VE DÜNYADA MEVCUT DURUM CSI ve FBI kurumlarının 2008 yılında ortak yaptıkları bir çalışmanın sonuçlarına göre (Richardson, 2008: 2-4); ABD’deki 522 kurumun (devlet veya özel sektör) %49’unda virüs, truva atı, solucan, vb zararlı kod saldırısı yaşanmış, %42’sinde dizüstü bilgisayar, cep bilgisayarı, vb mobil cihazlar çalınmış, %44’ünde şirket çalışanları İnternet ve diğer yetkilerini, erişimlerini suistimal etmiş ve bir yıl içerisinde bu 522 kurumun toplam maddi kaybı 156 Milyon ABD Doları olmuştur. Bilişim suçlularının değerli bilgi içeren büyük firmalara saldırı olasılığı son yıllarda çok daha fazla olmaktadır ve yapılan araştırmalar sonucu elde edilen istatistiksel veriler de bu savı desteklemektedir. Dünya genelinde yapılan bir başka araştırma raporunda (Symantec, 2009: 5); 2008 yılı boyunca yeni tehditlerin yayılması ve amacına ulaşmasında Internet ortamı ve web sitelerinin yine ana kaynak olarak kullanıldığını özellikle vurgulanmıştır. Aynı çalışmada, saldırganların bu tehditleri geliştirirken ve kullanıcılara yöneltirken eskisine oranla çok daha fazla “kişiye özel” zararlı kod aktiviteleri düzenlediklerinin de altı çizilmektedir. Dahası, 2008 yılı boyunca Symantec firması tarafından saptanan tüm saldırıların neredeyse %90’ı, kullanıcıya ait kritik bilgilerin çalınması amacını taşımaktadır. Klavye tuş basımlarının kaydedilmesi yolu ile çevrim içi banka hesap bilgileri gibi kritik bilgilerin çalınmasına yönelik aktiviteler, saldırıların %76’sını oluşturmaktadır ki bu oran, 2007 yılında %72 olarak saptanan oranla kıyaslandığında, bir senede yaşanan artışı açıkça ortaya koymaktadır. Aynı araştırmada ülkemizle ilgili çarpıcı istatistiksel değerler ve bulgular da mevcuttur. Geçmişte herhangi bir saldırı yaşadıklarını ifade eden Türkiye’deki kurumların %50’si, saldırının “sistemin durmasına neden olduğunu” belirtmiştir. Sistemi duran kurumların %50’inde ise 8 saati aşan bir kesinti yaşanmıştır. Herhangi bir saldırıya maruz kalan kurumların % 35’i, bu saldırının “bilgi kaybına” neden olduğunu belirtirken, %10’u ise “sistemin yavaşladığını” belirtmişlerdir. Bu araştırmanın dikkat çekici bir tarafı da, Türkiye’nin bilgi güvenliğindeki dünyadaki konumuna ait verilerdir. 2008 yılında, Türkiye geneli 3 Eminağaoğlu, M., Gökşen, Y. DEÜ SBE Dergisi Cilt11, Sayı:4 güvenlik saldırıları, dünya bazında çok kaygı verici bir düzeyde olduğu bulgulanmaktadır. Örnek vermek gerekirse; 2008 yılında bir önceki yıla göre ülkemizdeki zararlı kod saldırıları 2 misline yakın artmış, dünyadaki tüm zararlı kod eylemlerinin %6’sını oluşturarak genel sıralamada 9. sıraya yükselmiştir. Çöp (İng. spam) e-posta eylemleri de Türkiye’de bir önceki yıla göre 12 kat artarak dünya genelinde 3., Avrupa-Orta Doğu (EMEA) bölgesinde de 2. sıraya yükselmiştir (Symantec, 2009a; 2009b). Ama diğer dereceye giren ülkelere göre Türkiye’nin Internet hat kullanım kapasiteleri ve Internet kullanıcısı sayısı oranları göz önüne alındığında, aslında Türkiye’nin dünyadaki diğer tüm ülkelerden daha yüksek düzeyde bilgi güvenliği sorunları yaşadığı anlaşılmaktadır. Aynı araştırmanın ülkemizle ilgili ortaya koyduğu çarpıcı sonuçlardan birisi de, 2008 yılında virüs tipindeki zararlı kodların üretildiği ve yayılma kaynağı olarak çıktığı ülkeler arasında Türkiye, Avrupa-Orta Doğu bölgesi genelinde 2. sırada yer almaktadır (Symantec, 2009: 26). Sözü edilen istatistiki görünüm Tablo 1., Tablo 2. ve Tablo 3. de özetlenmektedir. Tablo 1. 2007 ve 2008’de dünya genelinde zararlı kodların tiplerine göre sıralamalar ve genel sıralamalar (Symantec, 2009: 18). 2008 tüm 2007 tüm 2008 Yılı Tüm 2007 Yılı Tüm Zararlı Spam Phishing Bot Tüm saldırı tipleri saldırı tipleri Ülke Saldırı Tipleri içinde Saldırı Tipleri içinde Yayıcı Saldırılar Dünya Dünya Sıralaması Sıralaması oranı oranı Kod Sistem Web Siteleri Sistemler Geneli 1 1 A.B.D. 23% 20% 1 3 1 2 1 2 2 Çin 9% 11% 2 4 6 1 2 3 3 Almanya 6% 7% 12 2 2 4 4 4 4 İngiltere 5% 4% 4 10 5 9 3 5 8 Brezilya 4% 3% 16 1 16 5 9 6 6 İspanya 4% 3% 10 8 13 3 6 7 7 İtalya 3% 3% 11 6 14 6 8 8 5 Fransa 3% 4% 8 14 9 10 5 9 15 Türkiye 3% 2% 15 5 24 8 12 10 12 Polonya 3% 2% 23 9 8 7 17 4 Bilgi Güvenliği Nedir… DEÜ SBE Dergisi Cilt11, Sayı:4 Tablo 2. Dünya geneli ve Avrupa-Orta Doğu bölgesinde çöp (spam) e-posta oranları ve sıralamaları (Symantec, 2009: 39). 2008 Avrupa ve 2007 Avrupa ve 2008 Dünya Geneli 2008 Avrupa ve 2007 Avrupa ve Ortadoğu Sıralaması Ortadoğu Sıralaması Ülke Ortadoğu Ortadoğu (spam) (spam) Sıralama (spam) Oranları (spam) Oranları (spam) 1 3 2 Rusya 14% 10% 2 8 3 Türkiye 13% 4% 3 1 6 İngiltere 7% 15% 4 4 7 Almanya 6% 9% 5 5 8 İtalya 6% 6% 6 2 9 Polonya 6% 10% 7 6 10 İspanya 5% 6% 8 7 13 Fransa 5% 6% 9 20 19 Romanya 3% 1% 10 10 20 Hollanda 3% 1% Tablo 3. Truva atı, virüs, arka kapı ve solucan tipinde zararlı kod saldırılarında ilk 3 sıradaki ülkeler (Symantec, 2009: 26) Zararlı kod türlerinde ilk 3 sıra (Avrupa ve Ortadoğu bölgesi geneli) Sıralama Arka Kapı Truva Atı Virüs Solucan 1 İngiltere İngiltere Mısır Suudi Arabistan 2 İspanya Fransa Türkiye İngiltere 3 Fransa Almanya İngiltere İspanya Deloitte firmasının TMT (Teknoloji, Medya, Telekomünikasyon) Küresel Güvenlik Araştırması 2009 raporuna göre (Deloitte, 2009: 15), teknoloji şirketlerinin güvenliğe daha fazla kaynak ayırması gerekirken, son bir yıldır yaşanan küresel ekonomik kriz nedeni ile bu alandaki yatırımların ciddi bir şekilde azaldığını ortaya koymaktadır. Son yıllarda çoğu kurumsal verinin ve içeriklerin hızla bilgisayar ortamına taşınması nedeniyle güvenlik yatırımlarının kurumsal bilgi teknolojileri (BT) bütçeleri içindeki payının artması beklenmektedir. Oysa Deloitte TMT Güvenlik Araştırması’na yanıt verenlerin sadece %6’sı toplam BT bütçesi içinde güvenliğe %7 veya daha fazla kaynak ayırdığını bildirmiştir (Bir önceki yılki araştırmada bu oranın %36 olduğu vurgulanmaktadır). Öte yandan, aynı araştırmanın sonuçlarına göre; dünya genelindeki kurumların %41’inin son 12 ayda kurum içinden kaynaklanan en azından bir tehditle uğraşmak zorunda kaldıkları açıklanmıştır. Aynı araştırmadan elde edilen bir başka sonuçta ise, bu kurumların %70’inden fazlasının zararlı kod saldırısı, gene aynı orana yakın düzeyde kazayla bilgi kaybı ve hizmet kesintisi saldırıları yaşadıkları ve zarar gördükleri (kurumların %5 civarında bir oranının 1 ile 5 milyon ABD Doları arasında kayıp yaşadığı) kaydedilmiştir. Bilgi güvenliği tehditleri ve risklerinin yarattığı zararlar arttığı halde, ekonomik kriz veya bütçe 5 Eminağaoğlu, M., Gökşen, Y. DEÜ SBE Dergisi Cilt11, Sayı:4 sorunlarında ilk kısıtlanan veya vazgeçilen masraf kaleminin bilgi güvenliği olması da oldukça düşündürücüdür. Bu durum, başta yöneticiler olmak üzere bireyler ve toplumların hala bilgi güvenliğini tam olarak algılayamadığının somut bir örneği olmaktadır. Yabancı kuruluşların yanı sıra, sadece ülkemizi kapsayacak şekilde bazı ulusal araştırmalar da önceki yıllarda yapılmıştır. Bu konuda Koç.net şirketinin yapmış olduğu ilgili çalışmalar örnek verilebilir. 1025 ADSL kullanıcısı ve 850 şirketin kapsandığı Rizikometre 2005 Türkiye Internet Güvenliği Araştırması Sonuçları’na göre (Koç.net, 2005: 1):  ADSL erişimlerinin %65'inin güvenlik duvarı (İng. firewall) kullanmadığı saptanmıştır.  Web sunucularının %43’ünün bilgileri kolaylıkla çalınabilir, ana sayfaları değiştirilebilir veya bir başka adrese yönlendirilebilir durumda risk altındadır.  Şirketler ve ADSL kullanıcılarının sadece %30’u casus yazılımlara (İng. spyware) karşı korunmaktadır.  Alan adı hizmeti (İng. DNS) sunucularının %22‘sindeki açıklardan dolayı şirket e-postaları ele geçirilebilir veya çalışanların internet üzerinden eriştiği bankacılık vb. işlemlerde kullanılan şifreler çalınabilir durumdadır.  Kritik güvenlik açıklarının oranı tüm açıkların tamamının %19’u, orta düzey açıkların oranı da tüm açıkların %28’idir; başka bir deyişle araştırmaya katılanların yaklaşık yarısı internet’ ten gelecek güvenlik tehditlerine karşı kayda değer düzeyde risk altındadır.  Kamu, Eğitim, Turizm, Tekstil ve Sigorta sektörleri risk altındadır. Şekil 1. Şirketlerdeki yüksek düzeydeki güvenlik açıklarının sektör bazında dağılımları (Koç.net, 2005: 5). Turizm 8% Üretim 2% Diğer 20% Tekstil 9% Teknoloji 7% Eğitim 15% Sigorta 9% Gıda 5% Otomotiv 6% Kamu 19% 6 Bilgi Güvenliği Nedir… DEÜ SBE Dergisi Cilt11, Sayı:4 Bu araştırmada altı çizilmesi gereken bir başka nokta da, ilgili çalışmanın sadece Internet üzerinden ve dışarıdan yapılabilecek tehdit ve saldırıları kapsamış olmasıdır. Bir başka deyişle, kurumlardaki diğer sistemlerin ve içeriden olabilecek saldırılar ve risklerin de kapsama alınması durumunda elde edilecek sonuçların çok daha kötümser bir tablo ortaya koyması beklenebilir. Türkiye’nin de kapsama alındığı diğer bir başka uluslararası araştırmaya göre (Ernst & Young, 2008); genel amaçlı bilgi sistemlerinin kurulumunda bilgi güvenliği birimleri süreçlere büyük oranda katılırken insan kaynakları sistemlerinin kurulumunda katılımın yarı yarıya azaldığı görülmektedir. (Bu oran dünyada %69 iken Türkiye'de %53 seviyesinde bulunmaktadır.) Ayrıca, Türkiye’deki kurumların sadece %31’inin iş sürekliliğine yönelik planları olduğu ve bilgi sistemlerinin krizlere, felaketlere hazırlıklı olduğu, dünya genelinde de bu oranın %40 civarında olduğu bulgulanmıştır. 3. BİLGİ GÜVENLİĞİNDE YAPILAN ORTAK HATALAR Aslında bilgi güvenliği konusunda, ülkemizde de dünyada da birçok teknolojik veya süreçsel çözümler, yöntemler, standartlar, yasalar, yönetmelikler bulunmaktadır (Tipton ve Krause, 2007; T.S.E., 2006; Scholtz vd., 2006; ISO, 2005). Buna rağmen, bir önceki bölümde sayılarla da örneklendiği gibi, bilgi güvenliğinde kayıplar, zararlar, açıklar, sorunlar artarak sürmekte ve bilgi güvenliği riskleri yeterli düzeyde azaltılamamakta veya kontrol edilememektedir. Çünkü temel sorun, bu konuya bireylerin ve toplumun bakışı, algılama ve yaklaşım tarzındaki hatalar ve yetersizliklerdir. Bilgi güvenliğine bireylerin, toplumların ve kurumların bakış açısının öncelikle değişmesi gerekmektedir. Kurumlardaki üst yöneticilere, yazılı ve görsel basınımıza, kanun ve yönetmelikleri düzenleyen yetkililere bu konuda ciddi görevler düşmektedir. Güvenliğin teknolojiden önce insana yatırım yapılmasıyla, bilinçlendirmeyle, kurumların en tepeden başlayarak bu gibi konularda bilgilenmesi, desteklemesi ve önemsemesi ile sağlanacağı ve güvenliğin sürekli yönetilecek bir süreç olduğu unutulmamalıdır (Eminağaoğlu, 2008). Günümüz koşullarında, bilgi hırsızlığı ve sanayi casusluğunun; özel istihbarat birimleriyle, pahalı teknolojilerle veya çok usta bilişim korsanlarının desteğiyle yapılması bir zorunluluk olmaktan çıkmıştır. Son dönemlerde kullanımı kolay ve masrafsız olan birçok bilgi hırsızlığı teknolojisi, donanım ve yazılımlar mevcuttur ve ne yazık ki bu teknolojiler herkesin kolaylıkla ulaşabileceği bir noktaya gelmiştir. Sanayi casusluğu, vb eylemler kurumların dışarısından daha çok kurumların içindeki sistemler ve insanlar kullanılarak yapılmaktadır (Schneier, 2008; Mitnick, 2005). Kurum içerisinden bilgi güvenliğine zarar veren saldırılar veya kasıtsız eylemler; dışarıdan yapılanlara göre risklerin ve kayıpların çok daha yüksek düzeyde gerçekleşmesine neden olmaktadır. En önemli çelişkilerden ve sorunlardan birisi de kurumların en değerli ticari sırlarının USB bellek, DVD, avuç içi veya dizüstü bilgisayarlarda, vb. de, 7 Eminağaoğlu, M., Gökşen, Y. DEÜ SBE Dergisi Cilt11, Sayı:4 yani çok kolay çalınabilecek, kaybolabilecek aygıtlarda koruma önlemleri alınmadan sıkça taşınması ve kullanılmasıdır. Daha da önemlisi, bu gibi aygıtları kullanan insanların neredeyse %70'inin ilgili güvenlik risklerinin ve yüklenmiş oldukları sorumlulukların farkında olmamalarıdır (Eminağaoğlu, 2008). Kurumlarda “bilmesi gerektiği kadar, en az yetki, erişmesi gerektiği kadar” gibi ilkelere en öncelikli uyması gereken gruplar yöneticiler ve bilişimcilerdir. Oysa tam tersine bu ilkelerin en az uygulandığı ve en riskli eylemlerin yaşandığı (zorunlu veya keyfi, bilinçli veya bilinçsiz) birimler de bu iki gruptaki çalışanlardır. Kurumlarda en değerli ve en gizli bilgileri kullanan, taşıyan, kaydedenlerin çoğunlukla bu iki gruptaki çalışanlar olduğu bilinmektedir. Ayrıca, işlerinin niteliği gereği kurum genelinde en sık örnek alınan ve daha çok dikkat çeken birimler de gene bu iki birimdir. (Tipton ve Krause, 2007). Kurumlardaki üst yönetimin bilgi güvenliğini önemsemeye başlamış olduğu durumlarda da, genelde bir başka hata yapılarak acele ve günü kurtarıcı çözümlere başvurulduğu ve sadece teknoloji temelli çözümlere odaklanıldığı da gözlemlenmektedir (Richardson, 2008: 28). Bilgi güvenliğinde yaşanılan sorunların çözümü genelde bilişimci personelin üzerine yüklenmekte ve sadece teknolojik güvenlik yatırımlarıyla sorunların hallolacağı yanılgısı çok sık yaşanmaktadır. Oysa belki de ilgili riskin ve sorunun çözümü sadece teknolojik olmayabilir veya belki de öncelikli çözüm güvenlik teknolojileriyle sağlanmayabilir. Bilgi güvenliği yönetiminde, insan ve sürecin hemen her aşamada teknolojiyle birlikte düşünülmesi gerektiği unutulmamalıdır (T.S.E., 2006; ISO, 2005). Birçok kurumda; “Acaba hangi teknoloji o şirketin kurum kültürüne ve iş süreçlerine uygun? Hangisi altyapımızla en kolay şekilde bütünleşebilir?” vb kritik sorular sorulmaktadır. Bu soruların en sağlıklı yanıtı olan risk ve gereksinim analizleri göz ardı edilip yakın çevredekilerin önerdiği en düşük maliyetli seçenek aceleyle seçilir ve yatırım yapılırsa başarısız sonuçlar alınacak ve düş kırıklığı yaşanacaktır. Kurumlardaki üst yönetimler, bilgi güvenliğini bilişim personelinin çözmesi gereken teknik bir iş ve basit bir yatırım gibi gördüğü sürece sorunlar ve riskler azalmamakta, tam tersine katlanarak artmaktadır (Mitnick, 2005). Bruce Schneier, bir çalışmasında şu yorumu yapmaktadır; “Eğer güvenliği, o ürün / sisteme hal-i hazırda bütünleşik şekilde son kullanıcıya sunarsanız, insanları memnun eder ve kazanırsınız, aksi takdirde insanların güvenlik özelliklerini kullanması / benimsemesi için sürekli zaman, enerji, para harcamak zorunda kalır ve güvenliği başarılı bir şekilde pazarlayamazsınız.” (Schneier, 2008). En pahalı ve en karmaşık çözüm, her zaman en güvenli çözüm değildir. Daha önceki bölümlerde açıklanan nedenlerden ötürü, her kurumun kendisine en uygun ve en doğru çözümü seçmesi ve uygulaması gerekmektedir. Basit ve düşük maliyetli bir güvenlik çözümü bazı kurumlar için belki yetersiz kalabilir ama aynı çözümün bir başka kurum için yeterli ve etkili olabileceği de unutulmamalıdır. 8 Bilgi Güvenliği Nedir… DEÜ SBE Dergisi Cilt11, Sayı:4 Bilgi güvenliği, başlanıp bitirilecek bir çalışma, bir iş değildir. Bilgi güvenliği yönetimi, kurumlar ve bilgiler var olduğu sürece sürekli yönetilmesi, denetlenmesi gereken bir yaşam döngüsüdür (ISO, 2005). Teknolojik çözümlerin, o kurumun kendi iş yapma şekillerine, özgün kurum kültürüne, iş süreçlerine en uygun şekilde uyarlanması gerekmektedir. Ayrıca, bu çözümlerin kurum süreçleriyle uyumlu tutacak şekilde sürekli gözlenip yönetilmesi ve değişiklik yönetiminin sağlanması büyük önem kazanmaktadır. Hiçbir güvenlik sistemi, üzerinde hazır gelen ayarlarıyla kendi başına ilgili kuruma ve iş süreçlerine uygun olmamaktadır. Yaygın olarak yapılan bir başka yanlış, kurumlardaki projelerde güvenlik etmeninin en baştan itibaren projeye katılmaması ve bu nedenle analiz, tasarım, uyarlama, test ve kontrol süreçlerinde güvenliğin düşünülmemesidir. Oysa bilgi güvenliği projelerin son aşamasında hızla yapılacak ek bir yama değildir. Bu şekilde bir yaklaşım, kurumların projelerinde çoğunlukla başarısızlığa uğramasına neden olacaktır. Başta bilişim projeleri olmak üzere, projelerde bilgi güvenliği risk analizleri ve güvenlik gereksinimleri projenin en başından itibaren sürece katılmalıdır. “%100 güvenli” ve “0 risk” kavramları günlük yaşamda gerçekçi ve uygulanabilir değildir. Bilgi güvenliği hiçbir veriyi, iş sürecini tamamen güvenli kılamaz veya risklerini sıfırlayamaz. Gerçekçi bir bilgi güvenliği yaklaşımı; o kurum veya o toplum için güvenliği gereken düzeyde sürekli sağlamak, risk analizlerinin sonucuna göre ilgili riskleri olabilecek en alt düzeye indirgemek ve kalan riskleri de kontrollü bir şekilde izleyerek yönetmektir. Sağlık, finans, vb sektörlerin süreç yönetiminde olduğu gibi bilgi güvenliği yönetiminde de risk odaklı yaklaşım esastır (Tipton ve Krause, 2007). 4. ÇÖZÜM ÖNERİLERİ Bilgi güvenliği yönetiminin kurumlarda etkin ve etkili biçimde sağlanabilmesi için; üst düzey yöneticilerin maddi ve manevi destek vererek bilgi güvenliği süreçlerini sahiplenmeleri gerekmektedir. Bilgi güvenliği uygulamalarının kurumlardaki tepe yöneticilerden başlayıp daha alttaki kademelere yaygınlaştırılarak kurum genelinde benimsetilmesi çok büyük önem taşımaktadır. Bu süreci uygularken ISO 27001 ve diğer benzeri bilgi güvenliği yönetimi standart ve mimarilerinin temel alınmasında büyük yarar vardır. Güvenlik süreçlerinin denetlenen, geliştirilen, desteklenen ve yaşatılan bir yapıya oturtulması gerekmektedir. Bilgi güvenliğinin sadece teknoloji veya bilgisayar güvenliği olmadığı gerçeğinin anlaşılması da büyük önem taşımaktadır. Bilgi güvenliği bir maliyet veya ek bir yük olarak görülmemeli, kurumun ticari stratejileri ve iş geliştirme vizyonu kadar önemli ve belirleyici bir yerde konumlanmalı, bir kurum kültürü haline getirilmelidir (ITGI Inst., 2007; Tipton ve Krause, 2007). Bilgi güvenliğinde kritik başarı faktörlerinden birisi ve belki de en önemlisi insandır. Başarılı ve uzun soluklu bir bilgi güvenliği yönetimi; insanların bilgi 9 Eminağaoğlu, M., Gökşen, Y. DEÜ SBE Dergisi Cilt11, Sayı:4 güvenliği konusunda farkındalık eğitimleri almaları, bilgilenmeleri ve bilinçlenmeleriyle sağlanabilecektir. Bilgi güvenliğine uzun soluklu ve vizyoner bakabilen kurumların çoğu bankacılık, vb finans sektörü ile iletişim ve yazılım firmaları, devlet kurumları ve büyük holdingler arasından çıkmaktadır. Oysa bu yaklaşımın genele yayılarak tüm sektörleri ve irili ufaklı her kurumu kapsaması gerekmektedir ki, bu da ancak zamanla ve toplumların bilinçlenmesiyle olabilecektir. Bireylerin ve toplumun iş dışı günlük yaşamlarında da kablosuz ADSL, Internet, cep telefonu, vb kullanımları göz önüne alınırsa, sadece iş amaçlı değil, bireysel kullanımda da bilgi güvenliği çözümlerinin hızla yaygınlaştırılması gerekmektedir (Swaminatha ve Elden, 2003). Sonuçta günümüzde bilgiyi ve teknolojiyi hiç kullanmadan işletilen herhangi bir şirket, kurum, örgüt, vb olamayacağına göre, bilgi güvenliği de değişik oranda ve düzeyde olsa bile herkes için gerekli bir unsur haline gelmektedir. Hiçbir risk tamamen sıfırlanamayacağı gibi aynı sektörde çalışan iki farklı şirketin aynı konuda farklı riskleri ve zaafları olabilmektedir. Bu nedenle her kurum kendine özgü risk değerlemesini ve yaklaşımlarını sağlamak veya danışmanlık alarak sağlatmak zorundadır. Öncelikle, "ilgili kurumun ne gibi riskleri var ve bunların kuruma etkileri neler, ne kadar maddi kayıp yaratır, hangi riskleri gidermek kurum için önemli?” vb. soruların değerlendirilmesi, sonra da karar verilen en öncelikli çözümlerin planlanıp aşamalı bir şekilde uygulatılması gerekmektedir. En basitinden bir örnek vermek gerekirse, bir kurumda ticari sırların kağıt çıktı olarak çalınması önlenmek isteniyorsa, hemen özel baskılı mürekkep teknolojisine yatırım yapmak veya o bilgilerin çıktısının alınmasını yasaklamak gibi acele kararlar ve çözümlere geçmemeli, önce risk ölçümü ve değerlendirmesi yapılmalıdır. Belki de ilgili kurumun iş yapış şeklinden ötürü, bu riskler mecburen azaltılamayabilir veya belki de aslında çok daha riskli ve gizli kalmış başka sorunları bulgulayıp önce onların çözümlenmesi gerekebilir. Bir başka örnek; kablosuz ağların veya kablolu telefon hatlarının şifrelenmesi kurum için uygun bir çözüm olabilir ama başka bir kurum için, belki iş yapış şeklinden ötürü veya bazı ticari kurallardan ötürü bu uygun bir çözüm olamayabilir. Bilgi güvenliği risk ölçümü ve değerlendirmesi için, çok çeşitli yöntemler ve bu yöntemleri kullanan çeşitli yazılım ve araçlar da mevcuttur. Öncelikle, risk ölçüm ve değerlemesi yapılacak ilgili varlıkların (İng. asset) yaklaşık bilgi değerleri ele alınmalıdır. Bu değerlere, hangi olasılıkla, hangi güvenlik açıkları veya zayıflıklarının (İng. vulnerability) sonucunda, hangi tehditlerin (İng. threat) ne ölçüde olumsuz etki yapacağı denklemlerle irdelenir ve toplam olası risk değeri, yani riskin gerçekleşmesi durumunda, o bilgi değerinin göreceği olası zarar (İng. impact) hesaplanır. Tüm bu hesaplar ve ölçümlerde, niceliksel (İng. quantitative) veya niteliksel (İng. qualitative) parametreler ve yöntemlerden birisi veya ikisi birlikte kullanılabilir. Tüm riskler bu şekilde hesaplandıktan sonra da, bu risklerin 10