Herkese acilen gerekli “Siber Güvenlik”

Siber güvenlik, kişiler, şirketler, organizasyonlar ve hükümetler için daha önemli bir konu haline gelmeye başladı. Hackerlar, her geçen gün daha da bilgili hale geliyor, şirketlerin güvenlik açıklarını yakalıyorlar. Herkes bu tehditle karşı karşıya. Birçok şirketin güvenlik sistemlerini güncellememesi, halen eski teknolojileri kullanması, yeni teknolojilerini eski ve kalabalıklaşmış güvenlik sistemlerinin üzerine kurmaları gibi birçok nedenle siber saldırılar sonrasında birçok şirket hem bilgi hem de maddi kayıp yaşıyor.
Hem kişisel hem de işletmelerin bilgisayar (veya bilgisayarlar) donanımını, yazılımını ve ağı dijital saldırılardan korumak birinci sorun haline geliyor. Şu dört tehlike var: “Kişisel veya kurumsal verilere ulaşmak. Kullanıcılardan para çalmak. İşleyişi sekteye uğratmak. Verileri yok etmek.” Bu saldırılara karşı korunmak bütün dünyada ve herkes için önemli hale geldi.
Tehditleri bilelim: Sizden fidye talep eden kötü niyetli yazılımlar bilgisayarınızın sistem dosyalarını kilitler; genellikle şifreleme metodu kullanır. Kitlenen dosyaların şifresini açmak için sizden para talep eder. Malware adlı yazılım, bilgisayarın ağ sistemine zarar verir. Worms (solucan), virüs ve Truva atları, malware denilen programların farklı türleridir. Kimlik avı, sahte e-postalar göndererek banka ve benzeri bir güvenli site olduğu izlenimi yaratarak, bağlantılar yollayarak güvenlik bilgilerinizi ele geçirir.
Korunma önlemleri:
• Şifreleriniz basit olmamalı, rastgele seçilen rakamlar ve büyüklü küçüklü harflerden oluşan bir kombinasyon seçmelisiniz. Şifrelerinizi sık sık olmasa bile 3-6 ay arasında değiştirmeye dikkat etmeli, her platformda aynı şifreyi kullanmamalısınız. Yüz tanıma teknolojisini kullanabilirsiniz. Yapay zeka ve yüz tanımlama teknolojilerindeki gelişmeler, bu güvenlik biçiminin daha yaygın kullanılmasını sağlıyor.
• İş hayatında, veri güvenliğini sağlamak için işyerini bilgi güvenliği prosedürlerini belirten ISO 27001 standartlarına uygun hale getirmelisiniz. Bunun için, hassas verileri anonimleştirin, çalışanlardan biri işten çıktığında şifreleri değiştirin, şirket içinde verilere ulaşım hakkını katman katman belirleyin.
• Hackerları tuzağa düşürecek izler bırakıp onları sahte sunuculara yönlendirerek yakalatabilirsiniz. “Bal porsuğu” da denilen ve hiçbir kullanım alanı olmayan sunucular hacklendiğinde, saldırının merkezini belirleyerek uydu görüntüsünü bulabiliyorsunuz. Elektronik işaretçi kullanımı ile dokümanlarınızın ne zaman ve nerede açıldığını belirliyorsunuz. Çevrimiçi ortamda fotoğraflarınızın çalınmasını engelleyen platform, kullanıcının kimliğini gizleyen uygulama veya kişisel verilerin korunmasını sağlayan algoritmalar kullanan robot avukat gibi korunma yöntemleri de var.
• İnternet kullanımı esnasında erişim sağlanan web sayfalarının adres satırındaki ‘https’ ifadesinin kontrolünü yapmalıyız.
• Eğer bir iş yerinde ortak ağda çalışıyorsak güvenli erişim kanalları (VPN) kullanılmasına özen göstermeliyiz.
• Evde / işyerinde kullandığımız modemlerimizi her zaman en güncel sürümde tutmalıyız.
• Modem arayüzü giriş bilgilerini fabrika ayarları değerlerinde kullanmamalı, değiştirmeliyiz.
• Telefon, bilgisayar, tablet gibi cihazlarımızı en güncel sürümlerinde kullanmalıyız.
• Verilerimizi düzenli olarak yedeklemeli, yedeklerimizi de yine ayrı parolalar ile yönetmeliyiz.

KOBİ’ler boy hedefi: Siber tehditler 2018’de dünya genelinde yüzde 600 oranında artış gösterdi. Araştırmalar, siber saldırıların yeni hedefinin küçük ve orta ölçekli işletmeler olduğunu belirtirken Türkiye’de siber saldırıların yüzde 71’i 100’den az çalışanı olan KOBİ’lere karşı gerçekleştiriliyor ve mağdur KOBİ’de işler ortalama 50 gün durma noktasına geliyor. Bilişim uzmanları, siber güvenlik okuryazarlığının düşük olduğu KOBİ’lere karşı tehditlerin giderek artacağını öngörüyor. Hacker'ların KOBİ'lere yönelmesinin en büyük sebebi gerekli bilinci ve güvenlik önlemlerine sahip olmayan bu tip ufak işletmelerin oldukça kolay hedef olması ve sistemlerinin çok hızlı ele geçirilebilmesi. O halde yapılması gereken, siber güvenlik okuryazarlığını artırmak olacaktır.
Türkiye’de bilgi güvenliği: Türkiye’de ‘Elektronik Ceza Kanunu’ ve ‘Türk Ceza Kanunu’nda ilgili hükümler konulmuştur. 2008 yılında Türkiye Bilgisayar Olayları Müdahale Ekibi (TR-BOME) kurulmuştur. 2013 yılında ‘Siber Savunma Komutanlığı’nın kuruluşu gerçekleşmiştir. 2016 yılında, 6698 sayılı Kişisel Verilerin Korunması Kanunu yürürlüğe girmiştir. Sosyal medya kullanımlarımızda, internet alışverişlerimizde ve diğer birçok elektronik ortam işlemlerimizde; toplanan kişisel verilerimiz ilgili kurumlar tarafından işlenmektedir.
Güncel ortamda riskler: Bilgisayarları şifreleyip fidye talep eden siber korsanlar hayatımızda faaller. Nesnelerin İnterneti (IoT) cihazlar saldırıya maruz kalıyor. Nesnelerin internetinin güvenliğini yönetmek için gerekli olan yasal düzenlemeler henüz yapılmadı. Hackerler bebek monitörlerine kadar pek çok ev cihazını veya kameralar gibi güvenliği oldukça hassas sistemleri ele geçirmeyi sürdürüyorlar. İnternete bağlı medikal cihazların güvenliği ciddi risk altında. Kablosuz bağlantısı olan vücut implantlarına yönelik kötü niyetli yazılım saldırıları, kullanıcıları “ödemek ya da ölmek” kadar ciddi ikilemlerde bırakabiliyor. MacOS işletim sistemine sahip cihazlara yönelik kötü niyetli yazılımların sayısı artıyor; büyük miktar paralar çalınıyor. Ağları ele geçirme olayları artıyor. Güvenliği sağlamak için yazılım temelli implantların, yazılım arka kapılarının ve yazılımlardaki tasarım eksikliklerinin analizi için çeşitli kaynaklara yatırım yapılmasına ihtiyaç duyuluyor. Hackerler türlü oltalama (phishing) saldırıları ile bankalardan ve bankaların üst düzey binlerce müşterisinden yüz milyonlarca dolar para çalabilme üstünlüğünü koruyorlar.
Ağ Güvenliği: Bir bilgisayar ağının ve ağ tarafından erişilebilen kaynakların yetkisiz erişimi, kötüye kullanımı, değiştirilmesi veya reddedilmesini önlemek ve izlemek için kabul edilen politika ve uygulamalar. Ağ güvenliği, ağ yöneticisi tarafından kontrol edilen bir ağdaki verilere erişim yetkisini de içerir.
Uç / Son Nokta / Kullanıcı Güvenliği: Uç nokta güvenliği (Endpoint) çeşitli güvenlik önlemleriyle ilgili geniş kapsamlı ifade olsa da genellikle ağ güvenliği alanında kullanılır. Uç nokta güvenliği önlemleri dizüstü bilgisayarlar, tabletler ve cep telefonları gibi uzak, kablosuz veya mobil cihazlar tarafından erişim sağlanırken işletme ağını korumak için kullanılan yöntemlerdir. Merkezi işletme ağına bağlanabilen her cihaz uç nokta olarak kabul edilir. Uç nokta cihazları siber güvenlik tehditleri için olası giriş noktalarıdır ve genellikle ağ güvenliğinin en zayıf halkası oldukları için güçlü bir şekilde korunmaları gerekir.
Uygulama Güvenliği (Application security): Kendilerine ayrılmış kaynaklarla çalışan uygulamalar, sırasıyla uygulama güvenliğinin belirlediği yoldan, uygulama kullanıcıları aracılığıyla bu kaynakların kullanımını belirlerler. Kurumların kritik ticari uygulamaları artık web teknolojileriyle birleşti ve yaygın kullanılıyor. Web tabanlı uygulamaların güvenliğinin kontrol edilmesi ve tespit edilen güvenlik zafiyetlerinin giderilmesi çok önemli. Buluttaki veya kurumunuzdaki uygulamalar çok dağıtık ve dinamik bir yapıya sahipse performansı günden güne, hatta saatten saate değişiklik gösterebilir. Bunun birçok farklı nedeni olabilir; performans kayıpları, kullanıcı kaynaklı olabileceği gibi uygulamada yavaş çalışan bir fonksiyon, bant genişliğinin başka amaçlarla kullanılması, uygulamayla veritabanı arasındaki gecikmeler… Bu tür kayıpları tespit edebilmenin en güvenilir yolu, her bir işlemi izleyip uçtan uca uygulama hakkında performans metrikleri çıkartmak, analizlerini etkin yapabilmek ve makine öğrenmesiyle sorunun nereden kaynaklanabileceğini tespit etmektir.
Kimlik ve Erişim Yönetimi (IAM): Organizasyonla etkileşim halindeki kimlikleri anlayarak doğru erişim haklarının uygulanmasına yardımcı olur. Kimlik ve erişim yönetim sistemleri, uygulama güvenliğine yönelik politikaların uygulanmasını sağlayan en önemli araçlardır. Bu çözümler, güvenlik ve uyumluluk dışında operasyonel verimlilik ve üretkenlik açısından da önemli. Uygulamalar, kullanıcıların ham veriye yapısal olarak erişmelerini, işlemelerini ve kurumsal süreçleri yürütmelerini sağladıkları için bunlara denetim dışı erişilebilir olması kurumlar açısından güvenlik açığı oluşturuyor. Bu nedenle kimin hangi uygulamaya neden, nasıl ve ne zaman erişebileceği yönetilebilmeli. Uygulama erişiminden kaynaklanan güvenlik açıklarını tehdit olarak algılayan kurumlar, buna karşı politikalar oluşturarak politikaları uygulayacak önlemleri devreye almak istiyor.
Güvenlik Yönetimi: Bilgi güvenlik sistemlerinizle ilgili riskleri tanımlamanız, yönetmeniz ve sistemlerinizin etkinliğini sürekli olarak değerlendirmeniz gerekir. Teknoloji hızla değiştiği için her an yeni tehditler ortaya çıkıyor. Riski yönetmek için yerine getirilen kontrollerin etkinliği sürekli değerlendirilmeli. Bu, kuruluşun dayanıklı kalmasına ve bilgi güvenliği yönetim sistemi performansını optimize etmesine yardımcı olur.
Sanallaştırma ve Bulut Güvenliği: Sanallaştırma ve bulut bilişim birbiriyle ilişkili olsa da aynı değil. Her ikisi de bilişim kaynaklarından en iyi şekilde yararlanarak altyapı maliyetlerini azaltmak üzere sunulan farklı yöntemleri temsil eder. Sanallaştırma, fiziksel platformlara göre daha korumasız ve zafiyet içeren teknolojiler. Bulut bilişimin de en büyük dezavantajlarından biri güvenlik açıkları. Bu nedenle hem sanallaştırma hem de bulut bilişim konusunda özel güvenlik önlemleri için ayrı bir efor şart.

“Gizlilik, Bütünlük, Erişebilirlik”
Türkiye Bilişim Derneği (TBD) Genel Başkanı Rahmi Aktepe, her sistem ve bilgisayar ağının, güvenlik temelinde üç bileşene ihtiyaç duyduğunu anlattı: “CIA (Confidentiality, Integrity, Availability) üçlüsü olarak isimlendirilen bu 3 bileşen, Türkçe’de Gizlilik, Bütünlük ve Erişilebilirlik olarak karşılık buluyor. Güvenlik deyince verilerimizin gizli kalması, izin verilmemiş kişilerce erişilememesi ve değiştirilememesi öncelikli olarak aklımıza gelse de sistemlerin erişilemez hale getirildiği saldırılar hayatımızda çok önemli bir yer tutar hale geldi.”
Rahmi Aktepe, sistemlerinin erişilemez hale getirilmesinin, amaçlanan hizmetlerin verilememesine, para ve itibar kaybına neden olduğuna, hedefteki kurumun rekabette de zor duruma düşürüldüğüne, müşteri sadakatine darbe vurulduğuna dikkat çekiyor: “Saldırılar hedef sistemleri devre dışı bırakırken ISP’lerin (Internet Service Provider-internet servis sağlayıcısı) ülke internet çıkışlarını bile etkileyecek boyutlara ulaşabiliyor. Yakın zamanda yaşanan saldırılar ve deprem sonrası ISP kesintileriyle sonuçlanan altyapı zaafiyetleri bir siber savaş durumunda nelerle karşılaşabileceğimizin habercisi. İster devlet destekli siyasi amaçlara hizmet etsin, isterse ticari itibar savaşlarının sonucu düzenlensin, saldırıların düzenlenme şekli aynı. Zombi (kirletilmiş, ele geçirilmiş) bilgisayarların trafik üretmekte kullanıldığı saldırılarda aynalama yöntemleriyle saldırının boyutu kısa sürede çok yüksek boyutlara ulaşabiliyor. Normal trafikten ayırt edilemeyen bu istekler hatların ve güvenlik cihazlarının kapasitelerinin dolmasına yol açılıyor.”
Rahmi Aktepe, dijital dünyadaki tehditlerin, anlık önlemler gerektirdiğini konusunda uyarıyor: “Geniş bir alandan veri toplayabilen, merkezi olarak bunu anlamlandırabilen şirket ve ülkeleri savunmada öne çıkarmaktadır. Bu anlamda Ulusal Siber Olaylara Müdahale Merkezi (USOM) ve Sektörel Güvenlik Operasyon Merkezleri’nin (SOC) ulusal büyük veriyi kullanabilmesi, buradan elde edilecek bilgileri uluslararası ağlardan gelen bildirimlerle eşleyebilmesi beklenmektedir.” Aktepe, bu noktada yetişmiş insan gücünün önemine de dikkat çekiyor: “Yetişmiş insan gücü, kullanıcı farkındalığı, yerli üretim, SOC merkezleri altında yer alan CERT (ani müdahale) ve yetkin destek ekipleriyle yıllar içinde oluşabiliyor. Milli teknoloji hamlesinin ürün ve bilgi birikimi temelli bütünsel ele alınması önem taşıyor. Tüm konvansiyonel savunma yaklaşımlarında olduğu gibi siber savunmada da tüm aktörlerin birlikte mücadele etmesinin önemi bu resimden de görülebiliyor. Son kullanıcıların, kurum bilgi işlemlerinin, ISP’lerin, mevzuat düzenleyicilerinin tam bir uyum içinde çalışması, üzerine düşen görevleri etkin şekilde yerine getirmesi gerekiyor.”