Bilgi Güvenliği ve Siber Güvenlik | Türkiye Siber Güvenlik Kümelenmesi

“Bu yazı iki bölümden oluşması planlanan çalışmanın ilk bölümü olup, bilgi güvenliği ve siber güvenlik özelinde olacak. Ayrıca Türkiye’de bu bağlamda faaliyet gösteren Türkiye Siber Güvenlik Kümelenmesine de yer verilecektir. İkinci bölüme, siber ölüm zinciri/ cyber kill chain ulaşmak için tıklayınız.“

İçinde bulunduğumuz yirmi birinci yüzyılda, geçmişte de olduğu gibi aktörlerin varlıklarını sürdürmek ve rekabet avantajı elde etmek için sahip oldukları en önemli kaynaklar; bilgi ve bilginin uzantısı olan değerlerdir. Belirsizliklere karşı aktörler sahip oldukları bilgi ile varlıklarını devam korumakta ve sürdürmekte. Günün belirsizliklerine ve değişimlerine karşı bilginin; edinimi ve yönetimi modelinin doğru seçimi kadar bu unsurların ve kaynakların korunması da öncelikli bir konudur. Siber bir dünyaya doğru hızla evrildiğimiz bu süreçte her şeyin sayısallaşarak, uluslararası bir standartta olgunlaşması ile siber uzay tehdidi globalleşmekte. Bu global tehdidin karşısında ise sürecin doğru okunması bu yönde stratejiler, yöntemler ve politikalar geliştirilmelidir.

Günümüzde teknolojinin gelişmesiyle birlikte siber uzayda bulunan bilgi miktarı sürekli bir atış içindedir. Artış gösteren bilgi varlıklarına yönelik saldırılarda daha yoğun ve açık bir hale gelmiştir. Bu sebeple, bir varlık türü olarak bilginin izinsiz veya yetkisiz bir biçimde erişim, kullanım, değiştirilme, ifşa edilme, ortadan kaldırılma, el değiştirme ve hasar verilmesini önlemek için bilgi güvenliği ve siber güvenlik konuları büyük önem kazanmıştır.

Günümüzde aktörler bilgiyi, giderek artan bir şekilde, üstünlük sağlayan çok kritik öneme sahip bir kaynak olarak kabul etmektedir. Bu nedenledir ki bilginin yönetilmesi, korunması gibi hususlar şansa bırakılamayacak kadar önemli bir alan olarak karşımıza çıkmaktadır. Bilgi kaynaklarının günün şartları ve getirileri doğrultusunda giderek artan oradan siber uzayda işlenmesi ise beraberinde bu kaynaklara yönelik olası tehditlerin de hesaba katılması gerekliliğini zorunlu kılmıştır. ABD merkezli bir savunma firması olan Lockheed Martin ise siber uzaydaki tehditlerin bir nevi yaşam döngüsü diyebileceğimiz “cyber kill chain” olgusunu literatüre kazandırmıştır.

BİLGİ GÜVENLİĞİ VE SİBER GÜVENLİK İLE İLGİLİ KAVRAMLAR

Verinin işleme tabi tutularak elde edilen enformasyon kaynaklarının işleme tabi tutularak düzenlenmesi ile bilgi varlıkları oluşturulmaktadır. Bilgiye, bir çeşit işlenmiş enformasyon da denilebilir. Ancak en doğru tabirler ile bilgi; veri ve enformasyonun akıl süzgecinden geçirilip kişisel deneyimler, algılar, sezgiler, duygular, değerler ve doğuştan gelen yetenekler süzgecinden geçirilmesi ile elde edilen varlıklar bütünüdür.

Bilgi varlıkları da bilgi ile ilgili önemli bir kavramdır. Bilgi varlıklarının bir işletmedeki fonksiyonu üzerine şu şekilde tanımlama yapmamız mümkündür; işletmenin sahip olduğu veri tabanları, veri dosyaları, sistem belgeleri, kullanıcı el kitapları, eğitim malzemeleri, çeşitli planlar ve arşivlenmiş bilgilerin bütünü. Günümüzde giderek yaygınlaşan bir şekilde aktörler bilgi varlıklarını saklama, işleme gibi süreçleri siber uzayda gerçekleştirmektedir. Bu hususun kaçınılmaz bir sonucu olarak bu varlıklara yönelik art niyetli diyebileceğimiz girişimler söz konusudur.

Bilgi Güvenliği

Her dilde bu anlamı içeren bir kavram olmasına karşın güvenlik kelimesinin uluslararası alanda kullanılan İngilizce karşılığı “security” kelimesidir. Latince “securus” kelimesinden türeyen kelime kaygıdan üzüntüden emin olma, emniyet hali gibi anlamlara gelmektedir. Güvenlik; Türk Dil Kurumu Büyük Türkçe Sözlüğü’nde “Toplum yaşamında yasal düzenin aksamdan yürütülmesi, kişilerin korkusuzca yaşayabilmesi durumu, emniyet” olarak tanımlanmaktadır.

Veri, bir durum hakkında, birbiriyle bağlantısı henüz kurulmamış bilinenler veya kısaca sayısal ortamlarda bulunan ve taşınan sinyaller ve/veya bitler olarak tanımlanabilir. Verileri yapılandırılmış, yarı-yapılandırılmış ve yapılandırılmamış veriler olarak üç grubu ayırmak mümkündür. Bilgi ise verinin bir üst formu olup, verinin değerlendirilmiş, analiz edilmiş, düzenlenmiş ve verinin belirli bir anlam ifade edecek forma dönüştürülmüş halidir.

Bilgi, insan hayatındaki en hassas ve önemli varlıklardan birisidir. Günümüzde sahip olunan bilgi varlıkları ise ‘güç’ parametresi ile doğrudan ilişki kabul edilmektedir. Kişiler, kurumlar ve ülkeler için bilgi, elde edilmesi zor, aynı zamanda elde tutulması da zor bir metadır. Bilişim ürünleri/cihazları ile bu cihazlarda işlenmekte olan verilerin bütünlüğü ve sürekliliğini korumayı amaçlayan çalışma alanı ise bilgi güvenliğidir.

Siber Güvenlik

Günümüzde sıkça kullanılmaya başlanan siber güvenlik kavramı en temel anlamıyla, siber uzay alanındaki güvenlik sorunlarıyla ilgilenen bir alanı işaret etmektedir. Siber güvenlik, en sade anlamıyla siber uzayın her türlü tehditten korunmasını esas alır. Bu yönüyle de bütüncül ve derleyici bir kavramdır. En küçük siber suçtan en büyük ve karmaşık saldırıya kadar bütün katmanları içine alan birleştirici bir unsurdur. Ancak 1990’larda bu kavramın kullanımı için esas alınan tanım ve sahadaki dinamikler ile günümüzdeki etkenler arasında devasa farklılıklar olduğunun da altı çizilmelidir.

Siber güvenlik, veri, işlem, süreç, politika, deneyim, kapasite, insan ve sistemlerin güvenliğinin siber ortamda sağlanmasıdır. Uluslararası Telekomünikasyon Birliği (ITU) siber güvenliği; “kurum, kuruluş ve kullanıcıların bilgi varlıklarını korumak amacıyla kullanılan yöntemler, politikalar, kavramlar, kılavuzlar, risk yönetimi yaklaşımları, faaliyetler, eğitimler, en iyi uygulama deneyimleri ve kullanılan teknolojiler bütünü” olarak tanımlamaktadır. Siber güvenliğin en temel prensibi üretilen veri ile en küçük veri parçasının gizliliğinin korunabilmesidir. Böylece her isteyen veriye ulaşamaz. Ayrıca verinin bir noktadan diğer noktaya giderken bütünlüğü de bozulmamalıdır. Siber güvenlik sadece gizlilik ve bütünlük esaslı olsaydı, çözümü bulmak daha kolay olurdu. Fakat günümüzde verilerin birden fazla program ya da sunucu veya kullanıcı tarafından aynı anda korunması gerekliliği, siber güvenlik kavramını daha zorlu hale getirmektedir.

Siber uzay, “siber alan” veya “siber dünya” olarak da bilinmektedir. Siber uzay; ulusal strateji dokümanında “tüm dünyaya ve uzaya yayılmış durumda bulunan bilişim sistemlerinden ve bunları birbirine bağlayan ağlardan veya bağımsız bilgi sistemlerinden oluşan sayısal ortam” olarak tanımlanmaktadır.

Bugün gelinen noktada, siber uzay kavramı fiziksel, mantıksal ve sosyal katman olmak üzere üç katmandan oluşmaktadır. Bu katmanlar da kendi aralarında coğrafi, fiziksel ağ, mantıksal ağ, birey ve siber birey olmak üzere beş farklı alt bileşene ayrılmaktadır.

Siber saldırı ise hedef seçilen unsurun bilgi sistemlerine veya iletişim altyapılarına yapılan planlı ve koordineli doğrudan saldırılardır. Saldırıların taraflarına göre ise kapsam değişmektedir. Taraflar ülkeler olduğun da siber savaş olarak adlandırılmaktadır.

Bilgi güvenliği, bilgilerin elektronik veya fiziksel olarak saklanıp saklanmadığıyla ilgilenmeden, bilgiyi yetkisiz erişime, kullanıma, bozulmaya, değiştirmeye veya yok etmeye karşı korur. Bilgi Güvenliğinin sağlanması için üç temel unsur göz önünde bulundurulmalıdır. Bu unsurlar CIA Triad (Üçgeni) olarak da adlandırılan;

Gizlilik (Confidentiality)
Bütünlük (Integrity)
Erişilebilirlik (Availability) oluşmaktadır.

Bu üç kavram, bilgi güvenliği için hedeflenen unsurları somutlaştırmaktadır.

Siber uzayı esas alan siber güvenlik kendi başına sanal bir alan değildir. Siber uzay fiziksel ve sanal alanın etkileşiminden oluşan bir alandır. Her iki alanın etkileşimi siber güvenlik kavramını daha da önemli hale getirmektedir. Eğer sanal alanda yapılan işlemlerin fiziksel dünyada etkisi olmasaydı, muhtemelen siber güvenlik diye bir kavramdan bahsetmezdik. Bir diğer ifadeyle, siber alanda yapılan saldırılar ya da hamleler fiziksel alanda etki oluşturduğu için siber güvenlik kavramı ortaya çıkmaktadır. Bu yüzden de siber güvenlik alanında kullanılan terminoloji ister istemez ulusal güvenlik kavramlarını temel almaktadır.

Siber tehditleri başlıca üç ana başlık altında toplayabiliriz: hatalar, kazalar, saldırılar. Hatalar genellikle bilgi sistemlerinin içinde çalışan kişilerin bilinçsizce yaptıkları kusurlardır. Bu kusurlar sistemin güvenliğini tehdit eder. Kazalar daha ziyade insanların kontrollerinin dışında belirsiz bir zaman takvimi izleyerek gelişen -tabii afetler bu kategoride ele alınabilir- ve sistemlere zarar veren olaylar için kullanılır. Saldırılar ise aktif ya da pasif olarak bilgi işlem sistemlerine zarar vermeyi amaçlayan ve organize şekilde insan-düşman tarafından tasarlanmış eylemlerdir. Siber güvenlik tesis edilmeye çalışırken alınan önlemlerin hatalara mı, kazalara mı yoksa saldırılara mı çözüm olmayı hedeflediği önemlidir.

Türkiye Siber Güvenlik Kümelenmesi

Türkiye Siber Güvenlik Kümelenmesi, 2017 yılında ilgili tüm kamu kurum/kuruluşlar, özel sektör ve akademi temsilcilerinin katılımlarıyla ortaya çıkan, T.C. Savunma Sanayii Başkanlığı tarafından desteklenen ve SSTEK A.Ş. tarafından yürütülen bir projedir.

Siber Güvenlik sektörünün ihtiyaç duyduğu Siber Güvenlik uzmanlarını yetiştirmek hedefiyle 2018 yılından beri Türkiye’nin dört bir yanındaki üniversitelerde Siber Güvenlik Eğitimleri, Yaz Kampları ve Kış Kampları düzenleyen Türkiye Siber Güvenlik Kümelenmesi tarafından, bugüne kadar 25 üniversitede gerçekleştirilen 135 eğitim programı ile 3500’ün üzerinde öğrenciye Siber Güvenlik eğitimi verildi.

Covid-19 süreci nedeniyle okulların kapanması ve planlı eğitimlerin önlemler kapsamında ertelenmesi nedeniyle, evde kalan öğrencilerin Siber Güvenlik Eğitimlerinden uzak kalmaması için eğitimlerini zaman kaybetmeden online olarak yapmaya başlayan Kümelenme, siber güvenlikle ilgilenen herkesi online eğitim programlarına bekliyor.

Yalnızca öğrenciler değil, kamuda ve özel sektördeki çalışanların da farklı konularda verilecek eğitimlerden faydalanması için Türkiye Siber Güvenlik Kümelenmesi YouTube kanalı üzerinden verilmeye başlanan eğitimler Siber Güvenlikle ilgilenen herkese açık bir şekilde Canlı yayınlanıyor. Eğitime katılamayanlar ise canlı yayında verilen eğitimlerin kayıtlarına yine Kümelenmenin YouTube kanalından erişim sağlayabiliyorlar.

Türkiye Siber Güvenlik Kümelenmesi üye firmalarından sektörün uzman isimleri tarafından haftada iki eğitimin verildiği eğitim programında, bugüne kadar Active Directory Eğitimi, Kablosuz Ağ Güvenliği Eğitimi, Cyber Threat Hunting Eğitimi, Windows Forensic Eğitimi ve Python For Hackers Eğitimi verildi.

Sürekli güncellenen eğitim takvimine www.siberkume.org.tr web sitesinden erişim sağlanabilir. Eğitimlerin yayınlandığı https://www.youtube.com/c/turkiyesiberguvenlikkumelenmesi kanalından önceki eğitimlere de ulaşılabilir.

Ahmet ALEMDAR

İkinci Bölüm

Gelişmiş Siber Saldırının 7 Aşaması: Siber Ölüm Zinciri | Cyber Kill Chain

Referanslar

Gülizar Duygu Kurt Kaya, “Bilgi Güvenliği ve Siber Güvenlik Kapsamında Bakanlık Uygulamaları için Güvenli Yazılım Geliştirme Metodolojisi Önerisi”
T.C. Savunma Sanayii Başkanlığı, Türkiye Siber Güvenlik Kümelenmesi
Coşkun Can Aktan, İstiklal Yaşar Vural, “Bilgi Nedir?”
Dinçer Atlı, “Bilgi Çağında İşletmeler Açısından Bilgi Yönetimi ve Stratejik Önemi”
Ahmet Naci Ünal, Siber Güvenlik ve elektronik Bileşenleri
Salih Bıçakçı, “Siber Güvenlik ve Savunma”
Şeref Sağıroğlu, Siber Güvenlik ve Savunma Farkındalık ve Caydırıcılık