Ünite 2: İnsan Kaynakları Yönetiminde Bilgi ve Belge Güvenliği

Kevin Mitnick Olayı

Amerikalı ünlü bilgisayar korsanı Kevin Mitnick, ABD'deki büyük iletişim firmalarının sistemlerine sızmış ve FBI tarafından aranırken 1995 yılında tutuklanarak hapis cezası almıştır. Hapisten çıktıktan sonra gözetim altında tutulmuş, günümüzde ise beyaz şapkalı olarak bilgi güvenliği danışmanlığı yapmaktadır.

2014 Yılı Büyük Veri İhlali

2014 yılında dünyaca ünlü bir e-posta sağlayıcısının sistemlerine siber saldırı düzenlenmiş ve 500 milyon kullanıcısına ait hesap bilgileri çalınmıştır. Bu olay, siber güvenlik tarihindeki en büyük veri ihlali örneklerinden biri olarak kayıtlara geçmiştir.

Kamu Kurumlarında 4 Gizlilik Seviyesi

Türkiye'deki kamu kurum ve kuruluşlarında belgelerin güvenliğini sağlamak amacıyla kanunla belirlenmiş 4 farklı gizlilik derecesi uygulanmaktadır. Bu seviyeler en düşükten en yükseğe sırasıyla 'Hizmete Özel', 'Özel', 'Gizli' ve 'Çok Gizli' olarak adlandırılır.

Çok Gizli Seviyesinin Tanımı

İzinsiz açıklandığı takdirde devletin güvenliğine, milli menfaatlerine ve prestijine çok büyük zararlar verebilecek, sadece bilmesi gereken yetkili kişilerin ulaşabileceği en yüksek gizlilik dereceli belge sınıfıdır.

Anahtar Kavramlar

Bilgi GüvenliğiBilgiye yetkisiz kişiler tarafından yapılacak erişimin, bilginin değiştirilmesinin veya zarar göreceği eylemlerin engellenmesi sürecidir. Örneğin, bir gıda firmasının çalışanlarına ait kişisel bilgilerin yetkisiz kişilerin eline geçmesini engellemek bu kapsamdadır.

BelgeBilginin çeşitli şekillerde (yazılı, görsel, işitsel veya dijital olarak) kayıt altına alınmış halidir. Bilgi güvenliği için yapılan tüm tanımlamalar ve kısıtlamalar genel olarak belge güvenliğini de kapsamaktadır.

Gizlilik (Confidentiality)Önemli ve hassas bilgilerin yetkisiz kişilerin eline geçmesini engellemeyi amaçlayan, bilgiye erişimi sadece yetkilendirilmiş kişilerle sınırlayan bilgi güvenliği unsurudur. İnternet bankacılığı işlemlerinde hesap numaralarının şifrelenerek korunması buna örnektir.

Bütünlük (Integrity)Bilgilerin sistem içerisinde eksiksiz, tutarlı, doğru ve değiştirilmemiş olarak korunmasını ifade eden unsurdur. Veritabanındaki verilerin yetkisiz kişilerce tahrif edilmesini önlemek ve doğrulamak için yedekleme ve hash kontrolleri kullanılır.

Kullanılabilirlik (Availability)Bilgi ve sistemlerin, ihtiyaç duyulduğu her an yetkili kullanıcılar tarafından erişilebilir ve kullanılabilir durumda olmasıdır. Bir web sitesine siber saldırı nedeniyle erişilememesi bu ilkenin ihlalidir.

Biyometrik Kimlik DoğrulamaKişilerin kimliklerinin parmak izi, yüz tanıma veya göz irisi gibi benzersiz fiziksel özellikleri vasıtasıyla tespit edilip doğrulanması yöntemidir. Bazı dizüstü bilgisayarlarda parmak iziyle oturum açılması bu yönteme örnektir.

Beyaz Şapkalı Bilgisayar KorsanıSistemlerin güvenlik açıklarını tespit etmek amacıyla etik kurallar çerçevesinde çalışan ve verilere zarar vermeyen uzmanlardır. Şirketler kendi sistemlerini test etmek için bu uzmanlarla çalışabilirler.

Kara Şapkalı Bilgisayar KorsanıBilgi sistemlerine tamamen yetkisiz ve yasa dışı yollarla sızarak sistemlerin işleyişine, verilerine zarar vermeyi veya hırsızlık yapmayı amaçlayan kötü niyetli kişilerdir.

Truva Atı (Trojan)Kullanıcıya yararlı veya zararsız bir program gibi görünen ancak çalıştırıldığında bilgisayar korsanlarının sisteme uzaktan erişmesini sağlayan kötü amaçlı yazılımdır.

Solucan (Worm)Kendini kopyalayarak bilgisayar ağları üzerinden diğer bilgisayarlara hızla yayan, ağ kaynaklarını tüketerek sistemleri yavaşlatan veya kilitleyen bağımsız kötü amaçlı yazılımdır.

Güvenlik Duvarı (Firewall)Yerel ağ ile dış ağlar (internet) arasındaki veri trafiğini önceden tanımlanmış güvenlik kuralları çerçevesinde kontrol eden, filtreleyen yazılım veya donanım sistemidir.

Diğer Önemli Bilgiler

MAC Adresi Filtreleme

MAC adresi, ağa bağlanan her bilgisayar ve cihaz için dünyada benzersiz olan donanımsal bir kimlik numarasıdır (TC Kimlik Numarası gibi). MAC adresi filtreleme yöntemiyle kablosuz ağa sadece önceden tanımlanmış cihazların erişmesi sağlanır.

WPA ve WEP Protokolleri

Kablosuz bilgisayar ağlarının güvenliğini sağlamak amacıyla geliştirilmiş şifreleme yöntemleridir. WEP (Kablolu Dengi Gizlilik) ve WPA (Kablosuz Bağlantı Korunmuş Erişim) protokolleri, ağ şifrelerinin sunucuya güvenli iletilmesini sağlar.

Ulusal Bilgi Güvenliği Kapısı

TÜBİTAK BİLGEM tarafından sunulan, bilgi güvenliği konusundaki güncel siber tehdit uyarılarını ve teknik makaleleri yayınlayan resmi internet portalıdır. Vatandaşlar ve kurumlar bu bilgilere 'bilgiguvenligi.gov.tr' adresinden erişebilirler.

Script Kiddie Kavramı

Bilgisayar programlama ve siber güvenlik konusunda derin teknik bilgiye sahip olmayan, ancak başkaları tarafından yazılmış hazır korsanlık araçlarını ve scriptleri kullanarak siber saldırı gerçekleştiren amatör kişilere verilen addır.

Sınavda Dikkat Et

İKY'de bilgi teknolojilerinin 4 tarihsel aşamasının sırasını (Basılı -> PC -> VTYS -> Web) mutlaka ezberleyin; sınavda kronolojik sıralama sorusu gelebilir.
CIA üçgeninin üç temel unsurunu (Gizlilik, Bütünlük, Kullanılabilirlik) ve bunların tanımlarını iyi ayırt edin; özellikle 'Bütünlük' kelimesinin 'doğruluk ve tutarlılık' ile eşleştiğini unutmayın.
Türkiye'deki 4 kamu gizlilik seviyesini düşükten yükseğe (Hizmete Özel -> Özel -> Gizli -> Çok Gizli) sırasıyla bilin; sınavda bu sıralama sıklıkla sorulmaktadır.
Kötü amaçlı yazılımlardan Solucan (Worm) ve Truva Atı (Trojan) farkına dikkat edin; ağları yavaşlatan ve kendi kendine çoğalan Solucan, uzaktan erişim sağlayan ise Truva Atı'dır.
MAC adresi filtreleme yönteminin 'cihaz kimliğine göre' erişim izni verdiğini, Güvenlik Duvarı'nın (Firewall) ise 'ağ trafiğini denetlediğini' unutmayın; bu iki teknik önlem sınavda sıkça karıştırılır.