Ünitenin tamamını tek sayfada görPremium
Bilişim güvenliği, kullanıcıların sistemdeki hangi bilginin veya verinin kullanılıp saklanacağına ve daha sonra kimler tarafından görülüp erişilebileceğine kendilerinin karar verebilmesi ve bu süreci kontrol edebilmesi ile yakından ilgilidir. Güvenliğin en temel yapı taşlarından biri olan gizlilik ilkesi, bireysel olarak düşünüldüğünde bireysel güvenliğin sağlanmasıyla doğrudan ilişkilidir.
Örneğin, herhangi bir web sitesine bireysel bilgilerinizi girdiğinizde, bu bilgilerin yalnızca o web sitesindeki veya kurumdaki belirli yetki sahibi insanlar tarafından görülmesi ve kullanılması gerekir. Bu yetkililer dışında herhangi bir kimsenin bu bilgilere ulaşıp kullanabilmesi, sistemde ciddi bir gizlilik ve güvenlik sorunu olduğunu gösterir.
Kurumsal anlamda gizlilik ilkesi ise kurumun hassas bilgi ve verilerinin sadece ilgili bölümler veya yetkili uzmanlar tarafından erişilip kullanılmasını zorunlu kılar. Eğer her kurumsal bilgiye her bölüm veya çalışan rahatlıkla ulaşabiliyorsa, burada kurumsal bir gizlilik açığı ve güvenlik sorunu var demektir.
Gizliliğin ihlal edilmesi, kişisel mahremiyetin zedelenmesine ve kurumsal ticari sırların rakiplerin eline geçmesine yol açabilir. Bu nedenle hem bireylerin hem de kurumların veri erişim yetkilerini sıkı bir şekilde denetlemesi ve gizlilik ilkelerini eksiksiz uygulaması hayati önem taşır.
Bütünlük ilkesi, sistemi ve sistemde bulunan veriyi olması gerektiği şekilde muhafaza etmektir. Bu amaçla, mevcut bilgilerin ve verinin bozulması, değiştirilmesi, istenmeyen ekler yapılması veya bilgilerin bir kısmının ya da tamamının silinmesinin engellenmesi gerekir. Sistemin ve verilerin orijinal halleriyle saklanması bütünlüğün temel şartıdır.
Bütünlük ilkesi veri bütünlüğü ve sistem bütünlüğü olmak üzere ikiye ayrılır. Veri bütünlüğü; bilginin ve sistem programlarının önceden belirlenen ve yetkilendirilmiş kişiler tarafından değiştirilebilmesi ile ilgilidir. Sistem bütünlüğü ise sistemin genel olarak, dışarıdan bir müdahale olmaksızın, yetkili kullanıcının istediği şekilde sorunsuz çalışmasıdır.
Bireysel anlamda bütünlük, herhangi bir sisteme girdiğiniz bilgilerin sistem veya ilgili kurum tarafından girdiğiniz şekilde muhafaza edilmesini gerektirir. Bunun aksi durumlarda bireysel bütünlük ilkesi ihlal edilmiş olur ve güvenlik ortadan kalkar.
Kurumsal olarak bütünlük ise kuruma ait önemli bilgi ve verilerin kurum yetkililerinden habersiz olarak silinmemesini ve değiştirilmemesini şart koşar. Aksi takdirde kurumsal verilerin bütünlüğü sağlanamamış ve kurum ciddi bir güvenlik açığı vermiş olacaktır.
Erişilebilirlik ilkesi, bilginin her an ulaşılabilir ve kullanılabilir olmasını gerektirmektedir. Bu ilkenin sağlanması için yetkili kullanıcıların sisteme ve veriye istedikleri her an ulaşabiliyor olmaları gerekir. Buradaki temel amaç, bilişim sistemlerinin yetkili kullanıcıların erişimine açık olması ve kendilerinden beklenen performansları sürekli ve eksiksiz şekilde yerine getirmesidir.
Bilişim sistemlerinin erişilebilirliği sadece kurum içi veya dışından gelecek saldırılar sonucunda etkilenmez. Bilinçsiz, yanlış ve dikkatsiz kullanımlar sonucu yazılımlar çökebilir, donanım zarar görebilir veya yangın, yıldırım, deprem gibi doğal afetler de erişilebilirliğe büyük zararlar verebilir.
Erişilebilirlik ilkesi bireysel olarak ele alındığında, herhangi bir sisteme veya web sitesine girilmiş olan bilgi ve verilere istediğiniz an ulaşıp kontrol etmeniz söz konusudur. Gerektiğinde bu bilgileri sistemin izin verdiği ölçüde güncelleyebilmeniz de bu kapsamdadır.
Kurumsal anlamda erişilebilirlik ise kurumdaki yetkilendirilmiş kişilerin her türlü bilgi ve veriye istedikleri zaman erişip, bu bilgileri istedikleri çalışan veya müşteri ile paylaşabilmelerini gerektirir.
Temel ilkeleri tamamlayan izlenebilirlik ilkesi, sistemde gelişen tüm olayların daha sonra incelenebilecek şekilde kayıt altında olması ile ilgilidir. Sisteme saldırı, virüs bulaşması veya kullanıcı hatasından kaynaklanan çökmelerde sistem verilerine yeniden ulaşılabilmesi için kullanıcı girişleri, e-postalar ve servis etkinlikleri kayıt altında tutulmalıdır.
Kimlik sınaması ilkesi, sistemi kullanmak üzere yetkilendirilen kişinin sistem sorguladığında aynı kişi olduğunu belgelemesi ile ilgilidir. Parola sorgulamaları ve günümüzdeki parmak izi, biyometrik kimlik tanıma uygulamaları bu güvenliği artırır.
Güvenilirlik ilkesi, sistemin öngörülen performansı ile ortaya çıkan sonuçların tutarlılığı ile ilgilidir. Sistem ve uygulamaların kullanıcılara hep aynı şekilde tutarlı cevap vermesi beklenir.
İnkar edememe ilkesi ise bilgi paylaşan tarafların kimliklerini doğrulamaları ve gönderilen/alınan verileri inkar edememeleri demektir. İki sistem arasındaki veri paylaşımında gönderenin gönderdiğini, alıcının aldığını inkar edememesi özellikle internet bankacılığında hayati önem taşır.
Bilgisayar sistemlerine zarar vermek, bilgi çalmak, kötü amaçla kullanmak ve kullanıcıları rahatsız etmek için hazırlanan yazılımlara genel olarak kötü amaçlı yazılımlar (malware) denir. Bu yazılımlar kullanıcıların onayı olmadan sisteme yüklenir ve virüsler, solucanlar, truva atları, casus yazılımlar ile çöp e-postalar olarak sınıflandırılır.
Virüsler, kullanıcının izni olmaksızın sistemin işleyişini değiştiren ve kendisini diğer programların içine gizleyen programlardır. Temel iki işlevi kendilerini çoğaltmak ve belirli bir zamanda harekete geçmektir. Etkili oldukları alanlara göre dosya sistemi, ön yükleme, makro, web komut dosyası, ağ virüsleri ve yazılım bombaları olarak ayrılırlar.
Dosya sistemi virüsleri .exe veya .com uzantılı çalıştırılabilir dosyalara bulaşır. Ön yükleme virüsleri sabit diskin Master Boot Record (MBR) bölümünü etkiler. Makro virüsleri Word, Excel gibi programların makro komut setlerine bulaşarak hızla yayılır.
Web komut dosyası virüsleri tarayıcılar ve web sayfaları aracılığıyla bulaşırken, ağ virüsleri yerel ağlar veya internet üzerinde paylaşılan kaynaklar üzerinden tüm ağı etkiler. Yazılım bombaları ise belli şartlar oluşana dek uyuyarak bekleyen ve sonra aktifleşen zararlılardır.
Solucanlar, işletim sistemlerinin açıklarını kullanarak ağ üzerinden bulaşan zararlılardır. Virüslerden farklı olarak yayılmak için kullanıcının bir dosyayı çalıştırmasına gerek yoktur; ağları tarayarak güvenlik açığı buldukları sisteme kendi kendilerine girerler ve bant genişliğini tüketerek yavaşlamalara neden olurlar.
Truva atları (Trojan), kendilerini faydalı bir yazılım gibi göstererek kullanıcıları kandırır. İki dosya içerirler: biri kullanıcının indirdiği yararlı dosya, diğeri ise arka planda çalışan zararlı programdır. Sistemde açık bir kapı (port) açarak korsanların şifrelere ve banka bilgilerine ulaşmasını sağlarlar.
Casus yazılımlar (Spyware/Adware), tarayıcı açıkları veya bedava oyun/ekran koruyucu gibi güvenilir olmayan programlarla bulaşır. Şifreleri ve kredi kartı numaralarını çalarak merkezî bir sunucuya iletir ve sisteme çöp e-posta (spam) yağmasına yol açar.
Çöp e-posta (Spam), kullanıcıların isteği olmadan toplu halde gönderilen reklam, propaganda veya dolandırıcılık amaçlı yığın mesajlardır. Adreslerin ele geçirilmesi ve virüsler aracılığıyla yayılırlar.
Bilgisayarları zararlı yazılımlardan korumanın en temel yolu etkili bir antivirüs ve casus önleyici (antispyware) programı kurmaktır. Bu programlar arka planda sürekli çalışarak dosyaları denetler, yeni tehditler için güncellenir ve harici belleklerden gelebilecek sızmaları engeller.
Antivirüs programlarının yanı sıra kullanıcıların lisanslı yazılım kullanması, işletim sistemi güncellemelerini ve yamalarını zamanında yapması, düzenli sistem taramaları ve veri yedeklemeleri yapması hayati öneme sahiptir. Şüpheli e-posta ekleri ve bilinmeyen sitelerden dosya indirmekten kaçınılmalıdır.
Kişisel güvenlik duvarı (Firewall), internet üzerinden gelen ve giden veri trafiğini kullanıcının belirlediği kurallar çerçevesinde denetleyen donanım veya yazılım tabanlı koruma katmanıdır. Evimizin kapısına benzer şekilde, izinsiz ağ bağlantılarını ve sızma girişimlerini bloke eder.
Antivirüs programı sistem içindeki zararlı dosyaları tarayıp silerken, güvenlik duvarı dış ağdan gelen saldırıları ve port taramalarını engeller. Tam güvenlik için her ikisinin de birlikte çalışması gereklidir.
İnternet özgürlük ve sınırsız bilgi kaynağı olduğu kadar yanlış bilgi, yönlendirme ve tuzakların da merkezidir. İnternette karşılaşılan bilgilerin çoğu anonimdir ve belirli bir kaynağı yoktur. Özellikle sağlık, hukuk ve yaşam gibi kritik konularda kaynağı belirsiz bilgilere körü körüne güvenmek büyük sorunlara yol açabilir.
Güvenilir bilgiye ulaşmak için bilginin yazarının veya kaynağının güvenilir bir kurum/kişi olup olmadığı, farklı kaynaklarca doğrulanıp doğrulanmadığı ve güncelliği sorgulanmalıdır. Edu ve gov uzantılı akademik ve resmi siteler tercih edilmeli, editör veya hakem denetiminden geçmiş içerikler aranmalıdır.
E-ticaret, internet üzerinden yapılan alışverişleri kapsar ve en büyük risk ödeme bilgilerinin başkalarının eline geçmesidir. Ancak bu risk günlük hayatta kredi kartını garsona vermekten daha düşüktür. Kurumlar güvenliği sağlamak için SSL ve SET standartlarını kullanır.
SSL (Secure Sockets Layer) istemci ve sunucu arasında kimlik doğrulama ve şifrelenmiş veri akışı sağlar. SET (Secure Electronic Transaction) ise çevrimiçi kredi kartı ödemelerinde müşteri, satıcı ve banka arasındaki gizliliği güvence altına alır.
Sosyal ağlar, kişilerin sanal bir toplum yaşamı içinde kendilerini ifade etmesine ve paylaşımda bulunmasına olanak tanır. Ancak yanlış kullanım kişisel ve kurumsal itibarı zedeleyebilir. Üye olurken tüm kişisel bilgilerin paylaşılmasından kaçınılmalı ve gizlilik ayarları yapılmalıdır.
Özel fotoğrafların paylaşımında kimlerin görebileceği denetlenmeli, ödül veya cazip teklifler içeren sahte bağlantılara tıklanmamalıdır. Başkalarının kişisel bilgileri asla izinsiz paylaşılmamalıdır.
Çalışılan kurumun politikalarına ve yöneticilerine karşı hakarete varacak eleştirilerden kaçınılmalıdır. Çünkü sosyal medyadaki paylaşımlar kişisel olsa bile bireyler çalıştıkları kurumun temsilcisi konumundadır ve bu yorumlar yasal delil olarak kullanılabilir.
Siyaset, spor, din ve terör gibi hassas konularda paylaşım yaparken çok dikkatli olunmalı, çok sinirli veya üzgün anlarda yorum yapmaktan kaçınılmalıdır. Telif haklarına riayet edilmeli ve saldırıdan uzak, sorumlu bir dijital vatandaşlık sergilenmelidir.
Etik, insanların eylemlerini oluşturan ahlak öğretilerinin tümüdür ve doğruyla yanlışı, iyiyle kötüyü ayırt etmede bir rehberdir. Bilişim etiği ise bilgisayar dünyasında insan davranışlarını inceleyen, yazılı olan ve olmayan kuralları tanımlayan bir alt alandır.
Bilişim, bilgi olgusunu saklama, işleme, aktarma ve kullanma yöntemlerini toplum yararı gözeterek inceleyen uygulamalı bilim dalıdır. Etik, ahlak üzerine düşünebilme etkinliği olup normatif ahlakı içerirken; ahlak, toplumca benimsenen törel davranış kurallarının toplamıdır.
Hukuk, insan ve kurum eylemlerini yasalara uygunluk açısından inceler; hak, adalet ve eşitlik gibi ahlaki normlara dayanır. Napolyon Bonapart'ın belirttiği gibi ahlakın olmadığı yerde hukuk hiçbir şey yapamayacağı için etik kuralların içselleştirilmesi çok önemlidir.
Bilişim ve internet alanında her bilginin 'herkese ait' olduğu ön kabulü yaygın bir yanılgıdır. Bu nedenle bilişim etiği ve bilişim hukuku kuralları günümüzde büyük bir hızla gelişmekte ve güncellenmektedir.