Ünitenin tamamını tek sayfada görPremium
Bilgi ve iletişim teknolojilerinin hızlı gelişimi, bireylerin ve kurumların küresel ölçekte birbirine bağlı olduğu dijital bir yaşam ortamı oluşturmuştur. İnternet, mobil cihazlar, bulut bilişim sistemleri ve bilgisayar ağları sayesinde büyük miktarda bilgi çok kısa sürede geniş kitlelere ulaşabilmekte; eğitimden sağlığa, finanstan kamu hizmetlerine kadar pek çok alanda dijital sistemler aktif olarak kullanılmaktadır. Ancak bilgiye erişimin bu denli kolaylaşması, siber saldırılar, veri ihlalleri, kimlik hırsızlığı ve sistem kesintileri gibi ciddi güvenlik tehditlerini de beraberinde getirmiştir.
Bilişim güvenliği, dijital ortamda kullanılan bilgi, veri ve sistemlerin korunmasına yönelik teknik, idari ve hukuki önlemler bütününü ifade eder. Bu alan yalnızca antivirüs yazılımlarından veya güvenlik duvarlarından ibaret olmayıp risk analizi, güvenlik politikalarının oluşturulması, kullanıcı farkındalığının artırılması ve yasal düzenlemelerin uygulanması gibi çok boyutlu süreçleri kapsar. Dolayısıyla bilişim güvenliği; bilgisayar mühendisliği, hukuk, yönetim bilimleri ve davranış bilimleri gibi çeşitli disiplinlerle sürekli etkileşim içinde bulunan disiplinler arası bir alandır.
Bilişim güvenliğinin temel amacı; dijital ortamlarda üretilen, işlenen ve depolanan verilerin gizliliğini, bütünlüğünü ve erişilebilirliğini güvence altına almaktır. Bu kapsamda verinin yetkisiz erişimlere karşı korunması, doğruluk ve tutarlılığının sürdürülmesi ile ihtiyaç duyulduğu anda erişilebilir olması temel hedefler arasında yer almaktadır. Sistemlerin güvenilir, kesintisiz ve sürdürülebilir biçimde çalışmasının sağlanması da bilişim güvenliğinin ayrılmaz bir unsurudur.
Bilişim güvenliği genel olarak üç ana ilke etrafında şekillenir: Gizlilik, bütünlük ve erişilebilirlik. Bir bilgi sisteminin güvenli kabul edilebilmesi için bu temel üç ilkenin birlikte ve dengeli biçimde sağlanması gerekir. İlkelerden herhangi birinin eksik olması, sistemin genel güvenliğini zayıflatır. Gizlilik ilkesi bilginin yalnızca yetkili kişiler tarafından erişilebilir olmasını sağlarken; bütünlük ilkesi verinin doğruluğunu ve değişmeden korunmasını güvence altına alır. Erişilebilirlik ise yetkili kullanıcıların ihtiyaç duydukları anda bilgiye ulaşabilmesini ifade eder.
Bu üç temel ilkeye ek olarak güvenliği destekleyici ve tamamlayıcı ilkeler de bulunmaktadır. Bunlar güvenirlik, izlenebilirlik, kimlik sınama ve inkâr edememe ilkeleridir. Güvenirlik sistemin tutarlı ve hatasız çalışmasını ifade ederken, izlenebilirlik yapılan işlemlerin kayıt altına alınmasını sağlar. Kimlik sınama sisteme erişen kişinin gerçekten iddia ettiği kişi olup olmadığını doğrularken, inkâr edememe ilkesi gerçekleştirilen işlemlerin sonradan reddedilememesini güvence altına alır.
Etkili bir güvenlik politikası, yalnızca tek bir ilkeye odaklanmak yerine gizlilik, bütünlük ve erişilebilirlik başta olmak üzere tüm ilkeleri dengeli ve entegre bir biçimde ele alan bütüncül bir yaklaşımı gerektirir. Bu kapsamlı yaklaşım, hem bireysel kullanıcıların hem de kurumların dijital ortamlarda riskleri azaltarak daha güvenli, sürdürülebilir ve kontrollü bir şekilde faaliyet göstermelerine imkân tanır.
Gizlilik ilkesi, bilginin yalnızca yetkili kişiler tarafından erişilebilir olmasını ifade eder ve iki farklı açıdan ele alınır: Veri gizliliği ve kullanıcı gizliliği. Veri gizliliği, özel veya gizli nitelikteki bilgilerin yetkisiz kişiler tarafından görülmesini, kopyalanmasını veya kullanılmasını engellemeyi amaçlar. Bu kapsamda erişim kontrol listeleri, kullanıcı yetkilendirme mekanizmaları, güçlü parola politikaları, çok faktörlü kimlik doğrulama ve şifreleme yöntemleri temel koruma araçları olarak kullanılır. Kullanıcı gizliliği ise kullanıcıya ait verilerin nasıl toplandığı, hangi amaçlarla işlendiği ve kimler tarafından erişilebildiği üzerinde kullanıcının söz sahibi olmasını ifade eder.
Bütünlük ilkesi, bilginin doğruluğunun, tutarlılığının ve güvenilirliğinin korunmasını ifade eder. Verinin yetkisiz kişiler tarafından değiştirilmesi, silinmesi, ekleme yapılması ya da herhangi bir şekilde bozulması bütünlük ilkesinin ihlali anlamına gelir. Bütünlük kavramı da iki boyutta ele alınır: Veri bütünlüğü (saklanan ya da iletilen verilerin orijinal hâlinin korunması) ve sistem bütünlüğü (bilgi sistemlerinin dış müdahalelere karşı korunarak tasarlandığı şekilde çalışması). Hatalı ya da değiştirilmiş bilgi, kaybolmuş bilgi kadar ciddi ve telafisi güç sonuçlar doğurabilmektedir.
Erişilebilirlik ilkesi, bilgi ve sistemlerin yetkili kullanıcılar tarafından ihtiyaç duyulduğu anda ve kesintisiz biçimde kullanılabilir olmasını ifade eder. Sistem arızaları, donanım hataları, yazılım problemleri, doğal afetler veya siber saldırılar nedeniyle veriye erişimin engellenmesi erişilebilirlik ilkesinin ihlali anlamına gelir. Erişilebilirliğin sağlanabilmesi için yedekleme sistemleri, kesintisiz güç kaynakları (UPS), yedek sunucular, felaket kurtarma planları ve düzenli sistem bakım çalışmaları gibi teknik ve idari önlemler uygulanır.
Günümüzde bilgisayarlar, tabletler ve akıllı telefonlar internet ve yerel ağlar üzerinden sürekli iletişim hâlindedir. Bu durum, büyük veri kümelerinin oluşmasını sağlarken aynı zamanda güvenlik açıklarının da artmasına neden olmuştur. Bilgisayar sistemleri ve ağların güvenliğini sağlamak için, bu sistemleri tehdit eden unsurların iyi bilinmesi gerekir. Bu tehditlerin başında, kullanıcıların bilgisi dışında çalışan zararlı yazılımları ifade eden kötü amaçlı yazılımlar (malware) gelmektedir.
Kötü amaçlı yazılımlar; verilerin silinmesine, değiştirilmesine, gizli bilgilerin ele geçirilmesine veya sistemlerin çalışamaz hâle gelmesine neden olabilir. Bu yazılımlar genel olarak kullanıcıya ait gizli bilgileri ele geçirmek, sistem kaynaklarını izinsiz kullanmak, verileri bozmak veya silmek, sistemin çalışmasını yavaşlatmak ya da durdurmak ve başka sistemlere saldırı düzenlemek için aracı olmak gibi amaçlara hizmet eder.
Kötü amaçlı yazılımlar farklı tür ve yöntemlerle ortaya çıkabilir. Virüsler, solucanlar, truva atları, casus yazılımlar ve istenmeyen e-postalar (spam) bu tehditlerin başlıca örnekleridir. Virüsler etki ettikleri sistem alanlarına göre; çalışan program dosyalarına bulaşan Dosya Sistem Virüsleri, bilgisayarın açılış alanına yerleşen Ön Yükleme (Boot) Virüsleri, ofis yazılımlarındaki makro komutları içine gizlenen Makro Virüsleri, web sayfaları veya betik dosyaları aracılığıyla yayılan Komut Dosyası Virüsleri, ağ üzerinden hızla yayılan Ağ Virüsleri ve belirli bir koşul gerçekleşene kadar pasif hâlde bekleyen Yazılım Bombaları olarak sınıflandırılır.
Bilgisayar sistemlerini kötü amaçlı yazılımlardan korumanın en temel yollarından biri, güncel ve güvenilir bir antivirüs yazılımının kullanılmasıdır. Antivirüs programları, sistemdeki zararlı yazılımları tespit ederek etkisiz hâle getirir ve bazı durumlarda bu yazılımların sisteme bulaşmasını daha gerçekleşmeden engeller. Ancak etkili bir koruma için antivirüs yazılımının düzenli olarak güncellenmesi gerekmektedir.
Casus yazılımlar, kullanıcıdan habersiz şekilde çalışan ve kişisel ya da kurumsal bilgileri izinsiz olarak toplayarak üçüncü kişilere iletebilen zararlı yazılımlardır. Bu tür tehditlere karşı geliştirilen casus önleyici (antispyware) yazılımlar, bilgisayar sistemlerine sızmaya çalışan veya sisteme bulaşmış olan casus yazılımları tespit etmeyi ve etkisiz hâle getirmeyi amaçlar. Bu yazılımlar genellikle sistem açıldığı anda arka planda çalışmaya başlar ve kullanıcı herhangi bir işlem yaparken sistemde gerçekleşen faaliyetleri sürekli olarak denetler.
Kötü amaçlı yazılımlara karşı korunmada kullanıcıların günlük bilgisayar ve internet kullanım alışkanlıkları da büyük rol oynar. Tanımadık kişilerden gelen e-posta eklerinin açılmaması, güvenilirliği şüpheli bağlantılara tıklanmaması, kaynağı bilinmeyen yazılımların sisteme kurulmaması, harici depolama aygıtlarının (USB bellek vb.) doğrudan açılmadan önce taranması ve düzenli olarak veri yedeklemesi yapılması alınabilecek en etkili önlemler arasında yer alır.
Geleneksel alışverişte alıcı, ürünü satan kişiyi ve satış ortamını doğrudan görürken, e-ticarette bu fiziksel temas ortadan kalkar ve süreç tamamen dijital ortamda gerçekleşir. E-ticaret siteleri, kullanıcıların paylaştığı bilgileri koruyabilmek için veri iletimini şifreleyerek gerçekleştirir. Bu amaçla geliştirilen en yaygın güvenlik teknolojisi Güvenli Soket Katmanı (SSL) altyapısıdır. SSL, kullanıcı ile e-ticaret sitesi arasındaki iletişimi güvenli bir kanala dönüştürür. Kredi kartı ile yapılan işlemler ise daha yüksek güvenlik gerektirdiğinden, ödeme sürecinde kullanıcı, e-ticaret sitesi ve banka arasındaki bilgi akışını ayrı ayrı şifreleyen Güvenli Elektronik İşlem (SET) teknolojisi kullanılır.
Sosyal ağ platformları ise günümüzde bireylerin iletişim kurma ve bilgi paylaşma biçimlerini köklü şekilde değiştirmiştir. Ancak bu platformlar bilinçsiz kullanım durumunda ciddi güvenlik ve gizlilik sorunlarına yol açabilir. Sosyal ağlarda güvenlik, büyük ölçüde kullanıcının paylaştığı bilgilere bağlıdır. Üyelik aşamasında gereğinden fazla kişisel bilginin paylaşılması, kullanıcıyı kimlik hırsızlığı, dolandırıcılık veya sosyal mühendislik saldırılarına açık hâle getirebilir.
Sosyal ağlarda paylaşılan fotoğraf ve içeriklerin güvenliği için gizlilik ayarlarının gözden geçirilmesi ve içeriğin kimler tarafından görüntülenebileceğinin sınırlandırılması gerekir. Ayrıca, sosyal ağlar üzerinden gönderilen cazip bağlantılara tıklanmamalı ve indirilen dosyalar mutlaka antivirüs yazılımları ile taranmalıdır. Sosyal ağlarda başkalarına ait kişisel bilgilerin izinsiz paylaşılmaması hem hukuki hem de etik sorumlulukların bir gereğidir.