Günümüz iş dünyasında bilgi sistemlerinin kesintisiz ve güvenli çalışması, ticari faaliyetlerin sürdürülebilirliği açısından hayati bir öneme sahiptir. Güvenlik duvarı veya anti virüs yazılımı gibi temel koruma mekanizmaları bulunmayan bir bilgisayar, internete doğrudan bağlandığı andan itibaren saniyeler içinde dış tehditlerin sızma girişimlerine maruz kalabilir ve kullanılamaz hale gelebilir. Bu tür bir güvenlik zafiyeti, işletmelerin müşterilerine ürün satamamasına, sipariş alamamasına ve nihayetinde telafisi imkansız finansal kayıplara uğramasına yol açar.
Verilerin basılı kopyalar yerine elektronik formda saklanması, onları çok daha fazla ve karmaşık tehditlerle karşı karşıya bırakmaktadır. Modern iletişim ağları sayesinde farklı coğrafi yerleşkelerdeki bilgi sistemleri birbirine sıkı sıkıya bağlıdır. Bu durum, yetkisiz erişim, kötüye kullanım ve sahtekarlık gibi tehditlerin tek bir merkezle sınırlı kalmayıp, ağın herhangi bir noktasında ortaya çıkabilmesine neden olur. Tehditler; kullanıcı katmanındaki hatalardan, iletişim hatlarındaki veri hırsızlığından, kurumsal sunuculardaki yazılım açıklarından ve veri tabanlarındaki yetkisiz değişikliklerden beslenmektedir.
Sistemlerin güvenliğini tehdit eden unsurlar sadece dış kaynaklı siber saldırılarla sınırlı değildir. Bilgisayar donanımlarının yanlış yapılandırılması, programlama hataları, uygunsuz kurulumlar veya yetkisiz yazılım değişiklikleri de sistemlerin kararsız çalışmasına yol açar. Bunlara ek olarak; güç kesintileri, sel baskınları, yangınlar gibi doğal afetler ile mobil cihazların (akıllı telefonlar, tabletler, dizüstü bilgisayarlar) çalınması veya kaybedilmesi gibi fiziksel riskler de hassas kurumsal verilerin üçüncü şahısların eline geçmesine zemin hazırlar.
İnternet, yapısı gereği herkese açık ve devasa boyutlarda bir ağ olduğu için yerel ağlara kıyasla siber saldırılara ve sızıntılara çok daha fazla açıktır. Özellikle internet bağlantılarında sabit (statik) IP adresi kullanan şirketler, saldırganlar için kalıcı ve değişmeyen bir hedef haline geldiklerinden dolayı çok daha büyük bir risk altındadırlar. Özel bir teknik gereksinim bulunmadığı sürece, organizasyonların dinamik IP adresi kullanan bağlantıları tercih etmesi güvenlik risklerini azaltacaktır.
İnternet tabanlı telefon servisleri (VoIP), e-posta, anlık mesajlaşma ve noktadan noktaya (P2P) dosya paylaşım servisleri de ciddi güvenlik açıkları barındırmaktadır. Birçok internet tabanlı telefon ve popüler anlık mesajlaşma yazılımı, verileri iletirken şifreleme kullanmaz. Bu durum, ağ trafiğini izleyen üçüncü şahısların kurumsal görüşmeleri ve hassas yazışmaları kolayca dinlemesine ve kaydetmesine olanak tanır. Ayrıca, e-posta ekleri ve dosya paylaşım platformları, kurumsal ağlara sızmak için tasarlanmış zararlı yazılımların yayılmasında birer taşıyıcı görevi üstlenir.
Kablosuz ağlar (Wi-Fi), radyo frekansları üzerinden veri ilettiği için fiziksel sınırların ötesinden taranabilir ve dinlenebilir durumdadır. Saldırganlar; dizüstü bilgisayarlar, kablosuz ağ kartları ve özel yazılımlar kullanarak korunmasız ağları tespit edip trafiğini izleyebilirler. Kablosuz ağ güvenliğinde yaygın olarak kullanılan WEP (Wired Equivalent Privacy) protokolü, 40 bitlik zayıf şifreleme anahtarı yapısı nedeniyle kolayca kırılabilmektedir. Bu nedenle, günümüzde çok daha güçlü bir doğrulama ve şifreleme sunan WPA2 (Wi-Fi Protected Access) protokolünün tercih edilmesi gerekmektedir.
Zararlı yazılımlar (malware); bilgisayar virüsleri, solucanlar, Truva atları, yazılım bombaları, rootkitler ve casus yazılımlar gibi geniş bir yelpazedeki tehditleri kapsar. Virüsler, kullanıcıların bilgisi ve izni olmaksızın kendilerini çalıştırılabilir dosyalara veya yazılımlara ekleyen ve aktif olabilmek için mutlaka bir konak (taşıyıcı) programa ihtiyaç duyan kod parçalarıdır. Dosya virüsleri, ön yükleme sektörü virüsleri, platform bağımsız çalışan makro virüsleri ve ağ protokollerini kullanan ağ virüsleri gibi farklı türleri mevcuttur.
Solucanlar (worms), virüslerin aksine çalışabilmek veya yayılabilmek için herhangi bir konak programa ihtiyaç duymayan, ağ üzerinde kendilerini bilgisayardan bilgisayara kopyalayarak çoğalan bağımsız yazılımlardır. Solucanlar ağ trafiğini aşırı derecede tüketerek tüm sistemlerin çökmesine neden olabilirler. Truva atları (Trojans) ise kullanıcılara faydalı bir yazılım süsü verilerek sunulan, ancak arka planda virüs ve solucanların sisteme sızabilmesi için açık kapı (backdoor) oluşturan aldatıcı programlardır.
Günümüzün en tehlikeli saldırı yöntemlerinden biri de kötü kodlanmış web uygulamalarındaki veri doğrulama eksikliklerinden yararlanan SQL sızma (SQL Injection) saldırılarıdır. Bu açıklar sayesinde saldırganlar, şirketin veri tabanında yetkisiz sorgular çalıştırarak kritik bilgileri ele geçirebilirler. Ayrıca, kullanıcıların bilgisayarlarına gizlice kurularak web trafiğini izleyen casus yazılımlar ve klavyede basılan her tuşu kaydeden keyloggerlar, şifrelerin ve kişisel verilerin çalınmasında etkin rol oynarlar.
Bilgisayar korsanları (hackerlar), sistemlerin güvenlik açıklarını istismar ederek yetkisiz erişim sağlayan kişilerdir. Korsanların faaliyetleri; siber vandalizmden (web sitelerinin içeriklerinin değiştirilmesi veya bozulması), gizli kurumsal bilgilerin çalınmasına ve sistemlerin DDoS saldırıları için köle bilgisayarlar (botnet) haline getirilmesine kadar uzanır. Kimliklerini gizlemek için sahte e-posta hesapları ve aldatıcı web sayfaları kullanan saldırganlar, kullanıcıları yemleme (phishing) yöntemleriyle tuzağa düşürerek kişisel ve finansal bilgilerini ele geçirirler.
Servis dışı bırakma (DoS ve DDoS) saldırıları, sunuculara veya ağ cihazlarına kısa sürede yanıt veremeyecekleri kadar yoğun istek paketi göndererek sistemlerin çalışamaz hale getirilmesini amaçlar. Bu saldırılar kurumsal verileri doğrudan tahrip etmez veya çalmaz; ancak saldırı süresince web sitelerinin ve dijital hizmetlerin tamamen devre dışı kalmasına yol açarak büyük prestij ve gelir kayıplarına neden olur.
Bilgi sistemleri güvenliğindeki en büyük risk faktörlerinden biri de organizasyonun kendi çalışanları, yani iç tehditlerdir. Araştırmalar, güvenlik zafiyetlerinin önemli bir kısmının çalışanların eksik bilgiye sahip olmasından ve şifrelerini iş arkadaşlarıyla paylaşmalarından kaynaklandığını göstermektedir. Saldırganların, çalışanları manipüle ederek veya takip ederek gizli şifreleri ve erişim bilgilerini ele geçirme sürecine 'sosyal mühendislik' adı verilir. Yazılım hataları ve güncellenmeyen işletim sistemleri de bu süreçte saldırganların işini kolaylaştıran diğer unsurlardır.
Bilgi sistemlerinin güvenliği, sadece teknolojik araçların satın alınmasıyla sağlanamaz; organizasyonel düzeyde etkin politika ve kontrollerin hayata geçirilmesi gerekir. Bilgi sistemleri kontrolleri genel kontroller ve uygulama kontrolleri olmak üzere ikiye ayrılır. Genel kontroller; donanım, yazılım ve veri güvenliği gibi tüm bilgi sistemleri altyapısını kapsayan tasarımsal önlemlerdir. Uygulama kontrolleri ise girdi, işlem ve çıktı kontrolleri olarak sınıflandırılan, sadece belirli bir işleme (örneğin ödeme adımı) odaklanan özel denetim mekanizmalarıdır.
Risk yönetimi, güvenlik yatırımlarının optimize edilmesi açısından kritik bir süreçtir. Bilgi sistemleri yöneticileri, korunacak varlıkların değerini ve olası bir veri kaybı durumunda şirketin uğrayacağı zararı analiz etmelidir. Bu analiz doğrultusunda maliyet/kazanç dengesi kurulmalıdır; örneğin, 1.000 TL değerindeki bir riski engellemek için 20.000 TL yatırım yapmak mantıklı değilken, 500.000 TL'lik bir kaybı önlemek için 100.000 TL harcamak son derece rasyonel bir karardır.
Güvenlik politikası, bilgi risklerinin değerlendirilmesini ve bu risklere karşı alınacak önlemleri içeren kapsamlı bir kılavuzdur. Bu politikanın bir parçası olan 'Kabul Edilebilir Kullanım Politikası Sözleşmesi', çalışanların kurumsal bilgisayar, internet ve telefon gibi kaynakları hangi sınırlar dahilinde kullanabileceğini netleştirir. Ayrıca, elektrik kesintisi, deprem veya siber saldırı gibi kriz anlarında sistemlerin hızla geri yüklenmesini amaçlayan 'Felaket Kurtarma Planları' ile iş süreçlerinin öncelik sırasına göre devam etmesini sağlayan 'İş Sürekliliği Planları' mutlaka hazırlanmalıdır.
Organizasyonlar, siber tehditlere karşı çok katmanlı bir savunma hattı oluşturmak için çeşitli teknolojilerden yararlanırlar. Bu teknolojilerin başında, özel ağlar ile internet gibi dış ağlar arasına yerleştirilen ve gelen-giden trafiği önceden tanımlanmış kurallara göre denetleyen 'Güvenlik Duvarları' (Firewalls) gelir. Güvenlik duvarlarına ek olarak, ağ trafiğindeki ve uygulama katmanındaki sıra dışı hareketleri 24 saat boyunca izleyerek olası saldırıları tespit eden ve alarm üreten 'Saldırı Tespit Sistemleri' (IDS) kullanılır.
Maliyetleri düşürmek ve yönetimi kolaylaştırmak amacıyla; güvenlik duvarı, sanal özel ağ (VPN), saldırı tespit sistemi ve web içerik filtreleme gibi araçları tek bir donanımda birleştiren 'Bütünleşik Tehdit Yönetim Sistemleri' (UTM) yaygınlaşmıştır. Bununla birlikte, hem saklanan hem de ağ üzerinden transfer edilen verilerin gizliliğini korumak için şifreleme (encryption) teknolojileri kullanılır. Şifreleme işlemlerinde simetrik anahtar şifrelemesi veya daha güvenli olan, matematiksel olarak ilişkili iki farklı anahtarın kullanıldığı genel anahtar şifrelemesi tercih edilir.
Web trafiğinin güvenliğini sağlamak için SSL (Secure Socket Layer) ve S-HTTP protokolleri kullanılır. SSL, iletişimi soket seviyesinde ve uygulamadan bağımsız olarak şifreleyip güvenli bir kanal oluştururken; S-HTTP, iletilen her mesajı ayrı ayrı şifreler. Çevrimiçi işlemlerin güvenliğini doğrulamak ve kullanıcı kimliklerini onaylamak için ise VeriSign, Comodo ve IdenTrust gibi güvenilir otoriteler tarafından dağıtılan dijital sertifikalar kullanılır.