Bilgi Güvenliği ve Yönetimi

Bilgiyi izinsiz erişimden ve kullanımdan korumak, bilginin ifşa edilmesini, bozulmasını, değiştirilmesini veya imha edilmesini engellemek amacıyla yürütülen çalışmalardır. Genel olarak bilgiyi korumaya yönelik tüm çalışma ve uygulamalar bilgi güvenliği olarak adlandırılmaktadır. Örgütlerin riskleri azaltmaları ve iş sürekliliğini sağlamaları için güvenli bir bilgi sistemi inşa etmeleri ve bilgilerini her türlü tehlikeden ve tehditten korumaları gerekmektedir.

Bilgilerin gizliliğini, bütünlüğünü ve erişilebilirliğini korumaktır. Bu prensiplerden birinin zarar görmesi ise güvenlik açığı anlamına gelmektedir.

Çalışanların ve müşterilerin bilgilerinin, işletmenin finansal bilgilerinin vb. gizliliğinin sağlanması stratejik önemdedir. Bilgileri saklarken ve aktarılırken gizliliği sağlamanın önemli bir yolu şifreleme (encryption) işlemidir. Şifreleme işlemi ile bilgiler okunamayan kodlara dönüştürülmekte ve sadece bilgiyi görüntüleme yetkisi olan kişilerce kullanılabilmektedir. Bilgi gizliliğini sağlamanın bir başka yolu da erişim kontrolleridir. Bilginin korunması ve sadece yetkili kişilerin bilgiye erişimlerini sağlamak amacıyla bilgi sistemlerine giriş için bir şifre ya da kod girilmesi şeklinde gerçekleşmektedir. Bir bilgisayar sistemine erişmek için kullanıcıdan şifre istenmesi erişim kontrolüne örnektir. 

• Bilgi güvenliği örgütün iş hedeflerini veya misyonunu desteklemelidir.
• Bilgi güvenliği uygun maliyetli olmalıdır.
• Örgütler, çalışanların ve yöneticilerin bilgi güvenliğine ilişkin sorumluluklarının açıkça tanımlandığı bir bilgi güvenliği politikasına sahip olmalıdır.
• Etkili bir bilgi güvenliği için kapsamlı ve entegre bir yaklaşım benimsenmelidir.
• Bilgi güvenliği dinamik ve değişen bir süreçtir. Bu açıdan bilgi güvenliğinin sağlanması için sistem düzenli değerlendirilmeli; değişen ihtiyaç ve hedefler doğrultusunda
gerekli değişiklikler yapılmalıdır.
• Bilgi güvenliği örgüt kültürüne uygun şekilde inşa edilmeli; örgütün bazı alt birimlerine kendilerine özgü ihtiyaçlarını karşılayabilecekleri değişiklikler yapma özgürlüğü tanınmalıdır.

Bütünlük, bilgi sistemleri ve bu sistemdeki verilerin doğru olduğu, sistem içindeki verilerde izinsiz değişiklik yapılamadığı anlamına gelmektedir. Bütünlüğü korumak için bilgilerin sisteme doğru şekilde girilip girilmediğinin, dosyalar üzerinde sadece yetkili kullanıcıların işlem yetkisine sahip olup olmadığının kontrol edilmesi gerekmektedir. Antivirüs yazılımları da bilginin bütünlüğünü korumak açısından kullanılması gereken uygulamalardandır. Antivirüs yazılımlarla sisteme zarar verebilecek ya da verileri tahrip edebilecek virüslerin varlığı kontrol edilerek bilgi sisteminin bütünlüğü korunabilmektedir.

Bilgi sistemleri açısından pek çok güvenlik açığı türü bulunmaktadır. Bunlar dört genel kategoride toplanabilir.

1. İnsanlar ile ilgili güvenlik açıkları

2. Süreçler ile ilgili güvenlik açıkları

3. Tesis ile ilgili güvenlik açıkları

4. Teknoloji ile ilgili güvenlik açıkları

Güvenlik tehditlerini dört kategoride ele almak mümkündür.

1.İnsanlardan kaynaklanan tehditlerdir. Bu tehditler bazen kurum içinde çalışan personelden kaynaklanabileceği gibi bazen de kurum dışı saldırganlardan kaynaklanabilmektedir.

2. Doğa olayları ve doğal afetlerdir. Deprem, yangın, su baskını vb. kontrol edilemeyen bu tür olaylar örgütler için öngörülemeyen ve kontrol edilmesi oldukça zor tehditlerdir.

3.  Teknolojik ve operasyonel tehditlerdir. Bu tehditler bilgi sistemlerinin içinde bilgi güvenliği hedeflerine zarar vermek için çalışan tehditlerdir. Donanım ve yazılım arızaları, kötü amaçlı kodlar teknolojik tehditlerdir.

4. Fiziksel ve çevresel tehditlerdir. Bunlar fiziksel güvenliğin tam olarak sağlanamadığı durumlarda ortaya çıkan tehlikeleri ifade etmektedir.

Omuz sörfü (Shoulder Surfing)

Sosyal mühendislik saldırıları (Social Engineering)

Oltalama saldırıları (Phishing)

Kötü amaçlı yazılım saldırıları (Malware)

Casus yazılımlar ve tuş kaydediciler (Spyware and Keystroke Loggers)

Mantık bombaları (Logic Bombs)

Arka kapı saldırısı (Backdoors) 
DoS (Denial of Services) ve DDoS Saldırıları (Distributed Denial of Service Attacks)

Bilgisayar güvenliği için hem kişisel hem de kurumsal bilgisayarlarda aşağıda sözü edilen basit önlemlerin uygulanması önerilmektedir. Bunları şöyle sıralayabiliriz. 
• Kötücül yazılım koruma programlarının kullanılması, güncellemelerinin yapılması
• İşletim sistemi güncellemelerinin düzenli olarak yapılması
• Şifre korumalı ekran koruyucu kullanılması
• Bilgisayarda bulunan yazılımların paylaşıma açık olup olmadığının kontrol edilmesi
• Bilgisayar başından ayrı kalınacaksa sistemden çıkılması
• Şifrelerin başka kişilerle paylaşılmaması
• Tahmin edilmesi zor şifreler kullanılması ve şifrelerin belirli aralıklarla değiştirilmesi
• Disk paylaşımında dikkatli olunması
• İnternetten indirilen, e-posta ile gelen dosyalara dikkat edilmesi

• Önemli belgelere şifre konması ve bunların şifreli şekilde saklanması
• Gizli veya önemli bilgilerin güvenli olma yan yollarla gönderilmemesi
• İnternet erişiminin sürekli açık bırakılmaması
• Önemli bilgi ve belgelerin düzenli aralıklar la yedeklenmesi

Kurumların bilgi varlıklarını tespit ederek, güvenlik açıklarını belirlemeleri ve güvenlik analizlerini yaparak, önlemlerini almaları gerekmektedir. Bu sayede elektronik ortamlardaki verilerin bütünlüğünün bozulmadan saklanması, taşınması, yetkisiz erişimden korunması ve bilgi sisteminin güvenliğinin sağlanması mümkün olabilmektedir. Güvenlik için bazı temel donanım ve yazılım araçları kullanılmalıdır. Bunlar; güvenlik duvarları, erişim denetimi, antivirüs yazılımları, sayısal imza ve yedeklemelerdir.

Elektronik İmza (e-İmza) olarak da adlandırılmaktadır. Elle atılan imzanın dijital karşılığıdır. Sayısal imza, doğru şekilde kullanılırsa mesaj bütünlüğünü korur, kaynağın doğruluğunu ispatlar ve inkâr edilmesinin önüne geçer.

Sosyal medyada hesap güvenliğini yüzde yüz sağlamak mümkün olmasa da birtakım
konulara dikkat ederek kişisel verilerin korunması sağlanabilmektedir. Bu açıdan sosyal medya hesabının güvenliğini sağlamak için:
• Şifre ve hesap güvenliğine önem verilmesi,
• Hesabın çalınmasını engellemek için kurtarma e-postası ya da telefon numarası kullanılması,
• Sosyal medya hesaplarının gizlilik ayarlarının gözden geçirilmesi,
• Üçüncü parti uygulamaların sosyal medya hesaplarına erişimine izin verirken yetkilendirmelere dikkat edilmesi,
• Üçüncü parti uygulamaların kişi adına beğeni ve paylaşım gerçekleştirip istenmeyen
hesapları takip edebileceklerinin unutulmaması,
• Açık internet bağlantısı sunan mekânlardaki kablosuz ağların güvenlik sorunlarına yol
açabileceğinin göz önünde bulundurulması gerektiği vurgulanmaktadır.

Bilgi ve iletişim teknolojileri alanında yaşanan hızlı gelişmeler Türkiye’nin bilgi toplumu olma ve dijital dönüşüm politikalarını da etkilemiş ve bu alanda önemli adımlar atılmıştır. Bu konudaki ilk çalışmalar 1990’lı yıllarda başlamış, bilgi toplumuna geçiş konusunda raporlar hazırlanmış ve araştırmalar yapılmıştır. Bunlardan ilki Türkiye ve Dünya Bankası iş birliğinde hazırlanarak 1993’te yayımlanan “Bilişim ve Ekonomik Modernizasyon Raporu ”dur. Bu rapor ile Türkiye’de bilgisayar kullanımı, yazılım, insan kaynağı, iletişim ağları ve yasal altyapı alanlarında mevcut durum tespit edilerek bir eylem planı önerilmiştir.

Bu proje ile vatandaşların kamu hizmetlerine hızlı ve kaliteli bir şekilde ulaşmaları; iş süreçlerinin katılımcı, şeffaf, etkin ve basit olmasının sağlanması amaçlanmıştır.

E-Dönüşüm Türkiye Projesi’nin diğer amaçları ise şunlardır:
• Türkiye’de bilgi ve iletişim teknolojilerine
ilişkin mevzuatın AB müktesebatı çerçevesinde gözden geçirilmesi ve yeniden düzenlenmesi,
• Vatandaşların bilgi ve iletişim teknolojileri
yardımıyla kamusal alandaki karar süreçlerine katılmalarını sağlayacak mekanizmaların geliştirilmesi,

• Kamu yönetiminde şeffaf ve hesap verebilir mekanizmaların oluşturulması,
• Kamu hizmetlerinde bilgi ve iletişim teknolojilerinden en üst seviyede yararlanılması,
• Kamuda, bilgi ve iletişim teknolojisi çalışmalarında kaynak israfını azaltmak için benzer yatırım projelerinin bütünleştirilmesi, izlenmesi, değerlendirilmesi ve kuruluşlar arasında gerekli koordinasyonun sağlanması,
• Özel sektör faaliyetlerine bu ilkeler ışığında yol gösterilmesidir.

Türkiye’de bilgi güvenliği ile ilgili yürürlükteki hukuki düzenlemeler şunlardır:
• 5237 Sayılı Türk Ceza Kanunu
• 5809 Sayılı Elektronik Haberleşme Kanunu
• 5070 Sayılı Elektronik İmza Kanunu
• 5651 Sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun
• 6698 Sayılı Kişisel Verilerin Korunması Kanunu

Türkiye Cumhuriyeti Anayasası’nda kişi hürriyeti ve güvenliğinin, özel hayatın gizliliğinin ve
haberleşme hürriyetinin tanımlandığı 19, 20 ve 22. maddeler bilişim güvenliği ve suçları kapsamında dikkate alınması gereken hükümler içermektedir. Özellikle 20. maddenin ek fıkrası “Kişisel veriler, ancak kanunda öngörülen hâllerde veya kişinin açık rızası ile işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.” ifadesi ile kişisel verilerin korunması konusunda yetkililere sorumluluk yüklemektedir.

Farklı kurumların çatısı altında sürdürülen dijital dönüşüm, siber güvenlik, yapay zekâ vb. çalışmaların tek çatı altında toplanması amacıyla; 10 Temmuz 2018 tarihli ve 30474 sayılı Resmî Gazete’de yayımlanarak yürürlüğe giren 1 Sayılı Cumhurbaşkanlığı Kararnamesi ile kurulmuştur. 

En önemli sorumluluğu kamu, özel sektör ve toplumsal hayatın her aşamasında dijitalleşmenin sağlanması olan Dijital Dönüşüm Ofisi’nin temel görev alanları şu başlıklar altında toplanmıştır:
• Kamunun dijital dönüşümüne öncülük etmek,
• Dijital Türkiye (e-devlet) hizmetlerinin sunumuna aracılık etmek ve koordinasyonu
sağlamak,
• Kamu, özel sektör, üniversiteler ve sivil toplum kuruluşları arasında iş birliğini
geliştirerek dijital dönüşüm ekosistemini oluşturmak,
• Kamu kurumları için siber güvenlik stratejileri geliştirmek,
• Kamu, özel sektör, üniversiteler ve sivil toplum kuruluşları arasında iş birliğini geliştirerek ulusal siber güvenlik ekosisteminin oluşturulmasına katkı sunmak,
• Kamu kurumlarında bilgi güvenliği yönetim sisteminin kurulup işletilmesi çalışmalarını yürütmek,
• Kamuda büyük verinin etkin kullanımına yönelik stratejiler geliştirmek, uygulamalara
öncülük etmek ve koordinasyonu sağlamak,
• Kamuda yapay zekâ uygulamalarına öncülük etmek
• Yerli dijital teknolojilerin kullanımının artırılmasını ve geliştirilmesini sağlamak ve
farkındalık oluşturmak

İnternet ortamında işlenen suçlarla mücadele amacıyla hazırlanan 5651 Sayılı Kanun 2007’de Resmî Gazete ’de yayımlanarak yürürlüğe girmiştir. Söz konusu Kanun ile “içerik sağlayıcı, yer sağlayıcı, erişim sağlayıcı ve toplu kullanım sağlayıcıların yükümlülük ve sorumlulukları ile internet ortamında işlenen belirli suçlarla içerik, yer ve erişim sağlayıcıları üzerinden mücadeleye ilişkin esas ve usulleri düzenlemek” amaçlanmıştır. Kanun; içerik, yer, erişim ve toplu kullanım sağlayıcılarının yükümlülüklerini ve sorumluluklarını açıkça tanımlamakta ve İnternet ortamında işlenen bazı suçlarla mücadelenin esaslarını ve usullerini belirlemektir.

Kanun, kişisel verilerin işlenmesinde özel hayatın gizliliği gibi kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyenlerin yükümlülüklerini ve uyacakları usul ve esasları düzenlemek amacıyla hazırlanmış ve 2016’da yürürlüğe girmiştir. Söz konusu Kanun; Genel ilkeler, Kişisel verilerin işlenmesi, Haklar ve Yükümlülükler, Başvuru, Şikâyet ve Veri Sorumluları Sicili, Suçlar ve Kabahatler, Kişisel Verileri Koruma Kurumu ve Teşkilat ve Çeşitli Hükümler başlıklı yedi bölümden oluşmaktadır. Kanun’da kişisel veri; kimliği belli olan ya da belirlenebilir özellikteki gerçek kişilere ilişkin her türlü bilgiyi kapsamaktadır.

1. Kanunlarda açıkça öngörülmesi
2. Fiilî imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması
3. Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla,
sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması
4. Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması
5. İlgili kişinin kendisi tarafından alenileştirilmiş olması
6. Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması
7. İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun
meşru menfaatleri için veri işlenmesinin zorunlu olması