Bilgi güvenliği, yalnız bilgisayar korsanlığına karşı kullanılan teknik araçların toplamı değildir. Kurumun hangi bilgi ve hizmetlere bağımlı olduğunu belirlemek, bunları etkileyebilecek tehdit ve zayıflıkları değerlendirmek, uygun koruma önlemlerini uygulamak, olayları fark etmek ve kesinti sonrasında güvenilir duruma dönmek aynı yönetim çevriminin parçalarıdır. Gizlilik bilginin yalnız yetkili kişilerce görülmesini, bütünlük izinsiz veya hatalı değişikliğin önlenmesini ve algılanmasını, erişilebilirlik ise gerekli hizmetin gereken zamanda kullanılabilmesini ifade eder. Bu amaçlar bağlama göre farklı ağırlık taşır ve bazen birbiriyle gerilim oluşturur. Çok katı erişim kuralı acil işleyişi aksatabilir, sınırsız kolaylık ise gereksiz açıklık yaratabilir. Güvenlik tasarımı, tek bir ürünün sistemi mutlak biçimde koruyacağı varsayımından kaçınır; insan, süreç, yazılım, donanım, fiziksel ortam ve dış hizmet bağımlılıklarını birlikte ele alır. Amaç bütün riski yok etmek değil, riski görünür ve gerekçeli kararlarla yönetmektir.
Bilgi güvenliği risk yönetimi çevrimi
- Yönet Amaç, sorumluluk, risk iştahı ve tedarik zinciri
- Belirle Varlık, bağımlılık, tehdit ve zayıflık görünümü
- Koru Erişim, yapılandırma, eğitim ve veri denetimleri
- Algıla Olay, sapma ve kötüye kullanım işaretleri
- Müdahale Sınırlama, çözümleme ve koordineli iletişim
- Kurtar Hizmeti ve güvenilir veriyi doğrulanmış biçimde döndürme
Koruma amaçları, varlık ve risk
Güvenlik çalışması korunacak varlığı tanımakla başlar. Varlık yalnız dosya değildir; hizmet, kimlik, anahtar, yazılım, donanım, itibar ve iş süreci de olabilir. Tehdit zarar doğurabilecek olay veya etkendir; zayıflık tehdidin yararlanabileceği eksikliktir. Risk, olasılık ve etkinin bağlama göre birlikte değerlendirilmesidir. İnternete kapalı bir sistemde uzak saldırı olasılığı düşük olabilir, fakat fiziksel erişim veya iç kullanıcı riski sürebilir. Varlık envanteri güncel değilse güvenlik ekibi varlığını bilmediği hizmeti yamalayamaz ve olayın etkisini doğru hesaplayamaz.
Gizlilik, bütünlük ve erişilebilirlik temel amaçlar olsa da kimlik doğruluğu, hesap verebilirlik, inkâr edememe ve mahremiyet gibi gereksinimler de sisteme göre önem kazanır. Bütünlük yalnız kötü niyetli değiştirmeye karşı değil, yazılım hatası ve yanlış veri girişine karşı da korunur. Erişilebilirlik hizmetin hiç kesilmemesi değil, tanımlı süre ve kapasite hedeflerine uyulmasıdır. Güvenlik hedefi ölçülebilir biçimde yazılmadığında denetim listesi amaç hâline gelir. Her önlem hangi riski hangi düzeye indirdiği, hangi yeni bağımlılığı doğurduğu ve başarısının nasıl sınanacağıyla birlikte kaydedilir.
Yönetişim, sorumluluk ve önceliklendirme
NIST Siber Güvenlik Çerçevesi 2.0, yönetişimi belirleme, koruma, algılama, müdahale ve kurtarma işlevleriyle aynı çevrimin içine yerleştirir. Yönetim, güvenlik hedefini kurumun görevi ve risk iştahıyla ilişkilendirir; karar yetkisini, raporlama yolunu ve tedarikçi sorumluluğunu açıklar. Güvenlik yalnız teknik ekibe bırakılırsa veri sahibi, hizmet sorumlusu ve yönetim kararları görünmez kalır. Politika uygulanabilir değilse kâğıt üzerinde uyum üretir. İstisnalar süreli, gerekçeli ve telafi edici denetimle kaydedilmeli; kalıcı olağan duruma dönüşmemelidir.
Kaynaklar sınırlı olduğu için bütün açıklar aynı anda aynı yöntemle kapatılamaz. İnternete açık, hassas veri işleyen ve bilinen sömürüye sahip zayıflık daha yüksek öncelik alabilir. Yalnız teknik önem puanı iş etkisini veya mevcut denetimleri göstermez. Risk kaydı varlık, senaryo, sorumlu, karar ve gözden geçirme tarihini bir araya getirir. Risk kabulü sorumluluktan vazgeçme değildir; belirli gerekçeyle ve yetkili kişi tarafından verilen izlenebilir karardır. Ortam değiştiğinde eski kabul yeniden değerlendirilir. Ölçütler yalnız engellenen saldırı sayısını değil, yamalama süresi ve kurtarma başarısı gibi yönetilebilir sonuçları izler.
Kimlik, erişim ve koruyucu denetimler
Kimlik doğrulama kullanıcının veya hizmetin öne sürdüğü kimliği sınar; yetkilendirme doğrulanmış kimliğin hangi kaynağa hangi işlemi uygulayabileceğini belirler. Çok etkenli doğrulama tek parolanın ele geçirilmesine karşı koruma sağlar, ancak kimlik avına dayanıklılık kullanılan yönteme göre değişir. En az yetki ve görev ayrılığı, tek hesabın gereksiz geniş etki oluşturmasını sınırlar. Hizmet hesapları da insan hesapları gibi sahip, amaç ve süre bilgisiyle yönetilmelidir. Kullanılmayan yetki kaldırılmazsa personel ve sistem değişiklikleri görünmez erişim birikimi doğurur.
Şifreleme, veriyi uygun anahtar olmadan okunamaz hâle getirerek depolama ve iletim sırasında koruyabilir. Anahtarın üretimi, saklanması, yenilenmesi ve iptali şifreleme algoritması kadar önemlidir. Karma işlevi parola saklama veya bütünlük denetimi gibi farklı amaçlarda uygun tuz ve parametrelerle kullanılmalıdır; şifrelemeyle aynı işlem değildir. Güvenli yapılandırma, güncel yazılım, girdinin doğrulanması, yedekleme ve ağ bölümlendirmesi birbirini tamamlayan savunma katmanlarıdır. Tek önlem aşılırsa öteki katman etkiyi sınırlamalıdır. Varsayılan ayarların kullanım bağlamına uygunluğu doğrulanır.
Algılama, olay çözümlemesi ve müdahale
Koruyucu denetimler bütün olayları engelleyemeyeceği için sistem davranışı izlenir. Günlükler kimlik doğrulama, yetki değişikliği, veri erişimi ve yapılandırma işlemleri gibi anlamlı olayları zaman bilgisiyle kaydeder. Her şeyi sınırsız toplamak iyi gözlem değildir; gürültü önemli işareti gizleyebilir, depolama maliyeti ve mahremiyet riski yaratabilir. Normal davranış tabanı ve açık uyarı koşulu belirlenir. Saat eşitleme, farklı sistemlerdeki kayıtların aynı olaya bağlanmasını sağlar. Uyarının doğruluğu düzenli örneklenir; sürekli yanlış alarm üreten kural sonunda dikkate alınmaz.
Olay müdahalesi hazırlık, doğrulama, sınırlama, temizleme, kurtarma ve değerlendirme adımlarını içerir. İlk amaç kanıtı yok etmeden etkiyi sınırlandırmaktır. Etkilenen hesabı kapatmak yararlı olabilir, fakat kritik hizmeti gereksiz yere durdurabilir; karar senaryoya göre verilir. İletişim kanalları ve sorumlular olaydan önce belirlenir. Kök neden yalnız ilk teknik açığı değil, açığın neden zamanında görülmediğini ve hangi denetimin çalışmadığını inceler. Olay sonrası bulgular suçlama amacıyla değil süreç ve mimariyi geliştirmek için eyleme dönüştürülür; tamamlanma durumu izlenir.
Kurtarma, süreklilik ve insan etkeni
Kurtarma, sistemi yalnız yeniden açmak değil, güvenilir veri ve yapılandırmayla tanımlı hizmet düzeyine döndürmektir. Yedeğin olaydan önce oluşturulmuş, değiştirilemez veya ayrı yetkiyle korunmuş kopyası gerekebilir. Geri yükleme denemesi yapılmayan yedek, kriz anında bozuk ya da eksik çıkabilir. Kurtarma noktası hedefi kabul edilebilir veri kaybını, kurtarma süresi hedefi hizmetin ne kadar zamanda dönmesi gerektiğini açıklar. Bağımlı hizmetlerin açılış sırası ve doğrulama ölçütü belgelenir. Geçici çözüm kalıcı hâle gelmeden normal işletime dönüş kararı verilir.
İnsan etkeni yalnız eğitimle giderilecek dikkatsizlik olarak ele alınmamalıdır. Karmaşık parola politikası güvensiz not alma davranışını, anlaşılmaz uyarı yanlış onayı, aşırı yetki istemi ise işin kesintisiz sürmesi için kural çevirmeyi teşvik edebilir. Güvenli seçenek varsayılan ve kullanılabilir olmalıdır. Eğitim genel korku mesajları yerine kişinin görevinde karşılaşacağı senaryoları öğretir. Hata bildiren çalışan cezalandırılma kaygısı taşırsa olay geç görünür. Buna karşılık kasıtlı kötüye kullanım olasılığı da erişim ayrılığı, kayıt ve gözden geçirmeyle yönetilir. Teknoloji ve çalışma düzeni birlikte iyileştirilir.
Türkçe güvenlik dili ve GTS bağlantısı
Bilgi güvenliği, bilgisayar güvenliği ve siber güvenlik terimleri örtüşür fakat her bağlamda aynı kapsamı taşımaz. Bilgi güvenliği sayısal olmayan kayıtları ve örgütsel süreçleri de kapsayabilir; siber güvenlik ağ bağlantılı sayısal ortam ve tehditleri daha belirgin biçimde öne çıkarır. “Güvenlik açığı”, “tehdit”, “risk” ve “saldırı” sözcüklerinin birbirinin yerine kullanılması teknik çözümlemeyi bulanıklaştırır. Derlemde ürün tanıtımı, olay haberi ve akademik metin farklı terim tercihleri gösterebilir. Sözlük ve ansiklopedi açıklaması bu çeşitliliği kaydederken kavramsal ayrımları korur.
T-BDLD'de “bilgi güvenliği”, “siber güvenlik”, “erişim denetimi”, “olay müdahalesi” ve “risk yönetimi” sorguları canlı veri üzerinde yenilenir. Haberlerde tek olayın çok sayıda kopyası sıklığı yükseltebilir; kaynak deduplikasyonu ve cümle bağlamı bu etkiyi azaltır. Hassas olay ayrıntıları ansiklopediye taşınmaz, güvenliğe zarar verecek uygulama talimatları üretilmez. GTS kartı terimlerin güncel Türkçe yayılımını ve son görülme zamanını gösterirken bu madde risk yönetimi, koruma, algılama, müdahale ve kurtarma çerçevesini doğrulanmış kaynaklara dayalı özgün anlatımla sunar.
Doğrulanmış kaynakça
- Association for Computing Machinery, IEEE Computer Society ve Association for the Advancement of Artificial Intelligence (2024). Computer Science Curricula 2023: The Final Report. Kaynağı aç
- Pascoe, Cherilyn, Stephen Quinn ve Karen Scarfone (2024). The NIST Cybersecurity Framework (CSF) 2.0. NIST CSWP 29. DOI: 10.6028/NIST.CSWP.29. Kaynağı aç
- Nieles, Michael, Kelley Dempsey ve Victoria Pillitteri (2017). An Introduction to Information Security. NIST SP 800-12 Rev. 1. DOI: 10.6028/NIST.SP.800-12r1. Kaynağı aç