Siber Güvenlikte Alanlar

Giriş:

Siber suç, haber gündemini ele geçirmiş evrensel bir sorundur. Bireysel güvenlik tehlikede, ancak büyük dünya bankaları, şirketler ve hükümetler çok daha büyük risk altında. Organize suç örgütleri artık girişimler gibi çalışıyor; yüksek eğitimli mühendisler sürekli yeni siber saldırılar icat ediyor. Her yerde istismar edilecek bu kadar veri varken siber güvenlik kritik hale geldi.

Siber Güvenlikte Alanlar Nelerdir?

Siber güvenliğin 10 alanı aşağıdadır.

1. Erişim Kontrolü:

   Bilgiye erişimi kontrol etmek, şirketlerin bilginin gizliliğini, bütünlüğünü ve erişilebilirliğini korumaları için kritiktir. Erişim kısıtlamaları, yetkisiz kullanıcıların bilgiyi almasını, kullanmasını veya değiştirmesini engeller. Bu kontroller, bir kuruluşun karşılaştığı riskler, tehditler ve güvenlik açıklarıyla belirlenir.

2. Telekomünikasyon ve Ağ Güvenliği:

   İletişim altyapısının, iletişim yöntemlerinin, veri aktarım biçimlerinin ve ağı ile yayını korumak için kullanılan güvenlik prosedürlerinin anlaşılmasını gerektirdiğinden, ağ güvenliği ve telekomünikasyon CISSP sertifikasının en teknik konularından bazılarıdır. Ağ, tüketicileri bilgi kaynaklarına bağlayan temel halkadır. Sonuç olarak bu alan, veri akışının kesintiye uğramasını ve sızılmasını önlemek için ağın tasarımına ve mimarisine, ayrıca bileşenlerine vurgu yapar.

3. Bilgi Güvenliği Yönetişimi ve Risk Yönetimi:

   Sistem güvenliği uygulaması alanı, bir güvenlik uzmanının işinin temelidir. Temel güvenlik ilkeleri, prosedürler, kontroller ve tanımlar bu alanda listelenir. Ayrıca bilgi güvenliğinin teknik olmayan çeşitli yönlerini de vurgular. BT güvenliği yönetişimi, bir kuruluşun bilgi güvenliğini yönettiği ve düzenlediği süreçtir (ISO 38500'den uyarlanmıştır). BT güvenliği yönetimi ile yönetişim arasındaki ayrım kritiktir. BT güvenliği yönetimi risk azaltma kararlarıyla ilgilenirken yönetişim, yetkinin kimde olacağını belirlemeye odaklanır.[1]

4. Yazılım Geliştirme Güvenliği:

   Yazılım tasarım güvencesi alanı, fikirden gereksinime, tasarıma, geliştirmeye, devreye almaya, prosedüre ve hizmetten çekilmeye kadar tüm sistem geliştirme sürecini (SDLC) ilgilendirir. Güvenlik önlemlerinin tam etkinliğini ve gizlilik sorunlarının ele alındığını garanti etmek için bilgi güvenliği ve gizlilik uzmanları SDLC'nin tüm aşamalarında yer almalıdır.

   Kişisel mobil cihazların yaygın kullanımı ve çok sayıda güvenlik açığı bulunan mobil uygulama, iş yerinde hassas ve işle ilgili bilgilerin ifşa olma tehlikesini artırır. Kişisel materyal dijital telefonlara kaydedildiğinde bu durum ortaya çıkabilir. Siber saldırılar sıklıkla yazılım ve işletim sistemlerindeki kusurlardan yararlanır. Bu nedenle yazılımların düzenli olarak güncellenmesi ve yamalanması gerekir.

5. Kriptografi:

   Kriptografi alanı, gönderilen verilerin (yani aktarım halindeki verilerin) ve saklanan verilerin (yani durağan verilerin) bütünlüğünü, gizliliğini ve geçerliliğini güvence altına almak için bilgiyi gizleme tekniklerini ele alır. Kriptografi, her iki veri türünü yalnızca uygun ve yetkili kişinin okuyabilmesini sağlar. Bu, sade bir dille çoğunlukla şifreleme olarak anılır. Düz metnin anlaşılamaz bir şifreli metne dönüştürülmesine şifreleme denir.

6. Güvenlik Mimarisi ve Tasarımı:

   Veri teknolojisi altyapısının her bileşeninin (ör. sunucular, çalışma alanları, depolama alanı ağları, anahtarlar, yönlendiriciler, güvenlik duvarları, bulut bilişim veya sanallaştırma) kendine özgü bir dizi güvenlik açığı vardır.

   Her türlü sistem platformu için güvenlik tasarımı, çok sayıda katmanda uygulanabilecek güvenlik politikalarını yürürlüğe koymak için vazgeçilmezdir. Kuruluşun tasarımı, aşağıdakilerin her birini nasıl yöneteceğine dayanır:

   • İzin verilen ve yasaklanan servisler ve prosedürler
   • Güvenlik açığı analizi
   • Yama yönetimi
   • Bellenim veya yazılım güncellemeleri
7. Operasyon Güvenliği:

   Güvenlik mimarı veya mühendisi güvenlik standartlarının ve politikalarının geliştirilmesine yardımcı olsa da operasyonel güvenlik, güvenlik olaylarını önlemek için korumaların ve kontrollerin kurulması, sürdürülmesi ve izlenmesinden oluşan günlük faaliyettir.

8. İş Sürekliliği ve Felaket Kurtarma Planlaması:

   Bir felaket veya hizmet kesintisi durumunda, operasyonları korumak ve sürdürmek için stratejiler hazır olmalıdır. Bu konuda vurgulanan iki planlama biçimi, iş sürekliliği planlaması ve felaket kurtarma planlamasıdır. Doğaları gereği oldukça benzer olsalar da kavramlar arasında bazı farklar vardır.

9. Hukuk, Düzenlemeler, Soruşturmalar ve Uyumluluk:

   Bilgi güvenliği uzmanları yerel ve uluslararası yasaları, yönetmelikleri ve sektör standartlarını bilmelidir. Bu, siber suçları ve bilgisayar suçlarının soruşturulmasına özgü zorlukları, örneğin kanıt toplamaya yönelik adli süreçleri ve kanıtın yönetimi, saklanması ve korunmasına ilişkin yasal düzenlemeleri kapsar.

   Bu alan, ihlal bildirimi süreçlerini de içerir. Federal yönetim, sağlık kuruluşları ve iş ortakları için HIPAA gizlilik düzenlemesi ve HITECH ihlal bildirim gereklilikleri kapsamında, bir PHI ihlalinden sonra izlenmesi gereken adımları ayrıntılı biçimde belirtmiştir.

10. Fiziksel (Çevresel) Güvenlik:

    Fiziksel ve çevresel tehditler veya hassasiyetler, tehlikeli risk değerlendirmeleri sırasında tespit edilmiş olabilir. Buna diğerlerinin yanı sıra felaket senaryoları, hizmet arızaları, düzenli felaketler ve sabotaj dahildir.

    Fiziksel güvenlik; kilitleri, korumaları, gözetim izlemeyi, izinsiz giriş dedektörlerini ve sirenleri içerir. Ayrıca bakım ve kayıt sistemi, saklama ve depolama ile imha protokolü gibi yeterli bilgisayar araçları yönetimini de kapsar.[1]

Sonuç:

Siber güvenlik, hızlı tempolu ve sürekli değişen dijital dünyanın en önemli parçalarından biridir. Tehditlerini göz ardı etmek zordur; bu nedenle onlara karşı nasıl korunulacağını öğrenmek ve başkalarına öğretmek kritik önem taşır.

1. The 10 Security Domains (Updated 2013) - Retired. Kaynak: https://library.ahima.org/PB/SecurityDomains#.YeuKVP5BzIV.

Başlıca siber güvenlik alanlarına bir bakış

İlgili okumalar: bilgi güvenliği, uygulama güvenliği ve ağ altyapısı güvenliği.

Kısa yanıtlar

Küçük bir işletme hangi siber güvenlik alanıyla başlamalı?

Kimlikle (güçlü parolalar ve çok faktörlü kimlik doğrulama), yedeklerle ve uç nokta korumasıyla başlayın. Bunlar en yaygın saldırıları durdurur.