Son Haberler
Buradasınız: Anasayfa / COBIT ITIL ve ISO27001 / Kurumsal ve Operasyonel Güvenlik | Tuzla Bilgisayar
Kurumsal ve Operasyonel Güvenlik | Tuzla Bilgisayar

Kurumsal ve Operasyonel Güvenlik | Tuzla Bilgisayar

 

 

Bilgi güvenliğine ilişkin bütün çalışmalar şirketlerin bilgi varlıklarının korunabilmesi ve bir felaket durumunda gerekli kurtarma işlemlerini ve iş sürekliliğinin sağlanması içindir. Bu çalışmaların düzenli bir şekilde yürütülmesi için çeşitli kurumsal faaliyetlerin yapılması gerekir.

 

Fiziksel Güvenlik

 

Fiziksel güvenlik, bilgi güvenliğinde özellikle bilgisayar sistemleri ve network aygıtlarının olası fiziksel risklere karşı korunmasıdır. “İlk güvenlik aşaması” olarak değerlendirilen fiziksel güvenlik; sistem odalarına girişi, sistemlere zarar vermeyi ve sistemi alıp götürmeye kadar birçok riski ya da tehditi içerir. Onun dışında başta doğal afetler olmak üzere çok sayıda risk yine fiziksel güvenlik içinde kontrol edilir.

 

Fiziksel Güvenliğin sırası;

 

 

image001

 

Tipik fiziksel güvenlik tehditleri:

 

·         ·         Vandalizm

·         ·         Sabotaj

·         ·         Elektrik Kesintisi

·         ·         Çevresel koşullar

·         ·         Su baskını

·         ·         Doğal felaketler

·         ·         Zehirli maddeler

·         ·         Aşırı sıcak ve nem

·         ·         Duman

·         ·         Taşınma, vb.

 

 

Fiziksel Güvenlik Önlemleri

 

 

Fiziksel güvenlik için gerekli çalışmalar üç ana gruba ayrılır:

 

 

·         ·         Yönetimsel Kontroller (Administrative controls)

·         ·         Fiziksel Kontroller

·         ·         Teknik Kontroller

 

 

 

Yönetimsel kontroller binanın seçimi, inşaatı, gerekli düzenlemeler, personelin kontrolü, kaçış prosedürleri, sistemin kapatılması ve özel durumlar olduğunda (donanım hatası, teror vb) yapılacak eylemleri içerir.

 

 

Fiziksel kontroller kapıların kotrolü, kilitler, kartlar, kapı güvenliği, vb konuları içerir.

 

 

Teknik kontroller ise fiziksel erişim kontrolü, izleme sistemleri, izinsiz giriş ve alarm sistemleri, yaygın dedektör ve önleme sistemleri, disklerin yedeklenmesi, UPS ve HVAC (heating / ventilation / air conditioning) gibi işlemleri içerir.

 

 

Yönetimsel Kontroller

 

 

Yönetimsel kontroller personel, tesislerin ve aygıtların kullanımıyla ilgilidir. Acil durum prosedürlerini (emergency), personel giriş/çıkışını içerir. Yönetimsel kontroller şu konuları içerir:

 

 

·         ·         Personel kontrolü

·         ·         Tesislerin planlanması

·         ·         Tesislerin güvenliği

 

 

 

Personel kontrolü personelik işe alınsından önce personel hakkında yapılacak çalışmalarla başlar.Bu amaçla referansları kontrol edilir. Geçmişi araştırılır, vb. Bu çalışmalar personel çalışırken ve işten ayrıldıktan sonra da devam eder.

 

 

Fiziksel Kontroller

 

 

Physical güvenlik önlemleri yetkisiz kullanımları, veri hırsızlığını ve diğer riskleri karşılayacak önlemleri içerir. Fiziksel kontroller arasında bariyerler, parmaklıklar, güvenlik görevlileri, vb bileşenler yer alır.

 

 

Ortamın/Çevrenin kontrolü Yerin Kontrolü Giriş/Çıkışın kontrolü

 

 

 

Ortamın/Çevrenin Kontrolü

 

 

Sistem odasındaki bilgisayar sistemleri çok sayıda riske maruz kalabilir. Bunların içinde ortam koşulları ve sistemlerin zarar görmesini sayabiliriz.

 

 

Ortamı etkileye faktörler:

 

 

·         ·         Isı

·         ·         Nem

·         ·         Elektronik sorunlar

 

 

 

Tipik fiziksel kontrol elemanları:

 

 

Güvenlik görevlisi: Güvenlik görevlisinin yaptığı kontroller. Özellikle giriş çıkışın denetlenmesi gibi.

Köpek: Özellikle çevrenin kontrolü için kullanılır.

 

Kapı/Parmaklık: Sahanını korunmasına yardımcı olur.

 

Bariyerler: En kolay giriş kontrol sistemidir. Fiziksel güvenlik standartları şirket server’larına erişimde en az üç bariyer sistemini zorunlu kılar.

 

Tailgating: yetkili birinin ardından takiple giriş. Tailgating ya da piggybacking olarak bilinir.

 

Dumpster Diving: Çöp toplama. Çıktılar, username, password, IP adresleri, CD, DVD, vb bilgisayar artıklarının toplanması.

 

Kapan (insan kapanı): İnsan kapanı bir giriş sistemidir. Bir kapı kapanmadan diğeri açılmaz.

 

Işıklandırma: Giriş ve park alanlarının ışıklandırılması.

 

Kilitler: Çeşitli kilitlerle kapılar düzenli olarak kilitlenir. Kilit türlerini seçimi gibi konular önemlidir. Örneğin çeşitli key pad kilitler.

 

Çeşitli kilitleme tipler vardır. “punch code entry” olarak bilinen kilitlere “Cipher lock” denir.

 

 

Teknik Kontroller

 

 

 

Teknik kontrollerde çeşitli aygıtlar ve araçlar kullanılır.

 

 

·         ·         Smart kartlar

·         ·         Biometrik aygıtlar.

·         ·         Kapalı devre TV

·         ·         Shielding (wireless’lerin dışarı çıkışını engellemek)

 

 

 

Yangın Kontrolleri

 

 

Elektronik aygıtların olduğu yerde en önemli risklerden birisi yangındır. Bu nedenle gerekli yangın söndürme önlemlerinin alınması gerekir.

 

 

Yangın sınıfları:

 

·         ·         A sınıfı

·         ·         B sınıfı

·         ·         C sınıfı

·         ·         D sınıfı

 

 

 

A Sınıfı yangınlar: Katı madde yangınlarıdır. Ağaç, kağıt vb. Su ve soda asitlerle söndürülür.

 

B Sınıfı yangınlar: Yanabilir nitelikteki sıvılar. Örneğin petrol ve ürünler. Genellikle halon. karbondioksit ve soda asit ile söndürülür.

 

C Sınıfı yangınlar: Elektronik aygıtların ve kabloların yandığı yangınlar. Genellikle halon. karbondioksit ve soda asit ile söndürülür.

 

D Sınıfı yangınlar: Yanabilir nitelikleri metallerin yandığı yangınlar.  Genellikle kuru tozlarla kullanılır.

 

 

Risk Yönetimi

 

 

Risk yönetimi olası risklerin tanımlanması, değerlendirilmesi ve hafifletmeyi (mitigation) amaçlayan bir çalışmadır. Bilgi güvenliğinde; bilgi varlığının ve tehlikelerinin tanımlanmasını içerir.

 

 

Risk yönetiminin adımları:

 

 

1) Risk assessment (risk değerlendirme)

2) Risk mitigation (risk azaltma)

3) Sonuçların değerlendirilmesi

 

 

 

Risk Değerlendirme

 

 

Risk Yönetimi, olası zarar ve ziyandan korunmak için çalışmalar yapmayı içerir. Bu anlamda organizasyonun bilgi varlığını korumak için ne tür kontrollere gereksinim duyuluğu ortaya çıkarılır.

 

 

Risk Değerlendirme Adımları

 

 

Risk değerlendirme işleminde sektörce benimsenmiş şu adımlar yer alır:

 

 

Adım 1: System Characterization

Adım 2: Threat Identification

Adım 3: Vulnerability Identification

Adım 4: Control Analysis

Adım 5: Likelihood Determination

Adım 6: Impact Analysis

Adım 7: Risk Determination

Adım 8: Control Recommendations

Adım 9: Results Documentation

 

 

System Characterization (Sistem Karakteristikleri)

 

 

Sistem karakteristikleri sistemlere ilişkin bilgilerin toplanmasını kapsar. Bu aşamada sistemin çalışma ortamı tanımlanır.

 

 

Sistem bilgileri:

 

 

·         ·         Donanım ve yazılım

·         ·         Sistemin bağlantıları

·         ·         Veriler

·         ·         Destek ve yönetim personeli

·         ·         Sistem ve verilerin önemi ve kritiklik derecesi

 

 

 

Threat Identification (Tehditlerin Tanımlanması)

 

 

Bu aşamada tehditler tanımlanır. Bir tehdit bir zayıflık (vulnerability) üzerinde olası zarar verebilecek bir unsudur. Sistemler her yönüyle değerlendirilerek tehditler tanımlanır. Tehditlerin tanımlanmasında tehditlerin kaynağı, nedenleri ve olası eylemleri saldırı türleriyle birlikte göz önünde bulundurulur. Örneğin saldırganın, ego’sal motivasyon ile sosyal mühendislik türünde saldırılar yapması.

 

 

Vulnerability Identification (Zayıflıkların Tanımlanması)

 

 

Sistem açıklarını ve zayıflıklarını ortaya koymak. Bu aşamada çeşitli araçlar ve teknikleri kullanılabilir:

 

 

·         ·         Vulnarability Scanning

·         ·         Penetresyon testleri

 

 

Control Analysis (Kontrol Analizleri)

 

 

Kontrol analizleri zayıflıkların minimize edilmesi için yapılan çalışmaların kontrol edilmesini kapsar.

 

 

Likelihood Determination (Olasılıkların Belirlenmesi)

 

 

Zayıflığın kullanılması ve tehditin olması olasılığı hesaplanır. Sonuç “yüksek”, “orta” ve “düşük” olarak belirlenir.

 

 

Impact Analysis (Etki Analizi)

 

 

Etki analizi yaşanan aksaklıkların etkisi belirlenir. Bu etki bildiğimiz CIA unsurlarının kaybı ile ifade edilir. Sonuç “yüksek”, “orta” ve “düşük” olarak belirlenir.

 

 

image002

Risk Determination (Risk Tanımlama)

 

 

Bu aşamada sistemin risk düzeyi değerlendirilir. Risk belli bir tehdit/zayıflık bağlamında açıklanır. Sonuç “yüksek”, “orta” ve “düşük” olarak belirlenir.

 

 

Control Recommendations (Kontrol Önerileri)

 

 

Bu aşamada önerilen kontrol yöntemleriyle risk azaltılır (risk mitigation). Bu öneriler genellikle bir güvenlik politikası kuralları şeklindedir.

 

 

Results Documentation (Sonuç Dokümantasyonu)

 

 

Risk değerlendirme işlemi tamamlandıktan sonra sonuçlar kurumsal bir raporla açıklanır. Risk sonuç dokümantasyonu genellikle analize ilişkin bilgiler içerir.

 

 

Risk Belirlemede Kullanılan Hesaplama Tekniği

 

 

Varlıklar tanımlandıktan sonra risk olasılığının tanımlanması gerekir. Örneğin donanımların depremden zarar görme olasığı nedir? Bir riskin bir yıl içinde gerçekleşmesi “Annualized Rate of Occurrence (ARO)” değeriyle hesaplanır.

 

 

Annualized Rate of Occurrence (ARO): Riskin yıl içinde gerçekleşme sayısı/oranı.

 

 

Risk için ARO değeri hesaplandıktan sonra ilgili varlıklar için parasal kayıp hesaplanır. Örneğin server yanarsa yenisinin alınma maliyeti. Arıca gerekli servis ücretleriyle server yenilenir. Bu durumda yıllık kayıbın (Annual Loss Expectancy-ALE) hesaplanması için ARO ve Single Loss Expectancy (SLE) değeri hesaplanır.

 

 

Örneğin 5,000 dolar maliyetli server’ın bozulma olasılığı 3 yılda 1 kere ise 1/3 (%30) ise. Ayrıca servis ücreti 1,000 gerekiyorsa

 

 

ALE= ARO x SLE

 

ALE=.30 * 6,000  = 1,800 dolar.

 

 

İş Sürekliliği

 

 

İş Sürekliliği (Business Continuity) herhangi bir felaket durumunda organizasyonun fonksiyonlarının sürekliğini sağlamak diğer bir değişke kesilmemesini sağlamamak için kullanılan bir kurumsal sistemdir. Günümüzde özellikle kritik iş fonksiyonlarını düşünürsek artık kaçınılmaz bir faaliyet halini almıştır.

 

 

İş sürekliliği içinde risk yönetimi, felaketten kurtarma gibi işlemleri içerir. İş sürekliliği için dünyanın BS 25999 gibi kalite standartları geliştirilmiştir. Bu standart, bir iş sürekliliği yönetimi (BCM) sistemi geliştirmeyi ve sistemli bir şekilde kullanılmasını gerektirmektedir.

 

 

İş Sürekliği Planı

 

 

İş sürekliliği planı şunları içerir:

 

 

·         Disaster Recovery Plan: Felaket olduğunda kurtarma planları

·         Business Recovery Plan: İş fonksiyonlarının devam ettirilmesine ilişkin planlar.

·         Business Resumption Plan: Kritik sistemlerin ve ana fonksiyonların devam ettirilmesine ilişkin planlar.

·         Contingency Plan: Normal iş fonksiyonlarına geri dönmek için ne gibi işlemlerin yapılacağını içerir.

 

 

Felaketten Kurtarma (Disaster Recovery)

 

 

“Disaster recovery” kritik sistemlerin, verilerin ve diğer bilgileri geri kazanılmasına ilişkin politika ve prosedürlerdir. İyi bir kurtarma işlemi kurtarma planı (disaster recovery plan) ile yapılır.

 

 

Bir kurtarma planının özellikleri ve içindekiler şunlardır:

 

 

·         ·         Kurtarmanın minimum gecikme ile sağlanması

·         ·         Zararın genişlemesini engellemek

·         ·         Yedek sistemlerin sağlamlığının garantisi

·         ·         Personel eğitimi

·         ·         Test planları için standartlar

 

 

 

Alternatif Siteler

 

 

Felaket olduğunda organizasyon geçici olarak işini devam ettirmesi gerekir. Bu durumda yeni bir yere gereksinim duyulur. Bu yere “Alternate site”denir.

 

Hot Site: Tüm fonksiyonların hemen devam ettirilebildiği bir yer. Telefon hatları, donanım, yazılım, vb. Örneğin sürekli güncellenen şirket server’ların burada bulundurulması.

 

Warm site: Gerekli donanım ve yazılıma kısmen sahiptir. Faaliyetlerin kısmen devamını sağlar.

 

Cold site: Birçok işlemin yeniden yapılmasını gerektirir. Kurulumlar, network, vb.

 

 

Güvenlik Politikası

 

 

Güvenlik politikaları organizasyonların bilgi varlığını korumak için hazırlanan yazılı belgelerdir. Güvenlik politikaları bilginin nasıl korunacağına ilişkin kural ve prosedürleri içerir.

 

Güvenlik politikası ayrıca organizasyon yönetiminin güvenlik kurallarına uyduğunu belirten bir yazılı bildirimdir.

 

Güvenlik politikaları genellikle şunları içerir:

 

 

·         ·         Bilgi güvenliğinin tanımı ve kapsamı

·         ·         Güvenlik standardı olarak hedefler

·         ·         Politikaların ve kuralların özet olarak açıklanması

·         ·         Güvenliğin sağlanmasındaki görev ve sorumluluklar

 

 

Politikanın kapsamı organizasyonun bilgi güvenliğine verdiği önemi belirtir. Bu alandaki tanımlar ve organizasyona ilişkin açıklamalar yapılır.

 

Hedefler bölümünde güvenlik önlemlerinin amaçları belirtilir. Örneğin saldırılara karşı korunma ve olası zararları minimuma indirmek gibi.

 

Kuralların özetlenmesi. Ana kurallar ve prosedürler kısaca açıklanır.

 

Görev ve sorumluklar bölümünde kullanıcılar ve diğer personele yönelik sorumluluklar belirtilir.

 

Kaynaklar

 

http://en.wikipedia.org/wiki/Risk_management

http://csrc.nist.gov/publications/nistpubs/800-30/sp800-30.pdf

http://en.wikipedia.org/wiki/Business_continuity_planning

http://www.itil-itsm-world.com/itil-8.htm

BCMI

http://www.disaster-recovery-guide.com/

sizlere tuzlabilgisayarci.net farkıyla sunulmuştur. Tuzla BilgisayarGökyüzü Bilgisayar

Hakkında ates_kqual202

Cevapla

Scroll To Top