close

Enter

Log in using OpenID

Ders ile İlgili Önemli Bilgiler - eng.bahcesehir.edu.tr

embedDownload
YZM5604 Bilgi Güvenliği Yönetimi
14 Ekim 2014 - 3. Hafta
Dr. Orhan Gökçöl
Bahçeşehir Üniversitesi, Fen Bilimleri Enstitüsü
Bilgi Teknolojileri Yüksek Lisans Programı
Ders ile İlgili
Önemli Bilgiler
Ders saatleri : Salı, 19:00-22:00 (Beşiktaş/DSC02)
İletişim : Orhan Gökçöl
[email protected]
212 – 381 0 559
Ders Devamı : ---
1
Ders Kaynakları
Ders Destek Web Sitesi :
http://akademik.bahcesehir.edu.tr/~gokcol/yzm5604
-Duyurular ve Hertürlü İletişim
-Ders Notları
-Ödevler/Projeler
-Sınav Sonuçları
-Dersle İlgili Sizinle Paylaşacağım hemen herşey
Ders Değerlendirme
Yaklaşık 5.ci hafta civarında projeler dağıtılacak
2
Bilgi Güvenliği - Tanım
Bilgi güvenliğinin amacı, işletmelerin donanım, yazılım, veri,
her türlü bilgi gibi değerli kaynaklarını korumaktır.
Bilgi güvenliğinin sağlanması, aslında işletmenin iş
hedeflerine ulaşmak için yapması gereken bir «olmazsa
olmazı» olarak da görülebilir.


Bilgi güvenliği…..

Herhangi bir sistemin geliştirilme ve kullanılma döngüsünde yer alan
anahtar bir kısımdır:








Sistem tasarımı
Sistem geliştirme
Sistem işletilmesi (operation)
Sistemlerin devre dışı bırakılması
Sistem kavramının en başında itibaren, bilgi güvenliği unsurlarının
dahil edilmesi gerekir.
Güvenlik teknolojilerinin kullanımı (firewalls, crypto, IDS(Intrusion
Detection Systems), patching), güvenliğin sadece belli bir kısmıdır.
Güvenlik büyük ölçüde, insan, süreçler ve teknolojiye (birlikte) bağlıdır.
Bilgi güvenliği tek sefer yapılan ve sonrasında kendi haline terk edilen
bir durum değildir. Bir süreçtir ve sürekli yönetilmesi gerekmektedir.
İnsanlar (geliştiriciler, kullanıcılar, müşteriler, hacker-lar) –bazen bunu
bilmeseler de- bilgi güvenliği sürecinin parçalarıdır.
3
Bilgi Güvenliği Nedir?
Bilgi güvenliği, bu sebeple, bilgi ve onun kritik bileşenlerinin
(bilginin depolandığı, kullanıldığı ve iletildiği sistemler ve
donanımlar) korunması anlamına gelir.
Fakat, bilginin ve ilişkili sistemlerin korunması; politika,
farkındalıklık, eğitim ve teknoloji gibi unsurlara DA bağlıdır.
Geçtiğimiz hafta gördüğümüz C.I.A. Üçgeni, geçmişten günümüze,
bilgisayar ve bilgi güvenliği için bir endüstri standardı olmuştur.
Zaman içinde, CIA üçgeni, bilginin diğer karakteristiklerini de
içerecek şekilde genişlemiştir.




C.I.A. Üçgeni

Özellikler: CIA


Confidentiality (Gizlilik): sadece izin
verilenler bilgiyi «görebilir»
Integrity (Tamlık): sadece izin
verilenler bilgiyi düzeltme yetkisine
sahiptir (oluşturma, düzeltme ve
silme)



Tamlığın sağlanması: bilginin (başkaları
tarafından) değiştirilemeyeceğinin
bilinmesi
Tamlık ihlallerinin belirlenmesi:
güvenilmeyen durumlar oluştuğunda
alternatif kaynaklardan bilginin elde
edilmesi (yedek diskler, yedek sunucular)
Availability (Erişilebilirlik,
Kullanılabilirlik) : ihtiyaç
duyulduğunda, erişebilir olmak.
4
Bir organizasyonda neler korunmalı?
Bir değere sahip herşey güvenlik altında olmalı/korunmalı.
Tipik bir işletmenin değerli pek çok şeyi vardır. Bunlara
«varlık» (asset) adını vereceğiz.
Bu varlıklar, bazı servisler, süreçler, veri, fiziksel unsurlar vb
olabilmektedir.
Tüm varlıklar şu üç özelliği sağlamalıdır :





C, I, A
Varlık ve varlık değeri

Nasıl belirlenir???.....
Her varlığın bir değeri vardır…



Confidentiality/Gizlilik açısından varlık değeri =>V1
Integrity/Bütünlük açısından varlık değeri =>V2
Availability/Kullanılabilirlik açısından varlık değeri =>V3
Max(V1,V2,V3) => Varlık değeri
- Bu varlığın «Gizliliği» ihlal edilirse kaybım
ne kadar olur?
- Bu varlığın «Bütünlüğü» ihlal edilirse
kaybım ne kadar olur?
- Bu varlığın «Kullanılabilirliği» ihlal edilirse
kaybım ne kadar olur?
5
Bilgi Güvenliği ve Bilgi Güvenliği Yönetimi



Bilgi Güvenliği (BG), değer atfettiğimiz varlıklar için; kaybolma,
hatalı kullanım, kullanılamama, hasar görme, ifşa edilme
risklerine karşı aldığımız her türlü önlemleri ve eylemleri
tanımlar.
Bilgi Güvenliği Yönetimi (BGY), yukarıda tanımlanan riskleri
yönetebilmek ve varlıkların C, I, A hassasiyetlerini makul sınırlar
içinde tutabilmek için işletmenin uygulaması gereken her türlü
(teknik, teknik olmayan) önlemleri (=kontrolleri) tanımladığımız
sistematik bir yaklaşımdır.
Bilgi Güvenliği Yönetim Sistemi (BGYS) : C, I ve A’yı
sağlayabilmek ve etkin bir şekilde yönetebilmek için gereken
yönetim becerilerinin oluşturulmasında kullanılacak bir sistemin
tasarım ilkelerini ifade eder.
Figure 1-6 – Balancing Security and
Access
Kullanıcı 1: Parolamı
bu kadar sık
değiştirmek zaman
kaybı!
BG Sorumlusu:
Şifreleme zaman
alır, ama gereklidir!
Daha hızlı erişim
istiyorum !!!
Güvenlik
Erişim
Güvenlik ve Erişimin Dengelenmesi
Principles of Information Security - Chapter
1
Slide 12
6
Internet ve Güvenlik?



İnternet’in iletişim protokolleri ve teknik altyapısı ilk
tasarlandığında, sanırım hiç kimse Hizmet Dışı
Bırakma (HDB –Denial of Service –DoS) saldırılarını
aklına getirmemiştir (1989 yılına kadar!!!!)
Internetin ilk zamanlarında sadece birkaç tipte
uygulama (dosya transferi, e-posta gibi)
düşünülmüştü—hiç kimse e-ticaret, VoIP, IPTV, vb.
gibi uygulamaları aklına bile getirmemişti!
Sonuçta, internet güvenliği çok sonraları devreye
alınan birtakım değişiklikler sonunda «konuşulabilir»
hale geldi.
13
Örnek: E-posta…




Tamamen/gerçekten gizli bir mesaj gönderebilir
miyiz?
Bir e-posta mesajını gerçekten kime
gönderdiğimizi biliyor muyuz?
Gönderdiğimiz mesajın aktarım sırasında
değiştirilmediğinden emin olabilir miyiz?
Gerçekten anonim/isimsiz bir mesaj
gönderebilir miyiz?
7
Başka bir örnek: Online alışveriş




Satıcıya verdiğiniz bilgilere (kredi kartı bilgileriniz
ve diğer erişim kodları da dahil olmak üzere)
online bir hırsız tarafından erişilemeyeceğinden
emin miyiz?
Gerçekten malı bize satan dükkana ödeme
yaptığımıza nasıl emin olabiliriz?
Tamamen isimsiz/anonim bir şekilde alışveriş
yapabilir miyiz?
İnternet üzerinden satın aldığınız bir ürün için,
ödediğiniz parayı inkar edebilir misiniz?
Dijital Dünya ve BG’nin Önemi

Herkesin birbirine bağlı olduğu bir dünyada
yaşıyoruz : Internet





Virusler, trojanlar
DoS Saldırıları
Phising (Oltaya takılma)
Sahtekarlık (Fraud)
......
Güvenliği sağlamak
her zamankinden çok
daha ZOR..
8
En Temel BGY
%100 güvenlik zaten amacımız
değil! (Teraziyi hatırlayın!) Asıl
amaç, VARLIKLARIMIZ üzerindeki
olası riskleri hesaplayarak bunların
ışığında güvenliği yönetmek
VARLIKLARIMIZ
Her varlık üzerinde aynı risk mi var ?
Her varlık aynı değere mi sahip???
Şimdi güvenliği
yönetmeye
niyetlendik!!
Varlıkları Koruma Sistemleri– Temel Unsurlar








Varlıkları koruma, kuruluşun iş hedefleri, misyonu ve vizyonu ile uyumlu
olmalı.
Varlıkları koruma, işletmelerde gündelik olarak kendiliğinden yapılan bir
eylem olmalı (farkındalıklık!- awareness)
Varlıkları koruma yüksek maliyetli olmamalı
Varlıkları korumada sorumluluklar ve hesap verilebilirlik unsurları açıkça
yer almalı. (Bunlar daha çok politika dokümanlarıyla sağlanır).
Sistem sahiplerinin, organizasyon dışında da bilgiyi koruma ile ilgili
sorumlulukları olmalı!
Varlıkları koruma unsurları, sistem geliştirme hayat döngüsünün ayrılmaz bir
parçası olarak görülmeli.
Varlıkları koruma süreçleri, dönemsel olarak kontrolden geçirilmeli ve
değerlendirilmeli.
Şirket kültürü yapılacak tüm bu işlerde çok belirleyici bir rol oynamaktadır.
9
Bilgi güvenliği – Bilgisayarlar olmadan
önce de vardı!!!
(Sezar şifrelemesi)
Soru

Gizli dinleme ve hattı izleme olması
durumuna karşı mesaj güvenliğini nasıl
sağlarız?
Charlie
Bob
Kredi kartı numaramı
veriyorum…
plaintext
Alice
10
Cevap :

Sadece Alice ve Bob’un anlayabileceği bir dil
kullanarak… - şifreleyici
Charlie
Nz dsfejr dbse ovncds jt…
Bob
ciphertext
Alice
Şifreleme


Şifreleme (encryption),
gönderilen mesajla
birlikte başka bir yazıyı
(anahtar) bir fonksiyona
göndererek şifrelenmiş
bir çıktı üretmektir
Şifresi çözülmediği
sürece, bu çıktı
«anlaşılamaz» bir
formatta olacakdır.
Mesaj
Şifreleme
fonksiyonu
11
Çözümleme

Çözümleme
(decryption), şifreli
mesajı bir anahtar
ile başka bir
fonksiyona
göndererek başta
şifrelenen mesajı
yeniden üretme
işlemidir.
Çözümleme
fonksiyonu
Başlangıçtaki
mesaj
Sezar şifreleyicisi
Harfler: ABCDEFGHIJKLMNOPQRSTUVWXYZ
Şifre : DEFGHIJKLMNOPQRSTUVWXYZABC
(Sezar bu yöntemi, generallerine gönderdiği
mesajlarda kullanıyormuş!!!)
12
Bilgi Güvenliği – Kısa Tarihçe




Bilgisayar güvenliği, ilk büyük boy
bilgisayarlar (mainframe) ortaya çıktıktan
hemen sonra başlamıştır
2. Dünya Savaşı’nda, şifre kırıcı
algoritmalar geliştiren grupların
çalışmalarının sonucunda günümüzün
modern bilgisayarlarının mimarisi ve
çalışma prensipleri ortaya çıkmıştır (örn.
Alan Turing, - Turing Makinası)
Bilgisayar sistemlerine sadece yetkili
kişilerin giriş yapabilmelerini sağlamak
için, kritik birimlerde (askeri bölgeler vb)
fiziksel kontrol uygulanıyordu
Tek düşünülern şey, fiziksel hırsızlık,
sabotaj ve casusluğa karşı önmel almaktı.
Figure 1-1 – The Enigma
Alman kodlama
makinesi : Enigma
13
1960lı yıllar


ABD Savunma Bakanlığı’nın İleri Araştırmalar
Projesi Ajansı (Department of Defense’s
Advanced Research Project Agency (ARPA)), ağ
temelli haberleşme yapısının olabilirliğini
araştırmaya başladı
(Bu projeyi başından itibaren Larry Roberts
yürüttü-internetin Babası olarak da bilinir)
Figure 1-2 - ARPANET
14
1970li ve and 80li yıllar


ARPANET popüler bir şekilde büyüdü (tabii bu
arada potansiyel kötü kullanımları da!)
ARPANET’in güvenliği ile ilgili temel problemler
ortaya çıktı. Bunlar;



ARPANET’e telefonla (dial-up) bağlantılar için hiç bir
güvenlik prosedürü yoktu
Kullanıcı tanımlama ve sisteme yetkilendirme (giriş izni)
konusunda eksiklikler vardı
1970’lerin sonlarında, mikro işlemcilerin kullanımları
çok yaygınlaşmaya başladı bu da beraberinde
güvenlik tehdit artışları getirdi.
R-609 – Bilgisayar Güvenliği Çalışmalarının
Başlangıcı


Dünyada, bilgi Güvenliği çalışmalarının
RAND’ın yayınladığı bir raporla (R-609)
başladığı kabul edilebilir (1979).
Bilgisayar güvenliği, fiziksel güvenliğe ek
olarak şunları da kapsamaktadır:



Veri güvenliği
Veriye yetkisiz erişimlerin sınırlandırılması
Organizasyondaki farklı seviyelerden kişilerin de
sisteme dahil edilmesi
15
www.rand.org
R-609
http://www.rand.org/pubs/reports/R609-1/R609.1.html
16
1990’lar



Bilgisayar ağları çok yoğun olarak kullanılmaya
başlandı, dolayısıyla farklı ağların birbirleriyle
bağlantılı olması ihtiyacı ortaya çıktı. Bu da,
bilgisayarlara ve bilgiye ulaşmak için onlara fiziksel
temas etme ihtiyacını TAMAMEN ortadan kaldırdı.
ARPANET, askeri/akademik ağ olmaktan çıkıp
ticarileşti ve global bir ağ olan INTERNET (ağların
ağı) doğdu
Geliştirilen ilk internet uygulamalarında,
güvenlik en düşük önceliğe sahip noktalardan
biriydi 
Günümüz


Günümüzde internet, milyonlarca
bilgisayarı birbirine bağlayan ve birbirleriyle
haberleşmesini sağlayan (bu bilgisayarların
çok önemli bir kısmında güvenlik yok!!) bir
haberleşme ağı
İnternete bağlı bir bilgisayarın güvenliği,
aslında o bilgisayarın iletişimde bulunduğu
diğer bilgisayar(lar) ve iletişim ortamıyla da
doğrudan ilgili...
17
Bilgi Güvenliği Nedir?

Bir işletmede yer alan her türlü somut ve soyut
varlığın ve bunlara ait kritik sistemlerin (bilgiyi
saklayan, ileten ve kullanımını sağlayan donanımlar
ve sistemler de dahil olmak üzere) korunması

Politikalar ve prosedürler, BG konusunda duyarlı olmak,
eğitim ve teknoloji kullanımıyla da, bilgi güvenliği belli
ölçülerde tahsis edilebiliyor



Güvenli sistemler
İyi uygulamalar
C.I.A üçgeni (C.I.A. triangle) bu konuda standarttı. Üç
önemli bileşen : Gizlilik (Confidentiality), tamlık (Integrity),
kullanılabilirlik (Availability)
Bilgi Güvenliği?



Bilgi Sisteminin özellikleri arasındadır. Sadece teknolojik
altyapı olarak nitelendirilemez
Bu özellikler, hem süreçlerle hem de teknolojilerle
sağlanacaktır
Özellikler: CIA



Gizlilik/Mahremiyet (Confidentiality): sadece “izin verilen
kişi/unsur”lar bilgiyi görebilir
Bütünlük/Tamlık/Doğruluk (Integrity): sadece izin verilen
“kişi/unsur”lar bilgiyi değiştirebilir (bilgi oluşturma ve silme de dahil)
Kullanılabilirlik (Availability): ihtiyaç duyulduğunda bilgi hazırdır,
kullanılabilir
CIA daha sonra bilginin kritik
bileşenlerini de kapsayacak şekilde
genişletilmiş olarak kullanıldı.
Mainframe zamanından
kalma!!
18
Bilginin Kritik Karakteristikleri
Sahip olunan bilginin değeri, bilginin içerdiği
birtakım karakteristiklerle ölçülür:







Kullanılabilirlik (Availability)
Hassasiyet/Doğruluk (Accuracy)
Orijinallik (Authenticity)
Gizlilik (Confidentiality)
Tamlık (Integrity)
İşe yararlık (Utility)
Sahip olma (Possession)
C
I
A
Bilgi Güvenliği teknik konuları olduğu kadar, yönetimsel
unsurları da içermektedir
Güvenlik politikaları geliştirilmeli,
kullanılması sağlanmalı, yaşatılmalı
ve yaptırım gücü olmalı
Process Technology
(Süreç)
Politikaların nasıl
uygulanacağını
gösteren iş
süreçleri
geliştirilmelidir.
Tüm sistemler,
güvenlik
politikaları ile
uyumlu olacak
şekilde
geliştirilmelidir
(Teknoloji)
Human
(İnsan)
Çalışanlar,
politikalarda
tanımlanan
sorumluluklarını
anlamalıdır.
19
Örnek: parola kullanım politikası
-parolaların nasıl sıfırlanacağı ile ilgili
süreç tanımı,
- parolaların en az 8 karakter olduğunu
denetleyecek bir sistemin geliştirilmesi,
- parolalarını başkalarıyla paylaşmamaları
gerektiğini anlayan kullanıcılar
Politika uygulamaları; kullanımda olan süreçlere, politikalarla uyumlu
çalışan ve zorlayıcı yanı bulunan teknolojik çözümlere, ve kullanıcının
politika gereksinimlerini ve kendi sorumluluklarını iyi bir şekilde
anlamasına bağlıdır.
Güvenlik ve Erişimin Dengelenmesi



Mükemmel bir güvenlik tesis etmek imkansızdır –
güvenlik mutlak bir kavram değildir; bir süreçtir
Güvenlik, koruma ve kullanıma hazır olma durumu
arasında bir “denge” hali olarak düşünülmeli
Dengeyi sağlamak için, sistemin güvenlik seviyesi
makul düzeyde bir erişime izin verirken aynı
zamanda saldırılara karşı da koruma sağlamalı.
20
Aşağıdan-Yukarı Yaklaşımı
Güvenlik, sadece sistem yöneticileri tarafından
sağlanmaya çalışılır... (grass-roots effort)
Temel avantaj – bu işle uğraşan her yöneticinin teknik
bilgisi var ve yanlış birşey yapılması olasılığı az
Bu yöntem nadiren çalışır... Çünkü;





Diğer çalışanların desteği/katkısı yok
Tüm organizasyon sadece alt seviye teknisyenler/teknik
kişilerce kontrol ediliyor, bunun zorlukları var. Bilgi erişimi
tam bir işlence olabilir. Organizasyonel ihtiyaçların göz ardı
edilmesi olasılığı var (üst yönetim planlamaya katılmıyor)
Yukarıdan-Aşağıya Yaklaşım

Üst yönetim tarafından yapılır:
 Politikalar, prosedürler ve süreçler modellenir (örn. iso 27001)
 Hedefler ve süreçlerden, projelerden beklenen çıktılar
belirlenir, (dikte edilir!)
 Gereken her aksiyon için kimin sorumlu olduğu saptanır

Böyle bir yaklaşımın doğal olarak üst yönetimden çok kuvvetli bir
desteği olacaktır. Finansal kaynaklar, planlama, şirket kültürüne
etkiler vb çok kolay modellenebilmekte/ olabilmektedir
Bilgi Güvenliği oluşturulması standart bir sistem geliştirme stratejisi
kapsamında da modellenebilir (sistem geliştirme hayat döngüsü)


En başarılı yaklaşım budur.
21
Figure 1-7 – Approaches to Security
Implementation
BGY süreçlerinde kimler çalışır? Ne gibi BG-ilişkili
pozisyonlar var?
22
BG Uygulamasının Planlanması


CIO (Chief Information Officer) ve CISO
(Chief Information Security Officer)
stratejik planların taktiksel ve operasyonel
bilgi güvenliği planlarına dönüştürülmesinde
önemli rol oynarlar
CISO planlama detaylarında, CIO’ya göre
daha fazla yer alacaktır.
CIO : Üst düzey yönetici. GMY’lerden birisi olabilir (BT’den sorumlu GMY ?)
CISO : CIO’ya bağlı çalışan bir pozisyon
Başka ne gibi pozisyonlar olabilir?
CISO İş Tanımı


Şirketteki stratejik bilgi güvenliği planını, gelecek
vizyonunu da düşünerek hazırlar
Şirkette yapılan temel iş faaliyetlerini bilir ve
tamamıyla anlar


Böylece, bu aktivitelerle ilişkili bilgi güvenliği çözümleri
önerebilir…
Şirketteki BG durumunu daha iyiye götürmek
amacıyla; aksiyon planları, çizelgeler, bütçeler,
durum raporları ve benzeri üst yönetim
bilgilendirmeleri hazırlar.
23
Sistem Geliştirme Hayat Döngüsü (SDLC)
(System Development Life Cycle)



SDLC: bir bilgi yönetim sistemi için tasarım ve
uygulama metodolojisi/yaklaşımı
SDLC-tabanlı projeler planlı olabileceği gibi, bir
ihlal (event, security incident) olduğu zaman da
gündeme gelebilmektedir.
Her fazın sonunda genel bir değerlendirme
yapılmaktadır. Böylece projenin durumu
hakkında (devam/bırakalım/dışarıya
yaptıralım/erteleyelim gibi) karar verilmektedir.
Feasibility (Yapılabilirlik)
Evet! Yeterli yerimiz ve
donanımımız var !
Rapor 1 M$ değerinde
stratejik bir adım atmamızı
içeriyor! Yapabilir miyiz?
Hayır, daha önce
buna benzer bir
şeyi hiç yapmadık!
Hayır! Kullanıcılar
yeni tasarıma
direneceklerdir!
Evet! 14 ayda
kendini
amorti eder!
FİZİBİLİTE (YAPILABİLİRLİK) ANALİZİ
24
Sistem Geliştirme Hayat Döngüsü
(SDLC – System Development Life Cycle)


Bilgi güvenliği, diğer ana sistem
implementasyonlarına benzer bir yapıda
yönetilmelidir.
Bir metodoloji kullanılması



Süreç yaklaşımı
Eksik/kayıp adımların oluşması olasılığı yok
Hedef, çok etkin ve yaygın kullanımlı bir bilgi
güvenliği programıoluşturmak
Figure 1-8 – SDLC
Waterfall
Sistem Analizi
Methodology
Sistem Tasarımı
Sistem Geliştirme Hayat Döngüsü – Şelale Metodolojisi
25
SDLC Fazları
1.
Investigation - İrdeleme
İki temel iş yapılıyor

Gereksinimlerin ortaya çıkartılması
Kapsamın belirlenmesi, hangi gereksinimin
önceliği ne?
Maliyet/fayda (Cost/benefit) analizi



Bu faz, iş analizi gibi de düşünülebilir.
Mevcut kaynakların yetip yetmeyeceği
belirlenir. Buna göre geliştirmeye devam
edilir ya da edilmez!. Sistemin geliştirilmesi
ya da geliştirilmemesi ile ilgili gerekçeler
ortaya konur

SDLC

Analiz

Mevcut sistemin analizi




Gereksinimlerin belirlenmesi
 Mevcut sistem
 Gereksinimlerin yapısal bir şekilde listelenmesi
(aynı-benzer olanlar birleştirilir vb)
Alternatif tasarımların/çözümlerin ortaya konması
Alternatiflerin karşılaştırılması
En iyi alternatifin önerilmesi
26
SDLC

Tasarım

Mantıksal (Logical)Tasarım


Fiziksel Tasarım


Sistemin daha çok iş (business) gereksinimlerini
nasıl karşılayacağına ağırlık verir
Sistemle ilgili teknik spesifikasyonlar
Gerçekleştirme - implementation

Gerçekleştirme




Yazılım ve donanım kurulumları
Programlama
Kullanıcı eğitimleri
Dokümantasyon
SDLC

Bakım


Değişen koşullara göre sistemde olabilecek
değişiklikler
Eskiyen sistemin devreden çıkartılması
SDLC’de her aşamada yapılanların dokümante
edilmesi / raporlanması ve bir proje planına
göre hareket edilmesi yararlı olacaktır.
27
SDLC ve SecSDLC (Security SDLC)

SecSDLC :



Olay tabanlı – oluşan bazı olaylara cevap olarak
başlar ya da
Planlama tabanlı – dikkatli bir şekilde geliştirilen
bir stratejinin uygulamasıdır
Her faz sonrasında tüm yapıyla ilgili genel
gözden geçirmeler yapılır
Bilgi Güvenliği Sistemleri
Geliştirme Hayat Döngüsü (SecSDLC)


Bilgi Güvenliği projesinin uygulanmasında
Geleneksel Sistem Geliştirme Hayat Döngüsü
ile aynı fazlar kullanılabilir
Temel süreç tehditlerin tanımlanması ve
berteraf edilmesi için yapılacak kontrollerin
belirlenmesidir
28
Güvenlik – Sistem Geliştirme Hayat Döngüsü


Bazı spesifik noktalarda farklılıklar olsa da
genel metodoloji Sistem Geliştirme Hayat
Döngüsü’ne benzer
SecSDLC süreçleri şunları içerir :


Belli başlı tehditlerin ve bunlarla ilgili risklerin
tanımlanması
Bu tehditlerden korunmak için gereken spesifik
kontrollerin tasarımı ve uygulamaya konulması;
böylece risklerin yönetilerek organizasyon için bir
tehdit olmaktan çıkartılması.
Phases of An SDLC
29
Investigation in the SecSDLC
(İrdeleme)




Genellikle üst yönetimden gelecek bir direktifle başlayan
bir süreçtir. Proje ile ilgili girdileri çıktılar, hedefler ve
bütçe belirlenir.
Sıklıkla yapılan ilk işlerden birisi güvenlik politikalarının
oluşturulmasıdır.
Takımlar oluşturularak problemler analiz edilir, kapsam
belirlenir, hedefler ortaya konulur ve kısıtlar tanımlanır.
Fizibilite analizi yapılarak kurumun güvenlik altyapı
analizi ve bilgi güvenliği yönetimi sistemi kurabilmesi için
gereken kaynaklarının olup olmadığı belirlenir.
Güvenlik Politikaları hakkında daha sonra çok detaylı konuşacağız
Analysis in the SecSDLC
(Analiz)



Kurumda (varsa) mevcut politikalar ve
kontroller incelenerek bilinen tehditlere ne
derece karşı koyabildiği ortaya çıkartılır.
Bilgi Güvenliği çözümünü etkileyebilecek
yasal hususlar ile ilgili bir analiz yapılır.
Risk yönetimi bu adımda başlayacaktır.
Yasal hususlarla ilgili ek bilgileri daha
sonraki haftalarda vereceğim.
30
Risk Yönetimi

Risk Yönetimi: Şirketin karşı karşıya olduğu risk
seviyelerinin tanımlanması, büyüklüklerinin
belirlenmesi ve değerlendirilmesi



Risk Analizi Hakkında daha
sonra Çok detaylı konuşacağız
Özellikle, şirketin sahip olduğu ve süreçlerinde kullandığı
her türlü varlık/bilgi varlığı
Analiz fazını daha iyi anlamak için, şirketin karşı
karşıya bulunduğu tehdit türlerini bilmemiz
gerekmektedir.
Tehdit dendiğinde; şirketin sahip olduğu bir varlığa
tehdit oluşturabilecek herhangi bir yapı (insan, süreç,
bilgisayar programı vb) anlaşılmalıdır.
Bazı Tanımlar :

Attack (Saldırı): Çeşitli açıkları/zaafiyetleri
(vulnerability) kullanarak (exploit), kontrollü bir
sistemi riske atacak şekilde kullanılabilecek her
türlü eylem


Şirketin bilgi ya da fiziksel varlıklarını çalma
kabiliyetine sahip bir yapı
Vulnerability (Zaafiyet): Kontrollü olması gereken
bir sistemde, gerekli kontrollerin olmadığı/
yapılmasının unutulduğu her türlü durum
31
BG Tehditlerine bazı örnekler
Tehdit Kategorisi
Örnekler
İnsan kaynaklı olaylar/hatalar/kazalar
Entelektüel haklara olan tehdit
Planlı bilgi gaspı (extortion)
Planlı hırsızlık (deliberate acts of theft)
Doğal olaylar
Donanım sistemlerindeki hatalar
Yazılım sistemlerindeki hatalar
BT sistemlerine karşı, bilinen bazı saldırı
türleri







Kötü niyetli kod
Kandırma (hoax)
Arka kapı (backdoor)
Password crack
Brute force
Dictionary
Denial-of-service
(DoS) and
distributed denial-ofservice (DDoS)






Sahte e-posta
Man-in-the-middle
Spam
Mail bombing
Sniffer
Social engineering
32
Risk Yönetimi




Varlık Yönetimi (Asset Management) Hakkında
daha sonra Çok detaylı konuşacağız
Her bir tehditle ilgili riskleri önceliklendirmek için bazı
yöntemler kullanılmaktadır.
Riskleri yönetmek için, tüm varlıklar tanımlanmalı ve
değerleri belirlenmelidir.
Risk değerlendirme yaparak, varlıklarımız üzerindeki
riskleri karşılaştırma olanağı buluruz.
Risk yönetimi, bir kuruluştaki varlıkların açıklıklarını
tanımlar ve olası tehditleri dikkate alarak, C, I ve A’yı
tesis etmek için atılması gereken tüm adımları belirler.
SecSDLC Tasarımı

Tasarım aslında iki ayrı fazdan
oluşmaktadır:


Mantıksal tasarım fazı: takım üyeleri bir plan
geliştirir ve temel politikaları inceler, geliştirir.
Fiziksel tasarım fazı: takım üyeleri, planı
uygulamak için gereken teknolojileri
değerlendirir, alternatif çözümler üretir ve bir
final tasarım üzerinde karar kılınır.
33
Güvenlik Modelleri



BG yöneticileri, sıklıkla, BG
tasarımında hali hazırda bilinen,
denenmiş modelleri kullanırlar.
Bu modeller, BG ile ilgili bilinen bütün
unsurları kapsayan bir çerçeve
sunmaktadırlar.
İşletmeler, kendi güvenlik
ihtiyaçlarını karşılayacak bir
çerçeveyi kolayca adapte edebilirler.
Politika (Policy)


BG çerçevesinin kritik elemanlarından birisi
«BG Poltikası»dır
Yönetim, üç tip BG politikası tanımlamalıdır:



Genel politikalar;
Konu-spesifik politikalar
Sistem-spesifik politikalar
Güvenlik Politikalarını gelecek hafta göreceğiz
34
BG Eğitimleri



BG programının ayrılmaz bir parçası da bilgi
güvenliği konularında vereceğimiz eğitimler ve
bilgilendirmelerdir
Bu tip programlarda üç ana kısım bulunur: BG
bilgilendirmeleri, BG eğitimleri, ve BG farkındalık
oluşturma
BG Eğitimleri sonunda:
Improving awareness (Farkındalığın arttırılması)
Developing skills and knowledge (Becerilerin ve konu
hakkındaki bilgilerin geliştirilmesi)
 Building in-depth knowledge (Daha derin bir bilgi
altyapısı oluşturulması)
hedeflenmektedir.


Design – Risklere karşı gerçekleştireceğimiz
koruma kontrollerinin tasarımı


Tehdit ve saldırı risklerine karşı alacağımız
her türlü koruma tedbirlerine «kontrol» adını
vereceğiz.
Kontroller 3 grupta toplanabilir:



Yönetimsel
Operasyonel
Teknik
35
Yönetimsel Kontroller


Güvenlik planlama süreçleri ve güvenlik
programının yönetiminin tasarım ve
uygulamaları ile ilgili hususları kapsar
Yönetimsel kontroller ayrıca:


Risk yönetimi
BG kontrolleri gözden geçirme
hususlarını kapsar.
Risk Yönetimi Hakkında daha sonra geniş
olarak konuşacağız
Operasyonel Kontroller

Daha alt seviyelerdeki yönetimsel fonksiyonları
kapsar. Söz gelimi,



Felaket durumlarından kurtulma (Disaster recovery)
İhlal olaylarına karşı koyma planlaması (Incident
response planning)
Operasyonel kontroller aynı zamanda şunları da
kapsar:



Personel güvenliği
Fiziksel güvenlik
Üretim girdi ve çıktılarının korunması (operasyonel
güvenlik)
Bu kavramları daha sonra göreceğiz
36
Teknik Kontroller

Bilgiyi korumak için kullanabileceğimiz
teknolojiler (firewall, anti virus, ağ
yapılanması, vb)
Contingency Planning (Acil durum/
Beklenmedik durum planlaması)

Şirketi tehdit eden çeşitli durumlar
gerçekleştiğinde (felaket durumu), karşı bir
eyleme geçmek ve bir an önce eski duruma geri
dönmek ile ilgili planlama ve hazırlık dokümanları
ve çalışmaları:



İhlal olaylarına karşılık verme planlaması (Incident
response planning (IRP) )
Felaketten kurtulma planlaması (Disaster Recovery
Planning) (DRP)
İş sürekliliği planlaması (Business continuity planning
(BCP))
Bu kavramları daha sonra geniş olarak
göreceğiz
37
Fiziksel Güvenlik


Fiziksel Güvenlik: Şirketin fiziki kaynaklarını
korumak için gereken karşı tedbirlerin
tasarım, uygulama ve bakımları ile ilgilidir.
Bazı fiziki kaynaklar:



İnsan
Donanım
Destek servisleri
Fiziksel Güvenliği daha sonra geniş olarak
göreceğiz
SecSDLC’nin Uygulanması



BG çözümleri belirlenir, elde edilir, test edilir,
uygulanır, ve yeniden test edilir.
Personel ile ilgili (çalışanlar, müşteriler, ortaklar)
konular belirli eğitim programları düzenlenerek
halledilmelidir
Uygulama fazındaki en önemli unsur proje
planıdır:



Proje planını oluşturmak
İş paketlerini ve proje adımlarını yönetmek,
Projeyi toparlayıp bitirmek
38
BG Proje Takımı

Bir/birden fazla teknik ve teknik olmayan konularda
deneyimi olan kişilerden oluşmalıdır. Proje takımında yer
alan kişiler aşağıdaki şekilde sınıflandırılabilir:







Champion/Şampiyon
Team leader/Takım Lideri
Security policy developers/BG Politikası geliştiricisi
Risk assessment specialists/Risk değerlendirme uzmanı
Security professionals/BG uzmanı
Systems administrators/BG yöneticisi
End users/Son kullanıcı
BG Profesyonelleri

BG ile ilgili konularda, farklı isimlerle anılan
profesyoneller yer almaktadır. Bunlardan
bazıları:







Chief Information Officer (CIO)
Chief Information Security Officer (CISO)
Security Managers/Güvenlik Yöneticisi
Security Technicians/Güvenlik Teknisyeni
Asset Owners/Varlık Sahibi
Asset Custodians/Varlık Koruyucusu
Asset Users/Varlık Kullanıcısı
39
Çeşitli BG sertifikaları

Çoğu kuruluş, BGY çalışmaları sırasında
kullanabileceği kişilerin/çalışanlarının sertifikalı
olmasını ister. Böylece yapılacak işlerde çok daha
olay bir biçimde profesyonellik sağlanmış olacaktır:







CISSP – Certified Information Systems Security Professional
SSCP - Systems Security Certified Practitioner
GIAC – Global Information Assurance Certification
SCP – Security Certificate Professional
ICSA – Certification for Commercial Security Products
Security +
CISM – Certified Information Security Manager
SecSDLC Bakım ve İyileştirme

BG programı uygulamaya geçtikten sonra,




İşletilmeli,
Yönetilmeli
Hazırlanan bazı yönergeleri kullanarak güncel
tutulmalıdır
Eğer program, şirket iç ve dış ortamlarındaki
değişikliklere uygun şekilde adapte
edilemezse, bir süre sonra herşeyi en
başından yapmak ve döngüyü yeniden
başlatmak gerekebilir
40
Bakım Modeli

Sistem yönetimi, geliştirilen yapıyı yönetme ve
işletme amacını taşır. Bakım modeli ise, sistemin
sağlıklı işleyip işlemediği ve karşılaşılan
olumsuzluklar karşısındaki tutumları modeller:






Dış denetim
İç denetim
Risk değerlendirme
Zaafiyetlerin belirlenmesi ve ortadan kaldırılması
Hazır olma durumu
Zaafiyetlerin değerlendirilmesi
41
Bilgi Güvenliği Programı Yönetimi


BG programı oluşturulduktan sonra işletilmeli ve
yönetilmelidir.
İşletmelerdeki BG programlarının çalıştırılması
için, formal bir yönetim standardı kullanmak
çoğunlukla işleri kolaylaştırır.




ISO27001
NIST
COBIT
???
Üst Yönetim - Senior Management

Chief Information Officer /Müdür yardımcısı?



the senior technology officer
primarily responsible for advising the senior executive(s) for
strategic planning
Chief Information Security Officer


responsible for the assessment, management, and
implementation of securing the information in the
organization
may also be referred to as the Manager for Security, the
Security Administrator, or a similar title
42
Bilgi Güvenliği: Bir sanat mı? Yoksa
bilim mi?

Günümüz Bilgi Sistemlerinin karmaşıklığı göz
önüna alındığında, BG’nin uygulanması
sıklıkla bilim ve sanatın bir karışımı olarak
değerlendirilmektedir.
Sanat olarak Güvenlik



Keskin ve hızlı işleyen kurallarımız ne yazık
ki yok. Evrensel olarak kabul gören, her
koşulda doğru çalışan kurallardan da söz
etmek zor
Tüm sistem için sihirli bir el kitabımız yok
Kullanıcılar, geliştirilen politikalar ve teknolojik
kontroller arasında oldukça karmaşık bir ilişki
söz konusu
43
Bilim olarak Güvenlik



Yüksek seviyeli bir performans elde etmek
için teknolojik çözümlere odaklanmak
gereklidir
Hemen hemen her türlü hata, güvenlik açığı
ve hatalı program, yazılım ve donanımın
birbiriyle etkileşimi ile ortaya çıkar
Eğer geliştiricilerin yeterli zamanı olsa, tüm
bu hataları çözebilir ve elemine edebilirlerdi.
Sosyal Bilimler açısından Güvenlik




Sosyal bilimler, sistemlerle etkileşen
bireylerin davranışlarını inceler
Güvenlik her zaman, sistemle etkileşim içinde
olan insanlarla başlar ve biter
Son kullanıcılar muhtemelen zincirin en zayıf
halkalarıdır.
BG yöneticileri çoğu durumda son
kullanıcılardan kaynaklanan riskleri azaltabilir
ve daha kabul edilebilir güvenlik progilleri
oluşturabilirler.
44
C.I.A. Üçgeni

QUIZ
Özellikler: CIA


Confidentiality (Gizlilik): sadece izin
verilenler bilgiyi «görebilir»
Integrity (Tamlık): sadece izin
verilenler bilgiyi düzeltme yetkisine
sahiptir (oluşturma, düzeltme ve
silme)



Tamlığın sağlanması: bilginin (başkaları
tarafından) değiştirilemeyeceğinin
bilinmesi
Tamlık ihlallerinin belirlenmesi:
güvenilmeyen durumlar oluştuğunda
alternatif kaynaklardan bilginin elde
edilmesi (yedek diskler, yedek sunucular)
Availability (Erişilebilirlik,
Kullanılabilirlik) : bilginin, ihtiyaç
duyulduğunda, erişilebilir olması.
45
Author
Document
Category
Uncategorized
Views
6
File Size
1 834 KB
Tags
1/--pages
Report inappropriate content