Siber Güvenlik Nedir? Kişisel Bilgi Güvenliğimizi Nasıl Koruruz?

Özellikle ‘cool’ olarak görülen “Siber” kelimesini içeren meslekler, eğitim alanları, seminerler, kurslar, haberler, makaleler, ve hatta renkli arka plan üzerine büyük harflerle yazılmış sözler bile artık insanların ilgisini çekmekte.

Siber Güvenlik
İnsanlık tarafından kullanılmış ve kullanılmakta olan her araç-gereçte olduğu gibi, tabii ki siber alemdeki güvenliğimiz de en önemli konulardan biridir. İşte siber güvenliğin en önemli kapsamlarından biri de tüzel ve gerçek kişilerin gizlilik ve güvenliğinin korunmasıdır. Siber güvenlik genel olarak bilgisayar güvenliği, operasyon güvenliği, veri güvenliği, kişisel bilgi güvenliği, internet ağı güvenliği, hatta herhangi bir sinyal alışverişi içeren cihaz güvenliği ve buna benzer bir çok insan-makine iletişimini içeren konuyu içermektedir. Bu konuların böyle çoklanmasının ve önem kazanmasının bir sebebi de doğal olarak karşılaşılan saldırılardır. Siber saldırıların çeşitleri, yoğunlukları ve etkileri arttıkça; siber güvenlik alanında atılan adımların artması da çoğunlukla aynı oranda olmuştur. Hatta özellikle 1980’li yıllardan itibaren ‘siber dünyada etik’, ‘siber korsanlık’ ve ‘etik siber korsanlık’ gibi tanımlar ortaya çıkmaya başlamış, ve akademik, sosyal ve siyasal dünyadaki tartışmalar arasında yerini almıştır.

Siber Saldırılar

Siber saldırılara karşı ne gibi önlemler alınabilir sorusuna geçmeden önce, saldırıların çeşitleriyle ilgili kısa bir bilgilendirme yapmak istiyorum. Siber saldırı çeşitlerini ve yöntemlerini aşağıdaki gibi gruplandırabiliriz;

• Hedef sistemin güvenlik duvarı aşarak veri kopyalama,
• Açık mikrofon/kamera dinleme,
• Network scanning dediğimiz Ağ tarama ile içeri sızma,
• Hedef sistemde barınan ve kullanılabilen tüm hizmetler servis dışı bırakma (Denial of Service),
• Hedef yapının tüm internet servislerini yıkıcı aksiyon alma,
• Kripto saldırı ile şifreler kırma,
• IP gizleme ve başka IP’nin yerine geçme (IP Masquerading),
• İki bağlantı arasına sızarak dinleme ve veri ele geçirme (MITM),
• Yemleme (Phishing).

Bilgi Güvenliği

Görüldüğü üzere; en yakın arkadaşlarımızın, ailemizin bile bilmediği bilgilerimizin içeren siber alem, bir çok çeşit saldırıyla sürekli olarak tehdit altında bulunmakta. Siber dünyada tehdit altında olan alanlardan biri de -yukarıda da belirttiğim gibi- kişisel verilerimizdir. Bu konu ‘Kişisel Bilgi Güvenliği’ başlığı altında detaylı olarak incelenmektedir.

Siber Güvenliğin ve Bilgi Güvenliğinin Kapsam Alanları
Siber güvenlik ve bilgi güvenliği genellikle aynı anlamda kullanılsa da; siber güvenlik daha soyut ve geniş bir ağ alanını kapsarken, bilgi güvenliği biraz daha teknik bir şekilde gerçek ve tüzel kişilerin verilerini korumayla odaklanmaktadır.

Bilgi Güvenliği Standartları

Kişisel bilgi güvenliğimizin korunması amacıyla atılan ilk global adım 1990’lı yılların ortalarına denk gelmektedir. Bu yıllarda İngiltere’de bazı sanayi kuruluşların talepleri ve BSI (İngiliz Standartlar Enstitüsü) girişimleri ile, Bilgi Güvenliği Standartları’nın temelleri atılmış, ‘BS7799’ standartı ortaya çıkmıştır. 2000 yılında ise Uluslararası Standartlar Komitesi (ISO) tarafından Bilgi Güvenliği ile ilgili standardın birinci bölümü olan ‘ISO 17799’ yayınlamıştır. Bilgi Güvenliği yönetimi için uygulama prensiplerini içeren standardın son gözden geçirmeleri 2004 tamamlanmış ve 2005 yılında yeni versiyonu olan ‘ISO 27001’ yayınlanmıştır.

ISO 27001, ITIL, COBIT gibi global çapta kabul görmüş standartlar; sürekli değişen ve gelişen günümüz koşullarında, bireysel ve kurumsal anlamda bilgi güvenliğinin korunması ve yönetilmesiyle ilgili politikaları, planlama faaliyetlerini, sorumlulukları, uygulamaları, prosedürleri, prosesleri ve kaynakları içerir.

Türkiye’de Bilgi Güvenliği

Ülkemizde bilgi güvenliği üzerine atılan ilk adım, 2003 yılında yayınlanan ‘2003/10 Başbakanlık Genelgesi’dir. 2004 yılında bilgi güvenlik ve gizliliğinin koruma altına alınması ve hukuki anlamda işlem yapılabilmesini sağlamak amacıyla ‘Elektronik Ceza Kanunu’ ve ‘Türk Ceza Kanunu’ yürürlüğe sokulmuştur. Devam edilen yıllarda bu çalışmalar genişletilerek devam ettirilmiş, ve 2008 yılında Türkiye Bilgisayar Olayları Müdahale Ekibi (TR-BOME) tarafından ülkemizde ilk defa bilgi sistemleri güvenliği tatbikatı gerçekleştirilmiştir.

Siber saldırılar, siber savaşlar gibi terimlerim ciddiyetinin artmasıyla beraber, tüm dünyada olduğu gibi, ülkemizde de konuya verilen önem; 2013 yılında ‘Siber Savunma Komutanlığı’nın kurulmasıyla sonuçlanmıştır.
2016 yılında, hepimizin son zamanlarda sıkça duymaya başladığı, 6698 sayılı Kişisel Verilerin Korunması Kanunu yürürlüğe girdi. Sosyal medya kullanımlarımızda, internet alışverişlerimizde, ve diğer bir çok elektronik ortam işlemlerimizde; toplanan kişisel verilerimiz ilgili kurumlar tarafından işlenmektedir. Bu sayede hem ilgili kurum hem de bilgilerin yasal olarak paylaşıldığı kurumlar tarafından çeşitli kampanya ve indirimler hakkında haber sahibi oluruz. Ancak bilgilerimizin kötüye kullanılması olasılığı da vardır. KVKK’nda amaç; bu olasılığı ortadan kaldırmak, verilerin belli standartlar altında korunmasını ve işlenmesini sağlamaktır. Bu sayede bizlerin, kişisel verilerimiz üzerinde söz sahibi olmamız sağlanır.

Kişisel Bilgi Güvenliğimizi Nasıl Koruruz?

Şu ana kadar bilgi güvenliğimizin yasalar ve kurumlar tarafından nasıl koruma altına alındığını ana hatlarıyla anlatmaya çalıştım. Gerek uluslarası standartlar, gerekse ulusal çalışmalarımız ile verilerimiz olabilecek en yüksek oranda koruma alınmaktadır. Ancak hiçbir zaman %100 başarıyla siber saldırılara ve kişisel bilgi hırsızlığına engel olabilecek bir yöntem ortaya konulamamıştır. Bu gibi durumlarda tabii ki yasal yollara başvurarak hakkımızı koruyabiliriz; fakat kopyalanmış, ve izinsiz, kötü amaçlı olarak kullanıma alınmış verilerimizi kurtarmamız pek mümkün değildir. Saldırı ve hırsızlıklardan korunabilmek için, bizlerin de alabileceği bazı önlemler bulunmakta. Temel anlamda internet ortamında veri güvenliğimizi koruyabilmemiz adına bir dizi öneride bulunacağım; ancak unutulmamalıdır ki bu önlemler de size tam koruma sağlayamayacaktır, ayrıca her cihaz ve sanal ortamın zayıflıkları ve alınması gereken önlemleri de farklı olabilmektedir.

• Özellikle toplu taşıma ve kafelerde çokça karşımıza çıkan ortak ağları olabildiğince minimum seviyede kullanmaya, hatta mümkünse hiç kullanmamaya özen göstermeliyiz.
• İnternet kullanımı esnasında erişim sağlanan web sayfalarının adres satırındaki ‘https’ ifadesinin kontrolü yapmalıyız.
• Eğer bir iş yerinde yani ortak ağda çalışıyorsak güvenli erişim kanalları (VPN) kullanılmasına özen göstermeliyiz.
• Evde / İş yerinde kullandığımız modemlerimizi her zaman en güncel sürümde tutmalıyız.
• Sniffing ataklarına karşı, mümkünse, modem üreticisinin önerdiği üçüncü parti firmware kullanmalı ve her zaman en güncel sürümde tutmalıyız.
• Modem arayüzü giriş bilgilerini fabrika ayarları değerlerinde kullanmamalı, kesinlikle değiştirmeliyiz.
  Telefon, bilgisayar, tablet gibi cihazlarımızı en güncel sürümlerinde kullanmalıyız.
• Hesaplarımızda ne olursa olsun basit şifreler kullanmamalıyız. Şifrelerimiz sık sık olmasa bile 3–6 ay arasında değiştirmeye dikkat etmeliyiz.
• Her platformda aynı şifreyi kullanmamalıyız.
• Verilerimizi düzenli olarak yedeklemeli, yedeklerimizi de yine ayrı parolalar ile yönetmeliyiz.
• Önümüze çıkan her linke hemen tıklamamalı, önce dikkatlice okuyup, düşünmeliyiz. Phishing tuzaklarına karşı her zaman tetikte olmalıyız. Panik uyandıran ve güvenilir gibi görünen kaynaklara karşı tedbirli olmalı, gerekirse çevredeki bilirkişilere danışmalıyız.