Karmaşık terimler olmadan bilgi güvenliği

Bilgi güvenliği; paranızın, hesaplarınızın, belgelerinizin ve fotoğraflarınızın çalınmaması, sahtelenmemesi veya bozulmaması demektir. Telefonu, bilgisayarı, banka kartı veya sosyal medya profili olan herkes için gereklidir: Güvenlik düzeyiniz, paranızı, itibarınızı ve verilerinize erişiminizi koruyup korumayacağınızı belirler.

---

Basit bir dille bilgi güvenliği nedir

Resmi tanımlamalar uzun olabilir, ancak özünde her şey oldukça basittir:

Bilgi güvenliği; bilgilerinizin ve bu bilgilerin saklandığı sistemlerin hırsızlık, kayıp, sahtecilik ve arızalara karşı korunması demektir.

Uzmanlar bunu üç soru üzerinden açıklar:

1. Verilerimi kimler görebilir?
   Yabancıların mesajlarınızı okumaması, kart numaralarınızı, belgelerinizi ve kişisel fotoğraflarınızı görmemesi için.

2. Verilerim sessizce değiştirilebilir mi?
   Sistemdeki tutarın değiştirilememesi, sözleşmenin veya yazışmaların sahtelenememesi için.

3. Verilere ihtiyaç duyulduğunda erişilebilir olacak mı?
   Hizmetlerin çalışması, dosyaların kaybolmaması ve hesaba erişimin sebepsiz yere engellenmemesi için.

Bu üç ilke CIA üçlüsü olarak adlandırılır:

• Gizlilik – Yetkisiz kişiler gereksiz bilgilere erişemez.
• Bütünlük – Veriler sessizce sahtelenemez.
• Erişilebilirlik – Her şey gerektiğinde çalışır.

Bilgi güvenliği bireyler ve işletmeler için neden gereklidir

Sıradan bir insan için

Bilgi güvenliği şunları korur:

• Parayı
  "Banka" adına yapılan oltalama siteleri, sahte SMS'ler ve "güvenlik servisi"nden gelen aramalar, tek seferlik kodların ele geçirilmesi gibi durumlardan.

• Hesapları
  Sosyal medya ve mesajlaşma uygulamalarındaki profillerin çalınmasından, fotoğraf ve belgelerin bulunduğu bulut depolama alanlarına yetkisiz erişimden.

• İlişkileri ve itibarı
  Kişisel fotoğraflar ve yazışmalarla şantaj yapılmasından, "sizin adınıza" gönderilen sahte mesajlardan, sahte aramalar ve videolardan.

• Kişisel verileri
  Kimlik, adres, telefon numaraları, sağlık kayıtları, satın alma geçmişi ve konum verileri gibi dolandırıcılık amacıyla kullanılabilecek bilgiler.

İşletmeler ve organizasyonlar için

Şirketler için bilgi güvenliği artık para ve hayatta kalma meselesidir:

• ticari sırların, müşteri veritabanlarının ve dahili belgelerin korunması;
• hizmetlerin ve üretimin durmasının önlenmesi;
• kişisel verilerin korunmasına ilişkin yasal gerekliliklerin ve sektör standartlarının yerine getirilmesi;
• itibarın korunması: Büyük bir veri sızıntısı, müşterilerin ve iş ortaklarının güvenini kolayca yok edebilir.

İnsan dilinde bilgi güvenliğinin başlıca tehditleri

1. Sosyal mühendislik: Bilgisayarı değil, insanı kırarlar

Sosyal mühendislik, kişinin kendisinin verileri veya parayı teslim etmesi için manipüle edilmesidir.

Tipik senaryolar şunlardır:

• Acilen bir linke tıklayıp işlemi onaylamanızı isteyen "bankadan" gelen bir e-posta;
• SMS'teki kodu söylemenizi isteyen "destek personeli" araması;
• Mesajlaşma uygulamasında "tanıdığınızdan" gelen borç isteme mesajı (hesap çalınmış veya sahte);
• "Güvenlik servisi"nin "koruma uygulaması" kurmanızı istemesi, ancak gerçekte bunun bir casus yazılım olması.

Mükemmel şekilde yapılandırılmış teknoloji bile, kişi dolandırıcıya kapıyı kendi açarsa kurtaramaz.

2. Kötü amaçlı yazılımlar: Virüsler, truva atları, şifreleyiciler

Tehlikeli yazılımlar şunları yapabilir:

• Tuş vuruşlarını yakalamak, ekran görüntüsü almak, tarayıcıdaki sayfaları değiştirmek;
• Dosyaları şifreleyip fidye istemek;
• Giriş bilgilerinizi, şifrelerinizi ve işlem geçmişinizi sessizce toplamak.

En sık bulaşma, e-posta ekleri, "kırık" programlar, şüpheli web siteleri ve tarayıcı uzantıları aracılığıyla gerçekleşir.

3. Oltalama (Phishing) ve sahte web siteleri

Oltalama; banka, pazaryeri veya kargo hizmeti gibi popüler hizmetlerin e-posta ve web sitelerinin sahtelenerek şunların yapılmasını sağlamasıdır:

• Giriş bilgisi ve şifrenizin girilmesi;
• Kart bilgilerinizin belirtilmesi;
• Kötü amaçlı bir uygulamanın indirilip kurulması.

Site "gerçek gibi" görünür, ancak adres bir iki harf farklıdır veya garip bir alan adı kullanılır.

4. "İçeridekilerin" sızıntıları ve hataları

Ciddi olaylar genellikle şunlardan kaynaklanır:

• Çalışan hataları (dosyanın yanlış kişiye gönderilmesi, veritabanının şifresiz bırakılması, veri içeren dizüstü bilgisayarın kaybedilmesi);
• İçerden gelen kasıtlı eylemler (birinin müşteri veritabanını kopyalayıp rakibe götürmesi).

Bu nedenle koruma, sadece yazılımlarla değil, aynı zamanda iyi düşünülmüş kurallar, erişim ayrımı ve kişilerin eğitimi ile sağlanır.

5. Erişilebilirliğe yönelik saldırılar: Her şey "çöktüğünde"

Bazen saldırganın amacı verileri çalmak değil, sadece hizmeti "kapatmaktır":

• DDoS saldırıları – sitenin veya uygulamanın yanıt vermemesine neden olan yoğun istek seli;
• Ağ ve sunucu donanımlarının devre dışı bırakılması;
• Kritik sistemlerin şifrelenmesi.

Kullanıcı için bu "hiçbir şeyin açılmaması", şirket için ise doğrudan finansal kayıp anlamına gelir.

Korumanın işleyişi: teknoloji, kurallar ve insanlar

Güvenilir bilgi güvenliği her zaman birkaç katman üzerine inşa edilir.

Teknik önlemler

Genellikle siber güvenlikle ilişkilendirilen unsurlar:

• antivirüsler ve uç nokta cihazlarının korunması;
• güvenlik duvarları (firewall);
• disklerin ve bağlantıların şifrelenmesi (HTTPS, VPN ve diğer koruma protokolleri);
• kullanıcı eylemlerinin izlenmesi ve günlüğe kaydedilmesi sistemleri.

Bunlar hacklenme, kötü amaçlı yazılım bulaşması ve yetkisiz erişim riskini azaltır.

Organizasyonel önlemler

Belgelere ve yönetmeliklere yansıtılan, ancak gerçek pratiği etkileyen unsurlar:

• bilgi güvenliği politikası: Verilerle nelerin yapılıp yapılamayacağı;
• erişim haklarının ayrımı: Kimin hangi sistemlere erişebileceği;
• taşıyıcılarla çalışma kuralları (USB bellekler, harici diskler, kağıt belgeler);
• olay durumunda izlenecek prosedür: Kimin bilgilendirileceği, zararın nasıl sınırlandırılacağı.

Eğitim ve güvenlik kültürü

En iyi teknoloji bile, insanlar onu güvenli bir şekilde kullanmayı bilmezse kurtaramaz. Bu nedenle şunlar önemlidir:

• Oltalama ve güvenli davranışlar konusunda düzenli kısa eğitimler;
• Saldırı simülasyonları (test oltalama e-postaları, kontrol aramaları);
• "Bir şeyler ters gittiğinde ne yapılmalı" konusunda basit talimatlar.

Pratik adımlar: Kendinizi ve verilerinizi nasıl korursunuz

1. Şifreler ve hesap girişleri

• E-posta, bankacılık ve önemli hizmetler için farklı şifreler kullanın.
• Doğum tarihi, "123456", isim + yıl ve benzeri varyasyonları kullanmayın.
• Şifreleri telefon notlarında veya defterde değil, bir şifre yöneticisinde saklayın.
• Mümkün olan her yerde iki faktörlü kimlik doğrulamayı (2FA) etkinleştirin.

2. E-postalar, aramalar ve linklere karşı dikkatli olun

• Tarayıcıdaki web sitesi adresini, yalnızca logoya bakmak yerine her zaman kontrol edin.
• Şüpheli e-posta ve SMS'lerdeki linklere tıklamayın, bunun yerine web sitesi adresini manuel olarak girin.
• Bilinmeyen gönderenlerden gelen ekleri, özellikle çalıştırılabilir dosyaları ve şifreli arşivleri açmayın.
• Eğer "banka" arıyor veya mesaj atıyorsa, resmi web sitesinden veya uygulamadan bulunan numara üzerinden geri arayın.

3. Cihazların korunması

• Telefon ve dizüstü bilgisayarda PIN/şifre veya biyometrik veri ile ekran kilidini etkinleştirin.
• İşletim sistemini ve uygulamaları düzenli olarak güncelleyin.
• Programları bilinmeyen kaynaklardan indirmeyin.
• Özellikle evdeki Windows bilgisayarlarında antivirüs kullanın.

4. Halka açık Wi-Fi ağları

• Açık ağlarda internet bankacılığına giriş yapmaktan ve önemli şifreleri girmekten kaçının.
• Halka açık Wi-Fi üzerinden düzenli çalışıyorsanız VPN bağlantısı kullanın.

5. Kişisel ve iş verileriyle çalışma

• Kişisel belgeleri ve fotoğrafları, başkalarına ait veya ortak cihazlarda şifresiz olarak saklamayın.
• Önemli dosyaların yedeklerini alın: hem buluta hem de harici diske.
• İş yerinde, iş dosyalarını kişisel e-postaya göndermeyin ve izin olmadan müşteri verilerini "eve USB bellekle götürmeyin".

Parmak hesabıyla bilgi güvenliği

Çok kısaca açıklamak gerekirse:

Bilgi güvenliği; verilerinizin ve sistemlerinizin size gerektiğinde yetkisiz kişiler tarafından görülmemesi, değiştirilmemesi ve bozulmaması demektir.
Bunun için teknoloji (koruma yazılımları ve şifreleme), kurallar (yönetmelikler ve erişimler) ve insanların davranışı (dikkatlilik ve eğitim) bir araya getirilir.

Bu makaledeki temel tavsiyelere uyarak, günlük hayatınızda ve işinizdeki gerçek risklerin büyük çoğunluğunu zaten bertaraf etmiş olursunuz.