Güvenlik neyi korur?

Açılış

Defne Hanım Eskişehir'de altı kişilik bir mali müşavirlik bürosu işletiyor. Geçen ay bir meslektaşının bürosunda bilgisayarların kilitlendiğini, ekranda fidye notu çıktığını duydu ve hemen dış destek firmasını aradı. Firma bir teklif getirdi: yeni bir güvenlik duvarı cihazı, bütün bilgisayarlara bir güvenlik yazılımı ve yıllık bakım. Defne Hanım teklifi imzaladı, cihaz takıldı, içi rahatladı.

İki hafta sonra stajyer bir öğrenci, mükelleflerin beyanname klasörlerine nasıl girildiğini sordu. Kıdemli çalışan monitörün kenarındaki sarı kâğıdı gösterdi: ortak klasörün parolası oradaydı, altı yıldır aynıydı ve büroya gelen herkesin görebileceği yerde duruyordu. Aynı klasörde müşterilerin kimlik fotokopileri, maaş bordroları ve banka bilgileri vardı.

Defne Hanım o gün kendine bir soru sordu ve bu soru bütün akademinin ilk sorusu: Ben neyi koruyorum? Para verdiği cihaz gerçekti ve işe yarıyordu, ama asıl değerli olan şeye giden en kısa yol cihazın hiç bakmadığı bir sarı kâğıttan geçiyordu. Bu ders o soruyu cevaplamanın dilini kuruyor.

Tek fikir

Güvenlik bir ürünle başlamaz, bir soruyla başlar: neyi, kime karşı, hangi zayıflığından dolayı koruyorsun? Varlığı, tehdidi ve zafiyeti adlandırmadan alınan her önlem kör atıştır; risk bu üçünün buluştuğu yerde doğar.

Nasıl çalışır

Güvenlik konuşmalarında aynı kelimeler gelişigüzel kullanılır. Biri "büyük bir tehdit var" der, kastettiği bir zafiyettir; biri "riskimiz yok" der, kastettiği henüz başına bir şey gelmemiş olmasıdır. Bu akademide dört kelimeyi kesin anlamlarıyla kullanacağız, çünkü bunlar karıştığında yanlış yere para ve emek harcanır.

Varlık listesi yaparken insanlar önce fiziksel şeyleri sayar: bilgisayar, yazıcı, telefon. Oysa bir bilgisayarın yerine yenisi birkaç günde alınır; içindeki müşteri dosyalarının, bir e-postayla dünyaya yayıldıktan sonra geri alınma ihtimali yoktur. Varlığı değerli yapan, kaybedildiğinde, bozulduğunda ya da erişilemez olduğunda doğacak zarardır. Bu yüzden iyi bir varlık listesi her kalemin yanına bir soru yazar: bu olmazsa, bozulursa ya da yabancının eline geçerse ne olur?

İkisini birbirinden ayırmanın en kolay yolu şu soruyu sormaktır: Bunu ben değiştirebilir miyim? Tehdidin büyük kısmı senin kontrolünde değildir. Dolandırıcıların var olmasını, deprem olmasını ya da bir çalışanın günün birinde yanlış dosyayı silmesini ortadan kaldıramazsın. Zafiyet ise genellikle senin evinin içindedir: sarı kâğıttaki parola, güncellenmemiş bilgisayar, kimsenin kontrol etmediği yedek. Güvenlik işinin büyük bölümü zafiyetleri azaltmak ve tehdit gerçekleştiğinde zararı sınırlamaktır.

Tehditlerin hepsi kötü niyetli de değildir. Bir su borusunun patlaması, sunucu odasındaki klimanın arızası, yanlışlıkla silinen bir klasör de tehdittir. Kasıtlı tehditlerle kazara olanları aynı listede tutmak önemlidir, çünkü bir kurumun en sık yaşadığı veri kaybı çoğu zaman bir saldırgandan değil sıradan bir hatadan gelir ve aynı önlem, iyi bir yedek, ikisine birden karşılık verir.

Dördüncü kelime öbür üçünü birbirine bağlar.

Bu tanım basit görünür ama önemli bir sonucu vardır: üç parçadan biri yoksa risk de yoktur ya da çok küçüktür. Kimsenin umursamadığı bir veride, yani değersiz bir varlıkta, zafiyet olsa da kayıp küçüktür. Hiçbir tehdidin ulaşamayacağı, internete bağlı olmayan ve kilitli odada duran bir makinenin eski yazılımı, bağlı bir makinedekiyle aynı riski taşımaz. Ve zafiyeti kapatılmış bir sistem, tehdit ne kadar büyük olursa olsun o yoldan zarar görmez.

Defne Hanım'ın satın aldığı güvenlik duvarı gerçek bir tehdide karşı gerçek bir önlemdi: internetten gelen istenmeyen bağlantıları kesiyordu. Ama en değerli varlığına giden yolda başka bir zafiyet vardı ve o zafiyet cihazın göremediği bir yerdeydi: içerideki herkesin, hatta stajyerin ve temizlik görevlisinin, her müşteri dosyasına ulaşabilmesi. Risk analizi yapılmadan alınan önlem, kapısı çelik ama penceresi açık bir eve benzer.

Sahada

Savunma

Bu dersin savunması bir araç değil, bir sıralamadır. Önce varlık gelir. Ne koruduğunu bilmeyen biri, satın alacağı her ürünün kendisine anlatılan hikâyesine bağımlı kalır. Defne Hanım'ın ilk işi bir liste çıkarmaktı: hangi veri var, nerede duruyor, kimin erişimi var, kaybolursa ne olur.

İkinci adım her önemli varlık için tehditleri sormaktır: bu varlığa kim ya da ne zarar verebilir? Burada hem kasıtlı hem kazara olanları yaz; dolandırıcı ile bozulan disk aynı listede durur. Üçüncü adım zafiyetleri aramaktır: tehdidin bu varlığa ulaşmasını hangi zayıflık kolaylaştırıyor? Zafiyet listesi çoğu zaman en kısa sürede en çok şey kazandıran listedir, çünkü kalemlerinin çoğu bedava ya da ucuzdur: bir parolayı değiştirmek, bir erişimi kısmak, bir yedeği denemek.

Dördüncü adım önceliklendirmedir. Her zafiyet aynı ağırlıkta değildir. Bir zafiyetin önemini, ulaştığı varlığın değeri ve onu kullanabilecek tehdidin gerçekleşme ihtimali belirler. Bora'nın hastanesinde yüzlerce eski yazılım bulgusu olabilir; o, hasta hizmetini durdurabilecek olanlardan başlar.

Son olarak her önlemin hangi satırı kapattığını yaz. Bir önlemin hangi varlığı, hangi tehdide karşı, hangi zafiyeti kapatarak koruduğunu söyleyemiyorsan o önlem ya gereksizdir ya da yanlış yerdedir. Defne Hanım'ın güvenlik duvarı tabloda kendi satırını buldu ve kaldı; ama ilk hafta yapılan asıl iş ortak parolanın kaldırılması, herkese yalnız kendi müşterilerinin klasörünün açılması ve yedeğin bir kez geri yüklenerek denenmesiydi. Hiçbiri yeni bir cihaz gerektirmedi.

Savunmanın bu ilk hâli eksik bırakır, bilerek bırakır. Tespit etmek, müdahale etmek ve toparlanmak sonraki derslerin konusu. Ama hepsi bu tablonun üstüne kurulur.

Uygulama

Akademi boyunca bir güvenlik defteri tutacaksın; Modül 1'in yedinci dersinde onu düzenli bir biçime sokacağız. Bugün ilk sayfasını açıyorsun. Kâğıt defter de olur, bilgisayarda bir belge ya da tablo da.

Tabloyu doldururken iki şeye dikkat et. Birincisi, tehdit sütununa yalnız kötü niyetli kişileri yazma; telefonun düşmesi, diskin bozulması ya da hesabın kurtarma e-postasına artık erişemiyor olman da tehdittir. İkincisi, zafiyet sütununa ürün adı yazma. "Antivirüsüm yok" bir zafiyet tarifi değildir; "bilgisayarım üç aydır güncellenmedi" bir tariftir, çünkü neyin değişmesi gerektiğini söyler.

Bitirdiğinde en yüksek riskli satırın yanına bu hafta yapabileceğin tek bir küçük adımı yaz. Tek bir adım; bir parolayı değiştirmek ya da fotoğrafları ikinci bir yere kopyalamak gibi.

Defter: "Varlık · Tehdit · Zafiyet · Risk" başlıklı ilk tablo, üç satır, en yüksek riskli satırın yanında bu haftaki tek adım ve adımı yaptığın tarih.

Hata köşesi

Etik ve sınırlar

Bu derste yaptığın analiz senin varlıklarına aittir; kendi hesabını, cihazını ve verini incelemek senin hakkındır. Aynı merakı başkasının sistemine yöneltmek ise başka bir şeydir. Bir sitenin, bir kurumun ya da bir komşunun ağındaki zayıflığı "sadece bakmak için" denemek, sahibinin açık izni olmadan yapıldığında Türk Ceza Kanunu'nun bilişim suçlarına ilişkin hükümlerinde, ilk olarak 243. maddedeki bilişim sistemine izinsiz girme suçunda karşılığını bulabilir; iyi niyet bu sınırı kaldırmaz. Akademinin bütün uygulamaları senin kendi sistemlerinde ya da yalıtılmış bir laboratuvarda yapılır. Bir işyerinde risk analizi yapacaksan da bunu ancak yetkin olan kişinin, çoğu zaman yöneticinin, yazılı onayıyla yaparsın. Bu sınırları Modül 1'in altıncı dersinde ayrıntılı konuşacağız.

Kapanış

1. Güvenlik bir ürünle değil, "neyi koruyorum" sorusuyla başlar; varlığın değeri onu kaybettiğinde doğacak zarardır.
2. Tehdit çoğu zaman kontrolünün dışındadır, zafiyet ise çoğu zaman kendi evinin içindedir; savunmanın büyük kısmı zafiyetleri azaltmaktır.
3. Risk, olasılık ile etkinin birleşimidir; varlık, tehdit ve zafiyetten biri eksikse risk de küçülür, bu yüzden önlemler riske göre sıralanır.

Üç soru

1. Bir büroda müşteri dosyalarının tek kopyası bir bilgisayarın diskinde duruyor. Bu cümlede varlık, zafiyet ve olası iki tehdit nedir?
2. Bora, eski görüntüleme istasyonunun zafiyetini kapatamadığı hâlde riski nasıl küçülttü?
3. "Bizim sistemde otuz zafiyet bulundu, demek ki riskimiz çok yüksek" cümlesindeki hata nedir?

Yanıtlar

1. Varlık müşteri dosyalarıdır; zafiyet, dosyaların tek kopyasının tek bir diskte durmasıdır. Olası tehditler arasında disk arızası, kazara silme, fidye yazılımı ya da bilgisayarın çalınması sayılabilir; aynı zafiyet hem kazara hem kasıtlı tehditlere kapı açar ve tek bir önlem, düzenli ve denenmiş bir yedek, ikisine birden karşılık verir.
2. Tehdide ulaşan yolu daralttı: cihazı ayrı bir ağ bölümüne aldı ve internet bağlantısını kesti. Zafiyet yerinde durdu, ama tehdidin ona ulaşma olasılığı azaldı; risk olasılık ile etkinin birleşimi olduğu için olasılığın düşmesi riski de düşürdü.
3. Zafiyet sayısı risk ölçüsü değildir. Her zafiyetin hangi varlığa ulaştığına, o varlığın değerine ve bir tehdidin onu kullanma olasılığına bakmak gerekir. Otuz bulgunun çoğu düşük riskli olabilir, tek bir kritik bulgu ise hepsinden önemli olabilir.

Sonraki derse köprü

Defne Hanım'ın tablosunda her zarar aynı türden değildi. Müşteri dosyalarının yabancının eline geçmesi bir şeydi, beyanname tutarlarının sessizce değiştirilmesi başka bir şey, beyanname gününde sisteme hiç girilememesi bambaşka bir şey. Bir sonraki ders bu üç zarar türünü adlandırıyor: gizlilik, bütünlük ve erişilebilirlik. Her olayın bu üçlünün hangi köşesini vurduğunu okumayı öğrenince, hangi önlemin neyi koruduğunu da daha net göreceksin.