Gizlilik, bütünlük, erişilebilirlik

Açılış

Pazartesi sabahı Bora, Ankara'daki hastanenin bilgi işlem odasına girdiğinde masasında üç not vardı. Birincisini başhemşire bırakmıştı: bir servis çalışanı, bir hastanın tahlil sonucunun ekran görüntüsünü "şuna bakın" diyerek on beş kişilik bir mesajlaşma grubuna atmıştı. İkincisi biyokimya laboratuvarındandı: bir cihaz hafta sonu bazı sonuçları hastane bilgi sistemine yanlış birimle aktarmış, bir doktor tuhaf bir değeri fark edip aramıştı. Üçüncüsü danışmadandı: randevu ekranı sabah yedi buçuktan beri açılmıyordu ve kapıda kuyruk vardı.

Üç notun üçü de "güvenlik sorunu" diye gelmişti. Bora önce kuyruğa koştu, çünkü insanlar bekliyordu. Sonra laboratuvara indi, çünkü yanlış bir sonuca göre ilaç verilebilirdi. Mesaj grubundaki görüntü için ise öğleden sonra hukuk birimiyle oturdu, çünkü o zarar çoktan olmuştu ve geri alınamıyordu.

Sıralamayı içgüdüyle yaptı ve doğru yaptı. Ama içgüdü her gün doğru çalışmaz. Bu ders Bora'nın sabahki üç notunu üç ayrı kelimeyle adlandırıyor; o kelimeler olmadan bir kurum hangi zararın hangi önlemle önleneceğini konuşamaz.

Tek fikir

Bir bilginin başına gelebilecek kötü şeyler üç türlüdür: yanlış kişi görür, bilgi bozulur ya da ihtiyaç duyulduğunda ulaşılamaz. Her olay bu üçlünün en az bir köşesini vurur ve her önlem en az birini korur.

Nasıl çalışır

Bir önceki derste risk konuşurken varlığı, tehdidi ve zafiyeti ayırdık. Şimdi soru şu: varlığa zarar gelince tam olarak ne bozuluyor? Güvenlik alanı bu soruya yarım asırdır aynı üç kelimeyle cevap veriyor ve İngilizce baş harflerinden ötürü buna CIA üçlüsü deniyor.

Gizlilik ihlalinin kendine özgü, can sıkıcı bir özelliği vardır: geri alınamaz. Silinen bir dosyayı yedekten dönebilirsin, çöken bir sistemi yeniden başlatabilirsin, ama bir kez görülmüş bir bilgiyi görülmemiş yapamazsın. Bu yüzden gizlilikte savunmanın ağırlığı olaydan önceye, erişimi baştan sınırlamaya düşer.

Bütünlük ihlali çoğu zaman en tehlikeli olanıdır, çünkü sessizdir. Kapanan bir sistemi herkes fark eder; değişmiş bir sayıyı ise biri dikkatle bakmadıkça kimse fark etmez ve insanlar ona güvenerek karar vermeye devam eder. Bütünlüğün bir parçası da kaynağın doğruluğudur: bir mesaj, bir fatura ya da bir talimat gerçekten iddia ettiği kişiden mi geliyor? Bankanızın adıyla gelen sahte mesaj, bilgi değiştirilmemiş olsa da kaynağı yalan olduğu için bu köşeye dokunur.

Erişilebilirlik bazen güvenliğin dışında sanılır, "o sistemcilerin işi" denir. Oysa bir fidye yazılımının yaptığı şeyin özü budur: veriyi şifreleyip sahibinin ulaşamayacağı hâle getirmek. Bir hastanede, bir bankada, bir belediyede saatlerce hizmet verememek, bir veri sızıntısından daha çok insanı doğrudan etkileyebilir.

Üç köşenin neden ayrı tutulduğunu görmek için Bora'nın sabahına geri dönelim. Üç sorunun önlemleri birbirinden farklıdır. Mesaj grubundaki görüntüyü hiçbir yedek geri getirmez; onu önleyecek olan, kimin hangi hasta kaydını görebildiğinin sınırlanması ve çalışanların ekran görüntüsünün nereye gidemeyeceğini bilmesidir. Yanlış birimi hiçbir erişim kısıtlaması yakalamaz; onu yakalayan, makul olmayan değerleri işaretleyen bir denetim ve cihaz ayarındaki değişikliğin kayıt altında olmasıdır. Kapanan randevu ekranını ise ne şifreleme ne denetim kurtarır; onu kurtaran, yedekli bir sunucu, sınanmış bir kurtarma planı ve ekran açılana kadar kâğıtla çalışmayı bilen bir danışmadır.

Köşeler bazen birbiriyle çekişir. Bir hasta kaydına erişimi ne kadar sıkı kısıtlarsan gizliliği o kadar artırırsın, ama acil serviste gece yarısı o kayda ihtiyaç duyan doktorun önüne de bir kapı koyarsın. Hastaneler bu yüzden "acil durum erişimi" gibi düzenler kurar: doktor kaydı açabilir, ama bu açılış ayrıca kaydedilir ve sonradan incelenir. Erişilebilirlik korunur, gizliliğin bedeli de hesap verebilirlikle ödenir.

Üçlünün tek çerçeve olmadığını da bilmekte fayda var. Güvenlik araştırmacısı Donn Parker, üç köşeye sahiplik, gerçeklik ve kullanışlılığı ekleyerek altı özellikli bir model önerdi; bazı yazarlar hesap verebilirliği ve inkâr edilemezliği ayrı köşeler olarak sayar. Bu akademi üç köşeyle çalışacak, çünkü standartların ve mevzuatın ortak dili bu; ama bir olayı anlatırken üç kelimenin yetmediği yerde ekstra kelimeyi kullanmaktan çekinmeyeceğiz.

Sahada

Savunma

Üçlünün savunmaya en büyük katkısı bir soru listesi olmasıdır. Bir sistemi ya da bir veriyi korumaya başlarken üç soruyu ayrı ayrı sorarsın: Bunu yanlış kişi görürse ne olur? Bu değiştirilir ya da bozulursa ne olur? Buna ulaşılamazsa ne olur? Cevaplar genellikle eşit çıkmaz ve önlemlerin ağırlığını o eşitsizlik belirler.

Gizliliği korumanın temel araçları erişimi sınırlamaktır: herkesin yalnız işinin gerektirdiği bilgiyi görmesi, kimlik doğrulama, hassas verinin şifrelenmesi ve verinin gereksiz yerlere kopyalanmaması. Bora'nın hastanesinde ilk iş, servis çalışanlarının yalnız kendi servislerindeki hastaları görebilmesi ve kurum içinde hasta bilgisi paylaşılacak tek bir onaylı kanalın belirlenmesi oldu.

Bütünlüğü korumanın araçları değişikliği görünür kılmaktır: kimin neyi ne zaman değiştirdiğinin kaydı, önemli değişikliklerde ikinci bir onay, dosyaların sürüm geçmişi, makul olmayan değerleri işaretleyen kontroller ve ileride kriptografi seviyesinde göreceğimiz özet değerleri ile dijital imzalar. Laboratuvarda cihaz ayarlarının değiştirilmesi artık bir kayıtla ve laboratuvar sorumlusunun onayıyla yapılıyor.

Erişilebilirliği korumanın araçları tek noktaya bağımlılığı azaltmaktır: düzenli ve denenmiş yedek, yedekli donanım, kapasite planı, güncellemelerin yoğun saatlerin dışında yapılması ve sistem dururken işin nasıl süreceğini anlatan bir plan. Randevu ekranının çöktüğü sabahtan sonra danışma, sistem açılana kadar kullanılacak kâğıt formu çekmecede hazır tutuyor.

Bir önlemi değerlendirirken hangi köşeyi koruduğunu ve hangisinden ne aldığını birlikte yaz. Şifreleme gizliliği artırır, ama anahtarı kaybedersen erişilebilirliği sıfıra indirir. Her değişikliğe iki onay şartı bütünlüğü güçlendirir, ama acil bir düzeltmeyi yavaşlatır. İyi tasarım bu bedelleri görerek seçer.

Uygulama

Bir önceki derste güvenlik defterine üç satırlık bir tablo açtın: varlık, tehdit, zafiyet, risk. Bugün o tabloya üç sütun ekliyorsun.

Doldururken aceleci davranma. İnsanlar genellikle bütün hücrelere "yüksek" yazmak ister, çünkü her şey önemli görünür. Ama her şey eşit derecede önemliyse hiçbir şeye öncelik veremezsin. En az bir hücreye dürüstçe "düşük" yazabilmek bu alıştırmanın yarısıdır.

Defter: Varlık tablosuna eklenmiş "G · B · E" sütunları, her varlık için daire içine alınmış en kritik köşe ve o köşeyi koruyan bir önlem, yanında önlemin varsa başka köşeden aldığı bedel.

Hata köşesi

Etik ve sınırlar

Üç köşenin her biri bir sorumluluk da tanımlar. Gizlilikte en sık ihlal dışarıdan gelmez, içeriden gelir: işinin gereği olmadan, yetkin olduğu hâlde bir tanıdığın hasta kaydına ya da bir müşterinin dosyasına "sadece bakmak" kişisel verilerin hukuka aykırı işlenmesi sayılabilir ve kurumlar bu tür bakışları kayıt altına alır. Teknik erişimin olması, o bilgiye bakma iznin olduğu anlamına gelmez. Erişilebilirlikte ise sınır daha da nettir: başkasının sistemini "dayanıyor mu diye" yüklenerek ya da başka bir yolla yavaşlatmak, sistem sahibinin açık izni yoksa Türk Ceza Kanunu'nun 244. maddesindeki sistemi engelleme ve bozma suçunun konusu olabilir. Bu akademideki dayanıklılık denemeleri yalnız sana ait sistemlerde yapılır.

Kapanış

1. Bir bilginin başına gelen zarar üç türlüdür: yanlış kişinin görmesi gizliliği, bozulması ya da sahte kaynaktan gelmesi bütünlüğü, ulaşılamaması erişilebilirliği vurur.
2. Her köşenin önlemi farklıdır; gizlilik erişimi sınırlayarak, bütünlük değişikliği görünür kılarak, erişilebilirlik tek noktaya bağımlılığı azaltarak korunur.
3. Köşeler çekişebilir; iyi bir önlem hangi köşeyi koruduğunu ve hangisinden ne aldığını bilerek seçilir.

Üç soru

1. Bir muhasebe bürosunda bir çalışan yanlışlıkla bir müşterinin bordrosunu başka bir müşteriye e-postayla gönderiyor. Hangi köşe zarar gördü ve bu zarar neden yedekle geri alınamaz?
2. Bir saldırgan bir şirketin sunucularını şifrelemeden önce verileri dışarı kopyalıyor. Bu olay hangi köşeleri vurur?
3. Bir hastane hasta kayıtlarına erişimi çok sıkı kısıtlamaya karar veriyor. Bu karar hangi köşeye bedel ödetebilir ve bu bedel nasıl hafifletilebilir?

Yanıtlar

1. Gizlilik zarar gördü; bilgi değişmedi ve sistem çalışıyor, ama yanlış kişi gördü. Görülmüş bir bilgi görülmemiş yapılamadığı için yedekten dönmek bu zararı geri almaz; yapılabilecek olan karşı taraftan silmesini istemek, olayı kaydetmek ve gerekiyorsa bildirim yükümlülüğünü değerlendirmektir.
2. Erişilebilirliği vurur, çünkü şifrelenen sistemlere ulaşılamaz. Gizliliği de vurur, çünkü veri dışarı kopyalanmıştır ve yayımlanma tehdidi yedekten dönülse bile sürer. Sistemlerdeki dosyalar şifrelenerek değiştirildiği için bütünlüğün de etkilendiği söylenebilir.
3. Erişilebilirliğe bedel ödetebilir: acil bir durumda kayda ihtiyaç duyan doktor geç kalabilir. Bu bedel, acil durumlarda kaydın açılmasına izin veren ama her açılışı kaydedip sonradan inceleyen bir düzenle hafifletilir; böylece erişim korunur ve gizliliğin karşılığı hesap verebilirlikle sağlanır.

Sonraki derse köprü

Bora'nın sabahındaki üç notun hiçbirinde kötü niyetli bir saldırgan yoktu; biri dikkatsizlik, biri cihaz hatası, biri de muhtemelen bir sunucu arızasıydı. Ama aynı üç köşeyi bilerek hedefleyen insanlar da var ve hepsi aynı şeyi istemiyor. Kimi para peşinde, kimi bilgi, kimi yalnız gürültü. Bir sonraki ders, saldırgan kim sorusunu soruyor: fırsatçı dolandırıcıdan organize gruplara tehdit aktörlerini ve amaçlarını tanıyınca, hangi köşenin kimin hedefi olduğunu da okuyabileceksin.