Güvenlik defteri

Açılış

Defne Hanım'ın bürosuyla çalışan dış destek firmasında, büroyla ilgilenen teknisyen işten ayrıldı. Yerine gelen genç teknisyen ilk ziyaretinde masum bir soru sordu: Bu güvenlik duvarında hangi kurallar neden açık? Yedek hangi diske, hangi saatte alınıyor? Geçen ay hangi parolalar değişti?

Kimse tam olarak bilmiyordu. Bilgi, ayrılan teknisyenin aklında, birkaç eski e-postada, Defne Hanım'ın masasındaki sarı kâğıtlarda ve kıdemli çalışanın bilgisayarındaki adı "yeni klasör" olan bir tabloda dağınık duruyordu. Altı haftadır yapılan iyi işlerin çoğu, onları kaydeden bir yer olmadığı için, görünmez hâle gelmişti.

O akşam Defne Hanım önceki derslerde biriktirdiği sayfaları masaya yaydı: varlık listesi, köşe dereceleri, saldırgan profilleri, dört adımlı döngü, imzalı sözleşme ve izinlerin haritası. Hepsi ayrı kâğıtlardaydı. Bu atölye onları tek bir düzene sokuyor.

Tek fikir

Güvenlik defteri, neye sahip olduğunu, onu neden ve nasıl koruduğunu ve ne zaman ne değiştirdiğini tek yerde tutan çalışma belgesidir. Kaydedilmeyen önlem kişiye bağlı kalır; kişi gidince önlem de görünmez olur.

Nasıl çalışır

Bu akademide şimdiye kadar her ders defterine bir sayfa ekledi. Bu atölyede o sayfaları bir yapıya oturtacağız ve defterin kendisini de korunması gereken bir varlık olarak ele alacağız.

Kurumsal güvenliğin en çok başvurulan kontrol listelerinden biri işe şaşırtıcı derecede sıradan bir yerden başlar: liste tutmaktan.

Defterin ikinci yarısı zamanı kaydeder.

Bu iki parça, envanter ve değişiklik kaydı, defterin iskeletini oluşturur. Önceki derslerin sayfaları bu iskeletin etrafına yerleşir. Uygulama bölümünde yedi bölümlük bir düzen kuracağız ve her bölümün neden orada olduğunu tek tek açıklayacağız.

Defterin bir de kendi güvenliği var. İçinde cihazlarının listesi, hesaplarının hangi e-postaya bağlı olduğu, yedeklerinin nerede durduğu yazar. Yanlış ellere geçerse bir saldırgana harita olur. Bu yüzden defter iki kurala uyar: içine hiçbir zaman parola, kurtarma kodu ya da kart numarası yazılmaz, yalnız bunların nerede saklandığı yazılır; ve defter dijitalse şifreli bir yerde, kâğıtsa evde kilitli ya da en azından herkesin görmediği bir yerde durur.

Defteri kâğıtta mı, dijitalde mi tutacağın da bir güvenlik kararıdır ve iki seçeneğin bedeli farklıdır. Kâğıt defter çevrim dışıdır; bir fidye yazılımı onu şifreleyemez, uzaktan çalınamaz ve elektrik kesildiğinde de açılır. Ama yangında ya da taşınmada kaybolabilir ve kopyası kendiliğinden oluşmaz. Dijital defter kolay güncellenir, aranabilir ve yedeklenebilir; ama ancak şifreli bir alanda tutulursa güvenlidir ve cihazın ele geçirilirse defter de ele geçebilir. Pek çok kişi ikisini birleştirir: günlük çalışma dijitalde, acil durum sayfasının basılı bir kopyası evde.

Sahada

Savunma

Defter tek başına bir koruma değildir; korumaların çalışmasını sağlayan altyapıdır. Savunmaya üç yerden katkı verir.

Önleme adımında envanter, korunması gereken her şeyin görünür olmasını sağlar. Güncellenmemiş eski bir tablet, hâlâ açık duran eski bir hesap ya da kimsenin hatırlamadığı bir paylaşım klasörü ancak listeye yazılınca fark edilir. CIS listesinin envanterle başlamasının sebebi budur: görünmeyen varlık korunmaz.

Fark etme ve müdahale adımlarında acil durum sayfası ve değişiklik kaydı zaman kazandırır. Bir şey ters gittiğinde ilk saatler, kimi arayacağını, neyi kapatacağını ve en son neyin değiştiğini bulmakla geçer. Bu bilgiler önceden tek sayfada hazırsa o saatler müdahaleye ayrılır. Nilüfer Hanım'ın telefonu çalındığında kazandıran şey telefonun güvenlik ayarları değil, evdeki sayfaydı.

Toparlanma adımında defter, olaydan ders çıkarmanın yeridir. Olay kapandıktan sonra yazılan birkaç satırlık bir not, yani ne oldu, ne işe yaradı, neyi değiştireceğiz, bir sonraki olayda aynı hatanın tekrarını önler. Kaan'ın üç hafta sonra kazandığı zaman tam olarak buydu.

Defterin bir de süreklilik işlevi var: bilgiyi kişiden kuruma taşır. Defne Hanım'ın yaşadığı sorun, iyi işlerin bir kişinin hafızasında kalmasıydı. Defter sayesinde yeni teknisyen ilk ziyaretinde nereden başlayacağını bilir; aile içinde de aynı şekilde, bir gün sen ulaşılamaz olursan ailen hesaplarına ve fotoğraflarına nasıl erişeceğini bilir.

Son olarak defteri kendisi bir varlık olarak koru: içine sır yazma, sırların nerede durduğunu yaz; onu kimlerin görebileceğini bilerek sakla ve kendi yedeğini al.

Uygulama

Bu atölyenin ağırlığı burada. Önceki altı derste biriktirdiğin sayfaları yedi bölümlük kalıcı bir düzene sokacaksın. Kâğıt bir defter, bilgisayarında şifreli bir klasördeki tek bir belge ya da parola yöneticinin güvenli not alanı olabilir; önemli olan tek bir yer olması.

Bölümleri kurduktan sonra değişiklik günlüğüne ilk satırı yaz: bugünün tarihi ve "güvenlik defteri yedi bölüm olarak düzenlendi". Ardından defterin kendisini envanter bölümüne bir varlık olarak ekle ve nerede durduğunu, kimlerin görebileceğini ve yedeğinin nerede olduğunu yaz.

Son olarak aylık güvenlik turu bölümüne şimdilik dört madde koy: güncellemeler yapılmış mı, yeni bir hesap ya da cihaz eklendi mi ve envantere yazıldı mı, yedek bu ay bir kez geri yüklenerek denendi mi, değişiklik günlüğüne bu ay neler girdi. Akademi ilerledikçe bu liste uzayacak.

Defter: Yedi bölümlük düzen kuruldu; değişiklik günlüğünün ilk satırı bugünün tarihiyle yazıldı; defterin kendisi envantere eklendi; acil durum sayfasında sır değil, sırların yeri yazıyor.

Hata köşesi

Etik ve sınırlar

Defterin bir bölümü başkalarına dair bilgi içerir: aile üyelerinin cihazları, bir iş yerinde erişimin olan sistemler, meşru erişimi olanlar listesi. Başkalarının bilgisini deftere yazarken onların yetki verdiği kadarını yaz; bir aile üyesinin telefonunun kilit kodunu ya da bir mesai arkadaşının hesap bilgilerini, izni olmadan not etmek, niyetten bağımsız olarak güveni zedeler. İş yerinde tuttuğun güvenlik notları ise çoğu zaman kurumun bilgisidir; onları kişisel defterine kopyalamak için kurumun izni gerekir ve işten ayrıldığında yanında götürmezsin. Kişisel defterin senin; kurumun defteri kurumundur.

Kapanış

1. Güvenlik defteri, neye sahip olduğunu, onu nasıl koruduğunu ve ne zaman ne değiştirdiğini tek yerde tutar; bilgiyi kişiden kuruma ve aileye taşır.
2. Defterin iskeleti envanter ve değişiklik kaydıdır; önceliklendirilmiş güvenlik kontrol listeleri de işe envanterle başlar, çünkü görünmeyen varlık korunmaz.
3. Defter bir haritadır, kasa değil: sırların kendisi değil yeri yazılır ve defterin kendisi de korunan bir varlıktır.

Üç soru

1. Bir büroda güvenlik ayarlarını bilen tek kişi işten ayrılıyor. Bir güvenlik defteri bu durumda hangi riski azaltır?
2. Acil durum sayfasına neden kurtarma kodlarının kendisi değil, nerede saklandıkları yazılır?
3. Bir sistemde aniden bir sorun çıkıyor. Değişiklik kaydı araştırmayı nasıl hızlandırır?

Yanıtlar

1. Bilginin tek bir kişinin hafızasında kalması riskini azaltır. Defterde envanter, güvenlik duvarı kurallarının gerekçesi, yedeğin nerede ve ne zaman alındığı ve son değişiklikler yazılıysa yeni gelen kişi işi kaldığı yerden sürdürebilir; aksi hâlde yapılmış önlemler görünmez olur ve ya bozulur ya da gereksiz yere baştan yapılır.
2. Çünkü defter çalınır ya da yanlış kişinin eline geçerse içindeki kodlar hesapları doğrudan açmaya yarar. Kodların yalnız yerini yazmak, defteri bir haritaya dönüştürür: sahibine yol gösterir, ama tek başına bir saldırgana hesap açtırmaz. Kodların kendisi ayrı ve korunan bir yerde, örneğin kilitli bir çekmecede ya da parola yöneticisinde durur.
3. Sorunların önemli bir kısmı yakın zamanda yapılmış bir değişiklikten kaynaklanır. Kayıt, sorundan hemen önce neyin, kim tarafından değiştirildiğini gösterdiği için araştırma tahminle değil oradan başlar. Bora'nın hastanesinde laboratuvar cihazının yazılım güncellemesi kayıtta görüldüğü için kök neden bir saatte bulundu.

Sonraki derse köprü

Defterin artık yedi bölümlü ve bir sonraki aya hazır. Ama bu defter uzun bir yolun ilk sayfası: akademi kişisel güvenlikten ağlara, sistemlerden olay müdahalesine ve güvenlik mesleğine kadar uzanıyor. Modülün son dersi o yolculuğun haritasını açıyor: seviyeleri, kendi niyetine göre seçebileceğin öğrenme yollarını ve bu alanda çalışan insanların rollerini.