Yolculuğun haritası

Açılış

Stajının üçüncü haftasında Kaan, Gülay Hanım'a kariyeri hakkında bir soru sordu. Arkadaşları ona "siber güvenlikçi" diyordu, ama ekipte her gün başka bir iş görüyordu. Biri bütün gün uyarıları okuyordu, biri şirketin bulut hesaplarındaki ayarları düzeltiyordu, biri tedarikçilerle sözleşme maddelerini tartışıyordu, biri de bir olayın kayıtlarını saatlerce tek tek inceliyordu. Kaan hangisi olmak istediğini bilmiyordu ve hepsini aynı anda öğrenmeye çalışırken yorulmuştu.

Gülay Hanım masasının üzerindeki şirket organizasyon şemasını çevirip arkasına bir harita çizdi. Ortaya "temel" yazdı ve etrafına beş ayrı yol çizdi. Hepsinin aynı temelden başladığını, ama birkaç ay sonra ayrıldıklarını söyledi. Herkesin her şeyi bilmesine gerek yoktu; herkesin temeli bilmesi ve kendi yolunu seçmesi gerekiyordu.

Bu ders, Modül 1'in son dersi olarak, akademinin haritasını açıyor. Neyin nerede olduğunu, kendi niyetine göre hangi yoldan gidebileceğini ve yolun sonunda bu alanda çalışan insanların gerçekte ne iş yaptığını gösteriyor.

Tek fikir

Siber güvenlik tek bir meslek değil, ortak bir temel üzerinde yükselen birçok iştir. Bu akademi o temeli herkese verir, sonra niyetine göre yol ayırır; her dersi almak zorunda değilsin, ama hangi dersi neden aldığını bilmelisin.

Nasıl çalışır

Akademi on iki seviyeden, altmış bir modülden ve dört yüz beş dersten oluşuyor. Seviyeler bir merdiven gibi dizilir, ama her basamak bir öncekine aynı sıkılıkta bağlı değildir.

İlk iki seviye herkes içindir. Seviye 0, şu an bitirmek üzere olduğun modülle birlikte, bilgisayarın, ağın, internetin ve komut satırının nasıl çalıştığını güvenlik gözüyle anlatır. Seviye 1, kişisel dijital güvenliği işler: parolalar ve çok faktörlü doğrulama, oltalama ve dolandırıcılık, cihaz güvenliği, yedek ve gizlilik, ailedeki çocuklar ve yaşlılar, para ve alışveriş. Bu iki seviyeyi bitiren biri, mesleği bu olmasa bile, kendini ve ailesini korumayı bilir.

Seviye 2 güvenlik düşüncesinin araçlarını verir: risk yönetimi, tehdit modelleme, mimari ilkeler, saldırının anatomisi, kötü amaçlı yazılım türleri ve zafiyet yönetimi. Bu seviye bundan sonraki her yolun ortak dilidir.

Seviye 3'ten 10'a kadar alanlar ayrılır: ağ güvenliği, kriptografi, sistem güvenliği, uygulama güvenliği, kimlik ve erişim, tespit ve izleme, olay müdahalesi ve adli bilişim, ardından bulut, endüstriyel sistemler, nesnelerin interneti, yapay zekâ ve gizlilik mühendisliği. Seviye 11 ise güvenliği kurum düzeyinde yönetmeyi, mevzuatı, etik güvenlik testinin çerçevesini, mesleği ve bitirme projesini kapsar.

Derslerin üç biçimi var. Çoğu standart derstir; bu modülde gördüğün yapıyla, bir durumla açılır, mekanizmayı anlatır, savunmayı kurar. Atölye dersleri bir işi baştan sona yaptırır; yedinci dersteki defter düzeni bir atölyeydi. Başvuru kartı dersleri ise saklayıp gerektiğinde açacağın bir kontrol listesi ya da karar akışı bırakır.

Güvenlik işini rollere bölmek için uluslararası çerçeveler var ve akademinin yolları bu çerçevelerin diline yakın kuruldu.

Akademinin yedi öğrenme yolu bu rollerin bir kısmına göre kurulmuş. Herkes için güvenlik yolu Seviye 1'i ve bu modülü kapsar, elli iki derstir. Küçük işletme yolu, ayrı bir bilgi işlem ekibi olmayan büro ve dükkân sahipleri için yüz on altı derslik bir seçkidir: kişisel güvenliğin üstüne risk, mimari ilkeler, ağ ve kablosuz güvenlik, e-posta altyapısı, fidye yazılımına müdahale, bildirim, mevzuat, süreklilik ve farkındalık eklenir. SOC analisti yolu iki yüz yedi dersle en uzun uzmanlık yoludur ve tespit ile olay müdahalesine ağırlık verir. Güvenli yazılım yolu geliştiriciler için yüz elli altı, sistem ve bulut yolu sistem yöneticileri için yüz elli dokuz, yönetişim ve uyum yolu ise risk ve denetim rolleri için yüz on derstir. Tam program dört yüz beş dersin hepsidir.

Sahada

Savunma

Bir öğrenme haritasının savunma ile ne ilgisi var? Cevap şu: güvenlik alanında en tehlikeli bilgi eksikliği, neyi bilmediğini bilmemektir. Haritanın savunmaya katkısı, kör noktaları görünür kılmaktır.

İlk katkı, temeli atlamamaktır. Güvenlik olaylarının önemli kısmı ileri tekniklerden değil, temel önlemlerin eksikliğinden doğar: güncellenmemiş sistemler, tekrar kullanılan parolalar, denenmemiş yedekler. Bu yüzden her yol aynı temelden geçer. Selin'in deneyimi tipiktir: bir alanı iyi bilen biri bile temeli güvenlik gözüyle yeniden okuduğunda yeni şeyler görür.

İkinci katkı, ekipte rolleri tamamlamaktır. Bir kurumun güvenliği tek bir kişinin her şeyi bilmesiyle değil, rollerin birbirini tamamlamasıyla sağlanır. Defne Hanım'ın bürosunda sahibin risk ve mevzuatı, çalışanın teknik ayarları üstlenmesi, küçük ölçekte bir rol dağılımıdır. Büyük kurumlarda bu dağılım çerçevelerdeki rollerle yapılır ve boş kalan rol, savunmadaki deliktir.

Üçüncü katkı, öğrenmeyi bir süreç olarak sürdürmektir. Dördüncü derste savunmanın bir kez kurulup bırakılamayacağını söyledik; aynı şey güvenlik bilgisi için de geçerlidir. Yeni saldırı teknikleri, yeni standartlar ve yeni teknolojiler sürekli gelir. Bir yol seçmek, öğrenmeyi bir takvime bağlamaktır.

Son olarak harita, kendi sınırını bilmeyi öğretir. Seviye 1'i bitiren biri kendini ve ailesini korur, ama bir kurumun olay müdahalesini yönetemez. Gerektiğinde uzmana başvurmak da bir savunma becerisidir.

Uygulama

Bu uygulamada kendi yolunu seçip defterine yazacaksın.

Bir işyerinde çalışıyorsan bir soru daha ekle: ekibimde ya da kurumumda hangi güvenlik rolü boş? Bunu kimseyi eleştirmek için değil, nereye katkı verebileceğini görmek için yaz.

Defter: "Yolum" sayfası: amacın, seçtiğin yol, haftalık zamanın, ilk kilometre taşının tarihi ve "sonra" listesi; varsa kurumundaki boş rol notu. Değişiklik günlüğüne yolu seçtiğin günün satırı.

Hata köşesi

Etik ve sınırlar

Bu yolculuk sana güç kazandıracak: sistemlerin nasıl çalıştığını, nerede zayıf olduklarını ve nasıl korunduklarını bileceksin. Bu güç bir sorumlulukla gelir ve altıncı dersteki sözleşme yolun her adımında geçerlidir: bildiğin her şeyi yalnız yetkin olan yerde ve izin aldığın ölçüde kullanırsın. Bir de dürüstlük sınırı var: yolun hangi noktasında olduğunu doğru söyle. Bilmediğin bir konuda kendinden emin konuşmak, bir kurumu yanlış güvenlik kararına götürebilir; işe alınırken yeteneklerini abartmak, sonra bir olayın ortasında yükü kaldıramamak demektir. Güvenlik mesleğinde güven, bilmediğini söyleyebilen insanlara duyulur.

Kapanış

1. Akademi on iki seviyeden oluşur; ilk iki seviye herkes için temeldir, Seviye 2 bütün yolların ortak dilidir, sonraki seviyeler alanlara ayrılır.
2. Siber güvenlik tek bir meslek değil, görevler, bilgiler ve becerilerle tanımlanan birçok iş rolüdür; uluslararası çerçeveler bu rolleri ortak bir sözlükle anlatır.
3. Yedi öğrenme yolu niyetine göre bir sıra önerir; yol bir sınır değil bir sıradır, temel hiçbir yolda atlanmaz.

Üç soru

1. Seviye 2 neden bütün uzmanlık yollarının içinde yer alır?
2. Küçük bir şirkette tek bir kişinin üç güvenlik rolünü birden üstlenmesi, rolün bir unvan olmadığını nasıl gösterir?
3. Bir öğrenme yolu seçmek, yolun dışında kalan seviyeleri hiç okumamak anlamına gelir mi? Kaan'ın örneğiyle açıkla.

Yanıtlar

1. Çünkü Seviye 2 risk, tehdit modeli, mimari ilkeler, saldırının anatomisi ve zafiyet yönetimi gibi bütün güvenlik işlerinin ortak düşünme araçlarını verir. Bir SOC analisti de, bir geliştirici de, bir uyum uzmanı da kararlarını bu araçlarla gerekçelendirir; bu seviye farklı rollerin birbiriyle konuşabildiği ortak dildir.
2. Rol bir işin görevler, bilgiler ve becerilerle tanımlanmış parçasıdır, bir kişiye verilen ad değildir. Küçük bir şirkette aynı kişi hem sistemleri sıkılaştırır, hem uyarıları izler, hem de tedarikçi riskini değerlendirebilir; bu üç ayrı roldür ama tek kişide toplanmıştır. Büyük bir kurumda aynı roller ayrı ekiplere dağılır.
3. Hayır. Yol bir sınır değil, bir sıradır. Kaan SOC analisti yolunu seçti ve kriptografi ile uygulama güvenliği yolunda yer almıyordu; ama bir analistin şifreli trafiği ve web saldırılarının izini tanıması gerektiği için bu seviyeleri daha sonra okumayı "sonra" listesine yazdı. Önce işine en çok yarayanı öğrenir, sonra kör noktalarını kapatır.

Sonraki derse köprü

Modül 1 burada bitiyor. Neyi koruduğunu, kime karşı koruduğunu, savunmanın nasıl bir süreç olduğunu ve hangi sınırlar içinde çalışacağını biliyorsun; defterin kurulu, yolun seçili. Şimdi temele iniyoruz: korumaya çalıştığımız makinenin kendisine. Modül 2 bilgisayarın nasıl çalıştığını anlatarak açılıyor ve ilk ders üç parçayla başlıyor: işlemci, bellek ve depolama, ve verinin hangisinde ne kadar yaşadığı.