Bulut nedir?

Açılış

Defne Hanım'ın bürosuyla yeni çalışmaya başlayan bir şirketin finans müdürü, sözleşmeyi imzalamadan önce bir soru listesi gönderdi. Listenin üçüncü sorusu Defne Hanım'ı durdurdu: "Şirketimizin mali verileri fiziksel olarak hangi ülkede, hangi sunucularda saklanacak?"

Defne Hanım bir an düşündü. Büro, muhasebe kayıtlarını bir şirketin internet üzerinden sunduğu bir muhasebe yazılımında tutuyordu. Taranan belgeler ise çalışanların kullandığı bir çevrim içi dosya depolama hizmetine yükleniyordu. Bilgisayarlarda neredeyse hiçbir şey yoktu; her şey "bulutta"ydı. Ama bulut neredeydi? Defne Hanım bunu hiç sormamıştı.

O akşam iki hizmetin sözleşmelerini ve gizlilik metinlerini açtı. Birinin verileri Türkiye'deki bir veri merkezinde tuttuğunu, öbürünün ise Avrupa'daki ve başka ülkelerdeki sunucularını kullandığını öğrendi. Bulut bir yerdeydi; aslında başkasının bilgisayarlarıydı. Bu ders bulutun ne olduğunu, hangi biçimlerde kullanıldığını ve verinin gerçekte nerede durduğu sorusunun neden önemli olduğunu anlatıyor.

Tek fikir

Bulut, başkasının bilgisayarlarını internet üzerinden, ihtiyaç kadar kiralamaktır. Veriyi buluta koymak onu kaybolmaya karşı korur ama başka bir riske açar: artık o bilgisayarlara kimin ulaşabildiği, verinin hangi ülkede durduğu ve hesabın nasıl korunduğu senin sorundur.

Nasıl çalışır

Bu modülde web sitelerinin bir sunucuda durduğunu, e-postaların da alıcının sunucusunda saklandığını gördük. Bulut bu düzenin genelleşmiş hâlidir: hesaplama, depolama ve uygulamalar, büyük veri merkezlerindeki bilgisayarlarda çalışır ve internet üzerinden kullanılır.

Bulutu kullanmanın birkaç biçimi var ve bunlar, sorumluluğun kimde olduğunu belirlediği için güvenlik açısından önemlidir.

Defne Hanım'ın muhasebe yazılımı ve dosya depolama hizmeti yazılım hizmetidir: uygulamayı sağlayıcı yazar, çalıştırır ve günceller; büro yalnız kullanır. Selin'in şirketi ise sunucularını bir bulut sağlayıcısından kiralayarak kurmuştu; sunucuların işletim sistemini, güncellemelerini ve ayarlarını kendisi yönetiyordu. İki durumda da veri bulutta, ama sorumluluğun dağılımı çok farklı.

Bu dağılımın genel kuralı şudur: sağlayıcı ne kadarını yönetiyorsa, onun güvenliğinden de o sorumludur; geri kalanı müşterinindir. Ama bir şey her modelde müşteride kalır: kendi verisi, kendi hesapları ve kimin neye erişebileceği. Yazılım hizmetinde bile, hesabın parolası zayıfsa ya da bir dosya herkese açık bir bağlantıyla paylaşılmışsa, bu sağlayıcının değil kullanıcının hatasıdır. Bu sorumluluk paylaşımını Seviye 10'daki bulut güvenliği modülünde ayrıntılı işleyeceğiz.

Veri yerleşimi, kişisel veriler söz konusu olduğunda bir hukuk sorusudur. Türkiye'de kişisel verilerin yurt dışına aktarılması Kişisel Verilerin Korunması Kanunu'nun ayrı bir maddesinde düzenlenir.

Defne Hanım'ın müşterisinin sorusu bu yüzden yerindeydi: verinin hangi ülkede durduğu, hem kimlerin ona hukuken erişebileceğini hem de aktarımın hangi kurallara tabi olduğunu belirliyordu.

Sahada

Savunma

Bulut için savunma, bulutu bir yer değil bir ilişki olarak görmekle başlar: veriyi bir şirkete emanet ediyorsun ve emanetin koşullarını bilmen gerekiyor.

İlk savunma, hangi bulut hizmetlerini kullandığını bilmektir. E-posta, fotoğraf yedeği, dosya depolama, notlar, parola yöneticisi, iş uygulamaları; bunların her biri ayrı bir şirkette duran ayrı bir veri yığınıdır. Envanterinde cihazların yanında bir de bulut hizmetleri listesi olmalıdır.

İkinci savunma, hesapları korumaktır. Bulutta veri, hesabın arkasında durur. Güçlü ve tekrar kullanılmamış bir parola ve çok faktörlü doğrulama, bulut hizmetlerinde sağlayıcının veri merkezinin bütün korumalarından daha önemlidir, çünkü saldırganın veri merkezine girmesine gerek yoktur; senin hesabına girmesi yeter. Bunu Seviye 1'de parolalar modülünde adım adım kuracağız.

Üçüncü savunma, paylaşımları yönetmektir. Bulut hizmetleri paylaşmayı çok kolaylaştırır ve paylaşılan bağlantılar, HTTP dersinde gördüğümüz gibi, birer anahtardır. Kimlerle neyi paylaştığını, hangi bağlantıların herkese açık olduğunu ve ayrılan kişilerin erişimlerinin kapatılıp kapatılmadığını ara sıra gözden geçirmek, Defne Hanım'ın bulduğu türden unutulmuş erişimleri kapatır.

Dördüncü savunma, bulutun yedeğin yerini tutmadığını bilmektir. Bir bulut hizmeti senkronize ediyorsa, yanlışlıkla silinen ya da fidye yazılımıyla şifrelenen bir dosya bulutta da aynı şekilde değişebilir. Bulutun sürüm geçmişi özelliğini bilmek ve önemli veriler için bağımsız bir yedek tutmak, Seviye 1'deki yedek modülünün konusu olacak.

Kurumların elindeki bir araç daha var, o da sözleşmedir: verinin hangi ülkede saklanacağı, şifrelenip şifrelenmeyeceği, bir ihlalde ne kadar sürede bildirim yapılacağı ve hizmet sona erdiğinde verinin nasıl iade edileceği, bulut sözleşmesinin güvenlik maddeleridir.

Uygulama

Bu uygulamada kullandığın bulut hizmetlerinin bir listesini çıkaracak ve her biri için birkaç temel soruyu cevaplayacaksın. Yalnız kendi hesaplarında çalışırsın.

Liste beklediğinden uzun çıkacak; çoğu insan on ya da daha fazla bulut hizmeti kullanır ama üç dört tanesini hatırlar. Unutulmuş bir hizmet, unutulmuş bir hesap ve o hesabın içinde unutulmuş verilerdir.

Defter: Envanterde "Bulut hizmetleri" sayfası: her hizmet için ne tuttuğu, giriş adresi, çok faktörlü doğrulama durumu, veri konumu ve kaybedilirse ne kaybedileceği. Herkese açık paylaşılan dosyalar varsa listesi ve kapatma kararı; değişiklik günlüğüne tarih.

Hata köşesi

Etik ve sınırlar

Bulut hizmetleri paylaşmayı kolaylaştırdığı için, başkalarının verisine ulaşmayı da kolaylaştırır: bir paylaşım bağlantısı yanlış kişiye gidebilir, bir klasör eski bir çalışana açık kalabilir. Sana ait olmayan bir paylaşılan klasöre ya da bağlantıya erişebiliyor olman, ona bakma iznin olduğu anlamına gelmez; Defne Hanım'ın eski çalışanı erişimi olduğu hâlde o klasörlere girmemeliydi. Bir kurumda bulut hizmetlerine kişisel veri koyuyorsan, verinin hangi ülkede saklanacağı ve aktarımın hukuka uygun olup olmadığı kararı senin değil, kurumun veri sorumlusunun ve hukuk biriminin yetkisindedir; kurumun onaylamadığı bir bulut hizmetine iş verisi yüklemek, Modül 1'de gördüğümüz gölge BT'nin en yaygın hâlidir.

Kapanış

1. Bulut, başkasının bilgisayarlarını internet üzerinden ihtiyaç kadar kullanmaktır; yazılım, platform ve altyapı hizmeti modelleri sağlayıcının ne kadarını yönettiğini ve müşteriye ne kadarını bıraktığını belirler.
2. Veri yerleşimi, verinin hangi ülkede durduğudur ve kimin hukuken erişebileceğini belirler; Türkiye'de kişisel verilerin yurt dışına aktarımı KVKK'nın dokuzuncu maddesindeki kurallara tabidir.
3. Bulutta veri hesabın arkasında durur: hangi hizmetleri kullandığını bilmek, hesapları güçlü parola ve çok faktörlü doğrulamayla korumak, paylaşımları gözden geçirmek ve bulutu bağımsız bir yedekle tamamlamak her hizmet modelinde müşterinin işidir.

Üç soru

1. Defne Hanım'ın muhasebe yazılımı ile Selin'in şirketinin kiraladığı sunucular hangi hizmet modellerine örnektir ve güvenlik sorumluluğu nasıl farklılaşır?
2. Nilüfer Hanım'ın fotoğraflarının bulutta olması onu hangi riske karşı korudu, hangi riske açtı?
3. Bir şirketin finans müdürü mali verilerinin hangi ülkede saklandığını neden sorar?

Yanıtlar

1. Muhasebe yazılımı yazılım hizmetidir: uygulamayı sağlayıcı yazar, çalıştırır ve günceller; büronun sorumluluğu kendi hesapları, parolaları ve erişimleridir. Kiralanan sunucular altyapı hizmetidir: sağlayıcı veri merkezini ve donanımı korur, ama işletim sistemi, güncellemeler ve güvenlik ayarları şirketin sorumluluğundadır. Selin'in ekibinin bulduğu açık yönetim portu kuralı bu yüzden şirketin hatasıydı.
2. Fotoğraflar telefon çalındığında kaybolmaya karşı korundu; yeni telefona giriş yapınca geri geldi. Ama artık bulut hesabına bağlıydı: hesabın parolasını bilen ya da hesabı ele geçiren biri bütün fotoğraflara her yerden ulaşabilirdi. Korunması gereken şey telefondan hesaba taşınmıştı.
3. Çünkü verinin saklandığı ülke, hangi yasaların uygulanacağını ve hangi makamların hukuken erişebileceğini belirler. Kişisel veri içeriyorsa, yurt dışına aktarım KVKK'nın dokuzuncu maddesindeki yeterlilik kararı ve güvence kurallarına tabidir. Müşteri, verisinin bu kurallara uygun ve bildiği bir yerde saklandığından emin olmak ister.

Sonraki derse köprü

Bu modül boyunca tarayıcının sunucularla nasıl konuştuğunu, çerezleri, şifreli bağlantıları ve buluttaki hizmetleri anlattık. Bunların hepsi gözümüzün önünde, tarayıcının içinde gerçekleşiyor ama çoğu zaman görünmüyor. Modülün son atölyesi bu görünmeyen konuşmayı görünür kılıyor: tarayıcının geliştirici araçlarıyla bir sayfayı okumak, isteklerini, çerezlerini ve sertifikasını kendi gözünle izlemek.