A. Burak Sadıç tarafından yazılmış tüm yazılar

PwC Türkiye Bilgi Güvenliği ve Siber Güvenlik Hizmetleri Lideri - 2014 yılında katıldığı PricewaterhouseCoopers Türkiye ofisinde Bilgi Güvenliği ve Siber Güvenlik Hizmetleri Lideri olarak çalışan Sadıç’ın yirmi yıldan fazla danışmanlık ve yönetim deneyimi bulunmaktadır. ODTÜ Elektrik-Elektronik Mühendisliği bölümünden 1995 yılında mezun olan Sadıç, PwC öncesinde sırasıyla PDI-Erkom, Siemens, Meteksan, Koç.net, Innova ve Symantec bünyesinde çeşitli kademelerde görev yaptı. Symantec'teki 10 yıllık iş yaşamının son dört yılında ise Güneydoğu Avrupa'daki 12 ülke ve Türkiye'yi kapsayan bölgedeki danışmanlık ekiplerini yönetti.
Makale & Analiz

CEO’ların dijital çağda yaşam savaşı

Yorum yapın

Yazarımız Burak Sadıç’ın, PwC 20. Küresel CEO Araştırmasından derlediği İngilizce makalesinin Türkçe çevirisini ilginize sunuyoruz:

Geçtiğimiz 20 yıl boyunca CEOlar, küreselleşme ve teknolojik değişimin sonucu olan muazzam gelişmelere tanık oldu. Dünya genelindeki yaklaşık 1.400 CEO, bu değişimin büyüme, yetenek, güven ve toplum üzerine etkileri konusundaki görüşlerini PwC’nin 20.sini yayınladığı Küresel CEO Yıllık Araştırması’nda paylaştı.

Araştırmaya katılan birçok CEO, giderek dijitalleşen dünyada işletmelerin insanların güvenini kazanmasının ve kazandığı bu güveni sürdürmesinin gittikçe daha zor olduğuna inanıyor.

Ayrıca CEOlara göre, şirketlerini hem daha geniş paydaş beklentilerine hitap eden bir şekilde yönetmek hem de örgütün değer, kültür ve davranışının yansıtılabileceği güçlü bir kurumsal amaç oluşturmak gittikçe daha önemli hale geliyor.

Peki bu bağlantılılıktan kaynaklanan risklerden en çok hangileri CEOları endişelendiriyor?

Ne zaman ‘teknoloji’ ve ‘güven’ kelimeleri aynı cümle içerisinde kullanılsa, çoğumuz otomatik olarak şöhretlerin bir gecede kitlesel iletişim yollarıyla nasıl elde edilip kaybedildiğini düşünürüz.

CEOların yüzde 87’si aslında sosyal medyanın önümüzdeki beş yıl içinde paydaşların güven düzeyini olumsuz yönde etkileyebileceğine inanıyor.

Ancak, raporda CEOlar yeni ve mevcut teknolojilerin kullanımı yaygınlaştıkça, yeni tehlikelerin ortaya çıktığını, eskilerin ise daha kötüye gittiğini ifade ediyor.

Birçok şirketin, spesifik müşterilerini hedeflemek ve de onların davranışlarını çoğunlukla çok ince şekillerde etkilemek için devasa miktardaki müşteri bilgisini halihazırda toplamış olması hiç de şaşılacak bir durum değil artık.

Türkçeye ‘Nesnelerin İnterneti’ diye çevrilen Internet of Things (loT) giyilebilir nesnelere, otomobillere ve evin akla gelebilecek her parçasına kadar her şeye yayılırken, şirketlerin insanlar hakkında bildikleri de katlanarak artacak.

İlgili haber >> IBM X-FORCE raporu: Dünyanın botnet haritası ve nesnelerin İnterneti

Bu veriler, şirketler ve müşterileri için inanılmaz birer varlık. İşletmelerin daha iyi bir hizmet sunmasını, müşterileriyle daha yakın ilişkiler geliştirmesini ve onların güvenini kazanmasını sağlamakta yardımcı oluyorlar. Müşterilerin daha hedefli teklifler almasına ve şirketlerle daha anlamlı şekilde ilişki kurmasına olanak tanıyorlar.

Ancak, bir şirket, müşterilerin ihtiyaçlarını tahmin etmek ile gizliliklerine müdahale etmek arasındaki çizgiyi aşarsa ya da bir hükümet güvenlik risklerini kontrol etmek için verilere erişmeye çalışırsa ne olur?

Veriler kaybolur ya da çalınırsa ve suçluların eline geçerse ne olur? Daha da kötüsü, otomobiller ve evler giderek birbirine bağlı hale geldiğinden, insanların fiziksel güvenliği tehlikeye atılabilir.

İş yerinde verilerin gittikçe artan bir şekilde kullanımı yeni güven sorunlarını da beraberinde getiriyor.

İK departmanları veri analitiklerinin kullanımını yavaşça ama emin adımlarla arttırdıkça, yetenek yönetimi yarım yamalak bir sanat dalından bilime dönüşüyor.

Ancak çalışanların iş ve iş dışı faaliyetlerini izlemek durumu çabucak tatsız bir hale getirebilir. Peki şirketlerin topladığı bilgilerin limitleri nelerdir? Çalışanın ödülleri veya cezaları ile ilgili kararlar alırken bu verilerin kullanımı ne kadar şeffaftır?

CEO’lar durumun karmaşıklığının farkındalar.

Yüzde 91’i veri gizliliği ve etik ihlallerinin önümüzdeki beş yıl içinde paydaş güvenini olumsuz yönde etkileyeceğini, yüzde 89’u ise halihazırda konuyla ilgili adımlar atmaya başladıklarını iddia ediyor.

Bununla birlikte, en büyük şirketlerin CEO’ları küçük firmalara kıyasla bu sorunların üzerine daha fazla eğiliyor.

Güvenlik ihlalleri müşteri verileriyle sınırlı kalmıyor; siber casusluk bazı sektörler için büyük bir tehdit oluşturuyor. Altyapı, enerji ve bankacılık gibi kilit alanlarda faaliyet gösteren işletmeler özellikle saldırılara en açık olanlar.

Bu durum, pek çok CEO’nun, neden işle ilgili kritik bilgi ve sistemleri etkileyen ihlallerin kamu güvenini de bozabileceğinden endişe ettiğini açıklıyor. Büyük çoğunluk zaten bu tür sorunları önlemeye yönelik adımlar atıyor lakin bu konuda da en aktif olanlar yine büyük firmalar.

Bilişim Teknolojilerinin kesintiye uğraması ise başka bir endişe kaynağı…

Teknolojiye aşırı bağımlı olan bir dünyada ışıkların kesilmesi çok sarsıcı sonuçlar doğurabilir.

Müşteriler paralarına ihtiyaç duyduklarında paralarına erişemezse veya akıllı evlerinde kilitli kalırlarsa ne olur?

Bu tür olayları düşünmesi bile oldukça rahatsız edici, fakat bunlar, teknolojiye daha bağımlı hale geldikçe ortaya çıkacak fiziksel risklerin yanında önemsiz kalıyor. Örneğin, bir veya daha fazla akıllı arabada bir bilgisayar hatası sonucu meydana gelebilecek kazayı düşünün.

Birçok CEOnun IT kesintileri ve aksamalarının paydaşların güvenini etkileyebileceğinden korkmaları ve konuyla ilgili harekete geçmeleri oldukça normal.

Fakat bu tür risklere dikkat etmek gün geçtikçe daha zorlaşıyor. Kurumsal sistemlerin karmaşıklığı ve birbirine bağımlılığı büyük bir soruna dönüşüyor.

Dijital çağ için bir güven stratejisi

Bazı açılardan dijital bağımlılık bizi daha güven dolu bireylere dönüştürdü. Örneğin paylaşım ekonomisini düşünün; artık daha çok insan yabancıların evinde kalmasına ya da daha önce hiç duymadığı işletmelerden ürün satın almaya sıcak bakıyor.

Diğer açıdan ise, dijital bağımlılık yeni tehditler oluşturarak ve kuruluşları daha fazla incelemeye maruz bırakarak güven zedeliyor.

Teknolojinin gittikçe artan karmaşıklığı şirketlerin güven oluşturmasına ya da kaybedilen güvenin yeniden inşa edilmesini daha güç hale getirdi.

Ve her firma bu durumun üstesinden gelemiyor, bu yüzden etkin kriz yönetimi sağlam risk yönetimi kadar önemlidir.

Güven sadece risk değil aynı zamanda da bir fırsattır. 

Birçok CEO, firmalarının verileri nasıl yönettiğinin gelecekte ayırıcı bir faktör olacağına inanıyor.

Ve bu CEO’lar, giderek daha sanal bir dünyada insan deneyimine öncelik verilmesinin, müşterilere dürüstlükle davranılmasını zorunlu hale getirdiğinin de artık çok iyi farkında.

Siber Bülten abone listesine kaydolmak için formu doldurunuz

[wysija_form id=”2″]

 

Makale & Analiz

Halkla İlişkiler ve Pazarlama Liderlerine Tavsiyeler (KVK-3)

Yorum yapın

Kişisel Verilerin Korunması Kanunu takviminde altıncı ayı doldurduk. Bu ne anlama geliyor? Kanunun yayınlanmasından sonra toplanan ve işlenen kişisel veriler söz konusu olduğunda artık tüm cezalar yürürlükte. Takvimdeki başka adımlarda gecikmeler söz konusu olabilir, ama kişisel verileri korumakla yükümlü şirketlerin ve kurumların sorumluluğu değişmeyecek.

Takvimle ilgili kısa güncellemeden sonra başlıktaki konuya geçelim. Yani, halkla ilişkiler ve pazarlama liderlerinin bu kanunla beraber üstüne düşen görevler neler?

İLGİLİ YAZI>> Kişisel verilerin korunması yolculuğu – 1. Bölüm

Öncelikle ilgili yazı dizisinin üçüncü bölümünde neden bu başlığı seçtim? Sebebi oldukça basit. Kişisel verilerin korunması kanununa uyum sağlayamayan şirketleri önemli cezalar bekliyor, ama daha da önemlisi kurumsal itibarın göreceği zarar. Halkla ilişkiler ve pazarlama liderlerinin en önemli sorumluluğunun da kurumun markası ve itibarının korunması ve yüceltilmesi olduğunu düşününce bu konuda aktif sorumluluk üstlenmeleri kaçınılmaz.

Çoğu kurumda halkla ilişkiler ve pazarlama aynı liderin sorumluluğu altında. Konunun uzmanları genellememe katılmayabilir, ama benim gördüğüm kadarıyla yine çoğu kurumda halkla ilişkiler uzmanları pazarlama yöneticisine bağlı olarak çalışıyor. Hatta küçük şirketlerde pazarlama ekibi tarafından koordine edilen bir ajans halkla ilişkileri yönetiyor. Bu genellemelerden de yola çıkarak, yazının bundan sonraki bölümlerinde CMO (Chief Marketing Officer) olarak adlandıracağımız yetkilileri neler bekliyor?

İLGİLİ YAZI >> Kişisel verilerin korunması yolculuğu – 2. Bölüm

Dijitalleşme ve büyük veri çağında CMO’lar dijital dönüşümde çok ama çok önemli bir rol oynuyorlar, oynamasalar da oynamak zorundalar. Yönettikleri iş birimi insan, teknoloji, büyük veri ve cihazları şimdiye kadar görülmediği oranda entegre olarak değerlendirmek ve yorumlamak zorunda. Tabii bu büyük dönüşüm risklerini ve sorumluluklarını da beraberinde getiriyor.

Tüketiciler her geçen gün kişisel bilgilerinin korunması konusunda daha da hassas hale geliyor. A.B.D.’de 2015 yılında yapılan bir anket katılımcılarının %42’si siber güvenlik konusunda endişe ederken, %45’i de kişisel bilgilerinin mahremiyetinin ulusal güvenlikten daha önemli olduğunu söyledi. Yine aynı ankete katılanların %77’si de kişisel bilgilerin korunmasıyla ilgili endişelerin Internet üzerindeki davranışlarını etkilediğini belirtti. Yani tüketiciler artık şüpheli sayfalardan ve şirketlerden alışveriş yapmıyorlar, onların ürünlerini ve hizmetlerini kullanmıyorlar. Bunun bir sonraki aşamasının da kişisel verileri koruyamayan sigorta şirketlerini kullanmamak ve hasta bilgilerini mahrem tutamayan hastaneleri tercih etmemek olacağını söylemek için kahin olmaya gerek yok.

Genellikle pazarlama ve halkla ilişkiler birimleri bilgi teknolojileri, hukuk, uyum ve siber güvenlik gibi birimlere oldukça uzak çalışıyor. Yeni dünya ise tam tersini gerektiriyor.

Peki CMO’lar ne ya da neler yapmalı?

Kurumlarının siber güvenlik yönlendirme komitesine aktif katılım sağlamalı
Her gün yeni bir veri sızıntısı haberi dünya basınına yansıyor. Özellikle de kişisel verilerin korunması kanunu’nun 12. maddesi uyarınca bu sızıntıların duyurulması mecbur olunca, Türkiye’de de benzer haberleri sıkça duyacağız. Kişisel veri sızıntıları şirketlerin itibarı ve markasına önemli zararlar verebiliyor, ama asıl tehlike kurumların haberi bile olmayan sızıntılar. Sadece kişisel veriler değil, kurumların satış ve pazarlama planları, ticari sırları, araştırma ve geliştirme sırları gibi kurumlar için hayati önem taşıyabilecek bir çok bilgi siber saldırganlar tarafından çalınıp rakiplere satılıyor olabilir. Hal böyleyken CMO da kurum siber güvenlik yönlendirme komitesinde CTO, CIO, CISO (bilgi güvenliği yöneticisi), kurum hukuk müşaviri ve uyum yöneticisinin yanında yerini almalı. Hatta kurumda böyle bir komite yoksa kurulmasını tavsiye etmeli.

Bilgi Teknolojileri ve Bilgi Güvenliği ekipleri ile koordineli çalışmalı
Dijital teknolojilerin birleştiği günümüz dünyasında pazarlama ve teknoloji arasında bir sınır kalmadı. Eğer CMO’lar dijitalleşmenin avantajlarından faydalanmak istiyorsa, hem ilgili teknolojilerin sorumlusu CIO ve CTO ile yakın temasta olmalı, hem de siber güvenlik ve mahremiyet risklerini kendisine en iyi anlatacak kişi olan CISO’ları muhakkak karar verme süreçlerinin içine güvenilir bir danışman olarak eklemeli. Bu sayede hem kurumun geleceğini etkileyecek risklere karşı bir önlem almış, hem de bu önlemleri almamış rakiplere karşı önemli bir avantaj sağlamış olacak.

Siber güvenlik ve kişisel verilerin korunması konularından sorumlu bir kişi atamalı
Yoğun CMO ajandaları kendi işleri dışında bir konuyla ilgilenmeye izin vermeyebilir. Daha da önemlisi siber güvenlik ve kişisel veriler gibi uzmanlık gerektiren alanlarda sadece aynı dili konuşabilmek bile adanmışlık gerektirecektir. Bu sebepten ötürü, CMO bu konularda sağ kolu olarak hareket edecek ve bağlantı noktası olacak bir kişi atamalı. İlgili personel aynı zamanda yeni dijital ürünlerin geliştirilmesinde BT ekiplerine de destek olabilir.

Tehdit coğrafyasından haberdar olmalı
Bir siber kriz kurumu vurduğu zaman kriz masasında en aktif sorumluluk alacak kişilerden birisi de CMO. Kriz sırasında doğru ve zamanlı açıklamaların önemi de tartışmasız olduğuna göre CMO’lar kurumlarına yönelik tehditlerden muhakkak haberdar olmalı. Bunun için de CMO’lar hem kurum CISO’su ile düzenli olarak görüşmeli, hem de -eğer düzenleniyorsa- kurumsal üst yönetimlere yönelik siber kriz simülasyonlarına muhakkak katılmalı.

Veri yönetişimine önem vermeli
Kişisel verilerin nasıl toplandığı, saklandığı, korunduğu ve kullanıldığı çok önemli. Bir önceki yazıda ele aldığım gibi kişisel verilerin korunması başlığında bir projenin ilk adımı da bu konudaki bir keşif çalışması olmalı. Bu konuda yaptığımız projelerde pazarlama ekipleri hep önemli rol oynadı. Özellikle sosyal sorumluluk ve reklam anahtar kelimeleri söz konusu olunca, normalde bireysel tüketici ile direkt olarak çalışmayan kurumlarda bile halkla ilişkiler birimlerinin kişisel verilerle çok ama çok ilişkili olduğunu gördük. Özetle, kişisel bilgilerin korunması ile ilgili kavramlar ve önlemler halkla ilişkiler ve pazarlama süreçlerinin entegre bir parçası haline getirilmek zorunda.

Kurum çalışanları da unutulmamalı
Küresel örneklere baktığımızda, şirketlerin bazen sadece dış tehditlere ve müşteri verilerine odaklandığını görüyoruz. Ama kişisel verilerin korunması söz konusu olduğunda iç tehditler de eşit oranda tehlikeli. Keza söz konusu kişisel bilgiler olduğunda kurum çalışan bilgilerinin de uygun olarak korunması ve işlenmesi gerekiyor. Bu bağlamda CMO’ların insan kaynakları liderleri ile de yakın temasta olması çok önemli.

Yazımı tamamlarken, üstteki başlıklar ve tavsiye edilen aksiyonların ayrı ayrı incelenip ilgili şirketlerin kurumsal öncelikleri doğrultusunda değerlendirilmesinin öneminin de altını çizmem gerekiyor. İlave bilgi isteyenler için, bu yazıyı hazırlarken ana referans olarak kullandığım A CMO’s Data Privacy Primer: 6 Things to Know makalesinde başka önemli noktalara da değiniliyor.

Kişisel verilerin korunması yolculuğu hakkındaki bir sonraki yazıda görüşmek dileğiyle…

SİBER BÜLTEN HAFTALIK BÜLTENİNE ABONE OLMAK İÇİN FORMU DOLDURUNUZ

[wysija_form id=”2″]
Makale & Analiz

Kişisel Verilerin Korunması Yolculuğu: 2. Bölüm

Yorum yapın

Bu yazının ilk bölümünde kişisel verilerin korunması yolculuğumuzun yeni başladığından bahsedip, yazıyı bu yolculukla ilgili bazı sorulara da bir sonraki yazımda cevap vermeye çalışacağımdan bahsederek bitirmiştim. Bu bölümde de “Doğru yaklaşım nedir?” ve “Teknoloji tek başına bir çözüm mü?” sorularına elimden geldiğince cevap vermeye çalışacağım.

Kanun yayınlandıktan sonraki aylarda konu hakkındaki bilgilendirici etkinliklere ve bu etkinliklerin kimler tarafından düzenlendiğine baktığımızda bu alandaki yaklaşımları da görme şansı bulduk. Birinci grup konuya hukuk gözlüğü ile bakıyordu ve konunun sadece hukuki boyutlarını irdeleyip, çözümü burada arıyordu. İkinci grup ise konuya tamamen teknoloji gözlüğüyle bakıp, çözümü teknolojide arıyordu. Hukuk ve teknoloji, kişisel verilerin korunması için vazgeçilmez iki temel bileşen olsa da, bence kişisel verilerin korunmasına bir hukuk projesi ya da teknoloji projesi olarak bakmak yapılacak en büyük yanlış olacaktır. Peki, doğru yaklaşım nedir?

BURAK SADIÇ’IN DİĞER YAZILARINA ULAŞMAK İÇİN TIKLAYINIZ

Bu yolculuğa bizden on, yirmi hatta otuz sene önce başlamış tüm ülkelere baktığımızda doğru yaklaşımın bu ve benzeri kanunlara uyumu “bir uyum projesi” olarak değerlendirip öyle yaklaşmak olduğunu görüyoruz. Evet, hukuki uzmanlık ve ilgili teknolojiler de bu projenin çok önemli parçaları, ama projeye bir uyum projesi olarak bakılmazsa önemli eksiklikler olması kaçınılmaz.

Konuya bir uyum projesi olarak yaklaşıldığında ilk adımın ne olduğu da önemli bir soru işareti. Tüm uyum projelerinde olduğu gibi bu projenin de ilk adımı tespit aşaması, başka bir deyişle kurum içindeki tüm kişisel veri işleme süreçlerinin tespiti olmalı. Eğer ne gibi kişisel verileri, hangi süreçlerle işlediğimizi bilmiyorsak, bu konuda hukuki ya da teknolojik önlemler almamız kendimizi kandırmak ya da göle maya çalmaktan çok da farklı değil. Tespit aşamasında kurumdaki tüm süreç sahipleri ile görüşülüp, aşağıdaki soru silsilesinin cevapları alınmadıkça da bu aşamanın gerektiği şekilde tamamlandığını söylemek doğru olmayacaktır.

Neymiş bu sorular?

“İlgili süreçte, hangi veriler, hangi kaynaklardan elde edilerek, hangi amaçlarla, hangi birimler tarafından, hangi teknolojilerle, kiminle paylaşılarak, hangi hukuki dayanaklarla, ne süreyle işlenmektedir” ve tabii ki “bu süre sonunda bu verilere ne yapılıyor?”.

Tahmin edersiniz ki yukarıdaki soruların cevaplarını bulmak çok da kolay değil. Daha da önemlisi büyük zaman ve kaynak ihtiyacı olan bir çalışma. Ama bu çalışma tamamlanmadan hukuki uyum adımlarını atmaya çalışmak, ya da teknoloji satın almak da ne kadar doğru tartışılır.

Bu tespit çalışmasını kim yapmalı?

Her ne kadar bu projenin bir hukuk ya da teknoloji projesi olmadığının altını birkaç kez çizsem de, hukuk ve teknoloji uzmanları tespit aşaması da dahil olmak üzere proje ekibinin vazgeçilmez üyeleri olmalı. Bu iki önemli uzmanlığı kim bir araya getirecek sorusunun cevabı ise kurumuna göre değişecektir. Dünya örneklerine baktığımızda artık “Privacy Office” kavramının yerleşmeye başladığını görüyoruz. Ama, biz yolculuğun başında olduğumuzdan ötürü bu konuya özel uzmanların sayısı yok denecek kadar az. Yani sorumluluğu kurum içinde birilerinin üstlenmesi ve farklı birimlerden kişisel verilerin korunması uzmanlığının devşirilmesi gerekecek gibi görünüyor. Benzer projelerde tecrübe kazanmış “uyum” ya da “bilgi güvenliği” uzmanları en ciddi adaylar. Konunun önemi düşünüldüğünde üst yönetimlerle çalışma tecrübesi çok yüksek olan “hukuk” ve “iç denetim” uzmanları da bu tarz projelerde önemli fark yaratabilir.

Proje başlangıcında sorulması gereken üç önemli soru da, “Kurum ya da şirket üstte belirtilen uzmanlıkları kendi içinde barındırıyor mu?”, “İlgili uzmanlar bu proje için hak ettiği zamanı ayırabilecek mi?” ve “Bu kapsamda bir projeyi yönetebilecek proje yöneticimiz var mı?”. Eğer üç sorunun da cevabı evetse, kısıtlı kapsamda danışmanlık ve/veya eğitim alımları ile kişisel verilerin korunması yolculuğuna kurum dahili kaynakları ile başlanması düşünülebilir. Uzman kaynağın varlığı ya da kapasitesi hakkında tereddüt varsa, ya da tereddüt olmasa da riski azaltmak veya paylaşmak amacıyla, bu tarz uyum projelerini yapma kapasitesi olan danışmanlık şirketleriyle anlaşıp işi sağlama almak da düşünülebilir. “Kişisel verilerin korunması” başlığında proje tecrübesi de bulunan danışmanlarla çalışmak ise en doğrusu, ama haliyle bu alanda tecrübeli danışmanların sayısı da henüz bir elin parmakları kadar bile değil ülkemizde.

Umarım iki bölümlük bu mini yazı dizisi kişisel verilerin korunması yolculuğuna biraz olsun ışık tutabilmiştir. Bu yolculukla ilgili sorulması gereken başka sorular da var tabii. İlk anda akla gelen bazı sorular; “Uyum projesinin detayları neler olmalı?”, “Bahsedilenkişisel veri işleme faaliyetlerinin tespiti adımı sonrasındaki adımlar neler?”, “Uyum projesi tamamlandığında uyumlu olacak mıyız?”, “Bu işin denetimi nasıl olacak?” ve “Peki ya güvenlik, güvenlik gibi bu konunun çok önemli ve vazgeçilmez bir parçası hakkında ne yapmalıyız?”.

“Bence” üstteki soruların doğru cevaplarını ve bu cevapların doğuracağı yeni soruları ise ilerleyen dönemlerdeki yazılarda paylaşmaya çalışacağım.

HAFTALIK SİBER BÜLTEN RAPORUNA ABONE OLMAK İÇİN DOLDURUNUZ

[wysija_form id=”2″]
Makale & Analiz

Kişisel Verilerin Korunması Yolculuğu: 1. Bölüm

Yorum yapın

Yolculuk Başlıyoooooooooor!

Kişisel Verilerin Korunması Kanunu onaylandığında ilk yorumum bu olmuştu. Hatta geçenlerde bu konudaki bir etkinlikte yaptığım sunumda da yolculuk temasını fazlaca kullanınca çevremden “Yolculuk kelimesini çok fazla kullandın, neden?” yorumu bile aldım. Peki neden bu bir yolculuk?

Geleceğin ekonomisinde geçer akçenin “veri” olduğu aşikar. “Veri temelli ekonomi” için en önemli sermaye ise bireylerin ve kurumların dijital varlıkları. Google, Facebook ve Twitter gibi şirketler hizmetlerini sizce neden ücretsiz olarak sunuyorlar? Kişisel verilerimizin işlenmesi ve ilişkilendirilmesi üzerine kurulu bu yeni ekonomik modelde bireylerin hakları nasıl korunabilir?

BURAK SADIÇ’IN DİĞER KÖŞE YAZILARINA ULAŞMAK İÇİN TIKLAYIN

Dünyadaki mevcut duruma baktığımızda kişisel verilerin korunması ile ilgili kanun ve yönetmeliklerin geçmişi oldukça eskiye dayanıyor. “Data Protection Law”, “Privacy Act” ve benzeri anahtar kelimeler üzerine yapacağınız kısa bir arama size bu konunun geçmişini ve derinliğini gösterecektir. Konunun başlangıcı olarak kabul edilebilecek “Privacy Act” 1974’ten beri A.B.D.’de yürürlükte ve hemen hemen tüm eyaletlerde verinin toplanmasından imhasına kadar geçen tüm süreçler için yasalar var.

Coğrafi ve hukuki olarak bize daha yakın olan Avrupa’da da durum çok farklı değil. 1995’te yayımlanan direktif sonrasında yaşanan tecrübelerle 2016 yılında tüm Avrupa Birliği ülke yasalarının üzerinde olacak “General Data Protection Regulation” (GDPR) yayımlandı. Bu kanunları teknoloji ve dijitalleşmenin kontrol edilemez yaygınlaşmasını dizginlemek için alınan hukuki önlemler olarak da yorumlamak mümkün.

Yukarıdaki paragraflarda kısaca bahsettiğim küresel örneklere bakınca ilgili mevzuatlarda 20, 30 hatta 40 senelik bir olgunlaşma süreci olduğunu görüyoruz. Tabii bu sadece hukuki olgunlaşma değil, toplumsal ve kurumsal olgunlaşmaya da işaret ediyor. Kişisel veri konusundaki haklarını bilen bireyler, buna saygı duyan şirketler, tüm bu gerçeklere göre tasarlanan süreçler ve organizasyonlar…

Hal böyle olunca Kişisel Verileri Koruma Kanunu sonrasındaki döneme de bir yolculuk olarak bakmak gerekiyor. Yolculuğun henüz çok başındayız, o yüzden mevzuattaki eksiklikler ya da uygulamadaki  aksaklıklar yüzünden yolun başlangıcında bazı zorluklara rastlanması çok doğal. Daha da önemlisi bireysel, kurumsal ve hatta toplumsal olarak veri temelli ekonomiye alışmamız da zaman alacak.

Kanun ve ilgili yönetmelikler özellikle de veri güvenliği konusunda önemli yaklaşım farklılıklarını da beraberinde getirecek. Bu konuda neler yapılabilir, bu da bir sonraki yazının konusu. “Doğru yaklaşım nedir?”,  “Teknoloji tek başına bir çözüm mü?” gibi soruların cevapları için bir sonraki yazıda görüşmek üzere.

HAFTALIK SİBER BÜLTEN RAPORUNA ABONE OLMAK İÇİN FORMU DOLDURUNUZ

[wysija_form id=”2″]

Makale & Analiz

Hackerların bir sonraki hedefini korumak: 10 adımda OT güvenliği

Yorum yapın

Bugünlerde siber güvenliği manşetlere taşıyan  DDoS saldırılarının ilk dalgası Türkiye DNS’lerini, ikinci dalgası ise kamu kurumlarını ve büyük bankaları hedef aldı. Bir güvenlik profesyoneli olarak beni asıl endişelendiren ise bundan sonraki dalgalar. Amaç ülkenin kritik altyapılarını çalışmaz hale getirmek ise bir sonraki adımda hedef enerji, su ve ulaşım gibi sektörler olacak. Ve maalesef bazı istisnalar dışında bu sektörlerin siber güvenlik alanındaki farkındalığı ve yatırımları finans ve telekomünikasyon sektörlerine göre çok daha zayıf seviyede.

İLGİLİ HABER >> İRANLI HACKERLAR AMERİKAN BARAJINA SIZMIŞ

Bu zayıflığın en temel sebeplerinden birisi ise yukarıda bahsedilen sektörlerin son birkaç seneye kadar siber güvenlik denildiği zaman sadece kurum bilgi teknolojilerine (BT) odaklanması. Elektrik üretimi yapan bir santral ve bu santralin bağlı bulunduğu şirket merkezini düşünün. Sizce şirket merkezinin bilgisayarlarının çalışmaması ve şirketin müşteri ve çalışanlarının bilgilerinin ifşa olması mı, santralin elektrik üretiminin durması mı daha kritiktir? Ya da bir havayolu şirketinin yolcularının kimlik ve kredi kartı bilgilerinin Internet üzerinde yayınlanması mı, bu havayolunun uçaklarının uzaktan kontrol edilebilmesi mi kulağa daha korkutucu geliyor?

HABER >> SİBER ALANIN EN İDDİALI 10 START-UP’I

Endüstriyel süreçleri kontrol eden donanım ve yazılımları operasyonel teknolojiler (OT) olarak tanımlayabiliriz. Geçmişte özel tasarım donanımların ve gömülü yazılımların ağırlıklı olduğu bu alanda artık çoğu kritik sistem Unix, Linux ve hatta Windows temelli işletim sistemleri barındırıyor. Ve uzun yıllardır bu sistemlerin izole olmasından kaynaklanan sahte bir güven havası yaratılmış durumda. Bu sebepten ötürü OT sistemleri BT sistemlerine göre güvenlik açısından çok geride ve arayı kapatmaları için çok da zamanları kalmadı. OT sistemlerine yönelik saldırılarda milat olarak kabul edilen Stuxnet zararlı yazılımı sonrasında Pandora’nın kutusu açıldı ve kapatmak mümkün değil.

Peki, siber güvenlik alanında yatırım yapmak ya da en azından en temel açıklarını kapatmak isteyen OT sistemlerine sahip kurumlar hangi noktalara odaklanmalı? Aşağıdaki on maddeyi[i] değerlendirmek güzel bir başlangıç olabilir:

  • OT sistemlerine kendi ağları dışından yapılan tüm erişimler denetlenmeli.
  • Uzaktan bağlanılması gereken OT sistemlerine yapılacak bu bağlantılar için yeterli güvenlik ve kontrol mekanizmaları kurulmalı.
  • Güvenlik güncellemeleri sürecine muhakkak OT sistemleri de dahil edilmeli.
  • Hem sistem, hem de kullanıcı parolaları gözden geçirilip en iyi uygulamalar dahilinde yönetilmeli.
  • BT ve OT sistemleri arasında, kuralları özenle belirlenmiş güvenlik duvarları konumlandırılmalı.
  • OT sistemleri BT sistemlerine bağımlı olmamalı, iki ağ arasında muhakkak bir geçiş bölgesi (demilitarised zone – DMZ) bulunmalı.
  • BT ağına OT ağından yapılan bağlantılar da denetlenmeli.
  • OT ağları kendi içlerinde kritiklik seviyesine göre bölümlere ayrılmalı.
  • OT ağlarından Internet’e bağlantı yapılmamalı, yapılıyorsa da izlenmeli.
  • Kablosuz OT ağlarında kuvvetli şifreleme ve kimlik doğrulama sistemleri kullanılmalı.

Bu on maddeden herhangi birisinin atlanması kurumlara ve hizmet verdikleri müşterilerine, hatta ülkelere bile zarar verilmesine zemin hazırlayabilir. Hal böyleyken kurumların daha güvenli hale gelmesi için iyileştirmelere nereden başlayacakları da önemli bir soru.

İlk adım bir bilgi güvenliği lideri atanması (CISO) ve bu liderin kurumsal organizasyon içinde mümkün olan en üst seviyeye raporlaması olmalı. Geçtiğimiz aylarda yayınlanan Küresel Bilgi Güvenliği Araştırması’na[ii] katılan kurumların yarısından fazlasında bir CISO olması ve bu CISO’ların da yarısından fazlasının direkt olarak CEO ya da yönetim kuruluna bağlı olarak çalışması bu konuda oldukça iyi bir gösterge.

Daha sonrasında da CISO’nun önderliğinde, kurum stratejileri ile örtüşen bir siber güvenlik stratejisi oluşturulması ve bu strateji çerçevesinde yukarıda bahsedilenler başta olmak üzere iyileştirmeler yapılması gerekiyor. Yatırımları planlarken de Bruce Schneier’ın meşhur cümlesi asla unutulmamalı: “Güvenlik bir süreçtir, ürün değil.”

[i] http://www.pwc.com.au/publications/cyber-savvy-securing-operational-technology-assets.html

[ii] http://www.pwc.com.tr/gsiss

HAFTALIK SİBER BÜLTEN RAPORUNA ABONE OLMAK İÇİN FORMU DOLDURUNUZ

[wysija_form id=”2″]