Kategori arşivi: Şirket Haberleri

Günümüzün En Önemli Kavramı: Siber Güvenlik, 5651 Sayılı Yasa ve berqNET Firewall İncelemesi

2000’li yılların başında en güncel kelimelerden biri ‘küreselleşme’ydi. Kim dünyadaki gelişmeler ile ilgili bir cümle kuracak olsa muhakkak küreselleşme ifadesini cümlelerin içinde geçirmeye dikkat ederdi. 2018 yılında ise başka bir söz öbeği küreselleşmeyi geride bırakıp dillere pelesenk oldu: Bağlantılı olma! Ve tabi bunu sağlayan akıllı cihazlar.

Sosyal medya üzerinden yakınlarımız ve arkadaşlarımız ile daha çok iletişim halinde kalırken akıllı cihazlarımızı artık gitgide daha bağımlı hale geliyoruz. Sağlık uygulamaları ile ne kadar adım attığımızı veya spor yaptığımızı kontrol altında tutuyor, YouTube gibi programlarla içerik tüketiyor ve üretiyor, kariyer planlamasını yapabiliyoruz.

Bu akıllı cihazların ve siber dünyanın olumlu tarafı olduğu kadar bunları suç işlemek için kullananlar da var.  Gittiğiniz bir kafe veya pastanede, birileri sosyal medya hesabını takip edip arkadaşlarına ‘like’ atarken yan masadaki başka birileri, hedeflerindeki kişinin banka hesabını boşaltmaya çalışıyor olabilir.

Peki, siber uzayda suç işlemeye çalışanlar, günlük kullanımı gerçekleştirenler ve bu internet hizmetini sağlayanlar muhtemel bir yargı sürecinde nasıl ayrıştırılacak? Bunun için 5651 sayılı internet ortamında yapılan yayınların düzenlenmesi ve bu yayınlar yoluyla işlenen suçlarla mücadele edilmesi hakkında yasa çıkarıldı. Bu internet ortamında işlenen suçlara özel olarak kaleme alınmış ve bütün kurumların ve ticari işletmelerin uyması gereken; siber saldırılara karşı mücadele için çıkartılmış bir kanundur. Bu kanun ile ticari kuruluşlar veya kurumlar tüm kullanıcı hareketlerini iki yıl boyunca güven damgası ile elektronik ortamda imzalamak ve kayıt altına almak zorunda.

Tam da bu noktada işletmelerin özellikle bu konuna uygun davranarak internet kullanmaları, kayıtlarını tutmaları gerekiyor. Özellikle de ortak bir ağdan misafirlerine ya da müşterilerine internet paylaşımı yapan işletmeler. Örneğin; kafeler, restoranlar, hastaneler, öğrenci yurtları, konuk evleri, oteller ve konaklama işletmeleri…

İşletme ağınızdan bir misafirinizin atacağı uygun bir tweetten ya da Facebook paylaşımından sorumlu olacağını, sizin ağınızdan yapılan istenmeyen bir siteye girişten sizin sorumlu tutulacağınızı ve ağır cezalar alacağınızı biliyor musunuz? İşte 5651 sayılı sayının amacı tamamen bu.

Peki bu durumda ne yapmalı? Her cihaz her yazılım yasanın istediği kayıtları tutar mı? Merdiven altı çözümlerle bu işler halledilir mi? Tabii ki hayır. Öncelikle tutalan kayıtların zaman damgalı olması gerekiyor ve bu zaman damgasının da yasanın belirttiği kurumlardan alınması mecburiyeti var.

Yasaya uygun çözümleri sağlayan şirketlerin başındaysa Logo Yazılım çatısı altında kurulan berqNET geliyor. berqNET’in tamamen Türk mühendisleri ile iki yıllık bir AR-GE çalışmanın sonucunda ürettiği yerli firewall (UTM) cihazları, içinde barındırdığı birçok özelliğin yanında ücretsiz olarak, eskta ücretler talep etmen sunduğu 5651 sayılı yasaya uygun kayıt tutma modülü sayesinde, işletmeler herhangi bir sorunla karşılaştığında bu cihazlar tarafından yasaya uygun tutulan kayıtları mahkemeye delil olarak sunabiliyor.

Hatta yaşanmış örneklerden de bahsetmek gerekiyor bu noktada; kısa bir zaman önce İzmir’de bir otel ve Diyarbakır’da bir restoran, ortak ağlarından yapılan paylaşımlar sonucu siber güvenlik polisleri tarafından incelemeye alındı. Diyarbakır’daki vakada ise atılan bir tweet sonucu işletme bir süre kapalı kalarak işletme sahibi göz altına alındı. Restoranın herhangi bir firewall kullanmadığı ve sonrasındaysa berqNET müşterisi olduğunu belirtebiliriz. Bu noktada tatsız durumlar yaşanmadan önlem almak çok kritik. Suçsuz olduğunuzda bunu ispat edebiliyor olmanız gerekmekte.

Geçtiğimiz günlerde Siber Bülten’e konuşan berqNET Genel Müdürü Dr. A. Murat Apohan, “Ürünü kurduğunuz zaman karşınıza oldukça kolay bir arayüz geliyor. Yine çok kolay bir şekilde bu kayıtları tutar hale geliyorsunuz. Bu şekilde 5651 sayılı yasaya uygun bir süreç oluşturuyorsunuz. Yabancı ürünlerde bu yok. Bu çok ciddi bir avantaj. Herhangi bir adli vakada işletmenin, berqNET cihazlarının tuttuğu kayıtları vermesi yeterli. Bu işletme sahibini sorumluluktan kurtarıyor. En önemli nokta ise yasanın istediği kayıtları her ürün yasaya uygun bir şekilde tutamıyor. Daha ucuz ve yetersiz çözümler olabiliyor ama bunlar yasaya uygun olmuyor. Bizim kayıtlarımız tamamen zaman damgalı ve bunları da yetkili mercilerden alıyoruz. Buralarla entegre olarak çalışıyoruz. Yasal sorunlar olduğunda bunların değiştirilmemiş olduğunu ispat etmeniz çok kolay oluyor. Diğer türlü logları tutabilirsiniz ama mahkemede sorunlar yaşanabilir. Yani mahkeme tutulan kaydın geçerliliğini kabul etmeyebilir” şeklinde konuştu.

Büyük çaplı işletmeler, kendilerini bu tür kafa ağrıtan sorunlara karşı daha iyi koruyabilmesine rağmen en büyük sorun küçük ve orta ölçekli işletmelerde yaşanabiliyor. Çünkü bu işletmelerin bir bilişim uzmanı istihdam etmesine imkân olmadığı gibi yasal bir sorunda kendilerini savunma imkanları da çok geniş olmayabiliyor. Ancak berqNET’in Firewall cihazları bu tür işletmelerin büyük bir sorununu çözmüş oluyor. berqNET sayesinde restoranlardan kafelere, hukuk bürolarından otellere ve enerji santrallerinden butik şirketlere kadar birçok alanda hizmet veren firmalar için ideal bir çözüm sağlanmış oluyor.

berqNET ile şirketinizi hedef alabilecek siber tehditlere karşı tedbir almış olduğunuz gibi bunun ötesinde tüm berqNET ürünleri antivirüs, IPS/IDS, web ve uygulama filtreleme, hotspot, SSL VPN / IPSec VPN, ileri düzey raporlama ve loglama özellikleri, mobil raporlama uygulamasıyla uzaktan denetim ve erişim gibi ek özelliklere sahip. Örneğin, Web Filtreleme özelliği ile çalışanlarınızın hangi sitelere ne zaman girmesini ya da girmemesini denetleyebiliyor ve istediğiniz engelleri koyabiliyorsunuz.

berqNET’in bütün bunları Türkçe bir arayüz ile sunması ise kullanıcıları açısından büyük bir avantaj. Kullanıcılarından aldığımız yorumlara göre berqNET, dünyanın en kolay firewall’unu yapmış ki bu oldukça önemli bir nokta. Firewall cihazlarının karmaşıklığı ve yönetme zorluğu bu alanda çalışan profesyonellerin en büyük problemi. Bu sorunun berqNET’in kolay ve akıllı arayüzüyle aşıldığını rahatlıkla söyleyebiliriz.

Bununla birlikte berqNET’in teknik destek birimi kullanıcıların talep ve şikâyetlerini de kusursuz bir şekilde karşılık veriyor. berqNET Genel Müdürü Apohan, “Rakiplerimizin bunu yakalamalarına imkan yok. Yine yüzde 100 yerli bir üretici ve marka olduğumuz için de ürünler ne kadar talepleri karşılasa da müşterilerin ek talepleri olabiliyor. Değişiklik istenebiliyorlar. Bu gibi talepleri küresel bir firmaya yaptırmanız çok düşük. Bizim ana pazarımız burası olduğu için buradan gelenler talepler bizim için çok önemli. Müşterilerimizi dinliyor ve onların taleplerini çok hızlı karşılıyoruz. Ürünümüzü sahadan gelen geri bildirimlerle sürekli geliştiriyoruz,” diyor.

Türkiye’nin yerli yazılım ve ürünleri daha çok kullanmaya ve desteklemeye başladığı bir ortamda berqNET gerçekten büyük bir iş başarıyor. Zaten bu başarısını aldığı ödüllerle de tescillemiş durumda. Türk Elektronik Sanayicileri Derneği (TESİD) tarafından KOBİ Dalında Yenilikçi Ürün Ödülünün sahibi olan berqNET, BTVizyon tarafından da yılın en iyi yerli güvenlik yazılımı unvanıyla ödüllendirilerek yoluna devam etmekte.

Detaylı olarak anlatma fırsatı bulduğumuz berqNET’in kolay arayüzünü ve tüm özelliklerini incelemek isterseniz ücretsiz online demo panelini buradan inceleyebilirsiniz: Demo Ekranı

Siber Bülten abone listesine kaydolmak için formu doldurunuz

 ‘Türkiye, siber güvenlik konusunda icraata odaklanmalı’

Türkiye’nin önde gelen bilgi güvenliği şirketlerinden Biznet’in İç Girişimcilik Direktörü Hakan Terzioğlu’nun hazırladığı podcast serisinin son bölümünde Türkiye’nin siber güvenlik yönetişimi ve kümelenme gibi konularda geldiği nokta konuşuldu.

Serinin son bölümünde Biznet iş geliştirme direktörü Eser Ateş’i ağırlayan Terzioğlu siber güvenliğin altın çağını yaşadığını belirterek, uluslararası boyutta çeşitli kümelenmelerin oluşmasını bu durumun bir göstergesi olduğunu söyledi. 2003 yılından bu yana Biznet’te çalışan tecrübeli yönetici kümelenme ve ekosistem alanlarında Türkiye’nin gelişimini değerlendirdi: “Biznet’te bu alanın öncülerindeniz. Ama Türkiye’de konunun stratejik olarak ele alınması 2011’e dayanıyor. Türk Silahlı Kuvvetleri’nin 2011’de siber güvenliği bir çalışma sahası olarak belirlemesiyle çalışmaların ilk tohumları atılıyor.”

TSK’daki faaliyetlerin başlamasından bir sene sonra ulusal siber güvenlik çalışmalarının yürütülmesi için Bakanlar Kurulu kararı ile sivil alanda da düğmeye basıldığına değinen Ateş, “O zamandan beri çok şey değişti. Ulaştırma, Denizcilik ve Habercilik Bakanlığı koordinasyon görevi üstlendi. 2012’de üst düzey katılımla siber güvenlik koordinasyon kurulu toplantılarına başladı. Ancak şu an bu kurul hala toplanıyor mu bilmiyoruz” dedi.

Daha sonra 2013-14 Siber Güvenlik Eylem Planının yayınlanması, siber olaylara müdahale ekiplerinin kurulması gibi çok hızlı ve birbirini takip eden adımlar atıldığını anlatan Ateş, bu dönemin konunun üst düzeyde ele alındığını hissettikleri, hareketli bir dönem olduğunu söyledi. Bu dönemdeki dinamizmi umut verici bulan Eser Ateş, “Her ne kadar başlangıçta çok katkı yapabildiğimizi hissetmesek de sonraki dönemin stratejik plan hazırlıklarında kamu, akademi ve özel sektörün içinde olduğu bir çalıştay gerçekleştirildi. Bu da bizi umutlandıran önemli bir çıkıştı,” şeklinde konuştu.

‘Siyasi dalgalanma çalışmaları duraksattı’

Biznet yöneticisi, siber güvenlik ile ilgili adımların etkili şekilde atıldığı bir dönemden sonra Türkiye’nin siyasi anlamda yaşadığı çalkantılı dönemi, yakalanan ivmenin düşüşe geçmesinde ana faktörlerin başında gördüğünü dile getirdi ve ekledi: “Hazırladığımız eylem planını 2015-2017 dönemi için yaptığımızı düşünüyorduk. Fakat planın pratiğe geçmesi siyasi hareketlilikten dolayı sekteye uğradı. Bir senelik bir boşluk oluştu.”

Ateş, siyasi dalgalanmaların yanı sıra süreçteki en önemli eksiğin yapılan stratejik planlarda yer alan aksiyonların ne kadarının tamamlandığının ya da bu aksiyonlarda hangi noktaya gelindiğinin şeffaf bir şekilde takip edememeleri olduğunu belirtti. Terzioğlu da hedeflere yönelik ilerleme sağlanabilmesi için sadece vizyon olarak iyi bir yerde olmanın yetersiz olduğunu; vizyon ve icra dengesinin siber güvenlik alanında kritik olduğunu söyledi.

Ateş, siber güvenlik gibi önemli bir konunun siyasi gelişmelerden etkilenmeden sürekli olarak gündemde olması gerekliliğini de sözlerine ekledi: “Örneğin darbeden sonra duraksama yaşandı. Seçimler yaklaşıyor. Önümüzdeki yıl yeni stratejik plan için hazırlıkların başlaması gerekiyor. Merak ediyorum bu yeni plan bu arada 2020 yılını kapsayacak mı? Yoksa yine bir sene duraksama yaşayacak mıyız? Siber güvenlik ara verebileceğimiz bir konu değil.”

Siber güvenlik alanındaki duraksamalara rağmen, Siber Olaylara Müdahale Ekibi (SOME) sayısının 850’ye ulaşması ve KAMUNET’in kurulması gibi olumlu gelişmelerin yaşandığına da podcast’te dikkat çekildi. Ulaştırma, Denizcilik ve Haberleşme Bakanlığı müsteşar yardımcısı Galip Zerey’in açıklamasına göre, bugüne kadar 73 kamu kurumu KAMUNET’e dahil oldu. Eser Ateş, siber güvenlik altyapısının güçlendirilmesi ve bilincin artması için KAMUNET’i iyi bir motivasyon aracı olarak değerlendirdiğini ifade etti.

“2017 yılındaki bir tebliğ ile Ulaştırma, Denizcilik ve Haberleşme Bakanlığı’nın koordinasyonunda kamu kurumlarının güvenli bir ağ üzerinden haberleşmesi için KAMUNET kuruldu. Tebliğin sonuçlarını gördük. ISO 27001 sertifikası alabilmek için ciddi bir hareketlenme yaşandığını gözlemledik. Sadece sertifikayı alıp yola devam etmekten ziyade altyapıyı güvenli yönetmek için bilinç arttı.”

EKS güvenliği için EPDK ve Enerji Bakanlığı kritik kurumlar

Podcast’te siber güvenlik alanındaki regülasyonlar hakkındaki görüşlerini de paylaşan Ateş, şunları söyledi: “Endüstriyel kontrol sistemleri ve kritik altyapıların güvenliğinden 2017’deki SOME tebliğinde bahsedilmişti. EKS güvenliğiyle ilgili Enerji Piyasası Düzenleme Kurumu (EPDK) ve Enerji Bakanlığı önemli adımlar atıyor. Örneğin, EPDK hem kendi SOME’sini kurdu hem de kendi denetimine tabii firmaları çıkardığı regülasyonlarla konuyu belli bir olgunluğa eriştirmeye çalışıyor.”

Ateş, EPDK’nın aynı zamanda EKS güvenliği için risk analizini zorunlu hale getirmesi, rehber hazırlaması, tebliğe göre düzenli denetimler yapılması gibi milli güvenlik açısından önemli adımlar attığına değindi. “Enerji Bakanlığı da yine kritik altyapı olarak nitelendirebileceğimiz kurumların güvenlik seviyesini arttırmak için çalışmalarını hızla yürütüyor.”

Kümelenme en büyük eksiklerimizden

Eser Ateş’in altını çizdiği noktalardan bir diğeriyse kümelenme, ekosistem ve siber güvenlikte yerli ve milli çözümlerin üretimi gibi konularda Türkiye’nin yol alamıyor olması: “Aynı alanda çalışıyor, ürünler geliştiriyoruz. Ama bilgi paylaşımı ve iş birliği eksikliği sebebiyle sürekli rekabet ortamında yerimizde sekiyoruz. Bu da yerli ürün konusunda kurumlarda çekince oluşturuyor. Ürünün devamı gelmiyor. Siber güvenlikte yerlilik ve millilik önemli. Bunun için el ele bir şeyler yapmamız lazım. Kümelenme bu yüzden önemli,” dedi.

Çeşitli kamu kurumları, teknokentler ve sivil toplum kuruluşlarının kümelenme çabalarının sonuçsuz kaldığına değinen Ateş, hedefin niş alanlarda herkesin tek tek çaba gösterdiği çalışmaları birleştirerek dünyaya açılmak olması gerektiğini söyledi.

Terzioğlu da kümelenme konusunda yurtdışındaki modellere değindi ve özellikle sarmal yapıdaki iş birlikleri sayesinde önceliklendirilmiş alanların çok daha rahat ortaya çıktığını, böylece sınırlı sayıda kaynakla daha efektif çözümler geliştirilebildiğini söyledi

“Rekabet aslında iyi bir şey ama bir alan üzerinde 10 firma birden kafa yoruyorsa ve asıl proje yerine tek bir konu üzerine 10 firma uğraşıyorsa çaba ve zaman kaybı söz konusu oluyor. Halbuki güvenlik konusunda çok niş alan var. Kümelenme tam olarak burada işe yarıyor, çünkü ortaya bir harita çıkıyor.”

Türkiye’de siber güvenliğin gelişimi için kümelenmenin çok önemli bir yer tuttuğuna değinen Terzioğlu, yurtdışında uluslararası çapta kümelenmelerin senkronizasyonun bile tartışıldığını söyledi.

“Mesela Global Epic programı buna bir örnek. Biznet’in de üyesi olduğu Hague Security Delta (HSD), Global Epic’in bir parçası. Farklı ülkelerdeki kümelenmelerle iş birliği yapılarak çalışma alanları çok daha rahat belirleniyor, ilerleme daha hızlı sağlanıyor.”

Terzioğlu aslında siber güvenlikte yerli kümelenmeyi ateşleyecek kurumun Savunma Sanayi Müsteşarlığı (SSM) olduğunu ve bu konuda halihazırda önemli adımlar atıldığını ekledi. Ateş de SSM’nin iyi bir vizyona sahip olduğunu ve güzel çalışmalar yürüttüğüne değindi. “Özel sektör, kamu ve akademi temsilcileriyle çalışmalar yaptılar. Somut adımlar atıldı ve bunlar, kamuoyuna duyuruldu. Her ne kadar eksikliklerimize değinmiş olsam da bu konuda ciddi ilerlemeler olduğuna söylemem lazım. SSM’nin büyük gelişmelerin yolunu açacağını düşünüyorum.”

Siber Bülten abone listesine kaydolmak için formu doldurunuz

Lostar: Kişisel Veri Güvenliği Rehberi tavsiye niteliğinde önemli bir doküman

Bilgi teknolojilerinin sosyal, ticari ve kurumsal her alanda artan önemi ve beraberinde getirdiği siber tehditler, ülkeleri kişi hak ve özgürlüklerini korumaya yönelik yasal düzenlemeler yapmaya zorluyor.

Türkiye’de bu alanda atılan en önemli yasal adımlardan biri yaklaşık iki yıl önce yürürlüğe giren Kişisel Verileri Koruma Kanunu (KVKK) olmuştu.

KVKK sonrası uyum sürecini kolaylaştırmak için geçtiğimiz aylarda Kişisel Verileri Koruma Kurumu tarafından “veri sorumlularının alması gereken teknik ve idari tedbirlere” ilişkin ‘Kişisel Veri Güvenliği Rehberi’ yayımlandı.

Rehberi ve beraberinde getirdiklerini Siber Bülten’e değerlendiren Lostar Bilgi Güvenliği’nin Kurucu Genel Müdürü Murat Lostar’a göre, kurul tarafından yayınlanan bu dokümanın ve ilgili maddelerinin en önemli özelliği yasal bir yaptırım gücünün olmaması.

“Bu rehber, bizim tavsiye niteliğinde diyebileceğimiz, herhangi bir yaptırımı olmayan, tek tek her satırı yapmak zorunda olmadığımız ama ‘acaba biz bu işi nasıl yaparız’ diye düşündüğümüzde bize yanıt veren dokümanlardan bir tanesi,” diyor Lostar.

KVKK’ya göre, verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan veri sorumlusu, kişisel verilerin erişilemez ve tekrar kullanılamaz olması için gerekli her türlü “teknik ve idari” tedbirleri almakla yükümlüdür.

“Peki ama ‘kurum bu verilerin güvenliğini sağlarken neler yapabilir, nedir bu teknik ve idari adımlar?’ sorusunu cevabını bu dokümanda buluyoruz,” şeklinde konuşuyor Lostar.

CEO’ya göre, banka, sigorta şirketi ya da sağlık kuruluşlarının bilgi işlem altyapılarındaki kişisel verileri korumak için neler yapılabileceklerine ilişkin idari ve teknik adımlar bu rehber doküman sayesinde daha net olarak belirtiliyor.

“Aslında bu rehber, şirketlerin yüzde 99’unu çok güzel bir şekilde kapsıyor ve çok güzel yol gösteriyor. Kurumlar ne yapacağını anlamak için bu rehbere bakıyor olacak.”

 

-Mağduriyetleri giderebilecek bir rehber

Lostar’a göre Verileri Koruma Rehberi’nin şöyle bir yararı daha var.

“Biz güvenlik camiasında biliriz, yüzde yüz güvenlik olmaz diye. Mükemmel güvenli önlemleri altında bile saldırıya uğrayabilirsiniz. Bu durumda Kişisel Verileri Koruma Kurulu’nun sizlerin bu konuda bir kusurunuz olup olmadığını değerlendirme durumu söz konusu olacaktır,” diye belirtiyor Lostar ve ekliyor:

“Böyle bir mağduriyet durumunda, eğer siz bu rehber dâhilindeki maddeleri uygulamış olduğunuzu ve gerekli önlemleri aldığınız gösterebilirseniz, yaşamış olduğunuz veri çalınması olayının aslında sizin kusurunuzdan değil de karşı taraftan kaynakladığını ispatlama olasılığınız artıyor.”

Lostar’a göre raporda siber saldırılara karşı kişisel veri güvenliğini sağlamak için çalışan eğitiminin önemi de ciddi şekilde vurgulanıyor.

Rehberin dokümanın “Çalışanların Eğitilmesi ve Farkındalık Çalışmaları” adlı maddesinde, kişisel veri güvenliğini zedeleyecek saldırılar ile siber güvenliğe ilişkin, çalışanların sınırlı bilgileri olsa dahi ilk müdahaleyi yapmalarının, kişisel veri güvenliğinin sağlanması için hayati önem taşıdığı özellikle belirtiliyor.

 

-Siber güvenlik şirketleri için yeni rehberlik hizmeti

KVKK yayınlandığından beri kurumlar kanunla uyumlu hale gelebilmek için birçok çalışma yapıyor.

Lostar’a göre bu çalışma farklı yollardan geçerek mümkün ve bu yollardan bir tanesi içeride tutulan verileri daha güvenli hale getirmek.

“Bizim için bu doküman son derece değerli. Resmi bir kurum tarafından yayınlanmış olmasının da çok ciddi bir anlamı var,” diyor tecrübeli CEO.

Murat Lostar’a göre yayınlanan rehber, kurumların veri güvenliği ile ilgili yapmış oldukları çalışmaları inceleyip, idari ve teknik anlamda almaları gereken başka ne gibi veri güvenliği önlemleri olduğunu ve bunların nasıl gerçekleştirebileceklerini ayrıntılı ve düzgün bir raporla sunabilecekleri bir hizmet de başlattı: “Bu veri güvenliğini yeterince sağlıyor muyum sorusunun cevabını veren bir hizmet.”

Lostar’a göre bu hizmet kapsamında güvenlik şirketi, hizmet alan kurumun bilgi güvenliği ile ilgili almış olduğu farklı idari ve teknik önlemleri değerlendiriyor ve rehber doküman ile kıyaslıyor.

“Bu alınan önlemlerin bu rehber dokümanın hangi maddelerine nasıl uyduğunu ya da uymayan yerlerin neler olduğunu ortaya koyuyoruz.”

Ayrıca, bu değerlendirme sonucunda kurumun hangi maddelerle ilgili hiç çalışma yapmamış olduğu ortaya çıkıyor.

“Ve bu eksilerin tamamlanması için neler yapması gerektiğini bir rapor haline getirip, bir yol haritasıyla beraber müşterimize teslim ediyoruz,” diye ekliyor Lostar.

Lostar Bilgi Güvenliği’nin kurumlar için hazırlamış olduğu “Güvenlik Rehberi” yazısına aşağıdaki link üzerinden ulaşabilirsiniz:

https://lostar.com.tr/2017/08/sirketler-icin-guvenlik-rehberi.html

Siber Bülten abone listesine kaydolmak için formu doldurunuz

Biznet Türkiye’de EKS siber güvenlik ekosistemi için kolları sıvadı

Biznet Bilişim, Türkiye’de endüstriyel kontrol sistemleri alanında bir siber güvenlik ekosisteminin oluşturulması için ilgili paydaşları içinde bulunduran bir model önerisi geliştirdi. ‘Endüstriyel Kontrol Sistemleri Siber Dayanıklılık Vizyon Planı‘ adı verilen model, ilgili küresel ekosistemle aktif etkileşim halinde yerel bir platform kurarak, Türkiye’deki kritik altyapıların siber dayanıklılığını arttırmayı amaçlıyor.

Yurtdışında sürdürülen incelemelerin sonunda Biznet’in Türkiye için önerdiği modelin amaçları arasında, bu alanda uzman insan kaynağının yetiştirilmesi, bilgi birikiminin oluşturulması, EKS siber güvenliği alanında küresel örnekleri ile rekabet edebilecek yerli ürün ve hizmetlerin geliştirilmesi yer alıyor.

Biznet, böyle bir ekosistem için hizmet sağlayıcı firmalar ve işletmeler (“asset owners”), kamu ve akademilerle (üniversite, araştırma enstitüleri v.b) birlikte üçlü bir güvenlik sarmalı modelini öneriyor. Söz konusu modelde gönüllü kuruluşlara da yer veriliyor.

Yayınlanan dökümanda da belirtildiği gibi, bu üçlü sarmalda her bir paydaşın kendi içinde üzerine düşen görevler öngörülüyor. Endüstriyel Kontrol Sistemleri Siber Güvenlik Ekosistemi Akademi Eylem Planı’nda akademi ayağında amacın, araştırmacı kaynağının sağlanması, insan kaynağı yetiştirme, EKS siber güvenlik laboratuvarının kurulumu ve teknik araştırmalar için destek sağlanması olması gerektiği dile getiriliyor.

İşletmelerin sunacağı katkının ise yaşanmış ihlal ya da tehditlere ilişkin bilgi paylaşımı, iş ve staj imkânı sağlanması ve laboratuvar için süreç bilgisi ve ekipman temini olabileceği öngörülüyor. Hizmet ve teknoloji sağlayıcılarının da EKS siber güvenlik istihbarat desteği, eğitimler, araştırmacı desteği sağlama ve üniversite araştırmacılarının ilgili konularında yapacağı uluslararası sunum ve konferans için sponsorluk desteği vermesi gibi katkılar sağlayabileceği dile getiriliyor.

Kamu, regülasyon kurumları ve gönüllü kuruluşların ise oluşturulacak yol haritası kapsamında destekleyici bir rol üstlenebileceği dile getiriliyor. Bu kurum ve kuruluşların rehberlik, regülasyon, standartlaşma, yaygınlaştırma gibi konularda yol çizmesi beklenenler arasında.

Biznet’in hazırladığı dökümanda eğitim seferberliğinin söz konusu modelin bir parçası olması gerektiğinin altı çiziliyor. Buna göre, endüstriyel uzmanlık (endüstriyel yazılımlar, ürünler ve destekleyici eğitimler); siber güvenlik ve iş sürekliliği gibi konu başlıklarında bilgi birikiminin sürekli artması gerektiği öngörülüyor.

Bütün bu bilgiler saha bilgisi ile harmanlanıp pratik uygulamalara dönüştürülmeli. Ardından da farkındalık programları, dijital eğitim platformu, sınıf içi eğitimler ve üniversitelerde tez, doktora gibi yaygınlaştırma çalışmalarıyla desteklenmeli.

Bir olgunluk modelinin oluşturulmasının altı çizilen dökümanda siber dayanıklılığın sürdürülmesi için de vizyon geliştirilmesi öngörülüyor. Bu vizyon üç temel kategori altında incelenebilir:

  1. TR-E-ISAC çatı yapısının kurulması, böylece bilgi paylaşımı altyapısının oluşturulması
  2. Yerli çözüm geliştirme
  3. Siber dayanıklılığın arttırılması ve sürdürülmesi. Bunun rehberlik ve danışma, regülasyon, akreditasyon, standartlaşma ve ulusal faaliyetler ile gerçekleştirilebileceği öngörülüyor.
Can Demirel

Konuyla ilgili Siber Bülten’e konuşan Biznet’in bilgi güvenliği uzmanı ve takım lideri Can Demirel, böyle bir ekosistemin hayata geçirilmesi için bütün tarafların gönüllü olması ve tüm tarafların katkı sunmasının gerekliliğinin altını çizdi.

Biznet, geliştirdiği bu model önerisiyle kendi üzerine düşen görevlerle ilgili somut aksiyonlar alıyor.

Güven ilişkisi temel olgu

Can Demirel, söz konusu üçlü sarmalda bütün kurumların paydaş olarak yer alacağını ve bu paydaşlar arasındaki ilişkinin güven ilişkisi ve ortak kazanç olmak üzere iki temel olgu üzerine inşa etmenin gerekliliği vurguladı. “Bilgi paylaşımının ön planda olduğu böyle bir platformda güven ilişkisi ve ortak kazanç en önemli iki olgu. Kazanç ile sadece maddi kazanımlardan bahsetmiyoruz. Böyle bir ekosistem içinde bilgi edinimi, siber tehditlere karşı iş birliği gibi parasal değeri olmayan kazanımlar da söz konusu.”

Üniversitelerle iş birliği yapılacak

Demirel, şu anda hem endüstriyel kontrol sistemleri hem de siber güvenlik alanında çalışma yapan akademik kuruluşlarla görüştüklerini, başlangıç olarak Sakarya Üniversitesi ile iş birliği içinde olduklarını, ama farklı üniversiteleri de sürece dahil ederek akademisyenlerin desteğiyle ilerleyeceklerini belirtti.

“Örneğin bu yaz bir EKS siber güvenlik kampı ilgili paydaşların desteği ile gerçekleştirilecek.  Bu tarz programlarla hem insan kaynağı eksiğini gidermek hem de farkındalığı arttırarak hem bu alanda yetkin insan kaynağının yetiştirilmesi ek olarak nitelikli araştırma faaliyetlerinin gerçekleştirilmesini hedefliyoruz.”

Yayınlanan dokümanda önerilen modelin akademi ayağında ekosistem kurulum faaliyetleri kapsamında akademi ile birlikte işletilecek laboratuvarın kurulmasına öncelik verilmesi belirtiliyor.

Buna göre bu laboratuvarlarda endüstri ihtiyaçları gözetilerek araştırma konuları belirlenmeli ve araştırmalar yürütülmeli.

Biznet’in kendi analizine göre araştırma için üzerinde durulması gereken konu başlıkları arasında şunlar var: Endüstriyel cihazların gömülü işletim sistemlerine yönelik güvenlik analizi, endüstriyel protokoller üzerinde tersine mühendislik, endüstriyel bileşenler üzerinde zafiyet araştırması, izole ağlara sızma yöntemleri ve atak-savunma değerlendirmeleri.

Biznet’in geliştirdiği üçlü sarmal modelinde yer alacak paydaşların iki ana kategoriye ayrılması öneriliyor. Kurucu paydaşlar; ekosistemin kurulmasına öncülük eden ve kurulum aşamasından itibaren ekosistemin içerisinde yer alan paydaşlar olarak belirlenirken üye paydaşlar, kurulum sonrası ekosistem bünyesinde yer alan paydaşlardan oluşacak.

“Geçmiş denemeler ve küresel örneklerden edinilen bilgiler ışığında somut adımlar atılarak ilerlemenin faydalı olacağını değerlendiriyoruz. Somut çıktıların başarı olma şansını arttıracağına inanıyoruz.”

Yurtdışındaki modelleri inceleyerek böyle bir model geliştirdiklerini söyleyen Demirel, doğru adımların atılması halinde Türkiye’nin bu konuda önemli bir yol kat edeceğini düşünüyor: “Elbette bir paydaş olarak üzerimize düşen aksiyonlarla ilgili somut adımlar atarken diğer paydaşların da doğru zamanda doğru adımlar atması gerekiyor. Doğru strateji ve aksiyonlarla bırakın dünyaya yetişmeyi, küresel bir başarı öyküsü çıkarabiliriz.”

‘Kültürün içselleştirilmesi şart’

Can Demirel, söz konusu ekosistemin bütün paydaşlara yararlı olabilmesi için kültürel yaklaşımların önemine de değindi: “Buradaki en önemli noktalardan biri yurtdışında gözlemlediğimiz bilgi paylaşımına ve farklılıklara açık olmayı öngören kültürel yaklaşımları içselleştirebilmek.”

Siber Bülten abone listesine kaydolmak için formu doldurunuz

Hidden Cobra’nın Türkiye’de bir sonraki adımı büyük soygun

Lostar Siber Güvenlik Uzmanı Ali Tonkaz

ABD başta olmak üzere birçok ülkenin gündeminde olan Kuzey Koreli siber suç grubu Hidden Cobra, bir süredir yaptığı saldırılarla Türkiye’nin gündemini de meşgul ediyor.

ABD hükümetine göre, Kuzey Kore devletinin desteklediği örgüt, Bankshot, Badcall ve Hardrain ve Fallchill olarak bilinen zararlı yazılımları kullanarak telekom ve finans kurumlarını hedef alıyor.

ABD merkezli bilgisayar güvenliği firması McAfee’nin raporunda yer alan iddialara göre, Kuzey Koreli saldırganların son kurbanı Türkiye’deki mali kuruluşlar oldu.

Konuyla ilgili Siber Bülten’e konuşan Lostar’ın siber güvenlik uzmanı Ali Tonkaz’a göre, 2-3 Mart tarihlerinde gerçekleşen saldırı Hidden Cobra’nın birçok saldırısından sadece biri.

“Daha önce çok sayıda farklı ülkeye bu ve buna benzer saldırılar gerçekleşmişti. Ülkemize karşı yapılan bu saldırıyı ele alırsak, saldırı zararlı Word dosyası ve sosyal mühendislik saldırılarının bir araya gelmesi ile gerçekleşti,” diyor Tonkaz konu ile ilgili. Tonkaz’a göre saldırı şu şekilde oldu: “Zararlı Word dosyası oltalama maili ile birlikte kurum çalışanlarına gönderildi. Bu zararlı dosyanın içerisinde Kore Internet Güvenliği Ajansı tarafından duyurulan Adobe Flash zararlısı yer almaktaydı. Bu zafiyet ile birlikte saldırgan istediği şekilde kod çalıştırabiliyordu.”

“Saldırıda ilk hedeflenen, hükümet tarafından kontrol edilen büyük finansal yapılar oldu,” diyor Tonkaz ve altını çiziyor: “Saldırının asıl amacını ileride yapılacak bir saldırı için bilgi toplama ve hazırlık olduğu tahmin ediliyor.”

McAfee’ye göre de saldırı sırasında para çalınmasının söz konusu olmadığı ancak saldırıların Türkiye’de önümüzdeki dönemde geniş çaplı saldırılar için bir ön hazırlık niteliğinde.

“Grup 2009’dan beri aktif”

Tonkaz’a göre, 2009 yılından beri aktif olan grubun faaliyetleri arasında kamu ve özel kurumlara ait verilerin çalınması ve web sitelerinin kullanılabilirliğinin bozulması gibi istismarlar bulunmakta. “Son yıllar içerisinde faaliyetlerine hız veren grup 2017 senesinde altyapılara yönelik yaptığı DDoS saldırıları ile isminden söz ettirdi. Buna ek olarak son 2 sene içerisinde birçok Truva zararlısı ile saldırılarına devam etti.” diyor Tonkaz. WannaCry, grubun arkasında olduğu iddia edilen en büyük saldırılardan biriydi.

ABD, geçtiğimiz yıl aralarında Türkiye’nin de bulunduğu 150 ülkede 300 binden fazla bilgisayarı etkileyen fidye yazılımı WannaCry’ın siber saldırılarından ‘Kuzey Kore’nin doğrudan sorumlu olduğunu’ iddia etmişti. Birçok siber güvenlik kuruluşu da Hidden Cobra’yı suçlamıştı. Fidye yazılım dünya genelinde hastaneler, şirketler ve bankaları etkilemiş milyarlarca dolar zarara uğratmıştı.

“En zayıf halka insan”

Tonkaz’a göre siber saldırıların genelinde olduğu gibi Hidden Cobra saldırılarında da arkasında yatan sebep insan faktörü. “Herkesin bildiği gibi güvenliğin en zayıf halkası insandır,” şeklinde konuşan siber güvenlik uzmanına göre bu halkayı güçlendirmek için de çalışanların kesinlikle bilinçlendirilmesi gerekiyor: “Bu bilinçlendirme tek sefer ile sınırlı kalmamalı; belirli aralıklar tekrar edilmeli ve çalışanların bilinci yüksek tutulmalıdır.”

Tonkaz, insan faktörünün yanında yeni çıkan zafiyetlere karşı tüm şirketlerin tetikte olmasını ve güncel haberleri ve gelişmeleri takip etmesini de bu saldırılara karşı alınması gereken diğer önlemler olarak sıralıyor.

Siber Bülten abone listesine kaydolmak için formu doldurunuz