Bilgi ve Veri Ne Demektir?
Veri kısaca tariflersek en basit anlatımı ile işlenmemiş ham bilgiye veri denmektedir. Verinin işlenmiş şekli bilgidir. Veri veya data ifadesi, sayısal ve mantıksal bir değerdir.
Bilginin korunması gereken temel nitelikleri şunlardır:
Bilgi temel olarak şu şekilde bir sınıflandırma yapmak mümkündür:
ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi Nedir?
Her türlü bilginin güvenliğinin sağlanması ile ilgili olarak 2005 yılında, Uluslararası Standartlar Organizasyonu (ISO) ve Uluslararası Elektroteknik Komisyonu (IEC) tarafından ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi standardı yayınlanmıştır.
Bu standardın geçmişi, İngiliz Standartlar Enstitüsü tarafından 1995 yılında yayınlanan BS 7799 standardının birinci kısmı ile 1998 yılında yayınlanan ikinci kısmı teşkil etmektedir. Bu standartlar 1999 yılında birlikte revize edilmiştir. 2000 yılına gelindiğinde bu defa ISO/IEC 17799 standardı yayınlanmıştır. 2002 yılında BS 7799-2 standardı güncellenmiş ve 2005 yılına gelindiğinde Uluslararası Standartlar Organizasyonu tarafından şu standartlar yayınlanmıştır:
Bu iki standart en son 2013 yılında revize edilmiştir.
Bu standart ailesi Türk Standartları Enstitüsü tarafından ülkemizde yayınlanması:
Diğer önemi konu Risk, Risk Yönetimi ve Tehdit Nedir?
Risk, zarara uğrama tehlikesi olarak tanımlanmaktadır. Risk, beklenmedik bir olayın gerçekleşmesi ve bu olaydan zarar görerek etkilenmek demektir. Bu nedenle risk olumsuz bir durum, bir tehlike olarak değerlendirilmektedir. Böyle olunca risklerin olumsuz etkilerinden korunmak ve zarar görmemek için, çeşitli olasılıklar dikkate alınarak önlemler alınmaya çalışılmaktadır. Bu çalışmaları ve planlama faaliyetlerini içeren yöntem risk yönetimi olarak adlandırılmaktadır.
Risk yönetimi, bir işletmenin çalışabilirliğini kesintiye uğratmamak ve faaliyetlerin olumsuz yönde etkilenmemesini sağlamak amacı ile bir takım risk faktörlerinin tespit edilmesi, ölçümlenmesi, analiz edilmesi ve değerlendirilmesi ve bu şekilde olası zararların en düşük seviyeye çekilmesi sürecidir. Ancak risk yönetimi çalışmalarında riskin tamamen ortadan kaldırılması %2 bilinmeyen sebepler olduğundan mümkün değildir.
Bir risk yönetimi çalışmasının ana unsurları şunlardır:
Burada varlık derken, sistemin bir parçası olan ve işletme açısından bir değer taşıyan herşey ifade edilmektedir. Bu yüzden varlıklar işletme için değer taşımaktadır ve korunması gerekir.
Bilgi açısından varlıklar, sadece yazılım ve donanımlar demek değildir. Şu sayılanlar da varlık kavramı içine girmektedir: her türlü bilgi, kişisel bilgisayarlar, yazıcılar, sunucular ve benzeri bütün donanımlar, işletim sistemleri, geliştirilen uygulamalar, ofis programları ve benzeri bütün yazılımlar, telefonlar, kablolar, hatlar modemler, anahtarlama cihazları ve benzeri bütün haberleşme cihazları, bütün dokümanlar, üretilen hizmetler ve elbette işletmenin piyasadaki saygınlığı ve imajı.
Risk yönetimi çalışmalarında riskler belli bir sınıflandırmaya tabi tutulmaktadır. Örneğin, düşük risk gurubunda varlığın zarar görmesi halinde bilgi sistemi çok fazla zarar görmez ve sistem işlemeye devam eder. Bu durum işletmenin itibarına da zarar vermez. Orta risk grubunda varlığın zarar görmesi halinde bilgi sistemi etkilenir. Gerçi sistem işlemeye devam eder ancak yine de varlığın yerine konulması gerekir. Bu durum işletmenin itibarına bir miktar zarar verir. Yüksek risk grubunda varlığın zarar görmesi halinde bilgi sistemi oldukça etkilenir. Neredeyse sistem yarı yarıya kullanılmaz hale gelir. Sistemin çalışması için varlığın mutlaka yerine konulması gerekir. Bu durum işletmenin itibarını önemli ölçüde etkiler. Çok yüksek risk grubunda ise bilgi varlığı büyük oranda zarar görmüş demektir ve bu durumda sistemin işlerliği büyük ölçüde etkilenmiştir. Bilgi sistemi kullanılamaz durumda demektir. Bu durum işletmenin piyasadaki saygınlığını çok kötü şekilde etkiler.
Tehdit, bilerek veya bir kaza sonucunda herhangi bir tehdit kaynağının sistemin bir açığını kullanması ve varlıklara zarar verme potansiyelidir. Bu kapsamda olmak üzere doğal tehditler, deprem, toprak kayması, sel, yıldırım düşmesi veya fırtına gibi olaylardır. Çevresel tehditler, hava kirliliği, uzun süreli elektrik kesintileri ve sızıntılar gibi olaylardır. İnsan kaynaklı tehditler ise, insanların bilinçli olarak veya bilmeden neden olduğu olaylardır. Örneğin sisteme yanlış datanın girilmesi, dışarıdan yapılan ağ saldırıları, sisteme zararlı yazılımların yüklenmesi, kullanıcı kimlik bilgilerinin çalınması ya da sisteme yetkisi olayan kişilerin erişimesi gibi.
Bilgi sistemlerine açıklık, sistem güvenlik prosedürlerinde, uygulamada ya da iç denetimlerde karşılaşılan ve bilgi güvenliğinin ihlal edilmesine neden olan zayıflık, hata veya kusurlardır. Bu açıklıklar tek başlarına bir tehlike unsuru değildir. Gerçekleşmeleri için ortada bir tehdidin bulunması gerekir.
ISO 27001 Bilgi Güvenliği Yönetim Sistemi’nin Kapsamı Nedir?
İşletmeler, faaliyet gösterdikleri sektöre veya büyüklüklerine bakılmaksızın mutlaka faaliyetleri çerçevesinde bir takım bilgiler üretmektedir ve bu bilgiler her işletme için değerlidir. Bilginin korunmasına yönelik yapılacak çalışmalar işletmeden işletmeye mutlaka farklı olacaktır ancak genelde sistem şu ana unsurları kapsayacaktır:
ISO 27001 Bilgi Güvenliği Yönetim Sistemi, işletmelerde sadece bilgi teknolojileri projesi olarak algılansa da aslında bu sistem işletmenin bütününü ilgilendiren bir bilgi güvenliği projesidir. Bu nedenle ISO 27001 standardının kurulması ve işletilmesinden doğrudan üst yönetim sorumludur. Günümüzde ISO 27001 Bilgi Güvenliği Yönetim Sistemi, işletmede bütün insan kaynaklarını, üst yönetimi, bilgi sistemlerini ve iş süreçlerini içine alan bir bütün olarak yönetilmektedir.
ISO 27001 standardının temel hedefleri şunlardır:
ISO 27001 Bilgi Güvenliği Yönetim Sistemi Ne Getiriyor?
ISO 27001 standardı, işletmelerde risk değerlendirme metodolojisinin yerleşmesine, risk değerlendirme raporlarının hazırlanmasına ve risk işleme planlarının hazırlanmasına olanak tanımaktadır.
Zaman içinde sistemdeki mevcut tehditlerin ve zayıflıkların nitelikleri değişebilir. Veya uygulanan ISO 27001 standardı ile birlikte yapılan kontroller neticesinde riskler azalmış veya önem dereceleri düşmüş olabilir. Bu nedenle işletmelerin yapacakları risk izleme çalışmaları önem taşımaktadır. İşletmeler, belirledikleri periyodlarda ve kabul edilen metodolojiye uygun şekilde risk değerlendirmesi çalışmaları yapmak zorundadırlar.
ISO 27001 standardı çerçevesinde hazırlanacak bilgi güvenliği politikası, başlıca şu konuları içermelidir: fiziksel ve çevresel güvenlik, ekipman güvenliği, işletim sistemleri ve son kullanıcı güvenliği, şifre güvenliği ve sunucu ve sistem güvenliği.
Fiziksel ve çevresel güvenlik konusu, işletmede sisteme yetkisi olmayan kişilerin erişimlerinin engellenmesi ve bilgi varlıklarının çeşitli risklere karşı korunmasını ifade etmektedir. Bugün fiziksel ve çevresel güvenlik gittikçe önemli bir hal almıştır. İşletme binası girişinde özel güvenlik ekiplerinin bulundurulması, önemli bilgilerin tutulduğu ortamların kilitli olması ve bu ortamlara şifreli güvenlik sistemleri ile girilmesi bu tür önlemlere örnektir. Bilgi sistemlerini korumak amacı ile kart kontrollü giriş ve benzeri fiziksel güvenlik sistemlerinin kurulması yaygındır. Bu tür fiziksel sınır güvenliği, bilgi varlıklarının güvenlik ihtiyaçları ve risk değerlendirme sonuçlarına göre kurulmaktadır. Çok riskli bilgilerin bulunduğu ortamlar, kimlik doğrulama kartı veya PIN koruması gibi yöntemlerle, yetkisiz kişilerin erişimine kapatılmaktadır. Ayrıca fiziksel koruma önlemleri yangın, sel, deprem, patlama gibi afetler veya toplumsal kargaşalar sonucu ortaya çıkacak hasara karşı da alınmalı ve uygulanmalıdır.
ISO 27001 Bilgi Güvenliği Yönetim Sistemi’nin Önemi
Bilgi güvenliği, işletmelerde işin devamlılığını, kaçınılmaz tehlike durumlarında kaybın en aza indirilmesini ve kaynakların her durumda gizliliğinin, ulaşılabilirliğinin ve bütünlüğünün korunmasını amaçlamaktadır. Bugün sadece çalışanları ile değil, iş ortakları, hissedarları ve müşterileri ile birlikte hareket eden işletmelerde, bilginin korunması ve gizli tutulmasına yönelik güven ortamının kurulması, işletme yönetimi açısından stratejik bir önem taşımaktadır.
Çeşitli şekillerde yaşanan güvenlik problemleri, faaliyetlerin devamlılığını kesmesinin yanında işletmelerin pazar kaybına neden olmakta, rekabet güçlükleri yaratmakta ve iş ortakları, hissedarlar ve müşteriler karşısında güven kaybetmesinde neden olmaktadır. Bu sayılanları geri kazanmak için yapılacak harcamaların maliyeti, bunların kaybedilmemesi için alınacak önlemlerin maliyetinden daha pahalıdır.
İşletmeler açısından bilgi, diğer ticari varlıklar gibi, değer taşıyan ve bu yüzden korunması gereken bir varlıktır. İşletmenin faaliyetlerini sürdürmesi açısından bilgi büyük önem taşımaktadır. Bu nedenle bilgi varlıklarının gizli tutulması, bütünlüğünün bozulmaması ve her zaman kullanılabilir durumda olması, kısaca bilgi güvenliğinin sağlanması önemlidir. İşte ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi, işletmelerin bu yöndeki gereksinimlerini tanımlayan tek uluslararası ve denetlenebilir bir sistemdir.
ISO 27001 standardı, kamu, finans, sağlık ve bilgi teknolojileri sektörleri gibi bilginin işlenmesinin ve korunmasının büyük önem taşıdığı sektörlerde özellikle gerekli olmaktadır. Keza bilgiyi başka kişi ve kuruluşlar için yöneten işletmeler için de bu standart oldukça önemlidir. Bu sayede işletmeler müşterilerine, bilgilerinin koruma altında olduğu güvencesini vermiş olmaktadır.
ISO 27001 Bilgi Güvenliği Yönetim Sistemi, bilgi güvenliğini sağlamak, bu standardı uygulamak, izlemek, uygulamayı gözden geçirmek, sürdürmek ve sürekli geliştirmek amacı ile işletmelerin kurdukları bir yönetim sistemidir. Bu çerçevede risk analizi çalışmaları, işletmenin kaynaklarını belirlemek ve olası risklerini tespit etmek için yapılmaktadır. Risk değerlendirme çalışmaları ise riskin önem derecesini belirlemek için riskin verilen risk kriterleri ile karşılaştırılması çalışmalarıdır.
ISO 27001 Bilgi Güvenliği Yönetim Sistemi’nin Planlaması
ISO 27001 standardının işletmede kurulması bir takım adımların atılmasına bağlıdır. Şöyle ki,
Klasik olarak bütün kalite yönetim sistemlerinde geçerli olan döngü burada da söz konusudur:
Doğal olarak böyle bir sistemin kurulması ile işletmeler çok büyük faydalar elde etmektedir. Örneğin,
ISO 27001 Bilgi Güvenliği Yönetim Sistemi, işletmedeki bütün bilgi varlıklarının ele alınmasını ve değerlendirilmesini ve bu varlıkların zayıf noktalarının ve karşı karşıya oldukları tehditlerin göz önüne alınarak bir risk analizi yapılmasını gerektirir. Bunu sağlamak için işletmenin kendi yapısına uygun bir risk yönetimi metodu seçmesi ve risk planlaması yapması gerekmektedir. Söz konusu standartta risk işleme için öngörülen kontrol hedefleri ve kontrol yöntemleri yer almaktadır.
ISO 27001 standardı uyarınca işletmeler, risk yönetimi ve risk işleme planlarını yapmak, görev ve sorumlulukları belirlemek, iş devamlılığı planları hazırlamak, acil durum yönetimi süreçlerini hazırlamak ve uygulama sırasında bunların kayıtlarını tutmak zorundadır.
İşletmeler ayrıca, bütün bu faaliyetleri kapsayan bir bilgi güvenliği politikası yayınlamak zorundadır. Keza bütün üst yönetim ve çalışanlar, bilgi güvenliği ve tehditler konusunda bilinçlenmiş olmalıdır. ISO 27001 Bilgi Güvenliği Yönetim Sistemi uygulamasında, seçilen kontrol hedefleri ölçülmeli ve kontrollerin amaca uygunluğu ve performansı devamlı olarak takip edilmelidir. Bu süreç yaşayan bir süreç olmalı, bilgi güvenliği yönetimi, üst yönetimin aktif desteğini almalı ve bütün çalışanların katılımı sağlanmalıdır. Talep eden işletmeler risk yönetimi, politika oluşturma, güvenlik süreçlerinin dokümante edilmesi, uygun kontrol yöntemlerinin belirlenmesi ve uygulanması aşamalarında danışmanlık hizmeti ve uzman desteği alabilirler.
Kısaca ISO 27001 standardı, toplam bilgi güvenliği ve yaşayan bir süreç olarak, bilgi güvenliğinin nasıl sağlanacağını tanımlayan bir sistemdir. Bu sistemin kurulma aşamaları maddeler halinde şu şekilde açıklanabilir:
Elektronik Haberleşme İle İlgili Tehditler ve Zayıf Noktalar
İlgili yasal düzenlemeler çerçevesinde bilgi güvenliğini sağlamak adına işletmelerin yapması gereken bazı hususlar bulunmaktadır:
Yaşanabilinecek olumsuzluklar:
Bu arada elektronik haberleşmeye yönelik birkaç zayıf nokta da şu şekilde sıralanabilir:
ISO 27001 Bilgi Güvenliği Yönetim Sistemi’nin Standart Yapısı
ISO 27001 standardı son olarak 2013 yılında revize eidlmiştir. Bu versiyonda standardın maddeleri şu şekilde yer almaktadır:
ISO 27001 Bilgi Güvenliği Yönetim Sistemi Belgelendirme Çalışmaları
İşletmeler ISO 27001 Bilgi Güvenliği Yönetim Sistemi’ni kurduktan ve işletmeye başladıktan sonra bu durumlarını müşterilerine, rakiplerine ve ilgili resmi ve özel kuruluşlara kanıtlamak amacı ile ISO 27001 belgesi almak isteyecektir. Ancak bu sistemin kurulma amacı sadece bu belgeye sahip olmak olmamalıdır. Aksi halde sistemin yukarıda açıklanan faydaları sağlaması beklenemez.
Uygulama sürecinde tespit edilen kontrol yöntemlerine göre bilgi varlıklarının korunması, bilgi varlıklarını tehdit eden risklerin kontrol altında tutulması, riskleri ortadan kaldıracak veya etkilerini hafifletecek önlemlerin alınması, zaman içinde ortaya çıkan yeni riskler varsa bu risklerin değerlendirilmesi ve bu riskler içinde önlenemeyen ancak kabul edilebilir düzeyde riskler varsa bunlar için üst yönetim onaylarının alınması gerekmektedir. Bu süreç işletme var olduğu sürece devam edecektir.
ISO 27001 standardının gereklerini yerine getiren ve Bilgi Güvenliği Yönetim Sistemi’ni uygulayan işletmeler artık bir belgelendirme kuruluşuna başvurarak ISO 27001 belgesi talep edebilir. Bu noktada belgelendirme kuruluşunun yerli veya yabancı bir akreditasyon kuruluşundan akredite olmuş olmaları son derece önemlidir. Aksi halde düzenlenecek raporların ve belgelerin bir geçerliliği olamaz.
Belgelendirme çalışmalarının birinci aşaması mevcut dokümatasyon çalışması üzerinden yapılır. Bu aşamada işletme tarafından hazırlanmış olan bilgi güvenlik politikası, risk değerlendirme raporları, risk eylem planları, uygunluk beyanları, güvenlik prosedürleri ve uygulama talimatları tek tek ele alınır. Bu dokümanlarda herhangi bir uygunsuzluk tespit edilirse ikinci aşamaya geçilmeden önce bunların tamamlanması beklenir.
İlk aşama tamamladıktan sonra, belgelendirme kuruluşu bir veya birkaç denetçi görevlendirerek işletmenin çalışma ortamında, yani iş üzerinde denetim çalışmalarını başlatır. Bu yerinde denetim çalışmalarında, işletmenin faaliyet alanına bağlı olarak tespit ettiği bilgi güvenlik kontrollerinin, ISO 27001 standardının gerekliliklerine uyup uymadığı gözlemlenir. İkinci aşama denetimler de tamamlandıktan sonra denetçiler bir rapor düzenleyerek belgelendirme kuruluşuna teslim eder.
Belgelendirme kuruluşu bu raporu esas alarak değerlendirme çalışması yapar ve uygun bulduğu takdirde ISO 27001 Bilgi Güvenliği Yönetim Sistemi Belgesi’ni hazırlayarak işletmeye teslim eder. Belgenin geçerlik süresi üç yıldır. Ancak bu belge düzenlendikten sonra işletmenin talebine uyularak yılda bir veya iki kez ara denetimleri yapılır. Üç yıl dolduğunda belgelendirme çalışmalarının yeniden yapılması gerekmektedir.