Bilgi Güvenliğinde ISO 27000 Standartlarının Yeri ve Öncelikli ISO 27002 Kontrolleri

ISO 27000 standartları ve bisiklet örneği

İki standart arasındaki ilişkiyi bir örnekle açıklamak gerekirse, aşağıdaki fotoğrafta bisikletin parmaklığa kablo ile bağlanması, bu süreçte kablonun seçilmesi, daha sonra bağlantının ve kablonun gözden geçirilmesini ISO 27001 döngüsüne, seçilen kabloyu da belirlenen ISO 27002 önlemlerine benzetmek yanlış olmayacaktır (Şekil 4).

Alınan önlemin gerekenden fazla olduğu fotoğraftan rahatça anlaşılabilmektedir. Kablolara harcanan para ve kabloların bisikletin park edileceği yere taşınması göz önünde bulundurulduğunda, alınan tedbir ile ihtiyaç arasındaki dengenin kurulamadığı dikkat çekmektedir. Bu durum hem harcanan kaynak hem de kullanım açısından olumsuz sonuçlar doğuracaktır.
Bu örnekte gerekenden kalın kablo kullanılması, risk analizi yapılmadan bütün ISO 27002 önlemlerinin gerçekleştirildiği bir bilgi güvenliği sistemini çağrıştırmaktadır. Tüm önlemlerin gerçekleştirilmesi bütçeye ciddi yük getirecek ve gereğinden fazla insan kaynağı kullanılmasına neden olacak, ayrıca bilginin erişilebilirliğini de azaltacaktır.
Öyleyse ISO 27002 önlemlerinden kuruma gerçekten hizmet edecek olanların seçilmesi büyük önem arz etmektedir. Bunun için yapılması gereken asıl işlem, risk analizidir. [5, 6]
Gereken önlemlerin belirlenmesi sırasında, risk analizine ilave olarak ISO 27002 standardının kendi önlemleri arasında gerçekleştirdiği önceliklendirme de göz önünde bulundurulabilir.

ISO 27002 önlemlerinin standart içindeki organizasyonu

Bağlama halatı veya kablosu nasıl hiyerarşik bir yapı içerisinde daha ince kablolardan oluşuyorsa ISO 27002 standardında yer alan önlemler için de aynı durum söz konusudur (Şekil 5).

ISO 27002 standardında onbir grup altında 133 güvenlik önlemi yer almakta, bu önlemler kurumun kanuni yükümlülüklerinin belirlenmesinden insan kaynakları güvenliğine kadar geniş bir yelpaze oluşturmaktadır.
Standardın hemen başında, “0.6 Bilgi güvenliği için başlangıç noktası” başlığı altında bu 133 güvenlik önleminden on tanesinin hemen her kurum için gerekli ve öncelikli olduğu belirtilmektedir.

ISO 27002’deki öncelikli güvenlik önlemleri

Bu güvenlik önlemlerinin ilk üçü kurumun yasalardan ve kontratlardan kaynaklanan yükümlülüklerini gözden kaçırmaması ile ilgilidir. Bunlar, standardın

1. Fikri mülkiyet hakları (ISO 27002 15.1.2),
2. Kurumsal kayıtların korunması (ISO 27002 15.1.3),
3. Verinin korunması ve kişisel bilgilerin gizliliği (ISO 27002 15.1.4),

başlıkları altında incelenmektedir. Standart, bu alanda uzmanlaşmış hukukçular yardımı ile ilgili mevzuat ve kurumu bağlayan sözleşmelerin incelenmesi ve kurumun yükümlülüklerinin belirlenmesi gerektiğini belirtmektedir. Belirlenen yükümlülüklerin sağlanması için politika ve prosedürlerin geliştirilmesi ve kurumda uygulanması gerekmektedir.

Diğer yedi önlem ise bilgi güvenliği konusunda yaygın olarak kullanılan ve standardın hemen her kurum için gerekli olduğunu belirttiği önlemlerdir. Bu önlemlerin

4. Bilgi güvenliği politikası dokümanı (ISO 27002 5.1.1),
5. Bilgi güvenliği sorumluluklarının atanması (ISO 27002 6.1.3),
6. Bilgi güvenliği eğitimi ve bilinçlendirme (ISO 27002 8.2.2),
7. Uygulamaların doğru çalışması (ISO 27002 12.2),
8. Teknik açıklık yönetimi (ISO 27002 12.6),
9. İş sürekliliği yönetimi (ISO 27002 14),
10. Bilgi güvenliği olaylarının yönetilmesi (ISO 27002 13.2).

olduğu belirtilmiştir. 7 ve 8 numaralı önlemler standardın 2005 versiyonunda öncelikli uygulamalar arasına eklenmiş olup, bu durum Dünya’da gerçekleşmekte olan bilgi güvenliği olaylarının seyrini ortaya koyma açısından da önem arz etmektedir.

Makalemizin geri kalan kısmında 4-10 numaralı önlemleri açıklamaya çalışacağız.

Bilgi güvenliği politikası dokümanı (ISO 27002, 5.1.1)

Politika dokümanının oluşturulmasının amacı yönetimin yasal mevzuat ve diğer bilgi güvenliği ihtiyaçlarını göz önünde bulundurarak kurumda bilgi güvenliğine yön vermesini ve sahip çıkmasını sağlamaktır [7] (Şekil 6).

Bilgi güvenliği politikası, bilgi güvenliği konusunda kurumsal yaklaşımı yansıtarak bilgi güvenliğinin temelini oluşturur.
Politika üst yönetim tarafından onaylanmalı, yayınlanmalı ve tüm kurum çalışanları bilgi güvenliği politikası konusunda bilgilendirilmelidir. Bilgi güvenliği politikası, dokümanın sahibi tarafından periyodik olarak gözden geçirilmelidir.
Bilgi güvenliği politikası dokümanı aşağıdaki hususları içermelidir:

a. Bilgi güvenliği politikasının genel tanımı, amacı ve kapsamı.

b. Üst yönetimin bilgi güvenliği ile ilgili niyeti, hedefi ve desteği.

c. Riskin yönetilmesi ve bilgi güvenliği önlemleri ile ilgili genel çerçeve.

d. Kurum için önem arz eden mevzuat, standart ve prensiplere atıflar.

e. Çeşitli bilgi sistemleri ve süreçleri ile ilgili olarak hazırlanacak alt politika ve prosedürlere atıflar. (Erişim kontrolü, Fiziksel güvenlik, Şifre politikası gibi konularda alt politika ve prosedürler düzenlenecektir).

f. Bilgi güvenliğinin yönetilmesi ile ilgili sorumlulukların tanımları.

Bilgi güvenliği sorumluluklarının atanması (ISO 27002, 6.1.3)
Bilgi güvenliği ile ilgili rol ve sorumlulukların tanımlanması, politika, alt politika ve prosedürlerde belirtilen işlevlerin hayata geçirilmesini sağlayan başlıca etkendir (Şekil 7). Rol ve sorumlulukların tanımlanmaması halinde hazırlanan politika ve prosedürler hem sahipsiz kalacak, hem de uygulanamayacaktır.

Kapsam dâhilindeki tüm bilgi sistemleri için;

1. Varlıklar ve bilgi güvenliği süreçleri açıkça belirlenmeli,

2. Her bir varlık ve süreç için sorumlu açıkça belirlenmeli, sorumluluğun içeriği ve detayları belgelenmelidir.

Güvenlik sorumluluğuna sahip personel, görevini bir başkasına verse de sorumluluğunu aktaramaz.

Bilgi güvenliği eğitimi ve bilinçlendirme (ISO 27002, 8.2.2)

Kapsam dâhilindeki tüm çalışanlar, üçüncü taraf kullanıcıları ve personeli, bilgiye veya bilgi servislerine erişim hakkı verilmeden önce kurumun bilgi güvenliği politika ve beklentileri konusunda eğitime tabii tutulmalıdır. Eğitim ve bilinçlendirme çalışmaları bilgi güvenliğinin en zayıf halkası olan kullanıcılardan kaynaklanan hataların asgari düzeye indirilmesi açısından büyük önem arz etmektedir [8].
Bilgi güvenliği eğitimi ve bilinçlendirme süreci aracılığı ile kullanıcıya

1. Kurumun bilgi güvenliği ile ilgili politika ve prosedürleri,

2. Bilgi güvenliği ile ilgili yasal yükümlülükleri,

3. Bilgi servislerinin ve uygulamaların doğru kullanımı (oturum açma işlemleri ve benzeri),

4. Bilinen tehditler,

5. Bilgi güvenliği olaylarının algılanması ve bildirilmesi

ile ilgili bilgiler aktarılmalıdır (Şekil 8).

Eğitim çalışmaları periyodik olarak tekrarlanarak personele hem güncel bilgiler aktarılmalı, hem de personelin bilgi güvenliği kültürünü kazanması sağlanmalıdır.

Uygulamaların doğru çalışması (ISO 27002, 12.2)

Yazılım teknolojisi Dünya’da en hızlı değişen ve gelişen teknolojilerin başında gelmekte, programlama dilleri, iletişim ve işlemci teknolojilerinde yaşanan devinim, sektörde hemen her kurumda rastlanan personel yetersizliği ve zaman baskısı ile birleşerek yazılımı hataya en açık alanlardan biri haline getirmektedir. Bu duruma ilave olarak, yazılım açıklarını kullanarak bilgi sistemlerine yetkisiz erişim gerçekleştirme yeni bir uzmanlık alanı olarak ortaya çıkmış, bu konuda çalışma yapan adeta bir sektör oluşmuştur. Bu bilgiler ışığında 27002 standardının 2005 sürümünde “12.2 Uygulamaların doğru çalışması” başlığının “olmazsa olmaz”lar arasına eklenmesi son derece yerinde bir değişiklik olarak değerlendirilmektedir.
Bu güvenlik önlemi ile ilgili olarak;

1. ISO 27002 standardı 12.2.x başlıklarında açıklanan önlemlerin gözden geçirilmesi,

2. Kullanılan programlama dilleri de göz önünde bulundurularak, bu dillerle geliştirilen uygulamalarda rastlanan açıklıkların ve bunlardan korunma yollarının değerlendirilmesi ve sektörel yayınların takip edilmesi ile “Güncel tehdit ve açıklıklar”ın belirlenmesi,

3. Geliştirilen yazılımlarda çapraz gözden geçirme ve test yapılarak sıkça yapılan hataların belirlenmesi,

4. İlk üç kalemde elde edilen veriler göz önünde bulundurularak güvenli yazılım geliştirme prensiplerinin belirlenmesi ve

5. Belirlenen prensiplerin kurumda yazılım geliştiren tüm personele bildirilmesi

faaliyetlerini bünyesinde barındıran bir “Yazılım Geliştirme Prensipleri Süreci”nin (Şekil 9) oluşturulması faydalı olacaktır.

Teknik açıklık yönetimi kısaca “Teknik açıklıklardan kaynaklanan risklerin yönetilmesi” olarak tanımlanmaktadır [9]. Teknik açıklıklar sunucu bilgisayarlarından çeşitli ağ birimlerine kadar uzanan geniş bir yelpaze üstünde çalışan yazılımların yama yönetimi, yapılandırma ayarları ve diğer teknik özelliklerinden kaynaklanan açıklıkların takibi ve kapatılması anlamına gelmektedir. Bu madde de ISO 27002 “12.2 Uygulamaların doğru çalışması” maddesi gibi standardın 2005 sürümünde en önemli güvenlik uygulamaları arasına katılmıştır. Bu iki başlıkta ele alınan konular birbirini tamamlar niteliktedir.
Bu alanda zafiyet oluşmaması için “Teknik açıklık yönetimi”nin ilgili kurumda bir süreç olarak oluşturulması gerektiği standart tarafından belirtilmektedir. Sürecin başarı ile çalışabilmesi için varlık envanterinin güncel ve eksiksiz olarak (yazılım içeren varlıkların üstündeki yazılımlar, bu yazılımların versiyonları, envantere girme tarihi ve benzeri) tutulması şarttır [5]. Süreç dâhilinde aşağıdaki önlemlerin alınmasının faydalı olacağı değerlendirilmektedir:

1. Her süreçte olduğu gibi rol ve sorumlulukların belirlenmesi,

2. Kurum varlıklarının ve bilgi sistemlerinin kritikliği göz önünde bulundurularak belirlenecek bir sıklıkta “Teknik Güvenlik Testleri”nin yinelenmesi,

3. Envanterdeki varlıkların açıklıkları ile ilgili bilgi üreten kaynakların belirlenmesi, (uygulama yazılımı konusunda olduğu gibi bu konuda da Dünya’da son derece aktif bir saldırı ve savunma sektörü oluşmuştur), güncellenmesi ve takibi,

4. Belirlenen açıklıkları içeren varlıkların sahipleri ile koordinasyon ve

5. Yama vb. önlemlerin test edilmesi ve varlık sahipleri ile koordineli olarak uygulanması (Şekil 10).