<?xml version="1.0" encoding="UTF-8"?>
<rss version="2.0"
	xmlns:content="http://purl.org/rss/1.0/modules/content/"
	xmlns:wfw="http://wellformedweb.org/CommentAPI/"
	xmlns:dc="http://purl.org/dc/elements/1.1/"
	xmlns:atom="http://www.w3.org/2005/Atom"
	xmlns:sy="http://purl.org/rss/1.0/modules/syndication/"
	xmlns:slash="http://purl.org/rss/1.0/modules/slash/"
	>

<channel>
	<title>Solution for Your Systems &#187; bilgi güvenliği</title>
	<atom:link href="http://www.ceyhuncamli.com/index.php/tag/bilgi-guvenligi/feed/" rel="self" type="application/rss+xml" />
	<link>http://www.ceyhuncamli.com</link>
	<description></description>
	<lastBuildDate>Sat, 04 Feb 2012 19:14:55 +0000</lastBuildDate>
	<language>en</language>
	<sy:updatePeriod>hourly</sy:updatePeriod>
	<sy:updateFrequency>1</sy:updateFrequency>
	<generator>http://wordpress.org/?v=3.3.1</generator>
		<item>
		<title>COBIT Denetimleri Açısından Bilgi Güvenliği</title>
		<link>http://www.ceyhuncamli.com/index.php/2011/07/23/cobit-denetimleri-acisindan-bilgi-guvenligi/</link>
		<comments>http://www.ceyhuncamli.com/index.php/2011/07/23/cobit-denetimleri-acisindan-bilgi-guvenligi/#comments</comments>
		<pubDate>Sat, 23 Jul 2011 19:00:39 +0000</pubDate>
		<dc:creator>ceyhun çamlı</dc:creator>
				<category><![CDATA[ITIL - COBIT]]></category>
		<category><![CDATA[bilgi güvenliği]]></category>
		<category><![CDATA[cobit]]></category>
		<category><![CDATA[information security]]></category>

		<guid isPermaLink="false">http://www.ceyhuncamli.com/index.php/2011/07/23/cobit-denetimleri-acisindan-bilgi-guvenligi/</guid>
		<description><![CDATA[Hepimizin bildiği gibi, Bilgi G&#252;venliği bilginin korunmasını ama&#231;lar. Peki, Bilgi nasıl korunur? Bilginin korunması i&#231;in b&#252;t&#252;nl&#252;ğ&#252; (integrity), gizliliği (confidentiality) ve erişilebilirliliği (availability) &#246;zelliklerinin her zaman sağlanıyor olması gerekir. Bilginin &#252;retilmesinden imha edilmesine kadar ge&#231;en s&#252;re&#231;te g&#252;venliğinin sağlanması i&#231;in BT G&#252;venliği, Yedekleme, Fiziksel G&#252;venlik vb kontrollerinin de devreye alınmış olması gerekmektedir. Bu a&#231;ıdan bakıldığında BT G&#252;venliği, [...]]]></description>
		<wfw:commentRss>http://www.ceyhuncamli.com/index.php/2011/07/23/cobit-denetimleri-acisindan-bilgi-guvenligi/feed/</wfw:commentRss>
		<slash:comments>0</slash:comments>
		</item>
		<item>
		<title>Bilgi Güvenliği ve Genel Güvenlik Kavramları III</title>
		<link>http://www.ceyhuncamli.com/index.php/2011/01/27/bilgi-guvenligi-ve-genel-guvenlik-kavramlari-iii/</link>
		<comments>http://www.ceyhuncamli.com/index.php/2011/01/27/bilgi-guvenligi-ve-genel-guvenlik-kavramlari-iii/#comments</comments>
		<pubDate>Thu, 27 Jan 2011 18:25:21 +0000</pubDate>
		<dc:creator>ceyhun çamlı</dc:creator>
				<category><![CDATA[Security]]></category>
		<category><![CDATA[auditing]]></category>
		<category><![CDATA[bilgi güvenliği]]></category>
		<category><![CDATA[information security]]></category>
		<category><![CDATA[penetration test]]></category>
		<category><![CDATA[sertifikalar]]></category>
		<category><![CDATA[vulnerability]]></category>

		<guid isPermaLink="false">http://www.ceyhuncamli.com/?p=3133</guid>
		<description><![CDATA[Auditing Auditing (audit trial) network ve sistemler &#252;zerindeki aktivitelerin bilgi ama&#231;lı izlenmesi ve loglanmasıdır. Auditing ile ilgili olarak; sistemden silinen ya da değiştirilen dosyaların ne zaman ve kim tarafından yapıldığının kaydedilmesi (loglanması) gibi. Sistem audit dosyalarının (logların) d&#252;zenli olarak izlenmesi gerekir. Aksi takdirde izlemenin bir anlamı olmaz. Sistem audit dosyaları erişime ve değiştirme atakların karşı [...]]]></description>
		<wfw:commentRss>http://www.ceyhuncamli.com/index.php/2011/01/27/bilgi-guvenligi-ve-genel-guvenlik-kavramlari-iii/feed/</wfw:commentRss>
		<slash:comments>0</slash:comments>
		</item>
		<item>
		<title>Bilgi Güvenliği ve Genel Güvenlik Kavramları II</title>
		<link>http://www.ceyhuncamli.com/index.php/2011/01/26/bilgi-guvenligi-ve-genel-guvenlik-kavramlari-ii/</link>
		<comments>http://www.ceyhuncamli.com/index.php/2011/01/26/bilgi-guvenligi-ve-genel-guvenlik-kavramlari-ii/#comments</comments>
		<pubDate>Tue, 25 Jan 2011 23:07:59 +0000</pubDate>
		<dc:creator>ceyhun çamlı</dc:creator>
				<category><![CDATA[Security]]></category>
		<category><![CDATA[attacks]]></category>
		<category><![CDATA[bilgi güvenliği]]></category>
		<category><![CDATA[buffer owerflow]]></category>
		<category><![CDATA[ddos]]></category>
		<category><![CDATA[fork bomb]]></category>
		<category><![CDATA[ping of death]]></category>
		<category><![CDATA[saldırılar]]></category>
		<category><![CDATA[smurf]]></category>
		<category><![CDATA[teardrop]]></category>

		<guid isPermaLink="false">http://www.ceyhuncamli.com/index.php/2011/01/25/bilgi-guvenligi-ve-genel-guvenlik-kavramlari-ii/</guid>
		<description><![CDATA[&#160; Attacks (Saldırılar) Bilgi sistemleri &#252;zerinden; zarar vermek, sistemlerin işleyişini engellemek ya da bilgi &#231;almak i&#231;in yapılan &#231;alışmalara atak (saldırı) denilmektedir. Genel Saldırganlar Yetkili network kullanıcıları End&#252;striyel ve plitik casuslar Su&#231;lular Ter&#246;ristler Bilinmeyen saldırganlar Hackerlar ya da lamerlar Saldırganları internal saldıganlar ve external saldırganlar olarak ikiye ayırabiliriz: Internal Saldırganlar External saldırganlara g&#246;re daha fazla zarar [...]]]></description>
		<wfw:commentRss>http://www.ceyhuncamli.com/index.php/2011/01/26/bilgi-guvenligi-ve-genel-guvenlik-kavramlari-ii/feed/</wfw:commentRss>
		<slash:comments>2</slash:comments>
		</item>
		<item>
		<title>Bilgi Güvenliği Açısından Erişim Kontrolü</title>
		<link>http://www.ceyhuncamli.com/index.php/2010/02/18/bilgi-guvenligi-acisindan-erisim-kontrolu/</link>
		<comments>http://www.ceyhuncamli.com/index.php/2010/02/18/bilgi-guvenligi-acisindan-erisim-kontrolu/#comments</comments>
		<pubDate>Thu, 18 Feb 2010 05:32:37 +0000</pubDate>
		<dc:creator>ceyhun çamlı</dc:creator>
				<category><![CDATA[Genel]]></category>
		<category><![CDATA[Security]]></category>
		<category><![CDATA[authentication]]></category>
		<category><![CDATA[bilgi güvenliği]]></category>
		<category><![CDATA[erişim kontrolü]]></category>
		<category><![CDATA[information security]]></category>
		<category><![CDATA[smart card]]></category>

		<guid isPermaLink="false">http://www.ceyhuncamli.com/?p=1220</guid>
		<description><![CDATA[Bir kurumda bilgi güvenliğinin sağlanması adına, uygulanması ve uyulması gereken en önemli maddelerden biri olan erişim kontrolünün hangi açıdan bakarsanız mutlaklık içeren maddelerden oluştuğunu görebilirsiniz. Erişim kontrolünü etkin ve efektif olarak uygulamak, başta veri kaybı olmak üzere birçok konuda daha güvenli bir yapıda olmanızı sağlayacaktır. 

Erişim kontrolü bilgiye erişimin denetlenmesi, bilgi sistemlerine yetkisiz erişimin engellenmesi, yetkisiz kullanıcı erişimine izin verilmemesi, hizmetlerin korunması, yetkisiz işlemlerin tespit edilmesi ve uzaktan çalışma ortamlarında bilgi güvenliğinin sağlanması gibi kritik konuları kapsamaktadır. Bu denli kritik bir konuda güvenliğin sağlanması için aşağıdaki maddeler göz önünde bulundurulmalıdır; 

Erişim Kontrolü İçin İş Gereksinimleri
Erişim Kontrolü Politikası
Erişimle ilgili iş ve güvenlik ihtiyaçları göz önünde bulundurularak erişim denetimi politikası oluşturulmuş ve belgelenmiş olmalıdır. 

Erişim denetimi hem fiziksel, hem işlevsel boyutları ile değerlendirilmiş olmalıdır. 

Erişim denetimi politikası bütün kullanıcılar veya kullanıcı grupları için erişim kurallarını ve haklarını açıkça belirtiyor olmalıdır. 

Kullanıcılara ve servis sağlayıcılarına erişim denetimiyle hangi iş gereksinimlerinin karşılanacağı iyice açıklanmış olmalıdır. 

Politika belgesi şu konuları içermelidir; her bir iş sürecinin güvenlik ihtiyaçları, iş süreçleri ile ilgili tüm bilgiler ve bu bilgilerin yüz yüze olduğu riskler, bilginin yayılması ve yetkilendirme ile ilgili politikalar, bilginin sınıflandırılması, güvenlik seviyeleri ve "gerektiği kadar bilme" prensibi, farklı sistem ve ağlardaki bilginin sınıflandırılması ve erişim denetimine ilişkin politikaların tutarlı olması, bilgiye erişimle ilgili olarak kontratlardan ve yasal yükümlülüklerden kaynaklanan şartların yerine getirilmesi, kurumun yaygın kullanıcı profilleri ile ilgili erişim hakları ve Erişimin talep edilmesi, yetkilendirilmesi ve yönetilmesi görevlerinin birbirinden ayrılması. 

Erişim haklarının "Yasaklanmadıkça her şey serbesttir" değil "İzin verilmedikçe her şey yasaktır" prensibine göre verilmesine dikkat edilmelidir. 

Kullanıcı Erişiminin Yönetilmesi
Kullanıcı Kaydı
Bilgi sistemlerine ve servislerine erişim hakkı vermek için resmi bir kullanıcı kaydı girme ve kullanıcı kaydı silme prosedürü olmalıdır. 

Sistem kayıtları ile ilişkilendirme ve sorumlu tutulabilme açısından kullanıcı kimliklerinin her kullanıcı için farklı olmasına dikkat ediliyor olmalıdır. 

Bilgi sistemini ve servisini kullanabileceğine dair sistem sahibi kullanıcıya yetki vermiş olmalıdır. 

Verilen erişim hakkı kurumsal güvenlik politikasına ve görevler ayrılığı ilkesine uygun olmalıdır. 

Kullanıcılara erişim hakları ile ilgili yazılı belge veriliyor ve kullanıcılardan erişim şartlarını anladıklarına ilişkin imzalı belge alınıyor olmalıdır. 

Görevi değişen veya kuruluştan ayrılan personelin erişim hakları derhal güncellenmelidir. 

Ayrıcalık Yönetimi
Ayrıcalıkların kullanımı sınırlandırılmış ve denetleniyor olmalıdır. 

Ayrıcalıklar "kullanması gereken" prensibine göre ve resmi bir yetkilendirme süreci sonunda verilmelidir. 

Kullanıcı Parola Yönetimi
Kullanıcı parolalarının atanması ya da değiştirilmesi resmi bir prosedür uyarınca yapılmalıdır. 

Kullanıcılara parolalarını saklı tutacaklarına dair bir anlaşma imzalatılmalıdır. 

Kullanıcı Erisim Haklarının Gözden Geçirilmesi
Kullanıcı erişim haklarının düzenli aralıklarla kontrol edilmesini sağlayan resmi bir süreç olmalıdır. 

Kullanıcı Sorumlulukları 

Parola Kullanımı 
Kullanıcı parolalarının seçilmesi ve kullanılması ile ilgili güvenlik tedbirleri uygulanmalıdır. 

Sistem tarafından geçici olarak verilen parolaların kullanıcı tarafından sisteme ilk girişte değiştirilmesi sağlanmalıdır. 

Kullanıcılar zor kırılacak parolalar seçmeleri konusunda bilinçlendirilmiş olmalıdır. 

Kişisel parolaların hiç kimse ile paylaşılmamasına, yazılı veya elektronik ortamlarda kaydedilmemesine dikkat edilmelidir. 

Kullanıcılar düzenli aralıklarla veya sistem güvenliği ile ilgili bir kuşku oluştuktan sonra parolalarını değiştirmeye zorlanmalıdır. 

Kullanıcılar kişisel işlerinde kullandıkları parolaları kuruluşun iş süreçlerinde kullanmamaları gerektiği konusunda bilinçlendirilmiş olmalılardır. 

Gözetimsiz Kullanıcı Ekipmanı
Atıl cihazlara ait güvenlik gereksinimlerinden, bu cihazları koruma prosedürlerinden ve bu cihazları korumak için üzerlerine düşen sorumluluklardan kullanıcıların ve iş ortaklarının haberleri olmalıdır. (İşi biten kullanıcıların bilgisayarını kapatması ve şifreli ekran koruyucuların kullanılması gibi) 

Temiz Masa ve Temiz Ekran Politikası 

Kuruluş kağıt ve taşınabilir elektronik depolama ortamlar ile ilgili olarak temiz masa politikası uygulamalıdır. 

Kuruluş bilgi veya bilgi işlem araçları ile ilgili olarak temiz ekran politikası uyguluyor olmalıdır. 

Hassas bilgileri içeren kağıt ve elektronik depolama ortamlarının kullanılmadığı zaman kilitlenmesi, bilgisayar başından kalkarken personelin oturumunu kapaması veya ancak parola ile açılabilen ekran koruyucu vb. önlemleri devreye sokması, gelen/giden postaya erişim noktalarının ve faks cihazlarının denetlenmesi, fotokopi makinesi, tarayıcı, sayısal fotoğraf makinesi gibi kopyalama teknolojilerinin yetkisiz olarak kullanılmaması ve hassas bilgi içeren dokümanların yazıcı üstünde bırakılmaması konularına özen gösterilmelidir. 

Ağ Erişim Kontrolü
Ağ Hizmetlerinin Kullanılması İle İlgili Politikalar
Kullanıcıların sadece kullanma yetkisine sahip oldukları ağ servislerine erişebilmesi sağlanmış olmalıdır. 

Ağlar ve ağ servisleri ile ilgili olarak şu konuları düzenleyen politikalar uygulanıyor olmalıdır; kimin hangi ağlara ve ağ servislerine erişebileceğini belirlemek için yetkilendirme prosedürü tanımlanmış olmalıdır, ağ bağlantılarını korumak ve ağ servislerine erişimi engellemek için yönetim denetimleri ve süreçleri belirlenmiş olmalıdır. 

Harici Bağlantılar İçin Kullanıcı Kimliği Doğrulaması
Sisteme dışarıdan yapılacak kullanıcı bağlantıları için kullanıcı kimliği doğrulama mekanizmaları uygulanmalıdır. (Kripto tabanlı teknikler veya klasik "challange- response" mekanizmaları ile çözülebilir. VPN çözümleri de bu teknikleri kullanmaktadır.) 

Ağlarda Cihaz Kimliği Belirleme
Bağlantının belli bir cihaz kullanılarak yapıldığından emin olmak için otomatik cihaz kimliği belirleme yöntemleri kullanılıyor olmalıdır. 

Uzaktan Tanı ve Yapılandırma Portu Koruma
Yönetim ve yapılandırma portlarına fiziksel ve işlevsel erişimi denetleyen bir güvenlik mekanizması olmalıdır. 

Ağlardaki Ayrım
Bilgi sistemi üstündeki kullanıcı ve  servisler gruplara ayrılmış olmalıdır. 

Kurumun ağı dahili ve harici etki alanlarına bölünmüş olmalıdır. 

Etki alanları kurumun erişim kontrol politikası ve erişim ihtiyaçları uyarınca oluşturulmuş olmalıdır. 

Etki alanları sınır güvenliği sistemleri ile korunmalıdır. 

Telsiz ağların diğer ağlardan ayrılması ile ilgili olarak çalışma yapılmış olmalıdır. 

Ağ Bağlantı Kontrolü
Kurum sınırlarının dışına taşan ağlar ve ağ bağlantılarının kullanımı, kurumun erişim kontrol politikası uyarınca kısıtlanmış olmalıdır. 

Elektronik mesaj, tek veya çift yönlü dosya aktarımı, interaktif erişim, bağlantı zamanı ve süresi ile ilgili kısıtlamalar getirilmiş olmalıdır. 

Ağ Yönlendirme Kontrolü
Ağ yönlendirme kontrolleri, bilgisayar bağlantılarının ve bilgi akışının erişim politikasına uygun gerçekleşmesini sağlayacak şekilde tanımlanmış olmalıdır. 

Ağ iletişimi kaynak adres ve hedef adreslere bağlı olarak güvenlik duvarı vb. cihazlar aracılığı ile kontrol ediliyor olmalıdır. 

İşletim Sistemi Erişim Kontrolü
Güvenli Oturum Açma Prosedürleri
Oturum açma işlemleri yetkisiz erişim olasılığını asgari düzeye indirecek şekilde düzenlenmiş olmalıdır. 

Sistem ve uygulamaya ilişkin olarak yetkisiz kullanıcıya yardımcı olabilecek bilgiler oturuma giriş başarıyla tamamlanana kadar gizlenmelidir. 

Bilgisayarda sadece yetkili personel tarafından erişilebileceğini bildiren uyarı mesajı gösterilmelidir. 

Oturuma giriş sadece tüm girdi verilerinin doğrulanmasından sonra sağlanmalıdır. 

Bir hata durumu varsa sistem verinin hangi kısmının doğru veya yanlış olduğu bilgisini gizlemelidir. 

Sistem tarafından izin verilen başarısız giriş denemelerine sınırlama getirilmiş olmalıdır. 

Oturuma giriş işlemi için zaman sınırı olmalıdır. 

Başarısız giriş denemeleri kaydedilmelidir. 

Ağ üstünden şifrenin açık olarak gönderilmemesi sağlanmalıdır. 

Kullanıcı Kimlik Tanımlama ve Doğrulama
Gerektiğinde sistem kayıtlarının incelenmesi ve bir işlemin sorumlusunun bulunabilmesi açısından her bir kullanıcıya kendine özgü bir kullanıcı kimliği verilmiş olmalıdır. 

Sistem yöneticilerine ait kullanıcı kimlikleri birbirinden faklı olmalıdır. 

Kurum bünyesinde kullanılan kullanıcı tanımlama ve yetkilendirme mekanizmaları iş gereklerine uygun olmalıdır. 

Parola Yönetim Sistemi
Kurum bünyesinde kullanılan belirli bir parola yönetim sistemi olmalıdır. 

Parola yönetim sistemi şu özelliklere sahip olmalıdır; kullanıcıları bireysel parolaların kullanımına zorluyor olmalıdır, kullanıcıların kendi parolalarını seçmelerine ve değiştirmelerine izin veriyor olmalıdır, kullanıcıyı kuvvetli parola seçmeye zorlamalıdır, kullanıcıyı belli zamanlarda parolasını değiştirmeye zorlamalıdır, sisteme ilk girişte geçici parolayı değiştirmeye zorlamalıdır, eski parolaları hatırlayarak tekrar kullanılmalarına engel olmalıdır, parolalar ağ üstünden gönderilirken ve saklanırken kriptolama gibi yöntemlerle korunuyor olmalıdır. 

Yardımcı Sistem Programlarının Kullanımı
Sistem araçlarının sistem özelliklerini ve uygulama programlarının yetkilerini aşarak ekstra işlemler yapmadığı kontrol ediliyor olmalıdır. 

Oturum Zaman Aşımı
Kullanılmayan oturumlar tanımlı bir süre sonunda kapatılmalıdır. 

Bağlantı Süresinin Sınırlandırılması
Kurum dışından veya halka açık alanlardan yüksek riskli uygulamalara erişim durumunda bağlantı süresi kısıtlanmalıdır. 

Kullanıcı belli aralıklarla kimliğini tekrar doğrulamaya zorlanıyor olmalıdır. 

Uygulana ve Bilgi Erişim Kontrolü
Bilgi Erişimi Kısıtlaması
Erişim kontrolü politikası uyarınca kullanıcılar ve destek personeli için bilgi sistemleri fonksiyonları ve bilgilerine erişim kısıtlanmış olmalıdır. 

Kullanıcıların bilgiyi yazma, okuma, silme veya çalıştırma hakları düzenlenmelidir. 

Duyarlı Sistem Yalıtımı
Uygulamanın duyarlılığı uygulama sahibi tarafından açıklanmış ve belgelenmiş olmalıdır. 

Duyarlı bilgilerin bulunduğu sistemler diğer sistemlerden izole edilmelidir. (Kendisine ait bilgisayarda çalıştırılması, ayrı ağ bölmesine yerleştirilmesi, ağ kaynaklarının ayrılması, sadece gerekli uygulamalar ile iletişim kurulması vb. İzolasyon fiziksel veya işlevsel olarak gerçekleştirilebilir.) 

Mobil Bilgi İşleme ve Uzaktan Çalışma
Mobil Bilgi İşleme ve İletişim
Dizüstü bilgisayar, cep bilgisayarı, cep telefonu, akıllı kartlar vb. mobil bilgi işlem ve iletişim araçlarının kullanılmasından kaynaklanan risklerden korunmak için benimsenmiş bir politika ve uygulanmakta olan güvenlik önlemleri olmalıdır. 

Mobil bilgi işlem politika belgesi fiziksel koruma, erişim denetimi, kriptografik denetimler, yedekleme ve virüs koruması konularını içermelidir. 

Mobil bilgi işlem araçlarının halka açık yerler, toplantı odaları gibi korumasız ortamlarda kullanılması sırasında yetkisiz erişime ve bilginin açığa çıkmasına karşı kriptografik tekniklerin kullanılması gibi önlemler alınıyor olmalıdır. 

Hırsızlığa karşı önlemler alınıyor olmalıdır. 

Hassas bilgi içeren araçların başıboş bırakılmamasına özen gösterilmelidir. 

Uzaktan Çalışma
Uzaktan çalışma faaliyetleri için organizasyonun güvenlik politikasına uygun plan ve prosedürler geliştirilmiş olmalıdır. 

Uzaktan çalışmanın yapılacağı yerde ekipman ve bilginin çalınmasına, bilgiye yetkisiz erişim yapılmasına, kuruluşun dahili sistemlerine uzaktan yetkisiz erişime ve bilgi işlem araçlarının kötüye kullanılmasına engel olmak için uygun önlemler alınmış olmalıdır. 
]]></description>
		<wfw:commentRss>http://www.ceyhuncamli.com/index.php/2010/02/18/bilgi-guvenligi-acisindan-erisim-kontrolu/feed/</wfw:commentRss>
		<slash:comments>0</slash:comments>
		</item>
		<item>
		<title>İki Kritik Kavram: Kritik Altyapılar ve Kritik Bilgi Altyapıları</title>
		<link>http://www.ceyhuncamli.com/index.php/2010/02/16/kritikaltyapilar/</link>
		<comments>http://www.ceyhuncamli.com/index.php/2010/02/16/kritikaltyapilar/#comments</comments>
		<pubDate>Mon, 15 Feb 2010 22:17:44 +0000</pubDate>
		<dc:creator>ceyhun çamlı</dc:creator>
				<category><![CDATA[ITIL - COBIT]]></category>
		<category><![CDATA[Security]]></category>
		<category><![CDATA[bilgi altyapıları]]></category>
		<category><![CDATA[bilgi güvenliği]]></category>
		<category><![CDATA[kritik altyapılar]]></category>

		<guid isPermaLink="false">http://www.ceyhuncamli.com/index.php/2010/02/16/1214/</guid>
		<description><![CDATA[Kritik altyapılar devlet düzeninin ve toplumsal düzenin sağlıklı bir şekilde işlemesi için gerekli olan ve birbirleri arasında bağımlılıkları olan fiziksel ve sayısal sistemlerdir. Enerji üretim ve dağıtım sistemleri, telekomünikasyon altyapısı,  finansal servisler, su ve kanalizasyon sistemleri, güvenlik servisleri, sağlık servisleri ve ulaştırma servisleri en başta gelen kritik altyapılar olarak sıralanabilir. Kritik altyapıların korunması, gelişmiş ülkelerin önemli gündem maddelerinden birisi olarak karşımıza çıkmaktadır. Bu ülkeler, kritik altyapıların korunması ile ilgili yasal, teknik, idari, kurumsal ve dokümanter çalışmalarda ciddi yol almışlardır. Ülkemizde, bu konuda 2009 senesinde bazı resmi başlangıç çalışmaları yapılmıştır ancak Türkiye’nin önünde uzun bir yol olduğu söylenebilir. Makalede öncelikle anahtar kavramların tarihsel gelişimi aktarılmış ve tanımlamaları yapılmıştır. Kritik altyapılar konusunda Dünya’da ve Türkiye’de yaşanan güvenlik olaylarına yer verilmiştir. Gelişmiş ülkelerin yaptığı çalışmalar ayrıntılı olarak aktarılmış, ülkemizde yapılan başlangıç çalışmaları hakkında bilgi verilmiştir. Makalenin son bölümünde ülkemizde bir devlet politikası olarak gerçekleştirilmesi gereken temel adımlara yer verilmiştir. 

Ülkelerin, kurumların, toplumların ve bireylerin bilgi ve iletişim teknolofjilerine bağımlılığı gün geçtikçe artmaktadır. Amerikan Ticaret Bakanlığı’nın yaptığı bir araştırma, ABD’deki firmaların gerçekleştirdiği yatırımın yarısının bilgi ve iletişim teknolojileri yatırımı olduğunu göstermektedir [1]. Bilgi ve iletişim teknolojilerin sağladığı birçok faydanın yanı sıra bu teknolojiler ile birlikte yeni bir tehdit türü olarak sayısal tehditler hayatımıza girmiştir. Sayısal tehditlerden korunmak için bireyler seviyesinden ülkeler seviyesine kadar alınması gereken karşı önlemler bulunmaktadır. Ülke seviyesinde gerçekleştirilmesi gereken önemli çalışmalardan birisi de kritik altyapıların korunması (Critical Infrastructure Protection-CIP) başlığı altına değerlendirilmektedir.   Bu kapsamda bir devlet politikası olarak belirlenen adımlar ülkede faaliyet gösteren kamu kurumları ve özel şirketler tarafından gerçekleştirilmektedir. “Kritik altyapı” terimi ilk defa Ekim 1997 tarihli “Amerika Birleşik Devletleri Başkanlık Komisyonu’nun Kritik Altyapıların Korunması Hakkında Raporu”nda kullanılmıştır [2]. 192 sayfa ve 12 bölümden oluşan söz konusu raporda temel tanımlamalar ve durum analizi yapılmış, alınması gereken önlemler listelenmiştir. Yeni bir kavramı tanıtmak ve bu kavram hakkında bilgilendirme yapmak amacıyla hazırlanan bu rapordan yedi ay sonra 18 sayfalık “Başkanlık Karar Direktifi” dönemin Amerikan Başkanı Bill Clinton tarafından 22 Mayıs 1998 tarihinde imzalanmıştır [3, 4]. Bu direktif, ABD’nin kritik altyapılarını işleten ve ulusal güvenlikle ilgili tüm kamu kurumlarına gönderilmiştir. Söz konusu direktifte başkanın hedefi, ulusal hedefler, kritik altyapıların listesi, kurumların gerçekleştirmesi gereken adımlar, eşgüdüm ile ilgili hususlar, yeni yapılanmalar ve ulusal koordinatör ile ilgili bilgilere yer verilmiştir. Başkanlık karar direktifinde, silahlı kuvvetlerin ve ekonominin kritik altyapılara ve sayısal sistemlere artan bir hızla bağımlı olduğunun altı çizilmiştir.  Kritik altyapılar, ekonomi ve hükümetin sağlıklı bir şekilde işlemesi için ciddi öneme sahip olan fiziksel ve sayısal sistemler olarak tanımlanmıştır. Kritik altyapıların kamu kurumları veya özel sektör tarafından işletilebildiğinin altı çizilmiş, iletişim, enerji, bankacılık, ulaşım, su sistemleri ve acil durum servisleri örnek kritik altyapılar olarak zikredilmiştir. Geçmiş senelerde, kritik altyapıların fiziksel ve mantıksal olarak ayrı ve bu nedenle bağımlılığı olmayan sistemler olduğu belirtilmiş, bilgi teknolojilerindeki gelişmelerin hem altyapıların kendisini etkilediğini hem de altyapılar arasındaki ilişkileri ve bağımlılığı ciddi bir şekilde artırdığı ifade edilmiştir. Her iki raporun da Internet bağlantıları makalenin referanslar bölümünde verilmiştir. Yazar daha fazla bilgi için söz konusu raporlara başvurmayı tavsiye etmektedir.  

Kritik altyapı kavramının ortaya çıkmasının en önemli nedeni bilgi teknolojilerinin yaygın bir şekilde kullanılmasıdır [3]. Kritik altyapılar ve bilgi teknolojileri birçok yönden ve ciddi şekilde kesişmektedir. Bu kesişimler bilgi teknolojilerinin önemini çok açık bir şekilde göstermektedir. Bu önem, “kritik bilgi altyapıları” teriminin ortaya çıkmasına yol açmıştır. OECD, kritik bilgi altyapılarını, fonksiyonelliğini yitirmesi durumunda sağlık hizmetlerine, toplumsal emniyet ve güvenliğe, vatandaşların ekonomik refahına veya hükümetin/ekonominin verimli çalışmasına ciddi yönde tesir eden bilgi ağları ve sistemleri olarak tanımlamaktadır [5]. Diğer taraftan, kritik bilgi altyapıları terimi ülkelerin ulusal politikalarında ve stratejilerinde daha az kullanılan bir terimdir [6]. 

Makalenin ikinci bölümünde, kritik altyapılara yönelik gerçekleştirilen sayısal saldırıların toplum düzenini ve ekonomiyi ne şekilde etkilediğine yönelik yaşanmış örneklere yer verilmiştir. Bu örnekler verilirken aynı zamanda kritik altyapılar, kritik bilgi altyapıları ve SCADA sistemlerinin tanımları ve birbirleri ile olan ilişkileri ortaya konulmuştur. Üçüncü bölümde, kritik altyapıların korunması (Critical Infrastructure Protection) konusunda Dünya’da ve ülkemizde gerçekleştirilen çalışmalara yer verilmiştir. Dördüncü bölümde, ülkemizde gerçekleştirilmesi gereken kritik çalışmalara yer verilmiştir. Makalenin beşinci bölümü sonuç bölümüdür. 

Tanımlar ve Örnekler
Günümüzde hemen hemen bütün kritik altyapılar, bilgi ve iletişim teknolojilerini az veya çok içermekte ve bu teknolojiler ile değişik şekillerde kesişmektedir [7]. Barajlar, enerji üretim ve dağıtım santralleri gibi kritik altyapılar bilgi teknolojileri tarafından kontrol edilmekte ve izlenmektedir. Telekomünikasyon gibi kritik altyapılar ise tümüyle bilgi ve iletişim teknolojilerinden oluşmaktadır. Makalenin giriş kısmında da belirtildiği gibi kritik altyapı kavramı bilgi ve iletişim teknolojilerindeki gelişmelerden sonra tanımlanmıştır. Bu tanımlamadan sonra, bilgi ve iletişim teknolojilerinin önemini vurgulamak amacıyla kritik bilgi altyapısı kavramı kullanılmaya başlamıştır. 

Kritik altyapılar devlet düzeninin ve toplumsal düzenin sağlıklı bir şekilde işlemesi için gerekli olan ve birbirleri arasından bağımlılıkları olan fiziksel ve sayısal sistemlerdir. Enerji üretim ve dağıtım sistemleri, telekomünikasyon altyapısı,  finansal servisler, su ve kanalizasyon sistemleri, güvenlik servisleri, sağlık servisleri ve ulaştırma servisleri en başta gelen kritik altyapılar olarak sıralanabilir. Kritik bilgi altyapıları ise, 

•Kritik altyapıları destekleyen bilgi ve iletişim teknolojileri unsurları olabilir. 

•Ulusal ekonomi ve devlet fonksiyonlarının düzgün işlemesi için gerekli bilgi ve iletişim teknolojileri altyapıları olabilir. 

Bu genel kapsam OECD tarafından belirlenmiş bir çerçevedir [8]. Kritik bilgi altyapılarının da aslında bir kritik altyapı olduğu söylenebilir. Son yıllarda Internet’i de bir kritik altyapı olarak değerlendiren akademik çalışmalar yapılmaya başlanmıştır [9]. 

Kritik altyapılar arasında çok fazla sayıda ve karmaşık bağımlılıklar, ilişkiler bulunmaktadır [10]. Bilgi ve iletişim teknolojileri bazı kritik altyapılar arasındaki bağımlılıkları başlatmış, hâlihazırdaki bazı bağımlılıkları ise ciddi şekilde artırmıştır.  Örneğin barajlardaki bir arıza, elektrik üretiminin durmasına, elektrik üretimindeki problemler Internet altyapısının işlevselliğinin bozulmasına neden olabilir. Internet’teki kesintiler ise başta bankacılık olmak üzere birçok kritik altyapıyı etkileyecektir. Aşağıdaki paragraflarda kritik altyapıların bilgi ve iletişim teknolojileri ile kesişimi örnekler verilerek detaylandırılmıştır. 

Barajlar, termik santralleri, enerji dağıtım üniteleri gibi geçmişte tamamen fiziksel unsurlardan ve izole endüstriyel kontrol sistemlerinden oluşan kritik altyapıların birçoğu günümüzde bilgi ve iletişim teknolojileri ile yönetilebilir ve izlenebilir duruma gelmiştir. Kritik altyapıların yönetimi ve izlenmesinde uzun yıllardan bu yana SCADA (Supervisory Control And Data Acquisition) olarak adlandırılan endüstriyel kontrol sistemleri kullanılmaktadır [7]. Geçmişte, başka ağlar ile bağlantısı olmayan, bilgi ve iletişim teknolojileri içermeyen veya altyapıya özel olarak geliştirilmiş teknolojileri içeren SCADA sistemleri, günümüzde yaygın olarak kullanılan ve bilinen yazılım, donanım ve ağ protokollerini barındırmaktadır. Ayrıca, kritik altyapıları yöneten ve izleyen birçok SCADA sistemi kurumsal ağlara ve Internet’e bağlantılı hale gelmeye başlamıştır [11]. Sonuç olarak, SCADA sistemleri sayısal savaşa ve sayısal terörist ataklarına çok daha fazla bir şekilde açık duruma gelmiş ve güvenlikleri geçmişe göre ciddi şekilde sorgulanmaya başlamıştır [12, 13, 14]. 2003 senesinde ABD’nin sekiz adet eyaletinde 50 milyon kişiyi etkileyen, bazı şehirlerde 2 gün süren, 11 kişinin ölümüne ve 6 milyar dolar zarara yol açan ve tarihe “2003 Northeast Blackout” olarak geçen ABD tarihinin en önemli elektrik kesintisinin nedenlerinden birisinin elektrik dağıtımında kullanılan yazılımdaki bir hata olduğu saptanmıştır. Ekim 2003’de ABD’nin en yoğun limanlarından olan Houston Limanı’nın bilgisayar sistemi saldırıya uğramış ve limanın bir süre hizmet vermesi engellenmiştir. Saldırının İngiltere’nin Shaftesbury isimli küçük bir kasabasındaki bir bilgisayardan yapıldığı anlaşılmıştır.  Ancak, bir süre sonra, bilgisayarın sahibinin suçsuz olduğu, bilgisayarın sayısal teröristlerin kontrolüne geçmiş bir zombi bilgisayar olduğu anlaşılmıştır. Bu olay sayısal teröristlerin ne derece profesyonel çalıştıklarını göstermektedir. Rus bilgisayar korsanlarının Estonya bilgi ve iletişim sistemlerine karşı gerçekleştirdiği sayısal saldırılarda, saldırı yapan bilgisayarların birçoğunun ABD’de ve Türkiye’de olduğu tespit edilmiştir. Sayısal savaşlarda, bu örneklerde olduğu gibi zombi durumuna getirilmiş bilgisayarlar kullanılmaktadır. Zombi bilgisayarların kullanıcıları genellikle bilgisayarlarının başkaları tarafından kötü amaçla kullanıldığının farkına varacak bilgiye ve tecrübeye sahip değillerdir. Son örnek olarak, Ağustos 2003’te Ohio’da faaliyet gösteren, Davis-Besse nükleer santralinin izole bilgisayar ağına Slammer solucanı bulaşmış ve santralin izleme sistemini beş saat boyunca çalışamaz duruma getirmiştir. Internet kaynaklı bilgisayar solucanlarının izole ağlara bulaşması, bu ağların ne derece izole olduğunun sorgulanmasına yol açmaktadır. 

ABD, etkin ve verimli kullanım için kritik altyapıları yöneten SCADA sistemlerini büyük oranda standartlaştırmış ve ortak ağlardan ulaşılabilir duruma getirmiştir.  Bu nedenle verilmiş olan tüm örnekler, ABD’nin sahibi olduğu kritik altyapılar ile ilgilidir. Ancak, dünyadaki gelişmiş diğer ülkeler ile beraber ülkemizin de güncel teknolojiyi SCADA sistemlerine adapte etmeye başladığı söylenebilir. Adana ilindeki Sugözü Termik Santrali’nin bilgisayar sistemleri aracılığıyla 24 saat izlendiği, TÜBİTAK’ın desteği ile barajlar için Türkçe yazılım geliştirildiği, Akköprü Barajı’nın uydu bağlantılı bilgisayar sistemi ile yönetildiği, Batman Barajı’nın bilgisayarlarının Alman firması tarafından parasını alamadığı gerekçesiyle kilitlendiği medyada yer almıştır. Bu haberlere Internet’teki gazete arşivlerinden erişilebilir. Batman Barajı örneği, milli yazılımın önemini gösteren bir haber olarak dikkat çekmektedir. Ülkemizde, kritik altyapıları kontrol eden SCADA sistemlerinin çoğunluk itibarıyla uzun yıllar önce kurulduğu, altyapıya özel olarak tasarlanmış bilgi/iletişim teknolojilerinden oluştuğu ve Internet/kurumsal ağlarla bağlantısı olmadığı/kısıtlı olduğu söylenebilir. Teknolojiyi çok hızlı bir şekilde adapte eden ve kullanan Türkiye, kısa zaman içerisinde SCADA sistemlerinde de günümüz teknolojisini yakalayacaktır. Gazetelerde çıkmış olan haberler bu durumun bir habercisi olarak nitelendirilebilir. 

Telekomünikasyon (sabit telefon ve cep telefonu operatörleri, Internet altyapısı), e-devlet uygulamaları ve bankacılık gibi kritik altyapıların bilgi ve iletişim teknolojileri ile ilişkisi bir önceki paragrafta anlatılan kritik altyapılardan (barajlar, santraller v.b.) oldukça farklıdır. Bu tip kritik altyapılar çok büyük oranda bilgi ve iletişim teknolojilerinden oluşmaktadır, bazılarının varlık sebebi ise bilgi ve iletişim teknolojileridir.  

2007 Nisan ve Mayıs aylarında, Rus bilgisayar korsanlarının Estonya bilgi sistemlerine sızması, bu sistemlerin faaliyetlerini durma noktasına getirmesi ve sonuç olarak Estonya’nın ekonomik ve toplumsal zararlar yaşaması birçok ülkenin gündeminde aylarca yer almıştır. Bu örnek, bir ülkenin Internet altyapısının önemli bir kritik altyapı olduğunu göstermektedir. Estonya’nın ekonomik ve toplumsal düzeninin sayısal saldırılardan etkilenmesinin en önemli nedeni bu ülkenin çok büyük bir oranda e-devlet yapısına geçmiş olması ve birçok kamu hizmetinin Internet üzerinden gerçekleştirilmesidir. İlerleyen senelerde birçok ülke ve Türkiye en az Estonya kadar Internet’e bağımlı hale gelecektir. Burada dikkat çeken diğer bir husus bir kritik altyapı olarak Internet’in sahip olduğu özel durumdur.  Internet, ülkelerin hayati fonksiyonlarının bağlı olabileceği bir kritik altyapıdır, Internet aynı zamanda saldırganların da kullandığı ve yer aldığı bir ortamdır [9, 11]. 

Bir sıcak savaş senaryosu olarak bir ülkenin diğer ülkenin barajını bombalanması dünya konjonktüründe kolay yapılabilecek bir saldırı değilken, sayısal savaşçıların Internet üzerinden barajın SCADA sistemine erişip barajın kapaklarını açması daha kolaylıkla yapılabilir. Diğer taraftan, Internet üzerinden bir SCADA sisteminin kontrol altına alınması zor veya imkansız olabilir. Bunun yerine kolay olduğundan ve hızlı sonuç verdiğinden dolayı ülkenin Internet altyapısının öncelikle hedef alınması çok büyük bir ihtimaldir. Bir ülkenin Internet çıkışını servis dışı bırakmak, e-devlet uygulamalarını hizmet veremez duruma getirmek, bankacılık ve borsa sistemlerini çalışmasını engellemek, merkezi yönlendirici (router) cihazlarını ele geçirmek, ülkenin en üst seviye DNS sunucusunu ele geçirmek ve yanlış websitelerine yönlendirmek kolaylıkla yapılabilen, sıklıkla yaşanmış ve Estonya gibi Internet’e yüksek seviyede bağımlılığı olan ülkelerde ciddi ekonomik ve toplumsal sonuçları olan sayısal saldırı örnekleridir. 

İMKB, Türkiye ekonomisi için büyük öneme sahip olan bir kritik altyapı olarak nitelendirilebilir. 29 Kasım 2007’de yol çalışması yapan bir kepçenin fiber kabloyu koparması sonucunda borsa ilk seansı gerçekleştirememiş ikinci seansa ise yarım saat geç başlamıştı. Borsanın işlem yapmaması her ne kadar bir sayısal saldırının sonucu olmasa da, bilgi teknolojisindeki bir sorunun ekonomik karşılığını görmek açısından önemli bir örnektir.  30 Ocak 2009’da birçok ülkenin bilgisayar sistemine yayılan ve önemli zararlar veren Conficker virüsü Atatürk Havalimanı’nın dış hatlar terminalinde çalışan bilgisayarları da etkilemiştir. Yaşanan aksaklıklardan dolayı birçok yolcunun bagajı işleme konamamış, uzun kuyruklar oluşmuştur. Her iki olay hakkında haberlere gazete arşivlerinden erişilebilir. 

Bilgisayar güvenliği konusunda yazılımlar üreten ve hizmetler veren Symantec firması tarafından hazırlanan Nisan 2009 tarihli son Internet Güvenliği Tehdit Raporu’nda Türkiye spam e-postanın kaynaklandığı ülkeler arasında Dünya’da üçüncü sırada yer almıştır [15]. Spam e-postaların çoğunlukla başkalarının eline geçmiş zombi bilgisayarlar tarafından gönderildiği düşünülürse bu durum Türkiye’deki zombi bilgisayarların sayısı hakkında da bir fikir vermektedir. Firmanın 2007 senesinde yayınladığı raporda ise zombi bilgisayar sayısı dikkate alındığı zaman Ankara EMEA bölgesinde (Avrupa, Orta Doğu ve Afrika) yer alan şehirler içerisinde yedinci sırada yer almıştır. Aynı raporda, Ankara spam e-posta gönderen şehirler arasında altıncı sırada yer almıştır. Sonuç olarak, Türkiye sınırları içerisinde yer alan ve Türk vatandaşlarının kullandığı ancak zombi duruma gelmiş olan binlerce bilgisayar, Internet’te faaliyet gösteren kritik bilgi sistemlerini hedef alabilirler. Başka ülkelerin hükümetleri tarafından desteklenen sayısal teröristlerin kontrolünde olması uzak bir ihtimal olmayan bu bilgisayarlar olası bir sayısal savaşta başrol oynayacaklar. 

ABD’de bir hükümet kuruluşu olarak faaliyet gösteren ABD-Çin Ekonomik ve Güvenlik İnceleme Komisyonu’nun (USCC) 2008’de hazırladığı ve Amerikan Kongresi’ne sunduğu raporda çok çarpıcı ifadeler yer almaktadır [16]. Raporda yer alan bazı ifadeler şunlardır: 

•Çin’in dünyanın herhangi bir yerine ve herhangi bir zamanda sayısal operasyon yapacak niyeti ve kabiliyeti bulunmaktadır. 

•Çin’de 250 adet sayısal korsan grubu yer faaliyet göstermektedir. Bu gruplar Çin Hükümeti tarafından bilgisayar ağlarına girmesi ve zarar vermesi için desteklenmektedir. 

•Çin Hükümeti aktif bir sayısal casusluk programını yürütmektedir. 

•Çin’in sayısal savaş teknikleri ABD’nin karşı koyamayacağı hatta fark edemeyeceği kadar karmaşık ve ileri düzeydedir. 

Güvenlik alanında faaliyet gösteren Northrop Grumman firması tarafından ABD-Çin Ekonomik ve Güvenlik İnceleme Komisyonu için hazırlanan 9 Ekim 2009 tarihli raporda ise Çin’in sayısal casusluk tehdidinin gün geçtikçe arttığı ifade edilmiştir. Raporda, 2007 senesi itibarıyla ABD devlet ve savunma birimlerinin ağlarına girilmesi sonucunda 10 ile 20 terabayt arası verinin dışarıya sızdırıldığı ifade edilmiştir [17]. 

Gerçekleştirilen Çalışmalar
Gelişmiş ülkeler kritik altyapıların korunması ile ilgili programını oluşturmuş ve bu program çerçevesinde çalışmalarına başlamıştır. Ayrıca, NATO’nun bu konuda çalışmaları bulunmaktadır. Bu bölümde Dünya’da ve ülkemizde gerçekleştirilen çalışmalar konusunda bilgi verilmiştir. 

Hemen hemen tamamı aynı zamanda OECD üyesi olan gelişmiş ülkeler kritik altyapıların korunması ile ilgili olarak yasalarını düzenlenmiş, bu ülkelerde yeni kurumlar kurulmuş, hâlihazırdaki kurumlarda değişiklikler yapılmış, koordinatörler belirlenmiştir. Bu faaliyetler bizzat devlet başkanlarının direktifi ile başlatılmış ve himayesinde devam etmektedir. Bu ülkeler aynı zamanda devlet başkanı himayesinde ve bilgisinde hazırlanmış ulusal bilgi güvenliği politikası belgesine sahiptirler. Söz konusu politika belgelerine de bakıldığı zaman kritik altyapı teriminin sıklıkla kullanıldığı görülmekte, sayısal savaşta öncelikli hedef olacak bu altyapıların etkilenmesi durumunda ülke ekonomisinin ve toplumsal düzenin ciddi zararlar göreceği belirtilmektedir. Kritik altyapıların korunması ulusal seviyede bir güvenlik kültürünün oluşmasının temel etkenlerinden birisi olarak görülmektedir [18].
ABD, İngiltere, Almanya, Finlandiya, Güney Kore ve Japonya’da gerçekleştirilen çalışmalar konusunda detaylı bilgiye Bilişim Kurultayı 2009’da sunulan “Sayısal Ortamda Savunma ve Bilgi Güvenliği Yol Haritası” isimli bildiriden ulaşılabilir [19]. 

Avrupa Birliği kritik altyapıların korunması ile ilgili ilk adımı 2004 senesinde atmıştır. Bu kapsamda, Avrupa Konseyi’nden gelen talep doğrultusunda Avrupa Komisyonu “Terörle Mücadele için Kritik Altyapı Korunması” başlıklı bir belge yayınlamış ve bu belgeyi Avrupa Konseyi ve Avrupa Parlamentosu’na göndermiştir [20]. Hazırlanan 11 sayfalık belgede, kritik altyapıların tanımı yapılmış ve bu konuda yapılması gereken çalışmalar özetlenmiştir. Bu raporun ardından, “Kritik Altyapıların Korunması için Avrupa Programı” başlıklı bir program açılmıştır [21]. 

ABD’nin başlatmış olduğu çalışmalara makalenin giriş kısmında yer verilmiştir. 2009’daki gelişmelerden bahsedilecek olursa; Amerikan Başkanı Barack Obama 9 Şubat 2009 günü, ulusal güvenlik yetkililerinden Amerika’nın sayısal ortamı için güvenlik gözden geçirmesi yapmalarını talep etmiştir. Gözden geçirme raporu Beyaz Saray’ın sayfasında geçtiğimiz aylarda yayınlanmıştır [22]. Otuz bir defa “kritik altyapılar” ifadesinin kullanıldığı raporda, sayısal güvenlik konusunda tam yetkili koordinatörün atanması, ABD sayısal güvenlik stratejisinin güncellenmesi gibi 10 adet maddenin yer aldığı yakın zamanlı bir eylem planı yer almıştır. Diğer taraftan Obama, 29 Mayıs 2009 günü Beyaz Saray’da yaptığı 15 dakikalık konuşmada Amerika’nın sayısal altyapısının güvenliğinin son derece önemli olduğunu belirtmiş ve konusu sayısal ortamda güvenlik olan bu konuşması basında geniş yankı bulmuştur. Konuşmanın metni Beyaz Saray’ın Internet sayfasında yer almaktadır. 

Estonya bilgi sistemlerine Rus bilgisayar korsanları tarafından Nisan ve Mayıs 2007’de gerçekleştirilen koordine ataklardan sonra, NATO tarafından önemli adımlar atılmıştır. Öncelikle, Brüksel’de NATO Sanal Savunma Yönetim Otoritesi  (Cyber Defense Management Authority-CDMA) kurulmuştur. NATO Sayısal Savunma Konsepti tamamlanmış ve onaylanmıştır.  NATO Sayısal Savunma Konsepti’ne göre NATO üyesi ülkeler, CDMA’ya ulusal temas noktalarını bildirmişlerdir. Yine NATO Sayısal Savunma Konsepti’ne göre NATO üyesi ülkeler ulusal sayısal ortam savunma politikalarını hazırlamaya başlamışlardır. Dışişleri Bakanlığımız TÜBİTAK-UEKAE’yi (Ulusal Elektronik ve Kriptoloji Araştırma Enstitüsü) NATO’ya ulusal temas noktası olarak bildirmiştir.  Türkiye’nin Ulusal Sanal (Sayısal) Ortam Güvenlik Politikası 19 adet kamu kurumu tarafından hazırlanmıştır. Şubat 2009’da Başbakanlık’a teslim edilen belgenin resmiyet kazanması beklenmektedir. Ülkemizde kritik altyapıların güvenliği ile ilgili atılmış ilk adım bu politika belgesidir. Politika belgesinde “Kritik bilgi ve iletişim sistem altyapılarının güvenliği sağlanmalıdır. Ülke içerisindeki kritik bilgi ve iletişim sistem altyapıları, bunların birbirleriyle ilişkileri, kritiklik seviyeleri ve sorumluları tespit edilmelidir. Tespit edilen kritik bilgi ve iletişim sistem altyapıları sanal ortamdan gelebilecek tehditlere karşı korunmalıdır” ifadeleri yer almaktadır. 

Ülkemizde kritik altyapılar ile ilgili yakın bir gelişme 2009 Sonbaharı’nda gerçekleşmiştir. Başbakanlık Kanunlar ve Kararlar Genel Müdürlüğü bünyesinde oluşturulan ve çalışmalarına fiilen 3 Mart 2009 tarihinde başlayan e-Mevzuat Çalışma grubu, 7 Ağustos 2009 tarihi itibarıyla “e-Devlet ve Bilgi Toplumu Kanun Tasarısı Taslağı”nı hazırlamıştır. E-devlet ve Bilgi Toplumu Kanun Tasarısı Taslağı’nda kritik altyapı ve kritik bilgi altyapısı terimleri geçmemektedir. Bununla beraber taslak içerisinde “Kritik Bilgi Sistemi”nin tanımı “İşlevlerinin tamamen veya kısmen yerine getirilememesi halinde kamu güvenliği ve düzenini önemli derecede etkileyen bilgi sistemleri” olarak tanımlanmıştır. Kanunda geçen “Bilgi Toplumu Ajansı” içerisindeki “Bilgi Toplumu Dairesi”nin görevlerinden bir tanesi de “kritik bilgi sistemlerini belirlemek ve bu sistemler için uygulanacak asgari güvenlik standartlarını tespit etmek” şeklinde belirtilmiştir. 

Bu iki taslak çalışma dışında ülkemizde kritik altyapılar konusunda resmi bir çalışma bulunmamaktadır. Sonuç olarak, Türkiye kritik altyapıların korunması ile ilgili çalışmaların henüz başındadır. 

Ülkemizde Atılması Gereken Kritik Adımlar
Kritik altyapıların korunması ile ilgili olarak gelişmiş ülkelerde olduğu gibi ülkemizde de resmi çalışmaların başlatılması gerekmektedir. Resmi çalışmaların ana çerçevesinin sayısal güvenlik olması ve kritik altyapıların korunmasının bu ana çerçevenin bir alt maddesi olması bazı gelişmiş ülkelerin izlediği ve ülkemize de uygun bir yapıdır.  Bu kapsamda: 

Ulusal sayısal güvenlik politikasının resmiyet ve işlerlik kazanması gerekmektedir. Bu politika belgesini destekleyen strateji belgesinin ve eylem planının da hazırlanması sıradaki önemli adımlardır. Bütün bu belgeler için destekleyici mevzuat hazırlanmalı, güncellenmesi ve değiştirilmesi gereken halihazırdaki mevzuat tespit edilmelidir. Mevzuat resmiyet kazanmalıdır. 

Sayısal savunma ile ilgili çalışmaları organize edecek bir ulusal yürütme organı oluşturulmalıdır. Yürütme organının asıl sorumluluğu koordinasyon olmalıdır. Kritik altyapıları işleten kamu sektörüne ve özel sektöre yapılması gereken çalışmaları bildirmelidir. Yürütme organı, devletin belirlediği politikaları uygulatan bir kurum olmalıdır. 

Sayısal savunma ve kritik altyapıların korunması ile ilgili ulusal bilincin oluşturulması adına çalışmalar gerçekleştirilmelidir. Kritik altyapıları işleten kurumların gerçekleştirmesi gereken çalışmalardan vatandaşın yapması ve yapmaması gerekenlere kadar birçok konuyu kapsayan bilinçlendirme programı için ulusal medya, Internet siteleri gibi kaynaklar kullanılmalıdır. 

Sayısal ihlallere karşı tepki yeteneği geliştirmek amacıyla ulusal bilgisayar olaylarına müdahale ekibinin yetenekleri geliştirilmelidir. Kritik altyapıları işleten kurumlar da etkin bilgisayar olaylarına müdahale ekiplerini oluşturulmalıdırlar. Ayrıca farklı bilgisayar olaylarına müdahale ekipleri arasında koordinasyon yeteneği oluşturulmalıdır. 

Internet altyapısının güçlü ve alternatifli bir duruma getirilmesi dağıtık servis dışı bırakma saldırılarından en az seviyede zarar görmek için gereklidir. Telekomünikasyon altyapısı ve Internet önemli kritik altyapılardır. Bu bağlamda, Internet servis sağlayıcıları ile koordinasyon diğer önemli bir husustur. 

Son olarak, ülkemiz sayısal savaş konusunda uluslararası işbirliğine önem vermelidir. Gelişmiş ülkeler ve OECD, NATO gibi organizasyonlar sayısal güvenlik ve sayısal savunma konusunda oldukça fazla yol almışlardır. Türkiye bu tecrübelerden faydalanmalıdır. Tüm dünyayı içine alan ve sınırları olmayan devasa bir ağ durumundaki Internet sayısal saldırıların da kaynağıdır. Ülkemiz bilgi sistemlerine yapılacak bir sayısal saldırının kaynağı herhangi bir ülkedeki bilgisayarlardan kaynaklanabilir. Uluslar arası işbirliğinin önemi saldırılara karşı önlem alma noktasında önemli bir diğer husustur. 

Sonuç
Makalede yer verilen sayısal saldırıların başarıya ulaşmış olmasının en önemli nedeninin yönetimi sağlıklı bir şekilde yapılmayan bilgi ve iletişim teknolojileri olduğu değerlendirilmektedir. Kritik altyapıların güvenliğinin sağlanmasında insan faktörünün ve güvenlik bilincinin en önemli parametrelerin başında geldiği düşünülmektedir. Bilgi ve iletişim sistemlerinin güvenlik hedefleri göz önüne alınarak yönetilmesi ve temel güvenlik önlemlerinin alınması durumunda sayısal güvenliğin büyük oranda sağlanacağı ve sistemlerin sayısal saldırılara karşı korunaklı duruma geleceği şüphesizdir. Bunun sağlanabilmesi için ülkemizde öncelikle konunun üst düzey devlet birimlerince sahiplenilmesi, yasal altyapının oluşturulması ve sorumlulukların belirlenmesi gerekmektedir. Ülkemizde sayısal güvenlik konusunda yarım kalan çalışmaların tamamlanması gerekmektedir. Ayrıca, kritik altyapıların belirlenmesi, kritik altyapılara yönelik risklerin tespit edilmesi,  rol ve sorumlulukların belirlenmesi ve bu çerçevede çalışmaların başlatılması gerekmektedir. 
]]></description>
		<wfw:commentRss>http://www.ceyhuncamli.com/index.php/2010/02/16/kritikaltyapilar/feed/</wfw:commentRss>
		<slash:comments>0</slash:comments>
		</item>
		<item>
		<title>Bilgi Güvenliğinin Önemi</title>
		<link>http://www.ceyhuncamli.com/index.php/2009/12/24/bilgi-guvenliginin-onemi/</link>
		<comments>http://www.ceyhuncamli.com/index.php/2009/12/24/bilgi-guvenliginin-onemi/#comments</comments>
		<pubDate>Thu, 24 Dec 2009 11:38:53 +0000</pubDate>
		<dc:creator>Faruk Cubukcu</dc:creator>
				<category><![CDATA[Security]]></category>
		<category><![CDATA[bilgi güvenliği]]></category>

		<guid isPermaLink="false">http://www.ceyhuncamli.com/index.php/2009/12/24/bilgi-guvenliginin-onemi/</guid>
		<description><![CDATA[&#8220;Too good to be true&#8221; Yıllardır mailler alırız: &#8220;ben G&#252;ney Afrikada dan Kral bilmen ne. Başıma gelen bir s&#252;r&#252; hikayeden sonra&#8230; elimdeki milyon dolarlarımı sizin aracılığınızla &#252;lke dışına &#231;ıkarabilirim ve sizi de zengin ederim. Bana yardım edin&#8221;. Bunun dışında piyangolar, ucuza alınacak saatler, yazılımlar, değerli eşyalar. Ger&#231;ekten ne g&#252;zel şey bu Internet&#8230; İşte iletişim, bilgi [...]]]></description>
		<wfw:commentRss>http://www.ceyhuncamli.com/index.php/2009/12/24/bilgi-guvenliginin-onemi/feed/</wfw:commentRss>
		<slash:comments>0</slash:comments>
		</item>
	</channel>
</rss>

