Strategy, COBIT and Vision; Mr. Ken Vander Wal

16 Kasım 2013 tarihinde ISACA Ankara Chapter tarafından düzenlenen, ISACA International Eski Başkanı Mr. Ken Vander Wal’ın Strategy, COBIT and Vision isimli sunumuna ilişkin genel notları, sunumun kendisini ve etkinliğe ilişkin düşüncelerimi bu blog yazısında bulabilirsiniz.

Mr. Ken Vander Wal sunumunda öncelikle BT (Bilgi Teknolojileri) alanındaki hızlı değişimden ve geçmişten günümüze bu hızlı dönüşümün gerek yönetim, gerekse yönetişim anlamında ne gibi etkileri olduğundan bahsetti. Bu noktada BT Denetimin önemini vurguladıktan sonra ISACA’ya ilişkin bilgilendirici bir sunum yaptı. ISACA’nın değişen BT alanındaki önemli rolünü, ISACAnın yapısını, vizyon ve misyonunu katılımcılara aktardıktan sonra Bilgi Teknolojileri Yönetişim çerçevesi olan COBIT5’e yönelik genel bir tanıtım yaptı. Bundan sonrası için ise ISACA 2022 Stratejisini, stratejiye yönelik gelecek vadedeki aksiyonları paylaştığı sunumu buradan edinebilirsiniz.

Sunuma ilişkin notlar şu şekildedir:

Bilgi Teknolojileri dünyasında performans ve kapasite metrikleri hesaplama (computing) 18 ayda, iletişim (Communication) anlamında 9 ayda, depolama kapasitesi (disk capacity) olarak 12 ayda ikiye katlanmaktadır. Sosyal medya mecralarının gelişmesi ile birlikte oluşturulan içeriklerin her geçen gün yüksek ivme ile arttığı da önemli bir gerçek. Dolayısıyla bu hızlı değişime uyum sağlayabilmek adına kurum ve kuruluşların Bilgi Teknolojileri alanlarındaki yatırımları her geçen gün artmaktadır. Gartner raporuna göre 2014 yılına yönelik Dünya genelinde toplam 3,881 Trilyon Dolarlık bir yatırım beklentisinden bahsedilmektedir. 2012 yılında gerçekleşen rakam ise 3,588 Trilyon Dolar. 2020’nin sonlarında Bilgi Teknolojileri harcamalarının %90’nına yakın bir oranda dış kaynak kullanımına yöneleceği, Big Data kullanım ve yönetimine ilişkin yeni iş alanları yaratılacağı, 2016 yılında 1,6 Milyardan fazla mobil cihaz satılacağı, beş yıl içerisinde ise BT güvenliğine yönelik harcamaların %56 oranında artacağı ve yasal mevzuatın bu artışa yönelik temel nedenlerden birisi olacağı aynı araştırmada ön görülmektedir. 

BT alanındaki hızlı değişim, artan yatırımlar, dış kaynak kullanımına yönelim, yeni yaklaşımların gelmesi ve bu yaklaşımlara ilişkin yeni iş alanlarının oluşması, mobil cihaz kullanımının yaygınlaşması ve gelecek vadede bilgi güvenliğine ilişkin yatırımların artacak olması beraberinde önemli fırsatları getirirken yönetilmesi gereken risklerin sayısını ve mahiyetini de artırıyor. Bu noktada sadece Bilgi Teknolojileri alanında faaliyet gösteren kurumlarda değil, bütün kurumlarda Bilgi Teknolojilerinin yönetim ve yönetişim faaliyetlerinin aktif olarak yürütülmesi, gelişmiş denetim ve Güvenlik yaklaşımlarının sağlanması ihtiyacı doğuyor.

Geçmiş dönemlerde öncelikli olarak denetim alanına odaklanan ISACA yaklaşımı günümüzde yönetim ve yönetişim alanlarına doğru genişlemiştir. Bu genişleme beraberinde geçmişte sadece BT denetçilerinden oluşan üyelere risk yöneticilerinin, uyum sorumlusu personellerin, bilgi güvenliği, BT kontrol ve BT Yönetişim alanlarıında çalışan profesyonellerin eklenmesini; denetime odaklanan CISA sertifikasına ek olarak güvenliğe yönelik CISM, yönetişime yönelik CGEIT ve riske yönelik CRISC sertifikalarınn eklenmesine ve 92 yılında 7.504 olan üye sayısının 2012 yılında 110.338 sayısına ulaşmasını getirmiştir. Günümüzde ISACA Dünya genelinde 200 chaptera ulaşmış, 80’den fazla ülkede faaliyet gösteren bir kuruluştur.

ISACA’nın vizyonu (“Trust in, and value from, information systems”) Bilgi sistemlerinden yüksek derecede fayda elde edilmesi, bu faydayı elde ederken de bilgi sistemlerine yönelik güven ortamının sağlanmasıdır.

ISACA’nın misyonu ise profesyoneller ve organizasyonlar için bilgi sistemleri, uyum ve güvenlik, BT yönetişim, BT ile alakalı riskler ve uyum konularında Dünyanın lider bilgi birikimi, sertifikasyon, kişisel networking ve eğitim imkanları sağlayan kuruluşu olmak. (İngilizcesi: For professionals and organizations be the leading global provider of knowledge, certifications, community, advocacy and education on information systems, assurance and security, enterprise governance of IT, and IT-related risk and compliance”)

Bu noktada ISACA standartları, rehberleri, sureli yayınları ve blog yazılarında BT yönetişim, risk ve kontrol profesyonellerinin istifade edebileceği kaynaklar oluşturulmakta, sayısı 200’ü bulan chapterlarda bahsi geçen alanlarda çalışan personellerin bir araya geleceği etkinlikler ve çalışmalar düzenlenmekte, profesyonellerin yetkinliklerine göre sertifikalandırılmaları sağlanmaktadır. CPE modeli ile de sertifika sahibi profesyonellerin güncel kalmaları teşvik edilmektedir.

BT Değer faktörleri konusuna değinen Wal, İş ihtiyaçlarının Kurumsal Bilgi oluşturulurken kullanılan BT kaynaklarına yatırımı tetiklediğini, İş gereksinimlerini döngüsel olarak oluşturan BT proseslerinin de sunulan kurumsal bilgi ile oluşturulduğunu vurgulamıştır.

Özellikle vizyonda yer alan fayda ve güven konularını detayı ile açtığı sunumunda BT’nin yeni Teknolojileri uygulamadan ziyade IT kaynaklı değişim ile değer yarattığı konusunu işaret etmiştir. Değeri ise göze alınan riskler ve maliyet sonrası kalan fayda olarak nitelendirmiştir. Güveni ise davet ettiği bir katılımcı ile yaptığı bir uygulama ile göstermiş, arkasını dönen dinleyiciden kendisini geri geriye bırakmasını istemiş, dinleyici düşmeden once tutmuş ve dinleyiciden tutacağına dair güvene sahip olduğu dönüşünü almıştır. İş birimlerinin asıl işlerine odaklanarak, bilgi sistemlerinden kendilerine sağlanan hizmetlere güven duyarak daha çok değer üretilebilineceğinden, bilgi sistemlerine güven ortamlarının sağlanması noktasında risk, iç kontrol ve denetim birimlerinin öneminden bahsetmiştir.

Güven değerin yaratılması için gereken ortamı sağlarken, değer güven beklentisi üzerinden vücut bulmakta, güvence verme ise bu iki unsur arasındaki ilişkiyi kurmaktadır. (Sunum Sayfa-15)

 COBIT 5’e ilişkin genel bir tanıtımın yapıldığı sunumda, COBIT çerçevesinin BT denetim odağından BT Yönetişime doğru evrildiği paylaşılmıştır. İlk sürümleri denetim kontrolleri üzerinde yoğunlaşırken, günümüzde COBIT kurum içi BT yönetişimin sağlanması için yol göstermektedir.

COBIT 5 Enabler rehberlerinin yanı sıra Bilgi Güvenliği, Güvence ve Risk Profesyonellerine yönelik profesyonel rehberlerden oluşmaktadır.

COBIT5 fayda, risk ve kaynak tüketimi arasındaki dengeyi kurarak optimal seviyede değer yaratılmasını sağlamaktadır. BT ve alakalı teknolojilere ilişkin yönetim ve yönetişimin sağlanmasına rehberlik etmektedir. Bunu genele uygun, jenerik ilkeler ve enablerlar ile yapmaktadır. Bu noktada COBIT 5’in dayandığı 5 prensip vardır; paydaşların ihtiyaçlarını karşılamak, bütün kurumu baştan uca kapsamak, tek bütünleşik bir çerçeve oluşturmak, bütünsel bir yaklaşım sergilemek ve yönetim ile yönetişimi ayırmak. COBIT 5 temel alan ve 37 süreçten oluşmaktadır.

Gelecek vadede COBIT 5’in sektörlere yönelik rehberlerinin çıkarılmasının hedeflendiğinin paylaşıldığı sunumda ISACA’nın strateji haritası üzerinde ISACA’nın 2022 stratejisi katılımcılar ile paylaşılmıştır. Bu bağlamda paydaş ihtiyaçlarına yönelik olarak siber Güvenlik ve kişisel bilgilerin güvenliği konusuna eğilineceği, BT alanındaki trendlere göre ihtiyaçlara uygun hizmetlerin sağlanacağı belirtilmiştir. Gelecekte ISACA değerini artırmaya yönelik olarak vizyoner yaklaşımının COBIT’in alakalı dokümanları ile iş ve BT entegrasyonu artırarak sağlamayı amaçlamaktadır.

Mr. Ken Vander Wal’ın sunumu Türkiye’de İstanbul Chapterdan sonra yaklaşık 1,5 yıl öncesinde kurulan Ankara Chapter üyelerine ve Ankara ikamet eden konuya ilgili katılımcılara ISACA, COBIT5 ve ISACA’nın gelecek yönünü aktarmak yönünden faydalı bir sunumdu. Katılımcılar arasında kamu kesimi başta olmak üzere özel sektörden bilişim alanında faaliyet gösteren yöneticilerin olması da Bilgi Teknolojileri Denetimine yönelik ilginin her geçen gün arttığını açıkca göstermektedir.

CISA (Certified Information Systems Auditor) Sertifika sınavına nasıl hazırlanmalı?

14.11.2016 tarihli güncelleme: Sınavın uygulanmasında, soru sayısında, Domain ağırlıklarında değişiklikler mevcuttur. Bütün değişiklikleri değerlendirdiğim ve paylaştığım yazıma buradan ulaşabilirsiniz. Sınava hazırlanmak ile ilgili önerilerimi okuduktan sonra güncel bilgiler için güncel yazıma göz atmanızı öneririm.

Geçenlerde ISACA İstanbul’da CISA Hazırlık Eğitimine ilişkin gelen bir mail Eylül 2013 ayında yapılan CISA Sınavına ilişkin tecrübe ve anılarımı hatırlamama vesile oldu. Bu sebeple uzun zamandır aklımda olan sertifika sınavına hazırlanma ve sertifikasyon sürecine ilişkin blog yazımı yazmaya karar verdim. 2013 yılı için 14 Aralıkta yapılacak sınava ilişkin hazırlık eğitimine ilişkin detayları buradan bulabilirsiniz.

Bu yazıyı okuyorsanız şayet yüksek olasılıkla sertifikayı almaya adaysınız. Muhtemelen de bankacılık ve finans sektöründe denetim, risk ya da iç kontrol alanlarından birisinde çalışıyorsunuzdur. Gerçi artık çoğu sektörde BT Denetim yüksek öneme sahip fakat Bankacılık Finans sektöründe yasal mevzuatla da bir adım önde olduğunu söylemekte fayda var. Faydalı olması düşüncesi ile yazıda süreci detayı ile anlatmaya çalışacağım.

Öncelikle sınav artık yılda 3 kere yapılıyor. Eskiden Haziran ve Aralık aylarında yapılan sınavlara ek olarak bir de Eylül ayları eklendi. Tek bir farkla Eylül ayında rutin zamanda yapılan lokasyonların hepsinde yapılmıyor sınav, liste ise ISACA International web sayfasında yayınlanıyor. İyi haber bu listede İstanbulun olması. J

Öncelikle kendinizi hazır hissettiğiniz ve iş yükünüze göre çalışmak için zaman ayırabileceğiniz oturumu belirleyin ve bu tarihe göre hazırlıklarınızı yapın derim. Sınava erken kayıt olmanız dahilinde erken kayıt imkanından yararlanıp, daha uygun bir ücretle kayıt gerçekleştirebiliyorsunuz. Kayıt işlemlerini web sitesi üzerinden gerçekleştirdikten sonra size detaylı bir mail ile bilgilendirme yapılıyor. Sınavdan yaklaşık bir ay öncesine kadar da sınava giriş belgeniz mail adresinize geliyor. Burada dikkat edilecek husus belgenin çıktısının sınav esnasında, resminizin yer aldığı bir kimlikle birlikte yanınızda olması. İki belgede de isimlerin aynı olması bir diğer önemli nokta. Sınav günü tecrübelerimi ayrıca paylaşacağım.

Sınavın yapısından bahsetmek gerekirse sınav 5 alandan oluşuyor. Bu alanların başarı puanınıza etki eden ağırlıkları farklı. Alanların isimleri ve ağırlıkları şu şekildedir.

Domain 1	The Process of Auditing Information Systems	%14
Domain 2	Governance and Management ıf IT	%14
Domain 3	Information Systems Acquisition, Development and Implementation	%19
Domain 4	Information Systems Operations, Maintanance and Support	%23
Domain 5	Protection of Information Assets	%30

 Görüleceği gibi neredeyse yarıdan fazla ağırlık 4. ve 5. Alanlarda. Teknik temelli bir denetçi olarak en sevdiğim alan Domain 5. Şifrelemelerdi, politikalardı okurken zaman nasıl geçiyor anlamıyorsunuz bile. Denetim tarafından geliyorsanız teorik anlamda öğrenmeniz gereken ciddi konular bu alanda sizi bekliyor.

Alanları hızlıca değerlendirirsek ilk domain bilgi teknolojilerin denetimine ilişkin genel kavramlar, yıllık denetim nasıl yapılır, yıllık planlama, denetim yaparken dikkat edilecek hususlardan tutun da denetim yöntemlerine kadar temel bilgileri içeriyorlar. Alanda yeni olan ve teknik temelli olan arkadaşların zorlandıkları kısımlardan birisi demek yanlış olmayacaktır. Teftiş kökenli üstadların ise normal teftişle örtüştüğü için zorlanmayacakları bir alan. İkinci alan ise COBIT 5’le birlikte de üzerinde önemle durulan yönetim ve yönetişim kavramlarını detaylandırıyor. Üçüncü kısım hizmet alımları, yazılım geliştirme süreçleri, uyarlamalarda denetim gibi konulara değiniyor. Domain 4 rutin operasyonlar, bakım ve destek faaliyetlerinin tanımları ve yapılacak denetimleri örnekliyor. Son alan ise Bilgi varlıklarının güvenliğine yönelik detaylı bir alan. Politikalar, güvenliğe yönelik teknoloji ve çözümler ve bu alanların denetlenmesine ilişkin başlıkları içeriyor. Güvenlik ilgi alanınız ise keyif alacaksınız.

 Gelelim çalışma kısmına. Herkesin çalışma alışkanlıkları ve öğrenme yöntemleri farklıdır elbette. Bu sebeple genel olacak hususları paylaşıyor olacağım. Bu sınava ilişkin bir gerçek ise bol okumanız ve çalışmanızın gerektiği. Sınava ilişkin ISACA kaynaklarının yanı sıra çeşitli kitap evlerinden yayınlanmış çeşitli kaynaklar da mevcuttur. Öncelikle ISACA kaynaklarını elbette öneririm. Dilini çok resmi buluyorum, örneklerle açıklanması daha işime gelir, zamanım da oldukça boldur diyebiliyorsanız diğer kaynaklara bakabilirsiniz. Fakat bu işin olmazsa olmazı CISA Review Manual 201X olacaktır sizin için. ISACA kaynaklarına şu adresten ulaşabilirsiniz.

ISACA kaynaklarını tanıtmak istersek CISA Review Manual öncelikle okumanız gereken kaynak. Mümkünse kavramları genel öğrenmek üzere okuduktan sonra ikinci gözden geçirme ile kavramları iyice oturtabilirsiniz. Bölümlerin sonundaki örnek sorular ile konuları pekiştirebilirsiniz.

İkinci önemli kaynak ise CISA Practice Question Database. Sınavın soru yapısına alışmak ve okuduğunuz konuları özümsemek adına önemli bir kaynak. Yukarıda bahsettiğimiz alanlara ilişkin 1200 civarında soru mevcut bu kaynakta. Sınava örnek olabilecek bir adet de 200 soruluk deneme sınavı. Sertifikasyona yönelik denetim mantığını daha iyi oturtmak adına şiddetle öneririm.

Bu kaynakların yanı sıra CISA Review Questions, Answers & Explanations 2013 Supplement yeni 100 adet sorunun yer aldığı örnek bir soru kitapçığı gibi düşünebilirsiniz. Ben çalışırken kullanmadım. Daha da çok soru çözmek istiyorum diyorsanız faydalı olacaktır eminim.

ISACA’nın resmi kaynaklarına ek olarak aklıma gelen David Cannon tarafından yazılan Study Guide. Şu ilk sayfasında Deniz Feneri resmi olan. 2011 yılında yazılmış bu kitabın üçüncü baskısına ulaşmak mümkün. Bu kitap Review Manual kadar faydalı olur mu derseniz örneklerle bazı konulara açıklık getiriyor kısmına katılırım. Bol vakti olanlar için ek kaynak olabilir diye düşünüyorum. Kavramları detayı ve bazı yerlerde örnekleri ile iyi açıklamaktadır. Bir de Peter H Gregory tarafından 2010 yılında yazılmış, McGraw Hill yayını olan All-in-one CISA Guide isimli bir kitap mevcut. Lakin benim pek inceleme ve bakma şansım olmamıştı.

Kendi imkanlarınızla çalıştığınız, domainleri oturttuğunuza emin olduktan sonra şiddetle tavsiye edebileceğim diğer bir uygulama ISACA İstanbul Chapter tarafından verilen CISA Hazırlık Kursları. 5 muhteşem gün sonrasında Kaya Kazmirci ve Murat Lostar kafanızda kalan soru işaretlerini ve kavram kargaşalarını bir çırpıda çöpe atıyor. 5 gün süren eğitimlerde 5 domaine hızlıca değiniliyor. Önemli ipuçları paylaşılıyor. Sorular üzerinden geçiliyor. Eğitim bittikten sonra farkını gerçekten anlıyorsunuz. Eksik olmasınlar bizi 5 gün boyunca en güzel şekliyle ağırladılar ve tecrübelerinden istifade etmemizi sağladılar. Bu eğitimleri ayrıcalıklı kılan ise bu iki değerli insanın sektör tecrübelerini paylaşmaları konuları birebir yaşadıkları örnek olaylar üzerinden somutlaştırmaları.

Sonrasında geldik çattık sınav gününe. Tatlı bir heyecan duyuyor insan. Eğitim sistemimiz gereği ömrümüz sınavlar ile geçse de CISA bir farklı. 4 saat ve 200 sorudan oluşan bir sınav. Tıpkı KPSS gibi soru kitapçıkları ve optik formlar üzerinden bizlerin yabancılık çekmeyeceği şekilde yapılıyor. Aynı salonda ISACA sertifika sınavlarının hepsi yapılıyor. Benim girdiğim sınav Kozyatağı'nda bir otelde yapılmıştı. Merkezden kulak tıkaçlarına kadar detaylar düşünülmüştü. Sınav esnasında makul sürelerde ihtiyaçlarınıza yönelik giriş çıkış yapabiliyorsunuz. Günümüzde Türkiyede yapılan sınavlardaki gibi her adaya potansiyel kopyacı muamelesi ile karşılaşmıyorsunuz. Rahat bir ortamda oluyor, bitiyor her şey.

Sınav bitince de ayrı bir evre başlıyor. Sonuçların açıklanmasını beklemek. Artık sınavların da sıklaşması ile birlikte sonuçların açıklanması tam 5 hafta alıyor. Size her alan için puanlarınızı içeren bir mail geliyor. Sonuç olumlu ise içiniz içinize sığmıyor, tadına doyum olmuyor J

Sınavı geçtiniz ya gerisi kolay. Sertifika sahibi olmak için toplamda beş yıl BT denetimi tecrübesine sahip olmanız gerekiyor. Lisans ve/veya Yüksek Lisans eğitiminin 2 yıl, üniversitede okutman olarak görev yapılmasının her hangi bir üst sınır olmaksızın her iki yıl başına 1 yıl, BT denetimi harici denetim tecrübesinin maksimum 1 yıl ikame etmesi ile toplamda beş yıl tecrübe dolduran CISA adaylarının başvuruları merkezi olarak değerlendiriliyor. İkameler değerlendirilirken adayın en az 2 yıl BT denetim, kontrol, risk ya da bilgi güvenliği alanlarında çalışması gerekiyor.

Doldurduğunuz bir form ile tecrübelerinizi kanıtlamanız ve incelemeye sunmanız gerekiyor. Formun incelenmesi ise maksimum 8 haftalık bir süreç.

Sertifikayı edindikten sonra ise CPE’ler ile sertifikayı yaşatmanız gerekiyor. Ömür boyu öğrenme ve sürekli yenilenme yaklaşımı ile katıldığınız aktiviteler, toplantılar, eğitimler, ISACA İstanbul tarafındaki çalışma gruplarındaki faaliyetleriniz CPE olarak değerlendiriliyor. Burada toplamanız gereken ise yıllık minimum 20 puan olmak üzere üç yıl için 120 puan. ISACA International sitesi üzerindeki webinarları dinleyip, 3-5 soruluk soru kağıtlarında başarı göstermeniz durumunda da CPE kazanıyorsunuz.

CISA sertifikasını farklı kılan ISACA şemsiyesi altında Dünya çapında Bilgi Teknolojileri Yönetişim ve Denetim alanında çalışan profesyonellerin bir araya getirerek oluşturdukları sinerji ve değerle sunulan sürekli yenilenme. ISACA üzerinden yayınlanan denetim rehberleri, makaleler ve standartlar sistematik çalışmanın ve on binlerce IT profesyonelinin deneyimlerinin ürünü. Dünyanın dört bir yanındaki chapterlarda profesyonellerin bir araya geldiği etkinlikler ve paylaşım ortamları ise cabası. CPE kazanmanın önemli bir yolu ISACA Chapterlar. İstanbul Chapter için buradan, Ankara Chapter için buradan lütfen.

Geneliyle anlattıktan ve konudan konuya bilgi paylaştıktan sonra özetlemek faydalı olacaktır. CISA’yı almanın ön koşulu olan sınavı geçmenin yolu sistematik çalışmak, bol bol okumak ve soru çözmek. En önemlisi ISACA’nın denetim mantığını iyice anlamak. Çünkü Türkiyedeki uygulamalar ve iş yaşamında karşılaştığınız örnekler ISACA’nın mantığı ile örtüşmediği noktada sizi yanıltabiliyor. Sınava giriyorsanız başarılar diliyorum. Umarım yazı faydalı olmuştur.

Kamu BT Denetim Rehberi Hakkında

         Maliye Bakanlığı İç Denetim Koordinasyon kurulu tarafından Dünya Bankasından sağlanan hibe kapsamında, Hazine Müsteşarlığı ve Sosyal Güvenlik Kurumunda yürütülen pilot bilgi teknolojileri denetimleri sonuçlarından da yararlanılarak “Kamu Bilgi Teknolojileri Denetimi Rehberi (TASLAK)” hazırlanmış ve Rehber Taslağına yönelik iç denetim birimlerinden gelecek görüşler sonucunda rehberin son şeklinin verileceğine ilişkin duyuru şurada yapılmıştır. Bu doğrultuda İç Denetim Birimleri Başkanlıklarından 22 Kasım 2013 tarihine kadar görüş istenmektedir.  

Kendi alanımla alakalı olduğu için dokümanı inceledim ve dokümana ilişkin hızlıca bir bilgi notu hazırladım; 

 

Doküman geneli ile ISACA çerçeveleri olan CobIT 4.1 ve COBIT 5 üzerinde şekillenmiş ve aşağıda listelenen standartlar, rehberlerin de katkısı sunularak tasarlanmıştır. Geneliyle diyorum çünkü dokümanın can alıcı noktaları olan kurum seviyesi yönetişim ile ilgili kontroller ve süreç seviyesi BT genel kontrolleri her iki çerçeve ile de birebir uyuşmaktadır.

IT Assurance Guide Using COBIT 4.1 (IT Governance Institute, 2007)

ITAF (ISACA, 2008)

ITAF 2nd Edition (ISACA, 2013)

ISACA Denetim Kılavuzları

The Institue of Internal Auditors – Guide to the Assessment of IT Risk (GAIT)

The Institue of Internal Auditors – Global Technology Audit Guides (GTAG)

The Institue of Internal Auditors – Uygulama Kılavuzları

Committee of Sponsoring Organizations of the Treadway Commission (COSO) – Enterprise Risk Management

ISO 2700x ailesi

Tübitak – Bilgem Kılavuzları

IT Infrastructure Library v3 (UK Cabinet Office, 2011)

ISO 22301 (International Standards Organization, 2012)

Dokümanın yapısı kontroller üzerine kurulmuştur. İkinci bölümde BT Denetim Metodolojisinin anlatıldığı rehberde, kontroller 4 temel başlıkta işlenmiştir. Kontroller, Kurum Seviyesi ve Yönetişim ile ilgili kontroller, Süreç Seviyesi BT Genel Kontrolleri, Uygulama Kontrolleri ve alt yapı seviyesi genel kontrolleri olmak üzere ayrı bölümlerde incelenmiş, her kontrol türüne göre riskler ve kontroller paylaşılmış, risklerle kontroller tablo şeklinde eşleştirilmiştir. Paylaşılan kontroller zorunlu ve isteğe bağlı(opsiyonel) kategoride ayrılmış, zorunlu olanların her kurumda ortak olduğu,İsteğe bağlı olanların ise kurum yapısına göre seçilebileceği vurgulanmıştır.

Bölümlerin Detaylı Başlıkları aşağıdaki gibidir:

3. BT KURUM SEVİYESİKONTROLLERİ VE YÖNETİŞİM SÜREÇLERİ DENETİMİ

3.1. KURUM SEVİYESİ KONTROLLER

3.2. BT YÖNETİŞİM SÜRECİ DENETİMİ

4. BİLGİ TEKNOLOJİLERİ YÖNETİM SÜREÇLERİ DENETİMİ

4.1. DEĞİŞİKLİK

4.2. GÜVENLİK HİZMETLERİ

4.3. YARDIM MASASI, OLAY VE PROBLEM YÖNETİMİ

4.4. BT OPERASYON VE YEDEKLEME

4.5. SÜREKLİLİK YÖNETİMİ

4.6. BT ALTYAPI VE YAZILIM EDİNİM, KURULUM VE BAKIMI

4.7. BT HİZMET

4.8. RİSK YÖNETİMİ

5. UYGULAMA KONTROLLERİNİN DENETİMİ

5.1. Uygulama kontrolleri

5.2. Uygulama kontrolleri – BT genel kontrolleri ilişkisi

6. BT ALTYAPI GENEL

6.1. İŞLETİM SİSTEMLERİ

6.2. VERİTABANI SİSTEMLERİ

6.3 AĞ SİSTEMLERİ

6.4. UZAKTAN ERİŞİM

Dokümanda kontrollerin detayı ile paylaşıldığı 4 bölüm incelendiğinde 3. ve 4. Bölümün COBIT süreçleri ile örtüştüğü, 5. Bölüme yönelik olarak uygulama kontrollerinin Kaynak veri hazırlığı ve yetkilendirme, Kaynak Verilerin Toplanması ve Girilmesi, Doğruluk, Tamlık ve Orijinallik Kontrolleri, Veriİşleme Bütünlüğü ve Doğrulaması, Çıktı Kontrolü, Mutabakatı ve Hata Yönetimi şeklinde verinin giriş, işlenme, saklanma ve çıkış aşamalarına yönelik kontrollerin paylaşıldığı görülmüştür. Ayrı bir alt bölüm içerisinde ise uygulama kontrolleri ile genel kontroller arasındaki ilişkiye değinilmiştir.

6. ve son bölümde ise sektörde yaygın olarak kullanılan işletim sistemleri olan UNIX ve WINDOWS’a ve piyasada yaygın olan VTYS olan MsSQL ve ORACLE veri tabanlarına yönelik olarak ürün bazlı kontrol noktaları paylaşılmıştır. Alt yapıya yönelik kontrollerin devamında ise üründen bağımsız olarak ağ sistemleri ve uzaktan erişime yönelik kontroller yer almaktadır.

UNIX’e yönelik olarak kontroller aşağıdaki yapı altında detaylandırılmıştır;

1. KullanıcıHesap Yönetimi ve Şifreler

2. KullanıcıGüvenlik Dosyalarına Erişim

3. Şifre ve Güvenlik Parametreleri

4. KullanıcıOturum Açma Girişimlerinin Gözden Geçirilmesi

WINDOWS’a yönelik olarak kontroller aşağıdaki yapı altında detaylandırılmıştır;

1. KullanıcıHesap Yönetimi ve Şifreler

2. Kritik Dosyalara Erişim

3. VarsayılanŞifre ve Güvenlik Parametreleri

MSSQL’e yönelik olarak kontroller aşağıdaki yapı altında detaylandırılmıştır;

     1. Varsayılan Kullanıcı Hesapları ve Şifreler

2. Kritik Dosyalara Erişim

3. Şifre ve Güvenlik Parametreleri

ORACLE’a yönelik olarak kontroller aşağıdaki yapı altında detaylandırılmıştır;

1. KullanıcıHesap Yönetimi ve Şifreler

2. Kritik Dosyalara Erişim

3. Şifre ve Güvenlik Parametreleri

Ağ Sistemlerine yönelik olarak kontroller aşağıdaki yapıaltında detaylandırılmıştır;

1. Ağayrıştırması (segmentasyon)

2. Ağ cihazları güvenliği

3. Güvenli iletişim

Ürün bazında detaylandırılan bu kontrol noktalarına ilişkin detaylı ekran görüntüleri, veri toplamaya yönelik komutlar ve script kodlarının rehber üzerinde yer aldığı görülmektedir.

Internet üzerinden erişimi mümkün, denetim esnasında yön gösterici olarak değerlendirilebilecek çeşitli kaynaklarda yer alan faydalı bilgilerin bir araya getirildiği bir rehber olarak değerlendirilebilir. Doküman üzerinde daha öncede açıklandığı gibi çeşitli standart ve rehberlerden bir harmanlama yapılmış. Özellikle uygulama kontrollerine yönelik rehberleri Tubitak Ulusal Bilgi Güvenliği Kapısı isimli web sitesinde paylaşılan rehberlerden faydalanıldığı görülmektedir. Alt başlıkların kaynakça bölümlerinde alt başlığın hangi süreçlerle ilişkilendirildiği paylaşılmıştır.

Dokümanın ilk bölümünde geneli ile BT denetim tanımları, BT denetime yönelik sertifikalar ve kısaca sertifikasyon sürecine ilişkin bilgiler verilmiştir. Sertifikalara bakıldığında CISA, CISM, CGEIT, CRISC sertifikalarından bahsedildiği görülmüştür.

Dokümanın Türkçe oluşu, geniş bir yelpazeden kontrol noktalarına kadar detay derecede hükümlerin belirlenmişolması, detay çizimler, görseller ve komutların paylaşılması kamu kesimindeki denetçiler tarafından benimsenmesini sağlayabilir. Bunun yanında kontrollerin detayına kadar rehberde yer alması, zorunluluk ve opsiyonellik bağlamında değerlendirilmesi dokümanın esnekliği anlamında olumsuz değerlendirilebileceği gibi, rehber üzerinde örnek bir modelin paylaşıldığı, kontrollerin önem derecesine göre zorunlu ve opsiyonelliğinin belirlendiği yorumu da yapılabilir.

Türkiye özelinde BT Denetim alanında Türkçe kaynak olabilmesi açısından ilkler arasında yer alacağını söylemek yanlış olmayacaktır. ISACA İstanbul tarafında CobIT 4.1'den COBIT 5'e geçiş aşamasında faydalı olabilecek dokümanlar ve COBIT 5'in Türkçe versiyonlarının da yakın gelecekte hazırlanacak olması Türkiye'de BT Denetim alanında Türkçe kaynak sayısının artması ve dolayısıyla BT Denetim sektörünün gelişmesi açısından önemlidir.

BDDK tarafından 2006 yılından itibaren yasal zemine oturtulan ve COBIT çerçevesinin referans edildiği Bilgi Teknolojileri Denetim faaliyetleri ilk olarak Bankacılık sektöründe başlamış ve günümüze kadar belirli bir olgunluk seviyesine gelmişti. Zamanla özellikle Bankaların iştiraki olan sigorta şirketleriyle başlayan BT Denetimi alanındaki faaliyetler yasal zorunluluk olmamasına rağmen neredeyse bütün sigorta kuruluşlarında icra edilir hale gelmiştir. Teknoloji hizmeti üreten büyük Telekominikasyon şirketlerinde de bu alanda faaliyet gösteren denetim birimleri ciddi çalışmalar yapmakta, kimilerinde ise sadece COBIT çerçevesi değil, ABD borsalarına kote olunması nedeniyle SOX kapsamında denetimler de yapılmaktadır. Otomotiv, Hızlı Tüketim, Tekstil, Enerji gibi farklı sektörlerden bazı önemli oyuncularda da BT Denetimi ve Yönetişimi alanında ekiplerin oluşturulması ve çeşitli faaliyetlerde bulunulması önemli bir noktadır.

Kamu tarafında hazırlanan bu rehber, BT Denetim konusunda Kamu kesiminin de konuya ilişkin ilgisinin yoğun olduğunu göstermektedir. Gelecek vadede ise kritik önemi dolayısıyla ilginin her geçen gün artacağı düşünülmektedir.

Artık hırsızlığın şekli de değişti: Facebook üzerinden avlanmayın.

Bir önceki yazımda KOBİ'lere bazı tavsiyelerde bulunmuş ve yaptıkları BT yatırımlarında güvenlik kalemini de planlamalarını önermiş, güvenlik yatırımlarının öneminden bahsetmiştik.

Bu gün ise sosyal medya araçlarındaki savunmasız kullanıcılara yönelik bir paylaşımım ve bir kaç önerim olacak.

Öncelikle açık hedef şeklinde olan ve şu an listemde canlı canlı yapılan bir saldırıyı da hızlıca paylaşalım, uyarımızı yapalım. Yazıyı akabinde hızlıca güncelleyeceğim.

Saldırganımız arkadaşınıza ait hesabı ele geçiriyor. Sonrasında size onun ağzından yazdığı mesajlar ile sizden kontör ya da mobil ödeme sistemi üzerinden para istiyor. Genel yalan ise aynı; yolda kaldım, zor durumdayım, konuşamam vs. Lütfen bu tarz bildirimlere itibar etmeyiniz, arkadaşınızın telefonu var ise sizde acil irtibat kurup, durumu onaylatınız.

Şu anki canlı saldırı ise hesabı çalınan bir arkadaşımın hesabı üzerinden mobil ödeme sistemi üzerinden fayda elde etme amacı taşıyor. Bizim örneğimizde size direkt bkal50 (50 kontör miktarıdır burada) yazıp, 7979'a gönderip, gelen pini bana gönderir misin canım, yok yarışma yok bilmem ne dedikleri zaman itibar etmeyiniz. Sonrasında Türk oyunu olan Metin2'de sizden aldığı ve sizin gsm operatörünüz üzerinden yaptığınız ödemeden elde ettiği puanları oyun içerisinde kullanıyor. Belki de oyun içerisinde kontörleri satıp, nakite çeviriyordur. PIN hali hazırda Personel Identification Number (Kişisel Tanılama Numarası) demektir ve her hangi bir sisteme erişim talebi yapan kişinin gerçekte hesaba sahip kişi olduğunu doğrulama amacı taşıyan, artık ilkel kalmış bir yöntemdir. Kişisel bilgileri de lütfen ama lütfen paylaşmayınız.

Burada düşündürücü olan ise oyun gibi eğlence amaçlı mecraların dahi hırsızların hedefi içerisinde olmaları, belki de karşımızdaki saldırgan oyun içerisinde aşırı hırslanmış bir ufaklıktır. Her ne olursa olsun karşımızda bir sebepsiz zenginleşme ve kandırma mevcut. Bunun teknoloji ile yapıldığı düşünülürse direkt dolandırıcılığa doğru gidiyor iş. Şahsın arkadaşımın kişisel haklarına verdiği zarar ve sızdığı sistemden kişiye verdiği zarar ise cabası.

Basit saldırganların en çok kullandıkları yöntem ve hırsızlık metodu bu dur. İnternet kafelere kurdukları keylogger tarzı programlarla, gizli soru tahmin yöntemleri ya da rastlantısal ele geçirdikleri şifrelerle bu saldırıları gerçekleştirerek olabildiğince gelir elde etmeye çalışırlar.

Daha önceki benzeri bir olayda ise facebook hesabı ele geçirilen başka bir arkadaşımın listesindeki insanlara sıradan onun ağzından yazarak kontör talep etmişler, kontörlerin şifrelerini almış, insanları maddi zarar uğratmışlardı. Facebook hesabına hacklenen mail adresi üzerinden gelmişler ve maalesef mail adresindeki maillerin de bir güzel yedeklerini almışlardı. Tahmin edersiniz ki gelen mail kutusu kredi kartı ekstreleri, faturalar ve kişisel bilgi içeren başka mailleri barındırıyordu.

Öneriler kısmına gelince:

1. Sosyal medya mecralarını kullanırken geliştiricisini bilmediğiniz uygulamaları kurmaktan kaçınınız. Facebook sizi kurduğunuz uygulamanın erişim yapabileceği bilgilere yönelik uyarmaktadır, uyarıları okumadan kabul etmeyiniz.
2. Facebook üzerine paylaşılan ve sizi bir dış bağlantıya yönlendiren web sayfalarına dikkat ediniz. Özellikle bu tarz sayfalara kişisel bilgi, mail adresi, hele hele şifre vs girmeyiniz.
3. Gelen linke tıkladıktan sonra sizi facebooktan çıktınız, şifrenizi tekrar giriniz tarzı uyarılara yönlendiren sayfalara dikkat ediniz. (Sizi kendi hazırladıkları tuzak sayfaya yönlendirip, şifrenizi alabilirler.)
4. Internet kafa ya da umuma açık yerlerden şifrenizi girerken dikkatli olunuz, sanal klavye kullanınız. Mümkünse hesaplarınıza bu tarz yerlerden girmeyin. Girdiyseniz de DeepFreeze tarzı uygulamaların olduğu ve her seferinde ayarların başa döndüğünden emin olunuz.
5. Şifrelerinizi internet üzerinden mail yoluyla vs paylaşmayınız. Çok özel durumlarda paylaşırsanız hemen değiştiriniz.
6. Facebook, twitter gibi hesapların güvenlik ayarlarını biraz kurcalayıp, güvenlik seviyesini artırınız. Facebookun bilgisayar tanımlama ekranları vs vardı, bunları aktifleştiriniz.
7. Bir mail adresinizi açamadığınız zaman şüphelenip, derhal mail adresinizle alakalı sosyal medya araçları hesaplarınızın ayarlarını değiştiriniz. Yeni bir mail adresi tanımlayınız.
8. Arkadaşlarınız ile konuşurken, sizden talepte bulundukları anlarda arkadaşınızı doğrulayınız. Telefon ile ulaşınız ya da özel bir kaç soru sorup, cevap isteyiniz.
9. Hesap şifrelerinizi belirli aralıklarla değiştiriniz.
10. Kafe, restoran gibi yerlerin kablosuz ağlarını kullanıyorsanız mümkünse internet bankacılığı gibi hizmetleri kullanmayınız. Korunmaya yönelik ayarları yapılmamış bir ağ üzerinden bilgileriniz alınabilir. Şifreleriniz okunabilir. Ben özellikle kafeleri çok tehlikeli buluyorum.

Bu örnekler ve öneriler artırılabilir. Burada önemli olan bizlerin farkındalığını artırmaktır. Hırsızların yöntemleri, beklentileri her geçen gün değişiyor. Eskiden direkt çantalara asılan hırsızlar artık kişisel bilgilerimizi ve mobil ödeme yöntemlerini hedef belirliyorlar. Ve dahada önemlisi saldırı yöntemlerini uygulamak için dahi olmak gerekmiyor.

Başkaları tarafındna tasarlanmış, güvenlik açıklarını bulup, sunan bir sürü hazır araç internet üzerinde mevcut. Geçenlerde modem üzerinden Whatsapp mesajlarını çözen aracı bile bir yerlerde görmüştüm. Canı sıkılan 15 yaşındaki bir çocuk dahi, güvenlik ayarları yapılmamış bir modem üzerine tuzak kurup, avlarını bekleyebilir. Çalıştırılan bilgisayarlarda geçmişte girilmiş şifreleri bulup, okuyan; ağ üzerinden şifre dinleyip çözen yazılımlar da cabası. Olağanüstü durumlar için tasarlanmış bu yazılımları kötü amaçlar için kullanan hırsızlar size özel ve gelir elde edebilecekleri bilgileri kullanabiliyorlar.

Günümüzde Facebook üzerinden banka şubeleri bile açılmışken, mobil ödeme sistemleri bu derece yaygınlaşmışken, cephe her geçen gün genişliyor iken biz kullanıcılara düşen sorumluluk dikkatli olmak ve şüphe içeren durumları yetkililer ile paylaşmaktır.

Güvenle kalın.

KOBİ'lere tavsiyeler: Bilişim suçlarının hedefi olmayın..

Geçen hafta içerisinde aldığım bir telefondaki ses ülkemizde faaliyet gösteren KOBİ'lerden birisini Mali işlerden sorumlu Genel Müdür Yardımcısı idi. Sunucularından birisine bilgisayar korsanları tarafından sızıldığını ve konuya ilişkin nasıl bir yol izlemeleri gerektiğini soruyordu bana.

Başınıza bu şekilde bir olay geldiğinde yapmanız gerekenler hakkında bilgiyi bu adreste bulabilirsiniz: http://bilisimsuclari.iem.gov.tr

Örnek olayımızda durumu anlamak adına sunucu'da nelerin olduğunu ve korsanların sisteme sızdıklarını nasıl anladıklarını sordum. Cevap oldukça basit, sorularıma aldığım cevaplar ise kara mizah derecesinde idi. Sunucuda önemli uygulamalar, veri tabanları, yazışmalar ve daha önemlisi bir de bunların yedekleri mevcut idi.

Korsanların yaptıkları tespit ettikleri bir açıkla sistemde yer alan network üzerinden paylaşımda olan dosyaları, bir dizine kopyalamak ve dizinde sıkıştırdıkları bu dokümanları şifrelemek idi. Sistemdeki önemli dokümanlarını Gutman metodu ile geri dönülemeyecek şekilde sildiklerini söylüyorlardı. (Recovery'nin işe yaramayacağından bahsediyorlar.) Sistem üzerinde ele geçirilmiş yüksek yetkili bir kullanıcı hesabı, ya da sistemde tanımlanmış yeni bir kullanıcı izi mevcut değildi. Sunucuya erişim gerçekleştiren IP adresleri incelendiğinde korsanların Hindistan senin, Brezilya benim gezdikleri görülüyordu. Şifreledikleri dosyanın uzantısını da her hangi bir çözme işlemine karşı silmiş olmaları idi. Sunucuya bıraktıkları text dosyasının içerisinde sisteminize sızdık. dokümanlarını geri istiyorsanız bizimle mail ile iletişim kurun. Şartlarda anlaşırsak sisteminizi size eski hali ile teslim edeceğiz ve sisteminizdeki açığı da kapatıp, çıkacağız.

Sonradan web üzerinden biraz araştırma sonucunda aynı suça konu olan irili, ufaklı işletmeler olduğunu gördüm. Her birine ayrı tutarlar teklif ediyorlar. Sonrasında ise pazarlığa giriyorlardı. Şifreledikleri dokümanlar şayet bir veri tabanı yedeği ise tutarlar yükseliyordu. Tabii web üzerinden sızdıkları sistem sahibi hakkında biraz bilgi edinip, fiyatlarının ona göre belirliyorlardı. Davranışları ve yazışmaları oldukça kibar. Pazarlık esnasında Rus ortaklardan bahsedip, olayın heyecanın artırıyorlar. Tabii tutarlar dolar üzerinden, ödeme ise alternatif ödeme yöntemleri ile gerçekleştiriliyor. Banka hesapları üzerinden değil.

Nette biraz araştırınca konuya ilişkin bir blog yazısına rastladım, örnek olaydaki ile aynı yöntemden bahsediyordu. Blog sahibini aradım, konuştuk biraz. Aynı olay başından geçen bir şirket yardım istemiş kendisinden, 3 günlük kayıpları olmuş, çalışanlarına biraz mesai yaptırıp, sistemdeki kaybı gidermişler. ellerinde hali hazırda yedek olduğu için ucuz atlatmışlar ama korsanlarla sıkı bir pazarlığa da tutuşmuşlar. 3bin dolardan bahseden korsanımız, tutar cebimden çıkacak diyen bilgi işlem personeline iyilik yapıp, 2 bin tutara inmiş. alış veriş gerçekleşmemiş. Bloğunda korsanlara ilişkin yazı yazan arkadaşa, günde nereden baksanız 2-3 tane telefon geliyormuş, ne yapmaları gerektiği konusunda. Varın şebekenin kazandığı parayı siz düşünün.

Gelelim yazının asıl kısmına Bilgi Teknolojileri konusunda yatırım yapmayı erteleyen, alt yapıyı oluşturmadan direkt CRM, ERP çözümleri kullanmaya yönelene KOBİ'lerimiz bu tarz saldırıların açık hedefi oluyorlar maalesef. İşletmelerinde driver yüklemek, office programları kurmak konusunda bilgi sahibi arkadaşları çalıştırmalarının yeterli olacağı hatasına düşüyorlar her zaman.

Elbette kurum çalışanlarına Bilgi Teknolojileri kullanımı konusunda destek sunacak paydaşların olması da önemlidir. Peki ya güvenlik? Gereksiz yatırım olarak düşünülen güvenlik çözümleri ve danışmanlıkları KOBİ'lerimizin çoğuna fazla geliyor, sonrasında bu tarz saldırıların hedefi oldukları zaman sığınacak liman arıyorlar. Girişimcilerin ya da idari yöneticilerin elbette teknik konulara hakim olmaları beklenemez, onlar açısından en önemli olan nokta çözüm ortağı olarak çalışan firmaları iyi seçmeleri ve firmanın güvenlik konusuna önem verdiklerinden emin olmalarıdır.

Benim bu konuda önerebileceğim bir kaç nokta olabilir. Öncelikle Bilgi Teknolojileri yatırımlarından işin güvenlik kısmını önemsemeleri ve aşağıdaki hususlara dikkat etmeleridir:

• Öncelikle nasılsa hizmet alıyorum düşüncesiyle kulağınızın üzerine yatmayın. Size hizmet sunan firmanın Teknik Destek Hizmetleri sunarlarken Bilgi Güvenliğine de dikkat ettiklerinden emin olmaya çalışın hatta belirli aralıklarla rapor isteyin. Sundukları hizmetleri yazılı olarak size raporlamalarını isteyin.
• Mümkünse sözleşme yaparken işletme ile Servis Seviye Anlaşması (SLA) belirleyin, sistemlere minimum erişim süresi, sistemleri minimum ayağa kaldırma sürelerini kesinlikle belirleyin. Cezai şartları dahi koyun.
• Sunucularınızı önem derecesine göre puanlayın ve önem derecesine göre sıralayın. Özellikle yüksek önem verdiğiniz varlıklarınızın hassasiyet ile korunmasını sağlayın.
• Sunucularınızı asla ama asla direkt internet erişimine açmayın. Bir Firewall arkasından erişim sağlanmasına özen gösterin. Bunu size hizmet sunan firmadan isteyin.
• Belirlediğiniz önem derecesine göre bir yedekleme planı tasarlatın. Düzenli bir şekilde yedek alınmasını sağlayın, gerekiyorsa bu iş için yazılım çözümleri kullanın.
• Asla ama asla aldırdığınız bu yedekleri aynı sunucu üzerinde tutmayın. (gülmeyin, bir çoğu böyle yapıyor, emin olun. ) Yedekleri başka sunuculara aldırın, bulut çözümleri kullanmayı deneyin.
• Ağızın üzerinde bir erişim ve paylaşım politikası oluşturtun, herkesin herşeyi paylaşmasına izin vermediğiniz gibi bütün varlıklarınızı da herkese açmayınız. ( Saldırıların büyük kısmı size kızan bir çalışandan gelebileceği gibi, ağınızda iyi niyetle multimedia paylaşan çalışanınız networkunuzde açıklara sebebiyet verebilir.)
•  Bütün bilgisayar ve sunuculara anti virüs programları kurdurup, sunucu kontrolü sağlanacak şekilde yapılandırılmasını sağlayın. Sunucu üzerinden güncellemeleri yapılacak şekilde yapılandırtın. Sunucudan düzenli güncellik ve saldırı raporları aldırıp, destek aldığınız firmadan gerektiğinde aksiyon almasını talep edin.
• Kullanıcı bilgisayar ve sunucuların işletim sistemlerinin düzenli güncellendiğinden emin olun. Gerekiyorsa bu iş için yazılım çözümleri kullanın ve asla lisanssız işletim sistemi kullanmayın. ( Bu yazılımlar gerek güncellemeye kapalı olduğundan, gerekse kötü niyetli kişiler tarafından virüs yuvası olarak kullanıldıklarından zararlı olacaktır.)
• Belirli aralıklarla işin ehli kişilerden güvenlik açığı taraması hizmeti alın, açıklarınızın kapanmasını sağlayın. Bir kere hizmet alıp bırakmak, her geçen gün başka bir açığın ve sızma yönteminin keşfedildiği Dünyada yetersiz kalacaktır.)
• Dışarıdan gelen konuklarınızın internet kullanımları için ağınıza dahil olmalarını belirli politikalara bağlayın.
• Kullandığınız kablosuz çözümleri savunmasız bırakmayın, hepsinde şifreli erişim ayarları yaptırın. Zaten erişim sağladığınız kişilerin internet kullanımlarını kanunen kayıt altına almanız gerekiyor.
• Mümkünse (bence elzem olmakla birlikte) Acil Durum Planı tasarlatın. İşletmenizin günlük iş yapışını engelleyecek doğal olayların yanı sıra sistem kesintisi gibi senaryoları da önem derecesine göre puanlatın. Belirlenen senaryolara göre minimum düzeyde de olsa işletmenizin devamlılığını sağlayacak etkinlikleri planlayın. Mümkünse buna yönelik veri yedekleme merkezi desteği alın. Lokasyon dışında tuttuğunuz sunucular üzerinden hizmetin devam edebileceği bir çözüm belirletin.
• Networkunuzdeki kullanıcılarınızı lokal admin yetkileri ile iş yapmalarına ihtiyacınız yok. Onlara sadece kullanıcı yetkisine sahip kullanıcılar ile erişim sağlatın. Bilgisayarlara program kurulumu ve ayar yapılmasına izin vermeyin. Bunu tek elden yapmaya özen göstertin.

Elbette bu ve diğer önlemleri size belirli bir maliyeti olacaktır. Burada önemli olan sizin harcayacağınız bütçe ve kaybetmeyi göze alabildikleriniz arasındaki değerlendirmedir. Günlük muhasebe kayıtlarını tuttuğunuz, belki de bütün işlemlerinizi gerçekleştirdiğiniz sunucuların bir gün sizden çalınması, verilerinizin silinmesi ya da değiştirilmesi riskleri sizin için önemliyse bu yatırımları yapmaktan çekinmeyeceksinizdir. Her geçen gün hayatımıza daha çok giren ve işlerimizi kolaylaştıran Bilgi Teknolojileri dünyasının karmaşıklaştığı ve cephenin her geçen gün büyüdüğünü farkında olmanız önemli.

IV. Bilgi Teknolojileri Yönetişim ve Denetim Konferansı

 

Bilgi Teknolojileri Yönetişim ve Denetim alanında Türkiye'deki kalifiye iş çevresini bir araya getiren, oturumlarda Bilgi Teknolojilerine yönelik risk, uyumluluk, mevzuat, denetim gibi başlıkların saygın profesyoneller tarafından ele alındığı konferanslar serisinin dördüncüsü  13-14 Mart 2013 tarihlerinde İstanbul'da düzenlenecek. Serinin birinci ve ikinci dizileri Ankarada organize edilmiş, doğal olarak kamu kesiminin yoğun bir katılımıyla gerçekleşmişti. Serinin ikinci konferansı hariç hepsine katılma şansım olmuştu. Organizasyon atmosferi üzerine genel bir değerlendirme yapmak isterim.

Öncelikle belirtmekte fayda var ki; organizasyonun düzenleme ve danışma komitesi yıllardır Bilişim sektöründe yer alan ve özellikle yönetişim üzerine değerli katkılarda bulunan profesyonellerden oluşmakta. Gerek kamu kesiminden, gerekse özel sektörden yıllardır Bilgi Teknolojileri alanında daha kaliteli yönetim ve yönetişim nasıl uygulanabilir konusuna kafa yoran profesyoneller tarafından tasarlanan etkinliklerin isimleri bile bilgi teknolojileri yönetişim ve denetim alanında çalışanları heyecanlandıracak nitelikte. Önceki konferanslardaki tecrübeme dayanarak söyleyebilirim ki katılımcıları BT yönetişim ve denetimi alanına yönelik son gelişmelerin, yeni yaklaşımların tartışıldığı bir bilgi ziyafeti bekliyor. Konfernas programına buradan ulaşabilirsiniz.

Etkinliğin resmi web sitesinde ise organizayona, kayıt detaylarına ve önceki konferanslara ilişkin bilgilere de erişebilirsiniz. Resmi web sitesi için http://www.btyd.org.tr/

Beni önceki konferanslarda da en çok etkileyen katılımcılara yapılan sunumların resmi web sitesi üzerinden herkes ile paylaşılması. Bu olanak bu tarz etkinliklerde pek görülmeyen ve etkinliğin arkasındaki temel düşüncenin sektörün geliştirilmesine yönelik olduğunu kanıtlayan önemli bir gösterge bence. Dönelim önceki konferanslardaki izlenimlerime..

Birincisine katıldığım zaman organizasyon Ankara'da Hilton'da gerçekleştirilmişti. TÜBİTAK, BTK, Türk Telekom gibi Bilişim sektöründe yönlendirici olan firmalardan temsilcilerin yanı sıra çeşitli bakanlıklardan ve Teknoparklarda faaliyet gösteren çeşitli firmalardan temsilcilerin de katılımıyla gerçekleştirilmişti. Organizasyonda Bilgi Teknolojileri alanında faaliyet gösteren uygulayıcı birimlerin temsilcileri, kamu kesimine Bilgi Teknolojileri alanında destek hizmeti sunan firmaların temsilcileri, yönetişim ve denetim alanında gerek yazılım, gerekse danışmanlık anlamında destek sunan firmaların temsilcileri, yönetişim ve denetim alanında çalışan akademisyenler ve öğrencilerden oluşan geniş bir kitle katılmıştı. Sunumlar içerisinde yönetişim ve denetime yönelik çerçeveler, standartlar, uygulamalar katılımcılar tarafından paylaşılmıştı.

Geçen sene de konferanslar serisinin üçüncüsüne katılma şansım olmuştu. Serinin üçüncüsü ise İstanbulda olduğu için finans sektörü başta olmak üzere sigorta ve telekom sektöründen ağırlıklı olarak özel sektör temsilcileri katılım göstermişlerdi. Kalkınma ajanslarından, belediyelerden ve sağlık sektöründe çalışan bazı profesyonellerle de kahve aralarında tanışma fırsatım olmuştu. Bilgi Teknolojileri alanında uygulayıcı olan birimlerin yanı sıra, Risk, İç Kontrol ve Denetim alanında çalışan profesyonellerden yoğun bir katılım vardı.

Konferans serilerinde katılımcılar tarafından paylaşılan zengin içerikler ve uygulama tecrübelerinin yanı sıra networking anlamında da geniş olanak sunan kahve araları benim için cezbedici olmuştu. Önceki katılımlarımda diğer bankalarda risk, iç kontrol ve teftiş alanlarında çalışan bir sürü insan ile tanışma ve son gelişmeler, sektördeki ihtiyaçlara yönelik uygulanan çözümler üzerine konuşma fırsatım olmuştu.

Konferanslara ilişkin bir diğer önemli nokta ise konferanslara finans sektörüne yönelik denetim alanında düzenleyici role sahip BDDK ve kamu kesimine yönelik denetleyici role sahip Sayıştay gibi kurumlardan da katılım gösterilmesiydi. Kurumlarına temsilcileri gerek konferanslarda konuşmacı olarak, gerekse dinleyici olarak konferanslarda yer almışlar ve son düzenlemeler, düzenlemelere ilişkin beklentiler gibi konularda bilgi paylaşımında bulunmuşlardı. Kamu temsilcilerinin yanı sıra Türkiye İç Denetim Enstitüsü (TİDE) ve Türkiye Bilişim Derneği (TBD) gibi önemli aktörler de konferans dizilerinde hem konuşmacı, hem de katılımcı olarak yer almışlardı. Bu kurumların yanı sıra ISACA İstanbul'un organizasyonlar arkasındaki desteğini de vurgulamak oldukça önemli olacaktır.

Konferans salonunda Bilgi Teknolojileri ve Yönetişim alanına yönelik eğitim ve danışmanlık hizmetlerinin yanı sıra sağladıkları çözümlerle BT yönetişim alanına destek sunan firmaların standlarında hizmetler ve firmaların tanıtımına yönelik sunumlar mevcuttu.

Elbette bu kadar Bilgi Teknolojileri ve Yönetişim alanında profesyonelin bir araya geldiği bir ortamda sertifikasyon, standart ve çerçevelere yönelik son gelişmeler, alandaki önemli başlıklar konuşulmadan olmazdı.

Tüm bunların yanı sıra organizasyon gayet profesyonel bir şekilde tasarlanmış, katılımcıların her türlü ihtiyacı düşünülmüştü. Son organizasyonda mekan merkezi bir yerde seçilmiş, otopark için opsiyonlar katılımcılar ile paylaşılmış, katılımcıların her türlü ihtiyaçları düşünülmüştü.

Konferans dizilerinin ilk seyrinden bu zamana kadar olan gelişimini bilen birisi olarak söyleyebileceğim her seride katılımcı kitlesinin genişlediği ve farklı sektörlerden temsilcilerin de etkinliklere iştirak ettiği, sunum içeriklerinin her organizasyonda zenginleştirildiği ve sektörü ilgilendiren son gelişmelere göre profesyonel bir şekilde güncellendiği ve katılımcılara sunulan networking olanakları ile Bilgi Teknolojileri Yönetişim ve Denetim alanında önemli bir sinerjinin oluşturulduğudur. Bu seneki program incelendiği zaman yabancı konuşmacıların oturumlarının sayısının artırılması da organizasyonun gün geçtikçe uluslararası bir boyut kazanmaya başladığı şeklinde yorumlanabilir.

Gelelim organizasyonla ilgili detaylara:

Poster için buraya tıklayınız.

Yer: Millî Reasürans Konferans Salonu
Tarih: 13-14 Mart 2012
Adres: Maçka cad. No:35 34367 Şişli İSTANBUL

Kimler katılmalı ve neden katılmalı sorularına cevap bulmak için resmi web sitesine buyurunuz.

Bilim ve Teknoloji Yüksek Kurulu Kararları Üzerine:

Bilim, Sanayi ve Teknoloji Bakanı Nihat Ergün, Başbakan Recep Tayyip Erdoğan başkanlığında 15.01.2013 tarihinde gerçekleştirilen Bilim ve Teknoloji Yüksek Kurulu'nun (BTYK) 25. toplantısında alınan kararların Bilişim sektöründe çalışan herkes tarafından sektöre ilişkin dinamikleri daha iyi okuyabilmek adına bilinmesi ve yorumlanması gerektiğini düşünüyorum. Gelecek vadede sektöre ilişkin çizilecek stratejilerde sektörde yer alan her aktör bir şekilde pozisyonunu almak durumunda kalacaktır. Bu açıdan alınan kararları okumak sektöre yönelik herkesin kendine düşen payı bilmesi açısından da önemsenmeli diye düşünüyorum.

Öncelikle Bilim ve Teknoloji Yüksek Kurulu'nun kimlerden oluştuğunu ve aldığı kararların ne kadar bağlayıcı olabileceğini değerlendirelim kısaca. Bilim ve Teknoloji Yüksek Kurulu, başbakanın başkanlığında, aralarında dört Başbakan Yardımcısının yanı sıra 10 Bakanın da bulunduğu 90’dan fazla üst düzey yetkilinin görev aldığı bir kuruldur. Ülkenin bilim ve teknoloji ile ilgili stratejilerinin belirlendiği, stratejilere ilişkin kararların alındığı bir kuruldur Bilim ve Teknoloji Yüksek Kurulu.

Gelelim kararlara...

Alınan kararlara tam metin olarak aşağıdaki listeden erişebilirsiniz.

·   Üstün Yetenekli Bireyler Stratejisi‘nin İzlenmesi [2013/101]

·   e-Devlet Organizasyonu Yönetim Modeli Çalışmalarının Yapılması [2013/102]

· e-Devlet Uygulamaları Hizmet Alımları için Firma Belgelendirme Sistemi Oluşturulması [2013/103]

·   Ulusal Veri Merkezi Çalışmalarının Yapılması [2013/104]

·   Kurumların İhtiyaç Duyduğu Paket Program Çözümlerinin Toplu Alım Yöntemi ile Tedarik Edilmesi [2013/105]

·   Sağlık Alanının Öncelikli Alan Olması [2013/106] 

Üstün Yetenekli Bireyler Stratejisinin izlenmesi kararına göre kurulun 19. toplantısında almış olduğu Üstün Yetenekli Bireyler Stratejisinin devamına karar verilmiştir. Karara göre ülkemizde üstün yetenekli bireylerin eğitiminin iyileştirilmesine yönelik olarak Milli Eğitim Bakanlığı koordinasyonunda hazırlanan önceki planın 2013-2017 yılları için de uygulanmasına karar verilmiştir. Bilim ve Teknolojinin ülkemizde gelişmesi adına üstün yetenekli bireylerin bilim ve teknoloji iş gücüne tam katılımının sağlanmasının önemsendiği yorumu bu karardan yapılabilir.
 

e-Devlet Organizasyonu Yönetim Modeli Çalışmaları kararına göre Ulusal Bilgi Toplumu Stratejileri doğrultusunda e-Devlet ile ilgili eylemlerin hedeflenen sürelerde hayata geçirilmesi için gerekli koordinasyonu sağlayabilecek, kamunun katılım ve sahiplenmesini de temin edecek üst seviye bir yapının oluşturulması kararlaştırılmıştır.  Son yıllarda kamu kurum ve kuruluşlarında e-Devlet dönüşüm projeleri kapsamında kat edilen mesafe malumunuzdur. Eskiden filmlerde gördüğümüz ve bizim ülkemizde ne zaman gerçekleşir ki acaba dediğimiz çoğu hizmet teknolojinin gelişmesi ve bilişim sektöründeki aktörlerin yetkinliklerinin artması ile gerçekleşmeye başlamıştır. Kurumsal sahiplenmenin de sağlanması adına her kurumda bu konuya ilişkin üst düzey bir temsilcinin belirlenmesi kararlaştırılmıştır. Bakanlıkların e-Devlet projelerindeki üst düzey danışmanlık ihtiyaçlarını karşılaması, kurumlar üstü ortak altyapı ve projelerde e-Devlet Koordinasyon Kuruluna teknoloji danışmanlığı sağlamak üzere teknik danışmanlık biriminin oluşturulmasına ve konuyla ilgili yetkin ve tecrübe sahibi kamu kaynaklı kurum ve kuruluşlardan destek alınmasına da ihtiyaç vardır şeklinde bir açıklama ile karar gerekçelendirilmiştir.
 

e-Devlet Uygulamaları Hizmet Alımları için Firma Belgelendirme Sistemi Oluşturulması kararına göre e-Devlet ihalelerine kabul edilecek firmalara yönelik Bilim, Sanayi ve Teknoloji Bakanlığı tarafından bir belgelendirme sisteminin oluşturulmasına, gerekli olması halinde ihtiyaç duyulacak olan mevzuatın oluşturulması kararlaştırılmıştır. Bu karara göre devlet kurumları kendilerine hizmet sunacak firmaları seçerken değerlendirmesi tek bir merkezden, ortak kriterlere göre yapılan belgelendirme sonuçlarını kullanabilecekler. Geçmişte ihale şartnamelerinde ön koşul olarak sunulan yeterlilikler, farklı otoriteler tarafından sağlanan farklı kıstaslarla değerlendirilen çeşitli sertifikasyonlardan ziyade ilgili bakanlık tarafından belirlenen ortak kıstaslara göre firmalar değerlendirileceği için yetkinlik ve yeterlilik değerlendirmesi anlamında ortak bir bakış ve değerlendirme süreci işletilebilecektir. Firmalar için oluşturulacak belgelendirme sistemi ile e-Devlet projelerinde ihtiyaç duyulan donanım, yazılım ve hizmet temini süreçlerinde kalite artışı sağlanacak olması kararın gerekçesi olarak sunulmaktadır.
 

Ulusal Veri Merkezi Çalışmalarının Yapılması kararına göre Kamu kurumlarının veri merkezlerinin birleştirilmesine yönelik hukuki, teknik ve idari yapılanma modelinin oluşturulmasına ve Türkiye Kamu Entegre Veri Merkezi’nin kurulması çalışmalarının yapılmasına karar verilmiştir. Her kurum tarafından kendi imkanları ile farklı özelliklerde gerçekleştirilen veri merkezi çalışmalarının ortaklaştırılması ve ortak bir veri merkezinin oluşturulması ile amaçlanan kurumların tek merkezden yönetilen, ortak kalitede bir veri merkezinden hizmet almalarını sağlamak, böylelikle hem ölçek ekonomisinden faydalanarak kurum maliyetlerinin düşürülmesini sağlamak, hem de veri merkezi işletim maliyetlerinden kurumları kurtarmanın amaçlandığı düşünülebilir. Buradaki maliyet sadece alt yapı maliyeti olarak algılanmamalıdır, veri yedekleme ve gerekli güvenlik alt yapısını sağlamada yetersiz kalıp, verilerini kaybedecek olan bir kurumun maliyetleri paranın ötesinde olabilir. Dünyadaki eğilimin de bu doğrultuda olduğu, gelişmiş ülkelerde de büyük hacimlerde veri merkezlerinin kurulduğu ve böylelikle hem alt yapı, hem de işletim maliyetlerinin düşürüldüğü ve siber saldırılara karşı daha güvenli bir yapının kurulup, işletilebildiği açıklaması ile karar gerekçelendirilmiştir. Kararı yorumlarsak gelecek vadede bahsi geçen veri merkezinin oluşturulması, işletilmesi, belki merkeze yönelik yazılım ürünlerinin tedarik edilmesine yönelik kamu ihtiyaçlarının doğacağı bir gerçek.

Kurumların İhtiyaç Duyduğu Paket Program Çözümlerinin Toplu Alım Yöntemi ile Tedarik Edilmesi kararına göre kamu kurum ve kuruluşları tarafından kullanımı tercih edilen ortak yazılım ürünlerinin tedariği sürecinin ortak bir şekilde işletilmesi kararlaştırılmıştır. Bu noktada kurumların ihtiyaçlarını ortaya koyan yazılım envanterinin oluşturulması ve toplu alım modelinin geliştirilerek gerek mükerrer yatırımların engellenmesi, gerekse maliyetlerin düşürülmesi hedeflenmektedir. Bu noktada bilişim sektöründe faaliyet gösteren müteşebbisler geliştirdikleri yazılımların envantere girebilmesi için hem ürün kalitelerini yüksek tutmak, hem de kamu kurumlarının ihtiyaçlarını daha yakından takip etmek durumunda kalacaklar, bu da uzun vadede sektörün gelişmesini tetikleyecektir diye düşünüyorum. Uluslar arası yazılım şirketleri ise alımlar tek merkezden olacağı için belki de satış operasyonlarını yeniden yapılandırmak durumunda kalacaklardır. 

Sağlık Alanının Öncelikli Alan Olması kararına göre AR-GE faaliyetlerinde sağlık alanı öncelikli alan olarak ilan edilmiştir. Gerekçe kısmında yapılan açıklama ile ülkemizin sağlık alanındaki ithalatının ihracatından oldukça yüksek olduğu, sağlık alanında gerçekleştirilecek AR-GE faaliyetleri ile ihracat rakamlarının artırılabileceği ve dengenin sağlanabileceği vurgulanmaktadır. Bu noktada devletten teşvik almayı düşünen girişimci arkadaşların sağlık alanına yönelik fikirler geliştirmelerini önerebilirim. 

Alınan kararları bilişim teknolojilerindeki aktörlerden, girişimci adaylarına, bilişim çalışanlarından, üniversite öğrencilerine genel bir kitlenin değerlendirmesi gerektiğini düşünüyorum. 

Özetle e-Devlet projeleri için üst düzey bir yönetim metodunun geliştirileceği ve projelerin kurum ölçeğinde sahiplenmesinin sağlanması adına oluşturulacak kurulun, kurumlar içerisinde üst düzeyde temsil edileceği, 

Oluşturulacak olan ulusal veri merkezi ile kurumların yükleri ve maliyetleri azaltılacak ve merkezi işletim sağlanacağı için kurumlar bireysel kaynaklarla veri merkezine yönelik bir işletim sağlama yükünden kurtulacaklardır. Girişimci ve sektörde faaliyet gösteren aktörler açısından okunabilecek ise oluşturulacak ulusal veri merkezine yönelik iş fırsatlarının doğabileceği ve sürecin yakından takip edilmesinin avantajlı olabileceğidir. 

Kurumların yazılım ihtiyacının büyük ihtimalle DMO gibi bir ortak kurum üzerinden sağlanması, kurumlar açısından gereksiz yatırımların önlenmesi ve daha uygun maliyetler ile ihtiyaçların giderilebilmesi imkanın sağlayacaktır. Girişimcilerin ilgili envanterde yerlerini alabilmeleri için belirli kalite standartlarını oluşturmaları ve envantere girebilmek adına gerekli süreci takip etmeleri gerekecektir diye düşünüyorum. Uluslar arası yazılım sağlayan güçlü firmaları ise ortak bir müzakere süreci beklemektedir. Belki de bu kuruluşlar satış operasyonlarını yeniden organize etmek durumunda kalacaklardır. 
 

Sağlık alanının yatırım yapılacak öncelikli alan olarak ilan edilmesi girişimci adayları tarafından doğru okunmalı, üzerinde düşündükleri inovatif fikirleri sağlık bilişim ya da sağlık teknolojileri alanın yönlendirmelerinin faydalı olabileceği şeklinde okunabilir.