DİKKAT! Amcanızdan size miras kaldı. Linkedin üzerinden Türk hesaplara yönelik yeni saldırı

Elimden geldiğince ve karşılaştıkça hem kendime not olması babında, hem de gerekli uyarıları paylaşmak adına internet üzerinden yapılan saldırıları paylaşmaya çalışırım. Malumunuz teknolojinin hayatımıza girmesi ile birlikte dolandırıcıların ve sizleri hedefleyen hırsızların yaklaşım ve metodları da her geçen gün değişiyor.

Linkedin hesabıma bu akşam üstü düşen bir mail bana iş teklifinde bulunuyordu. Önce hoşuma gitti, vay anasını sanırım uzmanlığım ya da yaptığım iş ile ilgili bir teklif geliyor diye heyecanlandım başlığı görünce, mesajın içeriğini de okuyunca acaba olabilir mi ki sorusunu bile sordum kendi kendime (Dolandırıcılar sosyal mühendislikte oldukça başarılı demek ki.)

Mail de bana Uluslararası bir bankada muhasebeci olarak çalıştığını belirtem bir kişi, benimle aynı soyadını paylaşan bir müşterisinin, Fransadaki bir tatilde vefat ettiğini, çekirdek ailenin kazada öldüğünü vefat ettiğini, bahsi geçen müşterinin bankada hatırı sayılır tutarda parasının olduğunu, Türk makamları ile görüşme yaptıklarını fakat Türkiye'den akrabalarına ulaşamadıklarını, bu paranın akraba bulunmaması dahilinde İngiliz devletine kalacağını, müşterisinin benimle aynı soyadını taşıdığı için teklifi kabul etmem dahilinde yapacağı yönlendirmeler ve şahitlik ile paranın hesabıma gönderilebileceğini, bunun İngiliz yasaları açısından bir suç unsuru olmadığını, parayı yarı yarıya paylaşmanın oldukça adil olabileceğini, kendisinin dindar bir kişi olduğunu ve iletişimi olabildiğince gizli ilerletmemizin önemli olduğunu paylaşıyordu. Güvenilirliği sağlamak adına da size pasaportumun taranmış halini gönderebilirim diyordu. Anahtar kelimeler üzerinden yaptığım bir kaç google araması ile yöntemin bir sahtekarlık olduğunu, irtibata devam edilmesi sonrasında kişilerin sizden avukat masrafları ve danışmanlık için ortak ödeyeceğinizi iddia ettiği paralar talep ettiğini, vaad edilen yüzlerce milyon pound tutarların yanında istenilen bir kaç bin pound tutarın bazı insanları kandırma konusunda başarıya ulaşabileceği belirtiliyordu..

Dolandırıcılık yöntemini yapan kişiler ile mail trafiğini yürüten bazı kişilerin ısrarla SKYPE üzerinden görüşme taleplerinin red edildiği, telefon görüşmesi yapabilen birisinin ise kişilerin İngilizceyi aksanlı konuştuklarını paylaştığı bir kaç ileti okudum.

Gördüğüm kadarı ile şu sıralar özellikle Linkedin üzerindeki Türk kullanıcıları hedefliyorlar ve listeyi kar topu gibi her geçen gün büyütüyorlar. Siz de ortak arkadaşlarınızdan yola çıkarak, paylaşılmış dolu (Manchester Üniversiteleri, MBA'ler, iş tecrübeleri) fakat düzmece bilgilere de kanarak acaba aynı sektörde olduğumuz için mi ekledi ki düşüncesi ile ekleme talebini olumlu karşılıyorsunuz. Siz kabul ettikçe de hem avlarına ulaşma olasılıkları hem de avlarının sayısı oldukça artıyor. Saldırı yapılan hesaptan bana 2 gün önce ekleme talebi gelmişti.

Baktığım zaman 200'ün üzerindeki arkadaş listesinin çoğu Türkiyede finans sektöründe çalışan insanlardan oluşuyor. Tahminim aynı maili uydurduğu müşteri isimleri ile bir sürü kişiye gönderiyorlar. Bu noktada size gelebilecek bu tarz mesajlara itibar etmeyiniz lütfen. Kişiyi Linkedin yönetimine spam olarak bildiriniz.

Saldırı esnasında kullanılan hesaplar kendilerini İngiliz olarak gösteriyorlar. İngilterede yer alan Arap kökenli banka şubelerinde çalıştıklarını belirtiyorlar. Saldırıların bir çoğunda düzmece akraba trafik kazasında ölmüş, Irak'ta olduğu söylenen bir düzmece akrabanın ise evi bombalanmış.

Aslında yazışmayı devam ettirmek ve tecrübeleri blog olarak paylaşmayı düşündüm ve hatta isterdim de ama fazlasıyla zaman kaybı olacağı aşikar.

Bu yöntemi sizlerle paylaşmak, gerekli uyarıları yapmak adına bu yazıyı kaleme alıyorum. Gerçi gördüğüm kadarı ile Linkedin listemden hedefledikleri kişilerin büyük çoğunluğu bankalarda denetçi ya da IT tarafı teknik çalışanları, yüzlerce benzeri örneklerin yaşandığı ülkemizde benzeri olaylara çokça tanıklık ettiklerine ve bu basit oyuna gelmeyeceklerine eminim. Yine de bu tarz ağa takılan kişilerin bir anlık boşluk ile saldırılarda avlandıkları düşünüldüğünde paylaşmanın faydalı olacağı kanısındayım.

V. Bilgi Teknolojileri Yönetişim ve Denetim Konferansı yaklaşıyor.

Türkiye'de Bilgi Teknolojileri Yönetişim ve Denetim alanında,  farklı sektör ve çeşitli pozisyonlarda çalışan profesyonellerin bir araya geldiği; Bilgi Teknolojileri alanında yönetişim, risk ve uyumluluk konularındaki güncel konuların tartışıldığı etkinliklerin ikincisi hariç hepsine katılma fırsatım olmuştu. Hatta gönül rahatlığı ile söyleyebilirim ki kariyerime denetim alanında yön vermeme bu konferansların etkisi büyüktür.

Bu yazımda konferans serisinin gelişimini ve çeşitli paydaşlar açısından önemini değerlendirmeye çalışacağım.

Konferansların ilki Ankarada 2-3 Aralık 2010 tarihlerinde geniş bir katılım ile gerçekleştirilmiştir. Ankarada olmasının da etkisiyle kamu kurum ve kuruluşlarında Bilgi Teknolojileri profesyonelleri yanı sıra özel sektör temsilcilerinin de bulunduğu etkinliklerde BT Yönetişim ve Denetim açısından kamu kurumları ve bankalar, BT Yönetişim ve Denetiminde son gelişmeler, İç denetim ve Bilgi Teknolojileri arasındaki ilişkiler, bağımsız denetim kuruluşları ve Bilgi Teknolojileri Denetimi konuları detayları ile ele alınmış, ValIT, COBIT, ITIL, ISO27001 ve BS25999 çerçeve ve standartların alanında uzman kişiler tarafından tanıtımı yapılmıştır.

Sonraki seriler İstanbulda gerçekleştirilmiş, etkinliklerin İstanbula alınması ve ülkemizde Bilgi Teknolojileri Yönetişim ve Denetim faaliyetlerinin finans sektörünün öncü olması sebebiyle bankalar başta olmak üzere sigorta, belediyeler, üniversiteler, telekominikasyon şirketleri ve kamu kurum ve kuruluşlarından geniş yelpazede bir katılım gerçekleşmiştir. Alandaki temel gelişmelere ek olarak, Bilgi Teknolojileri Yönetim ve Yönetişimine yönelik fayda sağlayacak her konu etkinliklerde tartışılmıştır. Standart ve çerçevelerdeki son değişiklikler, değişikliklerin etkileri, alana yönelik sertifikasyon süreçleri ve kariyer olanakları hatta ve hatta BT Denetçilerine yönelik sosyal beceriler konuları dahi etkinliklerde masaya yatırılmıştır. Etkinliklerdeki katılımcı ve konulara ilişkin detaylı bilgiyi http://www.btyd.org.tr adresinde bulabilirsiniz.

Etkinliklerin kuşkusuz en önemli yanı Bilgi Teknolojileri alanında faaliyet gösteren profesyonelleri bir araya getirmesi ve geniş bir etkileşim ortamı sunmasıdır. Katıldığım etkinliklerde kariyer planımda bana katkı sağlayan, sektörü ve sektör dinamiklerini öğrenmeme yardımcı olan, bilgi ve tecrübelerinden istifade ettiğim ve şu anda ISACA İstanbul çatısı altında çalışma fırsatı bulduğum değerli isimlerle tanışma fırsatı bulmuştum.

Buradan hareketle yönetişim ve denetim profesyonellerin yanı sıra Bilgi Teknolojileri yönetim profesyonelleri, akademisyenler ve öğrenciler açısından etkinlikleri değerlendirmeyi faydalı görüyorum.

Gerek özel, gerek kamu kesiminde, Bilgi Teknolojileri yönetim ve işletim faaliyetlerinde görev alan profesyoneller açısından BT yönetim faaliyetlerinin iyileştirilmesini, güvenliğinin artırılmasını ve sürekliliğinin sağlanmasını amaçlayan çeşitli standart ve çerçevelerin çeşitli sektörlerdeki uygulamalarının ve konulara ilişkin son gelişmelerin etkinliklerde paylaşılmasının ilgili profesyonellerin kendi uygulamalarını değerlendirebilmeleri, gelişmelere göre yön haritalarını belirleyebilmeleri noktasında etkinliklerin faydalı olduğunu düşünüyorum. Bunun yanında denetim açısından nasıl bir bakış ile değerlendirildiklerini bilmeleri faaliyetlerinde iyileşmeye yönelik aksiyon almalarında yönlendirici etkiye sahip olacaktır.

Akademisyenler açısından değerlendirildiği zaman alana ilgi duyan akademisyenlerin çalışmalarında ortak çalışabilecekleri uygulayıcılar ile bir araya geldikleri bir ortam oluşturuluyor. Uygulayıcıların gerek örnek uygulamalar, gerekse sektörü ilgilendiren gelişmelere yönelik paylaşımlarının alandaki akademik çalışmalar açısından önemli girdi üretebileceğini hatta ve hatta akademisyenlerin profesyoneller ile gelecekte gerçekleştirebilecekleri ortak çalışmalara zemin hazırlanabilecek bir ortam oluşturuluyor.

Öğrenciler açısından ise sektörü, uygulamalarını daha yakından tanıyabilmeleri, gelecekte kariyerlerine yön verebilmeleri açısından eşsiz bir etkileşim ortamı oluşturuluyor.

BTYD'yi geneli ile değerlendirmek gerekirse 2010 yılında başlayan etkinliklerin sektör ve faaliyet alanı açısından katılımcı çeşitliliğinin ulusal düzeyde bir etkinlikten uluslararası düzeye doğru yön aldığını söylemek yanlış olmayacaktır.

Türkiye'nin önemli kamu kurum ve kuruluşları yanı sıra alanla ilgili dernekler tarafından desteklenen, bu yıl 6-7 Mart 2014 tarihleri arasında İstanbulda gerçekleştirilecek etkinliğe yönelik detay bilgi için http://www.btyd.org.tr adresini ziyaret edebilirsiniz.

 

COBIT 5 Enabling Process Türkçe yayınlandı.

ISACA İstanbul Chapter bünyesinde Kaya Kazmirci başkanlığında birbirinden değerli katılımcılar ile birlikte yürütülen çalışmalar sonucunda üretilen COBIT 5 Enabling Process Türkçe çevirisi ISACA web sitesinde yayınlandı.

Tanıtım yazısı:

COBIT 5, kurumsal BT yönetişim ve yönetimi için kapsayıcı iş ve yönetim çerçevesidir. Bu cilt, COBIT 5’in 5 prensibini belgelemekte ve çerçeveyi oluşturan 7 destekleyici gerçekleştiriciyi tanımlamaktadır.
Bu dokümanı kurum liderleriniz, takım üyeleriniz, müşterileriniz ve/veya danışmanlarınız ile paylaşmanızı teşvik ediyoruz. COBIT, kurumların değeri maksimuma çıkarmasını ve 21. Yüzyılın para birimi haline gelen bilginin ilişkili riskini minimuma indirmesini sağlar. COBIT 5, herhangi bir kurumun, bilgi ve teknolojinin yönetişim ve yönetimi ile bağlantılı kritik iş sorunlarını etkili bir şekilde adreslemesine yardımcı olabilen dünya çapında kabul gören prensipler, uygulamalar, analitik araçlar ve modellerin kapsamlı bir çerçevesidir.

Rehbere ulaşmak için tıklayınız!

 

Strategy, COBIT and Vision; Mr. Ken Vander Wal

16 Kasım 2013 tarihinde ISACA Ankara Chapter tarafından düzenlenen, ISACA International Eski Başkanı Mr. Ken Vander Wal’ın Strategy, COBIT and Vision isimli sunumuna ilişkin genel notları, sunumun kendisini ve etkinliğe ilişkin düşüncelerimi bu blog yazısında bulabilirsiniz.

Mr. Ken Vander Wal sunumunda öncelikle BT (Bilgi Teknolojileri) alanındaki hızlı değişimden ve geçmişten günümüze bu hızlı dönüşümün gerek yönetim, gerekse yönetişim anlamında ne gibi etkileri olduğundan bahsetti. Bu noktada BT Denetimin önemini vurguladıktan sonra ISACA’ya ilişkin bilgilendirici bir sunum yaptı. ISACA’nın değişen BT alanındaki önemli rolünü, ISACAnın yapısını, vizyon ve misyonunu katılımcılara aktardıktan sonra Bilgi Teknolojileri Yönetişim çerçevesi olan COBIT5’e yönelik genel bir tanıtım yaptı. Bundan sonrası için ise ISACA 2022 Stratejisini, stratejiye yönelik gelecek vadedeki aksiyonları paylaştığı sunumu buradan edinebilirsiniz.

Sunuma ilişkin notlar şu şekildedir:

Bilgi Teknolojileri dünyasında performans ve kapasite metrikleri hesaplama (computing) 18 ayda, iletişim (Communication) anlamında 9 ayda, depolama kapasitesi (disk capacity) olarak 12 ayda ikiye katlanmaktadır. Sosyal medya mecralarının gelişmesi ile birlikte oluşturulan içeriklerin her geçen gün yüksek ivme ile arttığı da önemli bir gerçek. Dolayısıyla bu hızlı değişime uyum sağlayabilmek adına kurum ve kuruluşların Bilgi Teknolojileri alanlarındaki yatırımları her geçen gün artmaktadır. Gartner raporuna göre 2014 yılına yönelik Dünya genelinde toplam 3,881 Trilyon Dolarlık bir yatırım beklentisinden bahsedilmektedir. 2012 yılında gerçekleşen rakam ise 3,588 Trilyon Dolar. 2020’nin sonlarında Bilgi Teknolojileri harcamalarının %90’nına yakın bir oranda dış kaynak kullanımına yöneleceği, Big Data kullanım ve yönetimine ilişkin yeni iş alanları yaratılacağı, 2016 yılında 1,6 Milyardan fazla mobil cihaz satılacağı, beş yıl içerisinde ise BT güvenliğine yönelik harcamaların %56 oranında artacağı ve yasal mevzuatın bu artışa yönelik temel nedenlerden birisi olacağı aynı araştırmada ön görülmektedir. 

BT alanındaki hızlı değişim, artan yatırımlar, dış kaynak kullanımına yönelim, yeni yaklaşımların gelmesi ve bu yaklaşımlara ilişkin yeni iş alanlarının oluşması, mobil cihaz kullanımının yaygınlaşması ve gelecek vadede bilgi güvenliğine ilişkin yatırımların artacak olması beraberinde önemli fırsatları getirirken yönetilmesi gereken risklerin sayısını ve mahiyetini de artırıyor. Bu noktada sadece Bilgi Teknolojileri alanında faaliyet gösteren kurumlarda değil, bütün kurumlarda Bilgi Teknolojilerinin yönetim ve yönetişim faaliyetlerinin aktif olarak yürütülmesi, gelişmiş denetim ve Güvenlik yaklaşımlarının sağlanması ihtiyacı doğuyor.

Geçmiş dönemlerde öncelikli olarak denetim alanına odaklanan ISACA yaklaşımı günümüzde yönetim ve yönetişim alanlarına doğru genişlemiştir. Bu genişleme beraberinde geçmişte sadece BT denetçilerinden oluşan üyelere risk yöneticilerinin, uyum sorumlusu personellerin, bilgi güvenliği, BT kontrol ve BT Yönetişim alanlarıında çalışan profesyonellerin eklenmesini; denetime odaklanan CISA sertifikasına ek olarak güvenliğe yönelik CISM, yönetişime yönelik CGEIT ve riske yönelik CRISC sertifikalarınn eklenmesine ve 92 yılında 7.504 olan üye sayısının 2012 yılında 110.338 sayısına ulaşmasını getirmiştir. Günümüzde ISACA Dünya genelinde 200 chaptera ulaşmış, 80’den fazla ülkede faaliyet gösteren bir kuruluştur.

ISACA’nın vizyonu (“Trust in, and value from, information systems”) Bilgi sistemlerinden yüksek derecede fayda elde edilmesi, bu faydayı elde ederken de bilgi sistemlerine yönelik güven ortamının sağlanmasıdır.

ISACA’nın misyonu ise profesyoneller ve organizasyonlar için bilgi sistemleri, uyum ve güvenlik, BT yönetişim, BT ile alakalı riskler ve uyum konularında Dünyanın lider bilgi birikimi, sertifikasyon, kişisel networking ve eğitim imkanları sağlayan kuruluşu olmak. (İngilizcesi: For professionals and organizations be the leading global provider of knowledge, certifications, community, advocacy and education on information systems, assurance and security, enterprise governance of IT, and IT-related risk and compliance”)

Bu noktada ISACA standartları, rehberleri, sureli yayınları ve blog yazılarında BT yönetişim, risk ve kontrol profesyonellerinin istifade edebileceği kaynaklar oluşturulmakta, sayısı 200’ü bulan chapterlarda bahsi geçen alanlarda çalışan personellerin bir araya geleceği etkinlikler ve çalışmalar düzenlenmekte, profesyonellerin yetkinliklerine göre sertifikalandırılmaları sağlanmaktadır. CPE modeli ile de sertifika sahibi profesyonellerin güncel kalmaları teşvik edilmektedir.

BT Değer faktörleri konusuna değinen Wal, İş ihtiyaçlarının Kurumsal Bilgi oluşturulurken kullanılan BT kaynaklarına yatırımı tetiklediğini, İş gereksinimlerini döngüsel olarak oluşturan BT proseslerinin de sunulan kurumsal bilgi ile oluşturulduğunu vurgulamıştır.

Özellikle vizyonda yer alan fayda ve güven konularını detayı ile açtığı sunumunda BT’nin yeni Teknolojileri uygulamadan ziyade IT kaynaklı değişim ile değer yarattığı konusunu işaret etmiştir. Değeri ise göze alınan riskler ve maliyet sonrası kalan fayda olarak nitelendirmiştir. Güveni ise davet ettiği bir katılımcı ile yaptığı bir uygulama ile göstermiş, arkasını dönen dinleyiciden kendisini geri geriye bırakmasını istemiş, dinleyici düşmeden once tutmuş ve dinleyiciden tutacağına dair güvene sahip olduğu dönüşünü almıştır. İş birimlerinin asıl işlerine odaklanarak, bilgi sistemlerinden kendilerine sağlanan hizmetlere güven duyarak daha çok değer üretilebilineceğinden, bilgi sistemlerine güven ortamlarının sağlanması noktasında risk, iç kontrol ve denetim birimlerinin öneminden bahsetmiştir.

Güven değerin yaratılması için gereken ortamı sağlarken, değer güven beklentisi üzerinden vücut bulmakta, güvence verme ise bu iki unsur arasındaki ilişkiyi kurmaktadır. (Sunum Sayfa-15)

 COBIT 5’e ilişkin genel bir tanıtımın yapıldığı sunumda, COBIT çerçevesinin BT denetim odağından BT Yönetişime doğru evrildiği paylaşılmıştır. İlk sürümleri denetim kontrolleri üzerinde yoğunlaşırken, günümüzde COBIT kurum içi BT yönetişimin sağlanması için yol göstermektedir.

COBIT 5 Enabler rehberlerinin yanı sıra Bilgi Güvenliği, Güvence ve Risk Profesyonellerine yönelik profesyonel rehberlerden oluşmaktadır.

COBIT5 fayda, risk ve kaynak tüketimi arasındaki dengeyi kurarak optimal seviyede değer yaratılmasını sağlamaktadır. BT ve alakalı teknolojilere ilişkin yönetim ve yönetişimin sağlanmasına rehberlik etmektedir. Bunu genele uygun, jenerik ilkeler ve enablerlar ile yapmaktadır. Bu noktada COBIT 5’in dayandığı 5 prensip vardır; paydaşların ihtiyaçlarını karşılamak, bütün kurumu baştan uca kapsamak, tek bütünleşik bir çerçeve oluşturmak, bütünsel bir yaklaşım sergilemek ve yönetim ile yönetişimi ayırmak. COBIT 5 temel alan ve 37 süreçten oluşmaktadır.

Gelecek vadede COBIT 5’in sektörlere yönelik rehberlerinin çıkarılmasının hedeflendiğinin paylaşıldığı sunumda ISACA’nın strateji haritası üzerinde ISACA’nın 2022 stratejisi katılımcılar ile paylaşılmıştır. Bu bağlamda paydaş ihtiyaçlarına yönelik olarak siber Güvenlik ve kişisel bilgilerin güvenliği konusuna eğilineceği, BT alanındaki trendlere göre ihtiyaçlara uygun hizmetlerin sağlanacağı belirtilmiştir. Gelecekte ISACA değerini artırmaya yönelik olarak vizyoner yaklaşımının COBIT’in alakalı dokümanları ile iş ve BT entegrasyonu artırarak sağlamayı amaçlamaktadır.

Mr. Ken Vander Wal’ın sunumu Türkiye’de İstanbul Chapterdan sonra yaklaşık 1,5 yıl öncesinde kurulan Ankara Chapter üyelerine ve Ankara ikamet eden konuya ilgili katılımcılara ISACA, COBIT5 ve ISACA’nın gelecek yönünü aktarmak yönünden faydalı bir sunumdu. Katılımcılar arasında kamu kesimi başta olmak üzere özel sektörden bilişim alanında faaliyet gösteren yöneticilerin olması da Bilgi Teknolojileri Denetimine yönelik ilginin her geçen gün arttığını açıkca göstermektedir.

CISA (Certified Information Systems Auditor) Sertifika sınavına nasıl hazırlanmalı?

14.11.2016 tarihli güncelleme: Sınavın uygulanmasında, soru sayısında, Domain ağırlıklarında değişiklikler mevcuttur. Bütün değişiklikleri değerlendirdiğim ve paylaştığım yazıma buradan ulaşabilirsiniz. Sınava hazırlanmak ile ilgili önerilerimi okuduktan sonra güncel bilgiler için güncel yazıma göz atmanızı öneririm.

Geçenlerde ISACA İstanbul’da CISA Hazırlık Eğitimine ilişkin gelen bir mail Eylül 2013 ayında yapılan CISA Sınavına ilişkin tecrübe ve anılarımı hatırlamama vesile oldu. Bu sebeple uzun zamandır aklımda olan sertifika sınavına hazırlanma ve sertifikasyon sürecine ilişkin blog yazımı yazmaya karar verdim. 2013 yılı için 14 Aralıkta yapılacak sınava ilişkin hazırlık eğitimine ilişkin detayları buradan bulabilirsiniz.

Bu yazıyı okuyorsanız şayet yüksek olasılıkla sertifikayı almaya adaysınız. Muhtemelen de bankacılık ve finans sektöründe denetim, risk ya da iç kontrol alanlarından birisinde çalışıyorsunuzdur. Gerçi artık çoğu sektörde BT Denetim yüksek öneme sahip fakat Bankacılık Finans sektöründe yasal mevzuatla da bir adım önde olduğunu söylemekte fayda var. Faydalı olması düşüncesi ile yazıda süreci detayı ile anlatmaya çalışacağım.

Öncelikle sınav artık yılda 3 kere yapılıyor. Eskiden Haziran ve Aralık aylarında yapılan sınavlara ek olarak bir de Eylül ayları eklendi. Tek bir farkla Eylül ayında rutin zamanda yapılan lokasyonların hepsinde yapılmıyor sınav, liste ise ISACA International web sayfasında yayınlanıyor. İyi haber bu listede İstanbulun olması. J

Öncelikle kendinizi hazır hissettiğiniz ve iş yükünüze göre çalışmak için zaman ayırabileceğiniz oturumu belirleyin ve bu tarihe göre hazırlıklarınızı yapın derim. Sınava erken kayıt olmanız dahilinde erken kayıt imkanından yararlanıp, daha uygun bir ücretle kayıt gerçekleştirebiliyorsunuz. Kayıt işlemlerini web sitesi üzerinden gerçekleştirdikten sonra size detaylı bir mail ile bilgilendirme yapılıyor. Sınavdan yaklaşık bir ay öncesine kadar da sınava giriş belgeniz mail adresinize geliyor. Burada dikkat edilecek husus belgenin çıktısının sınav esnasında, resminizin yer aldığı bir kimlikle birlikte yanınızda olması. İki belgede de isimlerin aynı olması bir diğer önemli nokta. Sınav günü tecrübelerimi ayrıca paylaşacağım.

Sınavın yapısından bahsetmek gerekirse sınav 5 alandan oluşuyor. Bu alanların başarı puanınıza etki eden ağırlıkları farklı. Alanların isimleri ve ağırlıkları şu şekildedir.

Domain 1	The Process of Auditing Information Systems	%14
Domain 2	Governance and Management ıf IT	%14
Domain 3	Information Systems Acquisition, Development and Implementation	%19
Domain 4	Information Systems Operations, Maintanance and Support	%23
Domain 5	Protection of Information Assets	%30

 Görüleceği gibi neredeyse yarıdan fazla ağırlık 4. ve 5. Alanlarda. Teknik temelli bir denetçi olarak en sevdiğim alan Domain 5. Şifrelemelerdi, politikalardı okurken zaman nasıl geçiyor anlamıyorsunuz bile. Denetim tarafından geliyorsanız teorik anlamda öğrenmeniz gereken ciddi konular bu alanda sizi bekliyor.

Alanları hızlıca değerlendirirsek ilk domain bilgi teknolojilerin denetimine ilişkin genel kavramlar, yıllık denetim nasıl yapılır, yıllık planlama, denetim yaparken dikkat edilecek hususlardan tutun da denetim yöntemlerine kadar temel bilgileri içeriyorlar. Alanda yeni olan ve teknik temelli olan arkadaşların zorlandıkları kısımlardan birisi demek yanlış olmayacaktır. Teftiş kökenli üstadların ise normal teftişle örtüştüğü için zorlanmayacakları bir alan. İkinci alan ise COBIT 5’le birlikte de üzerinde önemle durulan yönetim ve yönetişim kavramlarını detaylandırıyor. Üçüncü kısım hizmet alımları, yazılım geliştirme süreçleri, uyarlamalarda denetim gibi konulara değiniyor. Domain 4 rutin operasyonlar, bakım ve destek faaliyetlerinin tanımları ve yapılacak denetimleri örnekliyor. Son alan ise Bilgi varlıklarının güvenliğine yönelik detaylı bir alan. Politikalar, güvenliğe yönelik teknoloji ve çözümler ve bu alanların denetlenmesine ilişkin başlıkları içeriyor. Güvenlik ilgi alanınız ise keyif alacaksınız.

 Gelelim çalışma kısmına. Herkesin çalışma alışkanlıkları ve öğrenme yöntemleri farklıdır elbette. Bu sebeple genel olacak hususları paylaşıyor olacağım. Bu sınava ilişkin bir gerçek ise bol okumanız ve çalışmanızın gerektiği. Sınava ilişkin ISACA kaynaklarının yanı sıra çeşitli kitap evlerinden yayınlanmış çeşitli kaynaklar da mevcuttur. Öncelikle ISACA kaynaklarını elbette öneririm. Dilini çok resmi buluyorum, örneklerle açıklanması daha işime gelir, zamanım da oldukça boldur diyebiliyorsanız diğer kaynaklara bakabilirsiniz. Fakat bu işin olmazsa olmazı CISA Review Manual 201X olacaktır sizin için. ISACA kaynaklarına şu adresten ulaşabilirsiniz.

ISACA kaynaklarını tanıtmak istersek CISA Review Manual öncelikle okumanız gereken kaynak. Mümkünse kavramları genel öğrenmek üzere okuduktan sonra ikinci gözden geçirme ile kavramları iyice oturtabilirsiniz. Bölümlerin sonundaki örnek sorular ile konuları pekiştirebilirsiniz.

İkinci önemli kaynak ise CISA Practice Question Database. Sınavın soru yapısına alışmak ve okuduğunuz konuları özümsemek adına önemli bir kaynak. Yukarıda bahsettiğimiz alanlara ilişkin 1200 civarında soru mevcut bu kaynakta. Sınava örnek olabilecek bir adet de 200 soruluk deneme sınavı. Sertifikasyona yönelik denetim mantığını daha iyi oturtmak adına şiddetle öneririm.

Bu kaynakların yanı sıra CISA Review Questions, Answers & Explanations 2013 Supplement yeni 100 adet sorunun yer aldığı örnek bir soru kitapçığı gibi düşünebilirsiniz. Ben çalışırken kullanmadım. Daha da çok soru çözmek istiyorum diyorsanız faydalı olacaktır eminim.

ISACA’nın resmi kaynaklarına ek olarak aklıma gelen David Cannon tarafından yazılan Study Guide. Şu ilk sayfasında Deniz Feneri resmi olan. 2011 yılında yazılmış bu kitabın üçüncü baskısına ulaşmak mümkün. Bu kitap Review Manual kadar faydalı olur mu derseniz örneklerle bazı konulara açıklık getiriyor kısmına katılırım. Bol vakti olanlar için ek kaynak olabilir diye düşünüyorum. Kavramları detayı ve bazı yerlerde örnekleri ile iyi açıklamaktadır. Bir de Peter H Gregory tarafından 2010 yılında yazılmış, McGraw Hill yayını olan All-in-one CISA Guide isimli bir kitap mevcut. Lakin benim pek inceleme ve bakma şansım olmamıştı.

Kendi imkanlarınızla çalıştığınız, domainleri oturttuğunuza emin olduktan sonra şiddetle tavsiye edebileceğim diğer bir uygulama ISACA İstanbul Chapter tarafından verilen CISA Hazırlık Kursları. 5 muhteşem gün sonrasında Kaya Kazmirci ve Murat Lostar kafanızda kalan soru işaretlerini ve kavram kargaşalarını bir çırpıda çöpe atıyor. 5 gün süren eğitimlerde 5 domaine hızlıca değiniliyor. Önemli ipuçları paylaşılıyor. Sorular üzerinden geçiliyor. Eğitim bittikten sonra farkını gerçekten anlıyorsunuz. Eksik olmasınlar bizi 5 gün boyunca en güzel şekliyle ağırladılar ve tecrübelerinden istifade etmemizi sağladılar. Bu eğitimleri ayrıcalıklı kılan ise bu iki değerli insanın sektör tecrübelerini paylaşmaları konuları birebir yaşadıkları örnek olaylar üzerinden somutlaştırmaları.

Sonrasında geldik çattık sınav gününe. Tatlı bir heyecan duyuyor insan. Eğitim sistemimiz gereği ömrümüz sınavlar ile geçse de CISA bir farklı. 4 saat ve 200 sorudan oluşan bir sınav. Tıpkı KPSS gibi soru kitapçıkları ve optik formlar üzerinden bizlerin yabancılık çekmeyeceği şekilde yapılıyor. Aynı salonda ISACA sertifika sınavlarının hepsi yapılıyor. Benim girdiğim sınav Kozyatağı'nda bir otelde yapılmıştı. Merkezden kulak tıkaçlarına kadar detaylar düşünülmüştü. Sınav esnasında makul sürelerde ihtiyaçlarınıza yönelik giriş çıkış yapabiliyorsunuz. Günümüzde Türkiyede yapılan sınavlardaki gibi her adaya potansiyel kopyacı muamelesi ile karşılaşmıyorsunuz. Rahat bir ortamda oluyor, bitiyor her şey.

Sınav bitince de ayrı bir evre başlıyor. Sonuçların açıklanmasını beklemek. Artık sınavların da sıklaşması ile birlikte sonuçların açıklanması tam 5 hafta alıyor. Size her alan için puanlarınızı içeren bir mail geliyor. Sonuç olumlu ise içiniz içinize sığmıyor, tadına doyum olmuyor J

Sınavı geçtiniz ya gerisi kolay. Sertifika sahibi olmak için toplamda beş yıl BT denetimi tecrübesine sahip olmanız gerekiyor. Lisans ve/veya Yüksek Lisans eğitiminin 2 yıl, üniversitede okutman olarak görev yapılmasının her hangi bir üst sınır olmaksızın her iki yıl başına 1 yıl, BT denetimi harici denetim tecrübesinin maksimum 1 yıl ikame etmesi ile toplamda beş yıl tecrübe dolduran CISA adaylarının başvuruları merkezi olarak değerlendiriliyor. İkameler değerlendirilirken adayın en az 2 yıl BT denetim, kontrol, risk ya da bilgi güvenliği alanlarında çalışması gerekiyor.

Doldurduğunuz bir form ile tecrübelerinizi kanıtlamanız ve incelemeye sunmanız gerekiyor. Formun incelenmesi ise maksimum 8 haftalık bir süreç.

Sertifikayı edindikten sonra ise CPE’ler ile sertifikayı yaşatmanız gerekiyor. Ömür boyu öğrenme ve sürekli yenilenme yaklaşımı ile katıldığınız aktiviteler, toplantılar, eğitimler, ISACA İstanbul tarafındaki çalışma gruplarındaki faaliyetleriniz CPE olarak değerlendiriliyor. Burada toplamanız gereken ise yıllık minimum 20 puan olmak üzere üç yıl için 120 puan. ISACA International sitesi üzerindeki webinarları dinleyip, 3-5 soruluk soru kağıtlarında başarı göstermeniz durumunda da CPE kazanıyorsunuz.

CISA sertifikasını farklı kılan ISACA şemsiyesi altında Dünya çapında Bilgi Teknolojileri Yönetişim ve Denetim alanında çalışan profesyonellerin bir araya getirerek oluşturdukları sinerji ve değerle sunulan sürekli yenilenme. ISACA üzerinden yayınlanan denetim rehberleri, makaleler ve standartlar sistematik çalışmanın ve on binlerce IT profesyonelinin deneyimlerinin ürünü. Dünyanın dört bir yanındaki chapterlarda profesyonellerin bir araya geldiği etkinlikler ve paylaşım ortamları ise cabası. CPE kazanmanın önemli bir yolu ISACA Chapterlar. İstanbul Chapter için buradan, Ankara Chapter için buradan lütfen.

Geneliyle anlattıktan ve konudan konuya bilgi paylaştıktan sonra özetlemek faydalı olacaktır. CISA’yı almanın ön koşulu olan sınavı geçmenin yolu sistematik çalışmak, bol bol okumak ve soru çözmek. En önemlisi ISACA’nın denetim mantığını iyice anlamak. Çünkü Türkiyedeki uygulamalar ve iş yaşamında karşılaştığınız örnekler ISACA’nın mantığı ile örtüşmediği noktada sizi yanıltabiliyor. Sınava giriyorsanız başarılar diliyorum. Umarım yazı faydalı olmuştur.

Kamu BT Denetim Rehberi Hakkında

         Maliye Bakanlığı İç Denetim Koordinasyon kurulu tarafından Dünya Bankasından sağlanan hibe kapsamında, Hazine Müsteşarlığı ve Sosyal Güvenlik Kurumunda yürütülen pilot bilgi teknolojileri denetimleri sonuçlarından da yararlanılarak “Kamu Bilgi Teknolojileri Denetimi Rehberi (TASLAK)” hazırlanmış ve Rehber Taslağına yönelik iç denetim birimlerinden gelecek görüşler sonucunda rehberin son şeklinin verileceğine ilişkin duyuru şurada yapılmıştır. Bu doğrultuda İç Denetim Birimleri Başkanlıklarından 22 Kasım 2013 tarihine kadar görüş istenmektedir.  

Kendi alanımla alakalı olduğu için dokümanı inceledim ve dokümana ilişkin hızlıca bir bilgi notu hazırladım; 

 

Doküman geneli ile ISACA çerçeveleri olan CobIT 4.1 ve COBIT 5 üzerinde şekillenmiş ve aşağıda listelenen standartlar, rehberlerin de katkısı sunularak tasarlanmıştır. Geneliyle diyorum çünkü dokümanın can alıcı noktaları olan kurum seviyesi yönetişim ile ilgili kontroller ve süreç seviyesi BT genel kontrolleri her iki çerçeve ile de birebir uyuşmaktadır.

IT Assurance Guide Using COBIT 4.1 (IT Governance Institute, 2007)

ITAF (ISACA, 2008)

ITAF 2nd Edition (ISACA, 2013)

ISACA Denetim Kılavuzları

The Institue of Internal Auditors – Guide to the Assessment of IT Risk (GAIT)

The Institue of Internal Auditors – Global Technology Audit Guides (GTAG)

The Institue of Internal Auditors – Uygulama Kılavuzları

Committee of Sponsoring Organizations of the Treadway Commission (COSO) – Enterprise Risk Management

ISO 2700x ailesi

Tübitak – Bilgem Kılavuzları

IT Infrastructure Library v3 (UK Cabinet Office, 2011)

ISO 22301 (International Standards Organization, 2012)

Dokümanın yapısı kontroller üzerine kurulmuştur. İkinci bölümde BT Denetim Metodolojisinin anlatıldığı rehberde, kontroller 4 temel başlıkta işlenmiştir. Kontroller, Kurum Seviyesi ve Yönetişim ile ilgili kontroller, Süreç Seviyesi BT Genel Kontrolleri, Uygulama Kontrolleri ve alt yapı seviyesi genel kontrolleri olmak üzere ayrı bölümlerde incelenmiş, her kontrol türüne göre riskler ve kontroller paylaşılmış, risklerle kontroller tablo şeklinde eşleştirilmiştir. Paylaşılan kontroller zorunlu ve isteğe bağlı(opsiyonel) kategoride ayrılmış, zorunlu olanların her kurumda ortak olduğu,İsteğe bağlı olanların ise kurum yapısına göre seçilebileceği vurgulanmıştır.

Bölümlerin Detaylı Başlıkları aşağıdaki gibidir:

3. BT KURUM SEVİYESİKONTROLLERİ VE YÖNETİŞİM SÜREÇLERİ DENETİMİ

3.1. KURUM SEVİYESİ KONTROLLER

3.2. BT YÖNETİŞİM SÜRECİ DENETİMİ

4. BİLGİ TEKNOLOJİLERİ YÖNETİM SÜREÇLERİ DENETİMİ

4.1. DEĞİŞİKLİK

4.2. GÜVENLİK HİZMETLERİ

4.3. YARDIM MASASI, OLAY VE PROBLEM YÖNETİMİ

4.4. BT OPERASYON VE YEDEKLEME

4.5. SÜREKLİLİK YÖNETİMİ

4.6. BT ALTYAPI VE YAZILIM EDİNİM, KURULUM VE BAKIMI

4.7. BT HİZMET

4.8. RİSK YÖNETİMİ

5. UYGULAMA KONTROLLERİNİN DENETİMİ

5.1. Uygulama kontrolleri

5.2. Uygulama kontrolleri – BT genel kontrolleri ilişkisi

6. BT ALTYAPI GENEL

6.1. İŞLETİM SİSTEMLERİ

6.2. VERİTABANI SİSTEMLERİ

6.3 AĞ SİSTEMLERİ

6.4. UZAKTAN ERİŞİM

Dokümanda kontrollerin detayı ile paylaşıldığı 4 bölüm incelendiğinde 3. ve 4. Bölümün COBIT süreçleri ile örtüştüğü, 5. Bölüme yönelik olarak uygulama kontrollerinin Kaynak veri hazırlığı ve yetkilendirme, Kaynak Verilerin Toplanması ve Girilmesi, Doğruluk, Tamlık ve Orijinallik Kontrolleri, Veriİşleme Bütünlüğü ve Doğrulaması, Çıktı Kontrolü, Mutabakatı ve Hata Yönetimi şeklinde verinin giriş, işlenme, saklanma ve çıkış aşamalarına yönelik kontrollerin paylaşıldığı görülmüştür. Ayrı bir alt bölüm içerisinde ise uygulama kontrolleri ile genel kontroller arasındaki ilişkiye değinilmiştir.

6. ve son bölümde ise sektörde yaygın olarak kullanılan işletim sistemleri olan UNIX ve WINDOWS’a ve piyasada yaygın olan VTYS olan MsSQL ve ORACLE veri tabanlarına yönelik olarak ürün bazlı kontrol noktaları paylaşılmıştır. Alt yapıya yönelik kontrollerin devamında ise üründen bağımsız olarak ağ sistemleri ve uzaktan erişime yönelik kontroller yer almaktadır.

UNIX’e yönelik olarak kontroller aşağıdaki yapı altında detaylandırılmıştır;

1. KullanıcıHesap Yönetimi ve Şifreler

2. KullanıcıGüvenlik Dosyalarına Erişim

3. Şifre ve Güvenlik Parametreleri

4. KullanıcıOturum Açma Girişimlerinin Gözden Geçirilmesi

WINDOWS’a yönelik olarak kontroller aşağıdaki yapı altında detaylandırılmıştır;

1. KullanıcıHesap Yönetimi ve Şifreler

2. Kritik Dosyalara Erişim

3. VarsayılanŞifre ve Güvenlik Parametreleri

MSSQL’e yönelik olarak kontroller aşağıdaki yapı altında detaylandırılmıştır;

     1. Varsayılan Kullanıcı Hesapları ve Şifreler

2. Kritik Dosyalara Erişim

3. Şifre ve Güvenlik Parametreleri

ORACLE’a yönelik olarak kontroller aşağıdaki yapı altında detaylandırılmıştır;

1. KullanıcıHesap Yönetimi ve Şifreler

2. Kritik Dosyalara Erişim

3. Şifre ve Güvenlik Parametreleri

Ağ Sistemlerine yönelik olarak kontroller aşağıdaki yapıaltında detaylandırılmıştır;

1. Ağayrıştırması (segmentasyon)

2. Ağ cihazları güvenliği

3. Güvenli iletişim

Ürün bazında detaylandırılan bu kontrol noktalarına ilişkin detaylı ekran görüntüleri, veri toplamaya yönelik komutlar ve script kodlarının rehber üzerinde yer aldığı görülmektedir.

Internet üzerinden erişimi mümkün, denetim esnasında yön gösterici olarak değerlendirilebilecek çeşitli kaynaklarda yer alan faydalı bilgilerin bir araya getirildiği bir rehber olarak değerlendirilebilir. Doküman üzerinde daha öncede açıklandığı gibi çeşitli standart ve rehberlerden bir harmanlama yapılmış. Özellikle uygulama kontrollerine yönelik rehberleri Tubitak Ulusal Bilgi Güvenliği Kapısı isimli web sitesinde paylaşılan rehberlerden faydalanıldığı görülmektedir. Alt başlıkların kaynakça bölümlerinde alt başlığın hangi süreçlerle ilişkilendirildiği paylaşılmıştır.

Dokümanın ilk bölümünde geneli ile BT denetim tanımları, BT denetime yönelik sertifikalar ve kısaca sertifikasyon sürecine ilişkin bilgiler verilmiştir. Sertifikalara bakıldığında CISA, CISM, CGEIT, CRISC sertifikalarından bahsedildiği görülmüştür.

Dokümanın Türkçe oluşu, geniş bir yelpazeden kontrol noktalarına kadar detay derecede hükümlerin belirlenmişolması, detay çizimler, görseller ve komutların paylaşılması kamu kesimindeki denetçiler tarafından benimsenmesini sağlayabilir. Bunun yanında kontrollerin detayına kadar rehberde yer alması, zorunluluk ve opsiyonellik bağlamında değerlendirilmesi dokümanın esnekliği anlamında olumsuz değerlendirilebileceği gibi, rehber üzerinde örnek bir modelin paylaşıldığı, kontrollerin önem derecesine göre zorunlu ve opsiyonelliğinin belirlendiği yorumu da yapılabilir.

Türkiye özelinde BT Denetim alanında Türkçe kaynak olabilmesi açısından ilkler arasında yer alacağını söylemek yanlış olmayacaktır. ISACA İstanbul tarafında CobIT 4.1'den COBIT 5'e geçiş aşamasında faydalı olabilecek dokümanlar ve COBIT 5'in Türkçe versiyonlarının da yakın gelecekte hazırlanacak olması Türkiye'de BT Denetim alanında Türkçe kaynak sayısının artması ve dolayısıyla BT Denetim sektörünün gelişmesi açısından önemlidir.

BDDK tarafından 2006 yılından itibaren yasal zemine oturtulan ve COBIT çerçevesinin referans edildiği Bilgi Teknolojileri Denetim faaliyetleri ilk olarak Bankacılık sektöründe başlamış ve günümüze kadar belirli bir olgunluk seviyesine gelmişti. Zamanla özellikle Bankaların iştiraki olan sigorta şirketleriyle başlayan BT Denetimi alanındaki faaliyetler yasal zorunluluk olmamasına rağmen neredeyse bütün sigorta kuruluşlarında icra edilir hale gelmiştir. Teknoloji hizmeti üreten büyük Telekominikasyon şirketlerinde de bu alanda faaliyet gösteren denetim birimleri ciddi çalışmalar yapmakta, kimilerinde ise sadece COBIT çerçevesi değil, ABD borsalarına kote olunması nedeniyle SOX kapsamında denetimler de yapılmaktadır. Otomotiv, Hızlı Tüketim, Tekstil, Enerji gibi farklı sektörlerden bazı önemli oyuncularda da BT Denetimi ve Yönetişimi alanında ekiplerin oluşturulması ve çeşitli faaliyetlerde bulunulması önemli bir noktadır.

Kamu tarafında hazırlanan bu rehber, BT Denetim konusunda Kamu kesiminin de konuya ilişkin ilgisinin yoğun olduğunu göstermektedir. Gelecek vadede ise kritik önemi dolayısıyla ilginin her geçen gün artacağı düşünülmektedir.

Artık hırsızlığın şekli de değişti: Facebook üzerinden avlanmayın.

Bir önceki yazımda KOBİ'lere bazı tavsiyelerde bulunmuş ve yaptıkları BT yatırımlarında güvenlik kalemini de planlamalarını önermiş, güvenlik yatırımlarının öneminden bahsetmiştik.

Bu gün ise sosyal medya araçlarındaki savunmasız kullanıcılara yönelik bir paylaşımım ve bir kaç önerim olacak.

Öncelikle açık hedef şeklinde olan ve şu an listemde canlı canlı yapılan bir saldırıyı da hızlıca paylaşalım, uyarımızı yapalım. Yazıyı akabinde hızlıca güncelleyeceğim.

Saldırganımız arkadaşınıza ait hesabı ele geçiriyor. Sonrasında size onun ağzından yazdığı mesajlar ile sizden kontör ya da mobil ödeme sistemi üzerinden para istiyor. Genel yalan ise aynı; yolda kaldım, zor durumdayım, konuşamam vs. Lütfen bu tarz bildirimlere itibar etmeyiniz, arkadaşınızın telefonu var ise sizde acil irtibat kurup, durumu onaylatınız.

Şu anki canlı saldırı ise hesabı çalınan bir arkadaşımın hesabı üzerinden mobil ödeme sistemi üzerinden fayda elde etme amacı taşıyor. Bizim örneğimizde size direkt bkal50 (50 kontör miktarıdır burada) yazıp, 7979'a gönderip, gelen pini bana gönderir misin canım, yok yarışma yok bilmem ne dedikleri zaman itibar etmeyiniz. Sonrasında Türk oyunu olan Metin2'de sizden aldığı ve sizin gsm operatörünüz üzerinden yaptığınız ödemeden elde ettiği puanları oyun içerisinde kullanıyor. Belki de oyun içerisinde kontörleri satıp, nakite çeviriyordur. PIN hali hazırda Personel Identification Number (Kişisel Tanılama Numarası) demektir ve her hangi bir sisteme erişim talebi yapan kişinin gerçekte hesaba sahip kişi olduğunu doğrulama amacı taşıyan, artık ilkel kalmış bir yöntemdir. Kişisel bilgileri de lütfen ama lütfen paylaşmayınız.

Burada düşündürücü olan ise oyun gibi eğlence amaçlı mecraların dahi hırsızların hedefi içerisinde olmaları, belki de karşımızdaki saldırgan oyun içerisinde aşırı hırslanmış bir ufaklıktır. Her ne olursa olsun karşımızda bir sebepsiz zenginleşme ve kandırma mevcut. Bunun teknoloji ile yapıldığı düşünülürse direkt dolandırıcılığa doğru gidiyor iş. Şahsın arkadaşımın kişisel haklarına verdiği zarar ve sızdığı sistemden kişiye verdiği zarar ise cabası.

Basit saldırganların en çok kullandıkları yöntem ve hırsızlık metodu bu dur. İnternet kafelere kurdukları keylogger tarzı programlarla, gizli soru tahmin yöntemleri ya da rastlantısal ele geçirdikleri şifrelerle bu saldırıları gerçekleştirerek olabildiğince gelir elde etmeye çalışırlar.

Daha önceki benzeri bir olayda ise facebook hesabı ele geçirilen başka bir arkadaşımın listesindeki insanlara sıradan onun ağzından yazarak kontör talep etmişler, kontörlerin şifrelerini almış, insanları maddi zarar uğratmışlardı. Facebook hesabına hacklenen mail adresi üzerinden gelmişler ve maalesef mail adresindeki maillerin de bir güzel yedeklerini almışlardı. Tahmin edersiniz ki gelen mail kutusu kredi kartı ekstreleri, faturalar ve kişisel bilgi içeren başka mailleri barındırıyordu.

Öneriler kısmına gelince:

1. Sosyal medya mecralarını kullanırken geliştiricisini bilmediğiniz uygulamaları kurmaktan kaçınınız. Facebook sizi kurduğunuz uygulamanın erişim yapabileceği bilgilere yönelik uyarmaktadır, uyarıları okumadan kabul etmeyiniz.
2. Facebook üzerine paylaşılan ve sizi bir dış bağlantıya yönlendiren web sayfalarına dikkat ediniz. Özellikle bu tarz sayfalara kişisel bilgi, mail adresi, hele hele şifre vs girmeyiniz.
3. Gelen linke tıkladıktan sonra sizi facebooktan çıktınız, şifrenizi tekrar giriniz tarzı uyarılara yönlendiren sayfalara dikkat ediniz. (Sizi kendi hazırladıkları tuzak sayfaya yönlendirip, şifrenizi alabilirler.)
4. Internet kafa ya da umuma açık yerlerden şifrenizi girerken dikkatli olunuz, sanal klavye kullanınız. Mümkünse hesaplarınıza bu tarz yerlerden girmeyin. Girdiyseniz de DeepFreeze tarzı uygulamaların olduğu ve her seferinde ayarların başa döndüğünden emin olunuz.
5. Şifrelerinizi internet üzerinden mail yoluyla vs paylaşmayınız. Çok özel durumlarda paylaşırsanız hemen değiştiriniz.
6. Facebook, twitter gibi hesapların güvenlik ayarlarını biraz kurcalayıp, güvenlik seviyesini artırınız. Facebookun bilgisayar tanımlama ekranları vs vardı, bunları aktifleştiriniz.
7. Bir mail adresinizi açamadığınız zaman şüphelenip, derhal mail adresinizle alakalı sosyal medya araçları hesaplarınızın ayarlarını değiştiriniz. Yeni bir mail adresi tanımlayınız.
8. Arkadaşlarınız ile konuşurken, sizden talepte bulundukları anlarda arkadaşınızı doğrulayınız. Telefon ile ulaşınız ya da özel bir kaç soru sorup, cevap isteyiniz.
9. Hesap şifrelerinizi belirli aralıklarla değiştiriniz.
10. Kafe, restoran gibi yerlerin kablosuz ağlarını kullanıyorsanız mümkünse internet bankacılığı gibi hizmetleri kullanmayınız. Korunmaya yönelik ayarları yapılmamış bir ağ üzerinden bilgileriniz alınabilir. Şifreleriniz okunabilir. Ben özellikle kafeleri çok tehlikeli buluyorum.

Bu örnekler ve öneriler artırılabilir. Burada önemli olan bizlerin farkındalığını artırmaktır. Hırsızların yöntemleri, beklentileri her geçen gün değişiyor. Eskiden direkt çantalara asılan hırsızlar artık kişisel bilgilerimizi ve mobil ödeme yöntemlerini hedef belirliyorlar. Ve dahada önemlisi saldırı yöntemlerini uygulamak için dahi olmak gerekmiyor.

Başkaları tarafındna tasarlanmış, güvenlik açıklarını bulup, sunan bir sürü hazır araç internet üzerinde mevcut. Geçenlerde modem üzerinden Whatsapp mesajlarını çözen aracı bile bir yerlerde görmüştüm. Canı sıkılan 15 yaşındaki bir çocuk dahi, güvenlik ayarları yapılmamış bir modem üzerine tuzak kurup, avlarını bekleyebilir. Çalıştırılan bilgisayarlarda geçmişte girilmiş şifreleri bulup, okuyan; ağ üzerinden şifre dinleyip çözen yazılımlar da cabası. Olağanüstü durumlar için tasarlanmış bu yazılımları kötü amaçlar için kullanan hırsızlar size özel ve gelir elde edebilecekleri bilgileri kullanabiliyorlar.

Günümüzde Facebook üzerinden banka şubeleri bile açılmışken, mobil ödeme sistemleri bu derece yaygınlaşmışken, cephe her geçen gün genişliyor iken biz kullanıcılara düşen sorumluluk dikkatli olmak ve şüphe içeren durumları yetkililer ile paylaşmaktır.

Güvenle kalın.