Siber Güvenlik alanında yeni bir soluk; karşınızda ISACA tarafından sunulan Cybersecurity Nexus

Cybersecurity Nexus, ISACA tarafından hazırlanan yeni bir güvenlik bilgi (knowledge) paylaşım platformu ve bilgi güvenliğine yönelik profesyonel bir programdır.

CSX profesyoneller için sunduğu eğitim ve sertifika programları gibi çeşitli materyaller ile bilgi güvenliğinin geleceğinin şekillenmesine yardımcı olmaktadır. ISACA’nın global düzeyde kabul edilmiş uzmanlığı ile CSX siber güvenlik profesyonellerine organizasyonlarını ve organizasyon varlıklarını daha güvenli tutabilmeleri için imkan sunmaktadır.

CSX ile liderler ve siber güvenlik uzmanları doğası gereği son derece hızlı değişen bilgi güvenliği sektöründe bilgiye, araçlara, rehberlere ve bağlantılara rahatlıkla erişim sağlayabileceklerdir.

Cybersecurity Nexus’a yönelik bazı sorular ve cevapları aşağıda bulabilirsiniz;

1.     ISACA tarafından siber güvenliğe ilişkin yapılan tanım nasıldır?

Siber güvenlik, günümüz koşullarında sürekli iletişim halinde olan bilgi sistemleri tarafından işlenen, saklanan ve iletilen bilgi varlıklarını bu varlıklara yönelik tehditleri adresleyerek korumaya ilişkin bir kavramdır.

2.     Cybersecurity Nexus nedir?

Cybersecurity Nexus, siber güvenlik profesyonelleri için kariyerlerinin her seviyesinde siber güvenlik kaynakları sağlayan, ISACA tarafından geliştirilmiş bir programdır. Programın Cybersecurity Nexus olarak anılmasının sebebi bilgi güvenliği profesyonellerinin eğitim, sertifikasyon, rehberlik, kariyer geliştirme ve topluluk olarak ihtiyaç duyacağı bilgilere merkezi bir alandan sunuluyor olmasıdır.

3.     ISACA Cybersecurity Nexus’u neden oluşturdu?

Dünya genelinde bilgi güvenliği alanında beceri seviyesi yüksek profesyonel anlamında sıkıntı yaşanmaktadır. The Enterprise Strategy Group tarafından yapılan bir araştırmaya göre kurumların yüzde 83’ü bilgi varlıklarının tam olarak korunmasına yönelik yeterli beceri seviyesine sahip profesyonel çalışana sahip olmadıklarını tespit etmiştir. ISACA Cybersecurity Nexus aracılığı ile gereksinim duyulan beceri krizine yönelik denetim, kontrol ve yönetişim alanında 45 yıldan fazla süredir edindiği tecrübe ile çözüm sunmaktadır.  

4.     Cybersecurity Necus kaynaklarına nasıl erişim sağlayabilirim?

http://www.isaca.org/cyber ziyaret edebilirsiniz.

5.     Cybersecurity Nexustan faydalanmak için maliyet nedir?

Yeni sertifikalar, konferanslara kayıt ve basılı yayınlar gibi unsurlar için belirli bedeller olmakla birlikte bir çok ISACA siber güvenlik kaynağı, Knowledge Center’da yer alan Siber güvenlik topluluğunda yer alanlar da dahil olmak üzere bilgi güvenliği ile alakalı makaleler ve seminerler ücretsiz olarak sunulmaktadır.

6.     Cybersecurity Nexus kaynaklarına erişim sağlayabilmek için ISACA üyesi olmak gerekli midir?

Hayır. Bunun yanında ISACA üyeleri sertifikalar, sertifikasyon, çalıştay, eğitim ve konferanslara kayıt ve basılı yayınlarda indirimlerden faydalanabilmektedirler.

7.     Cybersucirty Fundamentals Certificate nedir?

Cybersucirty Fundamentals Certificate kariyerini siber güvenlik üzerine kurmak isteyen yeni mezunlara yönelik bilgiye dayalı tasarlanmış bir sertifikadır. Sertifikayı elde etmek için adayların sınavı geçmeleri gerekmektedir. İlk sınav Eylül 2014 içerisinde Barselona’da yapılacak olan EuroCACS/ISRM konferansında gerçekleştirilecektir. Daha sonrasında ise online sınav yapılabilecektir. Sertifika National Institute of Standards and Technology (NIST) National Institute of Cybersecurity Education (NICE) and with the Skills Framework for the Information Age (SFIA) ile uyumlu olarak tasarlanmıştır. Sınavda dört alana yönelik sorular olacaktır; 1)sibergüvenlik mimarisi ilkeleri, 2)Networkler, sistemler, uygulamalar ve veriye yönelik sibergüvenlik, 3)Güvenlik Olaylarına müdahale, 4)Gelişen teknolojileri siber güvenliğe yönelik kullanma

8.     ISACA Cybersecurity Nexus programı ile yeni bir siber güvenlik sertifikası mı oluşturmaktadır?

Evet. ISACA hali hazırda güvenlik yönetimine yönelik CISM sertifikası sunmaktadır. Geliştirilmekte olan yeni sertifika uygulayıcı düzeyinde sunulacaktır. İlk sınav Haziran 2015’de yapılacaktır.

9.     ISACA üzerinden hangi siber güvenlik eğitimleri sunulmaktadır?

ISACA, 2014 yılı için EuroCACS/ISRM ve Güney America CACS çalıştaylarını sunmaktadır. Daha fazlası ise geliştirilmektedir.

10.   Siber güvenlik için hiç COBIT ile alakalı kaynak mevcut mudur?

Evet. “Transforming Cybersecurity Using COBIT 5” isimli rehber, COBIT 5 çerçevesi ve bileşenleri siber güvenliğe yönelik faaliyetleri sistematik olarak ele alınmasına yönelik yönlendirmeyi içermektedir.

Daha detaylı sorularınız olursa cevaplar için news@isaca.org mail adresini kullanabilirsiniz.

Bilgi Teknolojileri Denetimi Açısından Donanımlara Yönelik Denetim

Bilgi Teknolojileri denetçileri tarafından donanım ve donanım güvenliği üzerine gerçekleştirilen denetim faaliyetlerinin temel hedefi Bilgi Sistemleri Varlıklarının kaybolması, zarar görmesi ve her hangi bir sebeple iş süreç sahiplerine hizmet sağlayabilmesine engel oluşturacak durumlara karşı koruma sağlanmasına yönelik gerekli güvencenin verilmesidir. Donanım varlıkları çeşitli güvenlik tehditlerine karşı fiziksel korunma gerektirebilmektedir. Donanım varlıklarının çevresel bir zarara sebep olmadıklarından ya da çevresel bir zarardan etkilenmediklerinden emin olunması önemlidir. Kontroller ile yetkisiz veri erişimleri, yetkisiz ekipman çıkarılması ve yok edilmesi riskleri düşürülmektedir. Kontrollerin kapsamı güç sağlanması ve iletişim gibi destekleyici unsurların dahi güvence altına alınması şeklinde genişleyebilir.

Denetçi temelde aşağıdaki 4 hedef üzerine odaklanabilir;

1.       Varlıkların etkin ve etkili kullanımı

2.       Varlıkların korunması

3.       Varlıkların yetkiler dahilinde erişilebilirliği

4.       Donanımın bütünlüğüne yönelik bakım

Varlık Sınıflandırılması ve Kontrol

BT Denetçisi, organizasyon tarafından kullanılan çeşitli varlıklara ve bu varlıkların konum bilgilerine ilişkin fikir sahibi olmak adına Varlık Envanteri üzerinde inceleme yaparak denetime başlayabilir.

Envanter kayıtları varlıklara ilişkin hard-disk numarası, ana kart numarası ve konum bilgisi gibi detayları içermektedir. Her varlığa bir sahiplik ataması yapılmalıdır. Denetlenen organizasyonun işletilen bir varlık sınıflandırma rehberi olmalıdır. Varlık sınıflandırma, çok çeşitli olan varlıkların yönetilmesine ilişkin spesifik süreçlerin işletilmesine ve varlıkların korunmasına rehberlik etmektedir. Varlık ve bilgilerin ele alınması ve etiketlenmesi tanımlanmış sınıflandırma şemasına uygun yapılmalıdır.

Donanımlar böylelikle operasyonlara yönelik kritiklik seviyeleri ve iş açısından olan önceliklerine göre kategorize edilmektedirler. Burada önemli nokta varlığın mali değerinin kritiklik için kriter olamayacağıdır.  Kritikliğe karar vermenin yolu varlığın eksikliğinde hangi iş fonksiyonların etkileneceği, normal duruma dönülmesinin ne kadar süre alacağı ve iş fonksiyonlarının doğasının bu süreye tahammül durumunun değerlendirilmesinden geçmektedir. Kritik varlıkların kontrolleri üzerinde denetçi tarafından özellikle durulmalıdır.

Fiziksel Ekipman Yerleştirimi ve Korunması

Ekipman yerleştirim ve korunması, çevresel tehdit ve felaketlerden korunmayı ve yetkisiz erişimin kontrol altına alınmasını sağlamaktadır. Bir denetçi aşağıdaki sekiz hususu göz önünde bulundurmalıdır;

1.      Ekipman yerleşimi teknik çalışma alanlarına erişimi zorlaştırmalıdır. Örneğin sıcaklığı kontrol eden termostat ve sistem odasındaki klimalara sistem kaynaklarına erişim ihtiyacı olmayan personel sistem odalarına giriş sağlamadan kontrol sağlamalıdırlar.

2.      Hassas verileri barındıran varlıkların konum ve düzeni yetkisiz erişim ve yetki dışında takip riskini azaltacak şekilde olmalıdır.

3.      Özel korunma ihtiyacı olan varlıklar standart varlık koruma prosedürlerini kolay işletebilmek adına izole edilmelidir. Özel sıcaklık ve nem düzeyi gerektiren sunucu odası izole edilmeli ve özel alana özgü kontroller tesis edilmelidir (ısı, nem ölçüm ve takibi gibi.)

4.      Hırsızlık, yangın, patlama, duman, su, toz, deprem, kimyasal madde, elektrik ve elektromanyetik parazit ve benzeri tehditlerden kaynaklanabilecek kayıplar yeterli kontroller ile minimize edilmelidir.

5.       İlgili alanlarda yeme, içme, sigara içmek yasaklanmalı; ihlaller cezai yaptırıma bağlanmalıdır.

6.      Varlıklar üzerinde potansiyel etkiye sahip olabilecek çevresel değişiklikler erken uyarı sistemini içerecek şekilde yakından izlenmelidir.

7.      Komşu binalardan kaynaklanabilecek felaket etkileri, çatıdan gelebilecek su sızması gibi riskler değerlendirilmelidir.

8.      Komşu yerleşkelerden olabilecek erişim olasılığı değerlendirilmelidir. Örneğin, bankalara erişim için yan binalardan kazılan tünel örnekleri filmlerde çok işlenmektedir. Ağ bağlantıları için kullanılan varlıklar kolay erişime imkan sağlıyorsa, datanın kesimi riski mevcuttur.

Güç Kaynakları

Düzenli olmayan güç tesisinden kaynaklanabilecek risklerden ekipmanları koruyabilecek bir sistem var olmalıdır.  Denetçi aşağıdaki 7 hususu değerlendirmelidir;

1.      Güç kaynağının sürekliliğinin sağlanması için yedek elektrik hattı, UPS ve jeneratörler gibi birden fazla kaynaktan beslenmeyi sağlayacak önlemlerin varlığı,

2.      Güç kesintisi anında alınacak aksiyonların tanımlandığı Acil Eylem Planı Varlığı ( Contigency Plan)

3.      UPSlerin ihtiyaç dahilinde gerekebilecek enerjiyi sağlamaya yönelik kapasiteye sahip olma durumlarının belirli aralıklarla kontrol edilmesi,

4.      Jeneratörlerin düzenli olarak test edilmesi,(Gerekebilecek akaryakıtın varlığına özellikle dikkat edilmesi gerekmektedir.  Akaryakıt seviyesi düzenli olarak takip edilmediği zaman, ihtiyaç durumu oluştuğunda yakıt yetersizliği iş kesintilerine sebebiyet verebilir)

5.      Gerekmesi durumunda acil güç kapatılması için güç şartellerine kolay erişim sağlanmalıdır. Acil durum güç kapama şartelinin acil durum çıkış güzergahı üzerinde tasarlanmaması en yaygın yapılan hatadır. Bu tasarım, acil durum tahliyesi durumunda önemli zaman tasarrufuna imkan sağlamaktadır.

6.      Yıldırıma yönelik güç ve iletişim hatlarına yönelik olarak binanın yeterli korumaya sahip olma durumu,

7.      Güç ve iletişim hatlarının korunmasına yönelik planların varlığı,

Kablolama Güvenliği

Denetim içerisinde güç ve iletişim hatlarının kesinti ve zarar görmeye karşı korunmasına yönelik önlemler değerlendirilmelidir. Aşağıdaki kontroller değerlendirilebilir;

1.      Güç ve veri iletim hatları eksiksiz korunmalıdır. Yer altında ve korunaklı olarak konuşlandırılmalıdır.

2.     Kötü niyetli fiziksel kesinti ve zararlara karşı network kabloları korunacak şekilde tasarlanmalıdır. Kamuya açık alanlardan kablo geçişlerine özellikle dikkat edilmelidir.

3.       Enerji ve data iletim hatlarının ayrı tutulması gerekmektedir.

4.      Korunaklı kabinler ve/veya kilitli odalar ile güvenlik tesis edilmelidir. Hassas ve kritik sistemler için alternatif kanalların tahsisi önerilmektedir.

Fiziksel Erişim ve Hizmet Kesintileri

Bilgi varlıkları üzerinde fiziksel kısıtlar ile tasarlanan kontroller en az dikkat çekici kontroller olmakla birlikte yetkisiz erişimleri engellemeye karşı en etkili olan kontrollerdir. Bilgi varlıklarının yetkisiz erişimler ve kesintilerden korunmasına yönelik 10 adımdan oluşan öneriler listesi aşağıdaki gibidir:

1.       Fiziksel alanlara karar verilirken coğrafi konum, enerji hatları, uçuş güzergahları, muhtemel terörist saldırıları gibi çok detaylı unsurlar göz önünde bulundurulmalıdır. Alan seçimine ilişkin çevredeki bütün binaların incelenmesi, geçmiş doğal ve afet olaylarına ilişkin bilgi alınması önemli olacaktır. Fiziksel alanlardaki varlıkların üreticilerinin ortam koşulları, nem seviyesi ve diğer çevresel değişkenlere ilişkin önerileri göz önünde bulundurulmalıdır. Unutulmamalıdır ki üretici önerilerinin göz ardı edilmesi garantinin boşa çıkmasına dahi neden olabilmektedir. Kurum yer tercihi esnasında en kötü senaryoları da göz önünde bulundurmalıdır.

2.       Yetkisiz erişimlere karşı birinci seviye kontroller için güvenlik parametreleri oluşturulmalıdır.

3.       Fiziksel erişimlerin yetkili personel ile sınırlandırıldığından ve kayıt altına alındığından emin olunmalıdır. Kişilerin görev tanımlarına uygun olacak şekilde gerektiği kadarı ile erişim izni verilmelidir (Kurum içi hiyerarşinin gözetilmesinden ziyade). Bir kurumun idari en yetkili amirinin bütün yetkilere sahip olması durumu maalesef yaygındır ve riskliliği artırmaktadır. Giriş çıkış izinlerinin erişim iznine konu alanın ve alan içerisindeki varlıkların hassasiyet durumlarına göre verilmesi gerektiği göz önünde bulundurulmalıdır.

4.      Bilgi varlıkları envanter bilgileri ve taşıma bilgilerine ilişkin uygun dokümantasyonun yapılması ve güncel olması sağlanmalıdır.

5.      Temiz, eksiksiz ve kesintisiz güç sağlanmalıdır.

6.      Acil durum tahliye rotalarını ve planları içerecek şekilde eksiksiz bir planlama ve yangın koruma sistemi kurulmalıdır.

7.       Potansiyel bozulmalara karşı sistemdeki zayıf halkaların tespiti için bütün diyagramlar değerlendirilmeli, gerektiği durumlarda uzman desteğine başvurulmalıdır.

8.       Sigorta poliçesi kapsamının doğru belirlenebilmesi için bütün gereklilikler gözlemlenmelidir.

9.      Potansiyel tehditlere karşı inceleme yapılabilmesi için kritik alanlara varlıkların gönderiminden önce tutulduğu bir alan tasarlanmalıdır. Sistemlere erişim network üzerinden olduğu için network üzerinden paylaşımların kontrol edilebilmesi günden güne daha zorlaşmaktadır.

10.   Özellikle hassas alanlar başta olmak üzere ziyaretçilere eşlik edilmesine yönelik işleyişin tasarlanması ve uygulanması önem arz etmektedir.

Diğer Hususlar:

Diğer hususlar aşağıda ele alınmıştır;

1.       Donanım varlıklarına fiziksel olarak zorla erişim engellenmiş durumda mı? (Cihazların kurcalanması bağlamında düşünülebilir, BIOS pilinin sökülebilir olması risktir. Çünkü BIOS konsoluna girişimin parola ile sağlanması önemli bir kontroldür. BIOS üzerinden çalışabilir bir CD ya da bellek üzerinden çalıştırılabilecek çeşitli işletim sistemleri ile yüksek yetkilere erişmenin çeşitli ve bir kaç google araması ile öğrenilebilecek yolları vardır, risklidir.)

2.      Bilgisayar alanlarına (laboratuar, UPS veya jeneratör odaları) erişime yönelik anahtarların korunduğundan ve kopyalanma riskine karşı önlem alındığından emin olunması

3.      Laptop ve el terminalleri gibi taşınabilir cihazlar üzerinde verinin kopyalanması, depolama üniteleri ve bileşenlerinin sökülmesi gibi risklere karşı önlemler alınmış mı? Bu kontrollerin bireysel olarak da kullanıma sunulan kurum sahipliğindeki akıllı telefon, tablet gibi cihazlarda işletilmesi zor olabilir.

4.        Cihazların taşınması sadece yetkili personel tarafından gerçekleştirilmesi

Bilgi Sistemleri Tesisleri

BT denetçisi aşağıda sıralanan 3 alanda korumaya yönelik önlemlerin alındığından emin olmalıdır:

1.       Fiziksel varlıklar

a.       Yedekleme alanları da dahil bilgisayar odaları,

b.      Farklı lokasyonlardaki network ekipmanları da dahil olmak üzere hesaplama ekipmanları

c.       Taşınabilirler de dahil olmak üzere depolama medyaları

2.       Yazılı Varlıklar

a.       Geliştirmenin yapıldığı alanlar

b.      Program kodları

c.       El kitapları ve rehberler

3.       Lojistik

a.       Kurum dışı yedekleme depolama alan(lar)ı

b.      İletişim tesisleri

c.       Güç kaynakları

d.      İmha alanları

Çevresel Aygıtlar ve Depolama Aygıtları

Çevresel aygıtlar yazıcılar, ekranlar, projeksiyon cihazları gibi cihazlardır. Genellikle depolama alanları cihazların içerlerinde yer almakta birlikte çeşitli sistemlerde kullanmak için harici depolama aygıtları da kullanılmaktadır. Flash diskler, mikro SD kartlar, harici harddiskler bu kategoride sayılabilir. Cihazın taşınabilirliğinin kolaylığı ve büyüklüğü atfedilen riski direkt etkilemektedir. Bahsi geçen cihazların data aktarımı için kablosuz bağlantı özelliği barındırması ise riskliliği etkileyen bir başka unsurdur.

Çevresel Aygıtların Yönetimi

Yazıcılar, tarayıcılar, kart okuyucuları, USB modemler, flash diskler, network adaptörleri gibi cihazlar örnektir.  BT denetçisi aşağıdaki ölçütlerin kullanım durumunu değerlendirmektedir;

1.       Çevresel aygıtlar ihtiyaç duyulduğu ölçüde kullanılma durumu (need to use bases)

2.       Yetkisiz erişimlerden cihazın korunmasına yönelik önlemlerin alınma durumu

3.       Özel yetkilendirme ile kısıtlı flash disk kullanımına izin verilme durumu

4.       Belirli sayıda kullanıcı tarafından kullanılan çevresel aygıtların ana sunucu ya da diğer kritik varlıklara yakın konuşlandırmama durumu

Taşınabilir Bilgisayar Medyasının Yönetilmesi

Datanın gizliliği için belki de en az üzerinde durulan önemli bir konudur. Denetçi, taşınabilir medyaların sisteme tanımlanma ve sistem dışında bırakılma süreçlerini değerlendirmelidir.

1.       Yetkilendirilmeden hiçbir medya kullanılmamalıdır.

2.      Kurumdan uzaklaştırılacak tekrar kullanılabilir medyalar üzerinde yer alan datalar geri yükleme ve kurtarmayı engelleyici işlemler yapılarak silinmelidir.

3.      Depolama aygıtlarının sökülmesi onay süreci işletildikten sonra dokümante edilerek gerçekleştirilmelidir. Hassas öğelerin tanımlanması ve sökülmesi esnasında ekstra kontroller işletilmelidir.

4.       Bütün medyalar güvenli ortamlarda tutulmalıdır.

5.       Yedekler kurum dışında güvenli bir yerde de tutulmalıdır. (Şifrelenmesi önerilir.)

6.       Hassas sistemler başta olmak üzere güvenliği sağlanmış sistemlere erişim yetkilendirme ile olmalı ve erişimler kayıt altına alınmalıdır. 

BT'ye yönelik yönetim ve yönetişim soruları??

ISACA tarafından yayınlanan ve geliştirilmesi devam eden COBIT 5 çerçevesine göre Bilgi Teknolojileri unsurları kurum hedeflerini gerçekleştirmeye hizmet edecek şekilde yapılandırılmalıdır. Bu unsurlar içerisinde BT organizasyon yapısı ve BT süreçleri önemli olanlardır. 5. sürümü ile birlikte COBIT bir denetim ve yönetim çerçevesi olmaktan ziyade kurum içerisinde BT Yönetişiminin sağlanmasına yönelik rehber olma niteliği kazanmıştır. Tam da bu noktada kurum içerisinde yönetim ve yönetişim tanımlarının açıkca belirtmiştir.

COBIT 5 içerisinde de geçen ve Yönetim ve Yönetişim'in teminine yönelik sorulması önerilen sorular iç paydaşlar ve dış paydaşlar özelinde ayrılmıştır. Çerçeve içerisinde iç paydaşlar olarak Yönetim kurulu, CEO, CFO, CIO, CRO gibi üst düzey yöneticiler, iş tarafı yöneticileri, iş süreç sahipleri, risk yöneticileri, güvenlik yöneticileri, hizmet yöneticileri, insan kaynakları yöneticileri, iç denetim, bilgi mahremiyeti (privacy) görevlileri, BT kullanıcıları, BT yöneticileri değerlendirilmektedir. BT fonksiyonuna yönelik yönetişim çerçevesi olarak düşünülebilecek olan COBIT 5'de bütün iç paydaşların rolü olduğu göze çarpmaktadır. COBIT 5, Bilgi Teknolojileri fonksiyonlarının yönetişiminin ötesinde kurum Bilgi Teknolojileri fonksiyonlarının yönetişimini amaçlamaktadır. BT fonksiyonlarının paydaşları eski anlayışa göre sadece hizmeti üreten, yönetenlerin ötesinde bütün kurum haline gelmiştir. Çerçeveye göre İç Paydaşların kendilerine sormaları önerilen sorular aşağıdaki gibidir;

1.      BT’nin kullanmı ile nasıl değer elde edebilirim? Son  kullanıcılar BT hizmet kalitesinden memnunlar mı?

2.      BT performansını nasıl yönetebilirim?

3.      Yeni stratejik fırsatlar için yeni teknolojiden en iyi nasıl istifade edebilirim?

4.      BT biriminin yapısını en iyi nasıl tasarlayıp, kurabilirim?

5.      Dış sağlayıcılara bağımlılığım ne düzeydedir? BT dış kaynak kullanımına yönelik anlaşmalar ne derece iyi yönetilmektedir?

6.      Dış sağlayıcılar ile uyumu nasıl sağlayabilirim?

7.      Bilgiye yönelik kontrol gereksinimlerim nelerdir?

8.      BT ile ilgili bütün riskleri dikkate alıyor muyum?

9.      BT operasyonlarını etkin ve esnek işletebiliyor muyum?

10.  BT maliyetini nasıl kontrol ediyorum? BT kaynaklarını en etkin ve etkili yaklaşımla nasıl kullanabilirim?

11.  En etkili ve etkin kaynak edinim seçeneği hangisidir?

12.  BT için yeterli elemana nasıl sahip olabilirim? Becerilerini nasıl geliştirip, becerilerin sürekliliğini sağlayabilirim, performanslarını nasıl yönetebilirim?

13.  BT’ye yönelik uyumu nasıl temin edebilirim?

14.  Üzerinde işlem yaptığım bilgilerin güvenliği iyi sağlanıyor mu?

15.  Daha esnek BT ortamı yardımıyla iş tarafının çevikliğini nasıl artırabilirim?

16.  BT projeleri söz verilen çıktıların üretiminde başarısız kalıyor mu? Eğer öyleyse neden? BT, iş stratejisinin işletilmesi noktasında katkı sağlayabiliyor mu?

17.  Kurumun sürekliliği için BT ne kadar kritik? BT hizmetleri sağlanamaz ise ne yapabilirim?

18.  Hangi kritik iş süreçleri BT’ye bağımlıdır? İş süreçlerinin gereksinimleri nelerdir?

19.  BT operasyonel bütçesinin ortalama bütçe aşımı ne düzeydedir? Hangi sıklıkta ve kaç adet BT projesinde bütçe aşımı olmuştur?

20.  BT eforunun ne kadarı iş iyileştirmelerinden ziyade günlük çözümlerin üretilmesinde kullanılmaktadır?

21.  Kurumsal stratejik hedeflerinin karşılanması noktasında yeterli BT kaynak ve alt yapısı mevcut mudur?

22.  Önemli (major) seviyede BT kararı almak ne kadar zaman almaktadır?

23.  Bütün BT eforu ve yatırımları saydam mıdır? (açık)

24.  BT, kurumu düzenlemelere ve hizmet seviyelerine uyum noktasında desteklemekte midir? Bütün uygulanabilir düzenlemelere uyumlu olduğumdan nasıl emin olabilirim?

Çerçeveye göre dış kullanıcılar ise İş ortakları, tedarikçiler, düzenleyici kurumlar ve devlet, dış kullanıcılar, müşteriler, standardizasyon kuruluşları, dış denetçiler, danışmanlar olarak sıralanmıştır ve dış paydaşlar açısından BT yönetişimi noktasında değerlendirme yapılması gereken sorular şu şekildedir;
      1.      İş ortaklarımın operasyonlarının güvenli ve güvenilir olduğundan nasıl emin olabilirim?

2.      Kurumun kurallar ve düzenlemelere uyumlu olduğunu nasıl bilebilirim?

3.      Kurumun etkili bir iç kontrol sistemine sahip olduğunu nasıl bilebilirim?

4.      İş ortakları kontrolü sağlanmış bilgi zincirine sahipler midir?

 Çerçeveye göre Kurumsal hedef (Enterprise Goals) olarak sıralanan örnek 17 adet hedef ile bu soruların ilişkileri belirlenmeli, kurum içerisinde BT kurumsallaşmasına yönelik bilinç cevabı aranan sorular ile sağlanmalı, kurumsal hedeflerden yola çıkarak, bu hedefler ile alakalı Bilgi Teknolojileri hedefleri (IT Related Goals) belirlendikten sonra bu hedefler ile eşleştirilmesi yapılmış olan gerçekleyiciler (Enabler) ihtiyaca uygun olarak düzenlenmelidir.

Gerçekleyicilere ilişkin tanımların daha netleşmesi için COBIT 5 ilgili dokümanlarının okunması önemlidir. Çerçeve içerisinde tanımlanan 7 adet gerçekleiyici mevcuttur. Bunlar;

1.      İlkeler, Politikalar ve Çerçeveler

2.      Süreçler

3.      Organizasyonel yapılar

4.      Kültür, etik ve davranış

5.      Bilgi

6.      Hizmetler, altyapı ve uygulamalar

7.      İnsanlar, beceri ve yetkinlikler

DİKKAT! Amcanızdan size miras kaldı. Linkedin üzerinden Türk hesaplara yönelik yeni saldırı

Elimden geldiğince ve karşılaştıkça hem kendime not olması babında, hem de gerekli uyarıları paylaşmak adına internet üzerinden yapılan saldırıları paylaşmaya çalışırım. Malumunuz teknolojinin hayatımıza girmesi ile birlikte dolandırıcıların ve sizleri hedefleyen hırsızların yaklaşım ve metodları da her geçen gün değişiyor.

Linkedin hesabıma bu akşam üstü düşen bir mail bana iş teklifinde bulunuyordu. Önce hoşuma gitti, vay anasını sanırım uzmanlığım ya da yaptığım iş ile ilgili bir teklif geliyor diye heyecanlandım başlığı görünce, mesajın içeriğini de okuyunca acaba olabilir mi ki sorusunu bile sordum kendi kendime (Dolandırıcılar sosyal mühendislikte oldukça başarılı demek ki.)

Mail de bana Uluslararası bir bankada muhasebeci olarak çalıştığını belirtem bir kişi, benimle aynı soyadını paylaşan bir müşterisinin, Fransadaki bir tatilde vefat ettiğini, çekirdek ailenin kazada öldüğünü vefat ettiğini, bahsi geçen müşterinin bankada hatırı sayılır tutarda parasının olduğunu, Türk makamları ile görüşme yaptıklarını fakat Türkiye'den akrabalarına ulaşamadıklarını, bu paranın akraba bulunmaması dahilinde İngiliz devletine kalacağını, müşterisinin benimle aynı soyadını taşıdığı için teklifi kabul etmem dahilinde yapacağı yönlendirmeler ve şahitlik ile paranın hesabıma gönderilebileceğini, bunun İngiliz yasaları açısından bir suç unsuru olmadığını, parayı yarı yarıya paylaşmanın oldukça adil olabileceğini, kendisinin dindar bir kişi olduğunu ve iletişimi olabildiğince gizli ilerletmemizin önemli olduğunu paylaşıyordu. Güvenilirliği sağlamak adına da size pasaportumun taranmış halini gönderebilirim diyordu. Anahtar kelimeler üzerinden yaptığım bir kaç google araması ile yöntemin bir sahtekarlık olduğunu, irtibata devam edilmesi sonrasında kişilerin sizden avukat masrafları ve danışmanlık için ortak ödeyeceğinizi iddia ettiği paralar talep ettiğini, vaad edilen yüzlerce milyon pound tutarların yanında istenilen bir kaç bin pound tutarın bazı insanları kandırma konusunda başarıya ulaşabileceği belirtiliyordu..

Dolandırıcılık yöntemini yapan kişiler ile mail trafiğini yürüten bazı kişilerin ısrarla SKYPE üzerinden görüşme taleplerinin red edildiği, telefon görüşmesi yapabilen birisinin ise kişilerin İngilizceyi aksanlı konuştuklarını paylaştığı bir kaç ileti okudum.

Gördüğüm kadarı ile şu sıralar özellikle Linkedin üzerindeki Türk kullanıcıları hedefliyorlar ve listeyi kar topu gibi her geçen gün büyütüyorlar. Siz de ortak arkadaşlarınızdan yola çıkarak, paylaşılmış dolu (Manchester Üniversiteleri, MBA'ler, iş tecrübeleri) fakat düzmece bilgilere de kanarak acaba aynı sektörde olduğumuz için mi ekledi ki düşüncesi ile ekleme talebini olumlu karşılıyorsunuz. Siz kabul ettikçe de hem avlarına ulaşma olasılıkları hem de avlarının sayısı oldukça artıyor. Saldırı yapılan hesaptan bana 2 gün önce ekleme talebi gelmişti.

Baktığım zaman 200'ün üzerindeki arkadaş listesinin çoğu Türkiyede finans sektöründe çalışan insanlardan oluşuyor. Tahminim aynı maili uydurduğu müşteri isimleri ile bir sürü kişiye gönderiyorlar. Bu noktada size gelebilecek bu tarz mesajlara itibar etmeyiniz lütfen. Kişiyi Linkedin yönetimine spam olarak bildiriniz.

Saldırı esnasında kullanılan hesaplar kendilerini İngiliz olarak gösteriyorlar. İngilterede yer alan Arap kökenli banka şubelerinde çalıştıklarını belirtiyorlar. Saldırıların bir çoğunda düzmece akraba trafik kazasında ölmüş, Irak'ta olduğu söylenen bir düzmece akrabanın ise evi bombalanmış.

Aslında yazışmayı devam ettirmek ve tecrübeleri blog olarak paylaşmayı düşündüm ve hatta isterdim de ama fazlasıyla zaman kaybı olacağı aşikar.

Bu yöntemi sizlerle paylaşmak, gerekli uyarıları yapmak adına bu yazıyı kaleme alıyorum. Gerçi gördüğüm kadarı ile Linkedin listemden hedefledikleri kişilerin büyük çoğunluğu bankalarda denetçi ya da IT tarafı teknik çalışanları, yüzlerce benzeri örneklerin yaşandığı ülkemizde benzeri olaylara çokça tanıklık ettiklerine ve bu basit oyuna gelmeyeceklerine eminim. Yine de bu tarz ağa takılan kişilerin bir anlık boşluk ile saldırılarda avlandıkları düşünüldüğünde paylaşmanın faydalı olacağı kanısındayım.

V. Bilgi Teknolojileri Yönetişim ve Denetim Konferansı yaklaşıyor.

Türkiye'de Bilgi Teknolojileri Yönetişim ve Denetim alanında,  farklı sektör ve çeşitli pozisyonlarda çalışan profesyonellerin bir araya geldiği; Bilgi Teknolojileri alanında yönetişim, risk ve uyumluluk konularındaki güncel konuların tartışıldığı etkinliklerin ikincisi hariç hepsine katılma fırsatım olmuştu. Hatta gönül rahatlığı ile söyleyebilirim ki kariyerime denetim alanında yön vermeme bu konferansların etkisi büyüktür.

Bu yazımda konferans serisinin gelişimini ve çeşitli paydaşlar açısından önemini değerlendirmeye çalışacağım.

Konferansların ilki Ankarada 2-3 Aralık 2010 tarihlerinde geniş bir katılım ile gerçekleştirilmiştir. Ankarada olmasının da etkisiyle kamu kurum ve kuruluşlarında Bilgi Teknolojileri profesyonelleri yanı sıra özel sektör temsilcilerinin de bulunduğu etkinliklerde BT Yönetişim ve Denetim açısından kamu kurumları ve bankalar, BT Yönetişim ve Denetiminde son gelişmeler, İç denetim ve Bilgi Teknolojileri arasındaki ilişkiler, bağımsız denetim kuruluşları ve Bilgi Teknolojileri Denetimi konuları detayları ile ele alınmış, ValIT, COBIT, ITIL, ISO27001 ve BS25999 çerçeve ve standartların alanında uzman kişiler tarafından tanıtımı yapılmıştır.

Sonraki seriler İstanbulda gerçekleştirilmiş, etkinliklerin İstanbula alınması ve ülkemizde Bilgi Teknolojileri Yönetişim ve Denetim faaliyetlerinin finans sektörünün öncü olması sebebiyle bankalar başta olmak üzere sigorta, belediyeler, üniversiteler, telekominikasyon şirketleri ve kamu kurum ve kuruluşlarından geniş yelpazede bir katılım gerçekleşmiştir. Alandaki temel gelişmelere ek olarak, Bilgi Teknolojileri Yönetim ve Yönetişimine yönelik fayda sağlayacak her konu etkinliklerde tartışılmıştır. Standart ve çerçevelerdeki son değişiklikler, değişikliklerin etkileri, alana yönelik sertifikasyon süreçleri ve kariyer olanakları hatta ve hatta BT Denetçilerine yönelik sosyal beceriler konuları dahi etkinliklerde masaya yatırılmıştır. Etkinliklerdeki katılımcı ve konulara ilişkin detaylı bilgiyi http://www.btyd.org.tr adresinde bulabilirsiniz.

Etkinliklerin kuşkusuz en önemli yanı Bilgi Teknolojileri alanında faaliyet gösteren profesyonelleri bir araya getirmesi ve geniş bir etkileşim ortamı sunmasıdır. Katıldığım etkinliklerde kariyer planımda bana katkı sağlayan, sektörü ve sektör dinamiklerini öğrenmeme yardımcı olan, bilgi ve tecrübelerinden istifade ettiğim ve şu anda ISACA İstanbul çatısı altında çalışma fırsatı bulduğum değerli isimlerle tanışma fırsatı bulmuştum.

Buradan hareketle yönetişim ve denetim profesyonellerin yanı sıra Bilgi Teknolojileri yönetim profesyonelleri, akademisyenler ve öğrenciler açısından etkinlikleri değerlendirmeyi faydalı görüyorum.

Gerek özel, gerek kamu kesiminde, Bilgi Teknolojileri yönetim ve işletim faaliyetlerinde görev alan profesyoneller açısından BT yönetim faaliyetlerinin iyileştirilmesini, güvenliğinin artırılmasını ve sürekliliğinin sağlanmasını amaçlayan çeşitli standart ve çerçevelerin çeşitli sektörlerdeki uygulamalarının ve konulara ilişkin son gelişmelerin etkinliklerde paylaşılmasının ilgili profesyonellerin kendi uygulamalarını değerlendirebilmeleri, gelişmelere göre yön haritalarını belirleyebilmeleri noktasında etkinliklerin faydalı olduğunu düşünüyorum. Bunun yanında denetim açısından nasıl bir bakış ile değerlendirildiklerini bilmeleri faaliyetlerinde iyileşmeye yönelik aksiyon almalarında yönlendirici etkiye sahip olacaktır.

Akademisyenler açısından değerlendirildiği zaman alana ilgi duyan akademisyenlerin çalışmalarında ortak çalışabilecekleri uygulayıcılar ile bir araya geldikleri bir ortam oluşturuluyor. Uygulayıcıların gerek örnek uygulamalar, gerekse sektörü ilgilendiren gelişmelere yönelik paylaşımlarının alandaki akademik çalışmalar açısından önemli girdi üretebileceğini hatta ve hatta akademisyenlerin profesyoneller ile gelecekte gerçekleştirebilecekleri ortak çalışmalara zemin hazırlanabilecek bir ortam oluşturuluyor.

Öğrenciler açısından ise sektörü, uygulamalarını daha yakından tanıyabilmeleri, gelecekte kariyerlerine yön verebilmeleri açısından eşsiz bir etkileşim ortamı oluşturuluyor.

BTYD'yi geneli ile değerlendirmek gerekirse 2010 yılında başlayan etkinliklerin sektör ve faaliyet alanı açısından katılımcı çeşitliliğinin ulusal düzeyde bir etkinlikten uluslararası düzeye doğru yön aldığını söylemek yanlış olmayacaktır.

Türkiye'nin önemli kamu kurum ve kuruluşları yanı sıra alanla ilgili dernekler tarafından desteklenen, bu yıl 6-7 Mart 2014 tarihleri arasında İstanbulda gerçekleştirilecek etkinliğe yönelik detay bilgi için http://www.btyd.org.tr adresini ziyaret edebilirsiniz.

 

COBIT 5 Enabling Process Türkçe yayınlandı.

ISACA İstanbul Chapter bünyesinde Kaya Kazmirci başkanlığında birbirinden değerli katılımcılar ile birlikte yürütülen çalışmalar sonucunda üretilen COBIT 5 Enabling Process Türkçe çevirisi ISACA web sitesinde yayınlandı.

Tanıtım yazısı:

COBIT 5, kurumsal BT yönetişim ve yönetimi için kapsayıcı iş ve yönetim çerçevesidir. Bu cilt, COBIT 5’in 5 prensibini belgelemekte ve çerçeveyi oluşturan 7 destekleyici gerçekleştiriciyi tanımlamaktadır.
Bu dokümanı kurum liderleriniz, takım üyeleriniz, müşterileriniz ve/veya danışmanlarınız ile paylaşmanızı teşvik ediyoruz. COBIT, kurumların değeri maksimuma çıkarmasını ve 21. Yüzyılın para birimi haline gelen bilginin ilişkili riskini minimuma indirmesini sağlar. COBIT 5, herhangi bir kurumun, bilgi ve teknolojinin yönetişim ve yönetimi ile bağlantılı kritik iş sorunlarını etkili bir şekilde adreslemesine yardımcı olabilen dünya çapında kabul gören prensipler, uygulamalar, analitik araçlar ve modellerin kapsamlı bir çerçevesidir.

Rehbere ulaşmak için tıklayınız!