CISA Sınavı ile ilgili Sık Sorulan Sorular

İyi günler,
Bu yazımda mail aracılığı ile sıklıkla gelen sorulara verdiğim cevapları paylaşıyor olacağım.

CISA sınavı için Türkçe kaynak ve çalışma soruları mevcut mudur?

CISA sınavına yönelik olarak Türkçe kaynak mevcut değildir. Piyasada CISA sınavına yönelik çeşitli kitaplar ve kayıt edilmiş eğitimler bulmanız mümkündür. Bunlardan en önemlisi CISA Review Manual. Her yıl güncellenen bu doküman ISACA'nın kendi dokümanıdır ve açıkcası her yıl kitabın az bir kısmı güncellenmektedir. Bunun haricinde aklıma gelen kitaplar David Cannon tarafından yazılan CISA Study Guide ve Peter Gregory tarafından yazılan CISA Exam Guide All-in-One. Bu kaynakların dili İngilizcedir. ISACA tarafından hazırlanan CISA Review Manual'ın Türkçeleştirilmesi önümüzdeki dönemde düşünülmekte ve gerekli temaslar yapılmaktadır.

Çalışma soruları olarak da Türkçeleştirilmiş bir kaynak mevcut değildir. Bu noktada da bol soru çözmeye yönelik olarak ISACA'nın CISA Soru Veritabanı yazılımını önerebilirim. Ama vurguladığım gibi herhangi bir Türkçe soru kaynağı ya da örnek soruları içeren veritabanı bulunmamaktadır.

Kurslara katılmak için bir ön şart vb lazım mı? Kurs ücretleri ile ilgili bilginiz var mı? Ayrıca Sınav ücretleri vb ilgili bir kaynak bulamadım. Bu konularda yardımcı olabilir misiniz?

ISACA İstanbul tarafından verilen CISA Sınavı Hazırlık Kurslarına katılım için her hangi bir ön koşul yoktur. Mayıs 2015 ayında verilecek kurs için detaylı bilgiyi http://www.isaca-istanbul.org/tr/announcements/cisa_2015_mayis_hazirlik_egitimi adresinden bulabilirsiniz. Kurs ücreti ISACA üyeleri için 1150 TL + KDV, üye olmayanlar için ise 1350 TL + KDV olarak belirlenmiştir. Kurs ücretinin güncel bilgisine http://www.isaca-istanbul.org/egitim adresinden ulaşabilirsiniz. Kurs esnasında CISA'da karşılaşılacak olan 5 domain alanında uzman ve Türkiye'de alanında öncü kişiler tarafından verilmekte, örnek sorular çözülmektedir. CISA sınavı Türkçe Aday Bilgi Kılavuzunda her türlü ücret, erteleme, sınav uygulaması bilgileri yer almaktadır.

Güncel olarak sınav kayıt ücretleri erken kayıt için üyelere 440 USD, üye olmayanlara 625 USD; normal kayıt döneminde ise üyelere 490 USD, üye olmayanlara 675 USD olarak belirlenmiştir.

Sınava nasıl hazırlanmayı önerirsiniz?

Sınava hazırlanmanın ciddiye alınması gereken bir süreç olduğunu söylemeliyim. İş yerinde aralarda bakarım, ben zaten yıllardır denetim yapıyorum, soruları da bir şekilde çözerim yaklaşımının işinizi zorlaştıracağını söyleyebilirim. Öncelikle CISA Review Manual'ı bir kere okumanızı, hakim olmadığınız alanlarla ilgili google üzerinden makale ve yazı taraması ile konuyu iyice anlamanızı, sonrasında vaktiniz kalırsa az hakim olduğunuz alanları bir kere daha okumanızı öneririm. Sonraki aşama ise ISACA CISA Soru Veritabanından bolca soru çözmek, soru tiplerine aşinalık kazanmak ve ihtiyaç duyabileceğiniz konulara bir kere daha göz gezdirmenizi öneririm. Soru veritabanında yer alan sorulara yaklaşım bakımından benzer sorular sınav esnasında sorulur. Soru tabanındaki soruların cevaplarını zamanla ezberliyorsunuz, artık ezberledğiniz sorulardaki yüksek başarı yanıltıcı olabilir, uyarmak isterim. İlgili yazılımda en son bir adet 200 soruluk örnek sınav var. Onunla da finali yapabilirsiniz. Ha derseniz ki daha zamanım var, bu durumda da ISACA'dan örnek soru bankasını edinip, soruları çözebilirsiniz. Sınavdan önce de ISACA İstanbul'un CISA Hazırlık Kursuna katılmanızı şiddetle tavsiye ederim. Bu kurs konuları hızlıca hatırlamanızı ve sınava hazır hissederek girmenizi sağlayacaktır.

Web sitenizden okudum CISA review kitabının türkçe çevirisi yapılıyormuş, bilginiz varsa ne zaman türkçe versiyonu yayınlanır öğrenebilirmiyim?

Bu konuda tarih vermem yanıltıcı olur. Konu daha netlik kazanınca daha doğru bilgi verebilirim sanırım. CISA Review Manual'ın Türkçemize kazandırılması gündemimizde, konuya yönelik temaslar yapılmaktadır.

Bildiğim kadarı ile isaca tarafından bize sınav yeri nerede olacağı hakkında bilgilendirme maili gelecek, benim öğrenmek istediğim bu sınav nerede yapılacak ona göre uçak ve oteli en erken zaman da ayırmak istiyorum. İstanbul da Anadolu yakası veya Avrupa yakasında mı olacak? Hangi tarafta olacağı hakkında bilginiz paylaşırsanız sevinrim.

Son bir kaç senedir sınavlar Anadolu yakasında Kozyatağında yer alan Byotell'de yapılıyor. Bu sene bir değişiklik olur mu açıkcası onu bilmiyorum. Değişiklik olmasının küçük bir olasılık olduğunu düşünüyorum.

Bende CISA sınav adayıyım sınava Türkce girmeyi planlıyorum. Makalenizi okudum biraz rahatladım. CRM 2015 Türkçe yayınlanması beklenir mi? Sizce ne zamana gerçekleşir? Tavsiye edebileceğiniz Türkçe doküman ve örnek soru var mı?

Tarih vermem şimdilik mümkün değil. Türkçe kaynak ve örnek sorular henüz mevcut değildir.

Sorular sadece Türkçe mi görüntülenebilecek yoksa sınav anında İngilizce versiyonu da görebilecek miyiz?Eğer bu imkan yoksa, bu Haziran’daki sınava İngilizce girme seçeneğimiz olacak mı?

Sorular kayıt esnasında tercih ettiğiniz dil seçeneği ile size ulaştırılacaktır. Türkçesinde çeviriden dolayı anlayamayacağım yeri İngilizcesinden bakabilir miyim acaba sorusuna verilebilecek yanıt hayırdır. Bu konuda söyleyebileceğim Türkçe çeviri üzerinde hassasiyetle durulduğu, çevirinin CISA denetçiler tarafından gözden geçirildiği ve özellikle terminoloji konusuna dikkat edildiği, bazı terimlerin İngilizcelerinin de Türkçe soru metnine eklendiğidir. Sınavın Türkçe sunulacak olması diğer dil seçeneklerinden giremeyeceğiniz anlamına gelmez. Tercihinizi istediğiniz gibi anadiliniz ya da İngilizceden yana kullanabilirsiniz.

Genelde sorular yukarıdaki örneklerde yoğunlaşıyor. Farklı sorular gelirse ve paylaşmanın faydalı olacağını görürsem buradan yeni soruları ve verdiğim cevapları da paylaşıyor olacağım.

Sınava girmeyi düşünen arkadaşlara şimdiden başarılar diliyorum. Aklınızdaki soruları ISACA İstanbul'da görevli arkadaşlarıma ve bana gönül rahatlığı ile gönderebilirsiniz. 

Bilgi Güvenliği Olaylarının Ele Alınması

Incident response, kuruma veya organizasyona önemli etkisi olabilecek bir olay vuku bulduğunda organize bir şekilde nasıl tepki verileceğinin bir ifadesidir. İçerisinde potansiyel olaylara hazır olmayı, tespit etme ve sonrasında kök nedene yönelik analizi derinleştirmeyi, soruşturmayı, olayın etkisini kontrol altına almayı - kurtarmayı (recovery) ve olay sonrası analizi barındıran bir süreçtir.

Başka bir deyişle Incident Response kurumun herhangi bir bileşenini bir olaya karşı hazırlayan resmi bir programdır.

Peki Incident Response neden gereklidir?

Olayların etkisini azaltmak ve olaylara sistematik ve etkili bir şekilde zamanında cevap verebilmek adına gerekli planlama ve uygulamaların yapılması önemlidir. Olaylar vuku bulmadan önlemlerini alan organizasyonların olay vuku bulduğunda aksiyona geçmeye çalışan organizasyonlardan daha az zararla sıyırılacakları bir gerçektir. Olaya siber güvenlik açısından yaklaşarak bir örnek vermek gerekirse; öncesinden gerekli hazırlıkları yapıp, güvenlik kontrolleri geliştiren, networkü düzenli izleyip, network üzerinde segmentasyon yapısına giden, çeşitli senaryolara yönelik aksiyon planını geliştiren organizasyonun sadece bir bilgi güvenliği ünvanına sahip, belirli araçlardan gelen raporları konsolide edip, biraz da Türkçeye çevirip, üst yönetime sunan çalışan bulunduran organizasyondan daha hazır olduğu kesindir. Günümüzde belirli hedeflere yönelik özel olarak geliştirilen saldırı yöntemlerini göz önünde bulundurduğumuz zaman güvenlik olaylarına yönelik karşı tedbir (response) yaklaşımının geçmişe göre çok daha hayati olduğu görülmektedir.

Peki bir Incident Response Planı hangi unsurları içermelidir?

Burada bahsedeceğim unsurlar Schultz, Brown ve Longstaff tarafından sunulmuş olan 6 aşamalı incident response modelinin alt aşamalarıdır.

Bunlar;

1. Preparation - Hazırlık
2. Identification - Tanımlama
3. Containtment - Kontrol Altına Alma
4. Eradication - Tamamen Yok Etme
5. Recovery - Kurtarma
6. Lessons learned - Öğrenilmiş Dersler

Preparation, hazırlık aşamasında olay vuku bulmadan önce gerekebilecek planlamanın yapılması beklenmektedir. Yeterli planlama gerektiğinde planı işleme koymayı kolaylaştıracaktır. Bu aşamada olayları ele almaya yönelik olarak kurumsal bir yaklaşımın geliştirilmesi, gerekli politikaların geliştirilmesi, paydaşlar ile iletişim planını geliştirilmesi, Olay Müdahale ekip ya da ekiplerini tetikleyecek sürecin geliştirilmesi, Olaylara tepki planının işletilmesi için güvenli bir yer belirlenmesi, gerekli ekipmanların kullanıma hazır olduğundan emin olunması aksiyonları alınmalıdır. Türkiye'de olmasa dahi yasal yaptırımlara ya da sizin kurum politikalarınıza uygun bir şekilde vuku bulan olay otoriteler ile paylaşılacaksa bunun ne zaman yapılacağı ve nasıl yapılacağı öncesinden belirlenmelidir.

Identification, tanımlama aşamasında gerçekleşen olayın doğrulanması ve olay detaylarının edinilmesi üzerine odaklanılmaktadır. Potansiyel olaylara yönelik olarak bildirimler sistem raporları, çalışan bildirimleri, diğer organizasyon bildirimleri (Geçmişte büyük bir bankanın yaşadığı kredi kart bilgilerinin çalınması olayından sonra diğer bankalarda kendi düzenlemelerine uygun önlemler almışlardı.) gibi çeşitli kaynaklardan gelmektedir. Peki bu kaynaklardan gelen bütün bildirimler gerçek ve ele alınması gereken bir olayı nitelemekte midir? Sistemlerden gelebilecek olan yanlış rapor sonuçları, heyecanlı bir çalışan tarafından yapılan ve aslında çok da aciliyet içermeyen bir talep her zaman olabilecek olasılıklardır. Bu sebeple gelen bildirimlerin olay kategorisine girip girmediğinin belirlenmesi ve tanımlanması gereklidir. Bunu sağlamaya yönelik olarak gerçekleştirilmesi gereken aksiyonlar ise olaylara ya da potansiyel olaylara yönelik olarak sahiplik ataması yapılması (bildirim yapan kişiye değil, olayı ele alabilecek olan kişiye), bildirimin olay olarak doğrulanması, tanımlama esnasında aşamaların kanıtların toplanması aşamasında loglanması, olayın etkisinin belirlenmesi ve gerekmesi durumunda eskale edilmesidir.

Containment ( the action of keeping something harmful under control or within limits.), kontrol altında tutma aşamasında olaylar tanımlandıktan ve onaylandıktan sonra görevli ekip(ler) ile bildirimi ve detaylarının paylaşılması, ekip ya da ekiplerin detaylı değerlendirme yaptıktan sonra bildirimle alakalı ya da etkilenebilecek sistem sahipleri ve iş süreç sahipleri ile gerekli aksiyonları alabilmesi için görüşme gerçekleştirmesi gerekmektedir. Bunu sağlamaya yönelik olarak gerçekleştirilmesi gereken aksiyonlar ise gerekli Olay Yönetim Süreci ekiplerinin harekete geçirilmesi, gerekmesi halinde ilgili paydaşların bilgilendirilmesi, hizmeti sekteye uğratabilecek ya da potansiyel risk yaratabilecek aksiyonlar üzerine anlaşma sağlanması, BT ve İş süreç temsilcilerini "Kontrol Altına Alma" aşamasına dahil etme, delilleri toplama ve koruma, alınan aksiyonları dokümante etme, kamu oyu ile ilgili olayla alakalı iletişimin kontrol altına alınması ve yönetilmesidir. Açıkcası kamuoyu ile vuku bulan olayların paylaşılması Türkiye'de pratik edilen bir uygulama değildir. Diğer ülkelerde bu tarz konulardaki şeffaflık politikası yasal mevzuat olmadıkça Türkiyede bu tarz uygulamaları da açıkcası görebileceğimizi sanmıyorum.

Eradication (the complete destruction of something.), tamamen yok etme aşamasında olayın ateşi söndürülüp, gerekli önlemler alındıktan sonra olayın kök nedeni tespit edilip, tamamen giderilmelidir. Eradication aşaması çeşitli yollar ile gerçekleştirilebilir; burada en son stabil çalışan yedeğe dönülmesi, ana nedenin yok edilmesi, alınan önlemlerin geliştirilmesi ve aynı kök nedene yönelik bir açıklık analizinin yapılması örnekleri verilebilir. Bunları sağlamaya yönelik olarak gerçekleştirilmesi gereken aksiyonlar ise olayın nedenlerinin ve olayın vuku bulmasına yönelik işaretlerin tespit edilmesi, yedeklerin ve alternatif çözüm yollarının en son geçerli hallerinin uygulanması, kök nedenin yok edilmesi (zararlı bir yazılımın bulaşması örneğinde antivirüs yazılımına yönelik gerekli yama ve güncellemelerin yapılması örnek verilebilir.), koruma yöntemleri ile korumanın güçlendirilmesi, kök nedenden kaynaklanabilecek başka zaafiyetleri tespit etmek için zaafiyet analizinin gerçekleştirilmesidir.

Recovery (a return to a normal state of health, mind, or strength,) kurtarma aşamasında olaydan etkilenen sistemlerin ve hizmetlerin hizmet dağıtım hedeflerinde veya İş Sürekliliği Planında belirlenen vaziyete getirilmesi güvence edilmektedir. İş Sürekliliği planı içerisinde tanımlanan RTO (Recovery Time Objective) göstergeleri burada kılavuzluk etmektedir. Bunları sağlamaya yönelik olarak gerçekleştirilmesi gereken aksiyonlar ise operasyonları normal seyrine getirmek, kurtarmaya yönelik alınan aksiyonların doğrulanması, sistemin tekrar test edilmesi için sistem sahiplerinin sürece dahil edilmesi, normal operasyona geçildiği zaman sistem sahiplerinin bilgilendirilmesidir.

Lessons Learned, öğrenilmiş dersler aşamasında incident response sürecinin son aşamasında olan biteni anlatan, süreçte alınan aksiyonları ve sonuçlarını içeren bir rapor oluşturulmalı ve ilgili paydaşlar ile yönetime sunulmalıdır. Raporun bir kısmında da Olay Yönetim Takımı tarafından daha iyi ne yapılabilirdi sorusuna cevap arayan kısım olmalıdır. Bunları sağlamaya yönelik olarak gerçekleştirilmesi gereken aksiyonlar ise olay raporunun yazılması, olayın giderilmesine yönelik aksiyon alınırken karşılaşılan zorlukların analiz edilmesi ve analiz sonuçlarına göre iyileştirmeler önerilmesi, raporun ilgili paydaşlara sunulmasıdır.

Olayların tespit edilmesine yönelik olarak kurumlar tarafından yüksek hacimde data toplayan çeşitli araçlar kullanılmaktadır. Zaafiyet değerlendirme araçları, güvenlik duvarları, saldırı tespit ve önlem sistemleri bunlara örnek verilebilir. Güvenlik ekipleri bu yüksek hacimli veri içerisinden kendilerine işaret verebilecek verileri analiz etmeye çabalarken doğru bilgiye götürebilecek analizi nasıl gerçekleştirebilirler sorusu akla gelmektedir. Bu noktada gerçek zamanla izlemeye izin veren, olaylar arasında korelasyonları belirleyip, ilişki kurabilen, gelişmiş raporlama seçenekleri olan Security Event Management araçlarının yanı sıra bir tık ötede yeni verileri geçmiş veriler ışığında analiz edip, raporlama yeteneğine sahip Security Incident and Event Management sistemleri mevcuttur. Bu araçlar vasıtasıyla güvenlik sorumluları kendileri için bir üst seviyede anlamlı hale getirilen raporları izleyebilme yeteneğine sahip olurken, büyük bir yığının içinde kaybolmaktan kurtulmaktadırlar.

Bilgi Güvenliği Politikaları Üzerine..

Information Security Policies Türkçesiyle Bilgi Güvenliği Politikaları her ne kadar kulağa ilk etapta soğuk gelse de aslında soğuk görünen bu kavramı uygulanabilir kılmak ve kurumunuz için faydalı hale getirmek, kurum içerisinde hangi fonksiyonda faaliyet gösteriyor olursanız olun sizin elinizde!

İlk etapta soğuk görünüyor dedim çünkü maalesef uygulama açısından baktığımızda evet kurumların yazılı politikaları çoğunlukla mevcut, aslanlar gibi yazılmış, kitapçıklarla basılmış, belki de mail aracılığı ile bütün çalışanlarla paylaşılmış fakat yazılı bir metin olmaktan öteye gidememiş ise maalesef hiç bir anlamı yok.

Peki Bilgi Güvenliği Politikaları aslında nedir, nasıl olmalıdır? Nasıl daha çok uygulanabilir kılınabilir, burada asıl sorumluluk kimindir gibi soruların cevaplarını dilimiz döndüğünce vermeye çalışalım.

Önce politika (policy), standart, prosedür ve rehber (guidelines) kavramlarını ve aralarındaki ilişkiyi masaya yatırmakta fayda var. Politikalar, kurum için önemli ve gerekli olan eylemler ve davranışların yanı sıra yasaklanması gereken eylem ve davranışları içeren genel dokümanlardır. Bilgi Güvenliği Politikaları açısından baktığımız zaman literatürde çeşitli kaynaklarda iyi uygulamaları mevcuttur. Lakin bu iyi uygulamalar reçete misali al ve direkt kurum için uygula şeklinde işe yaramazlar. Kurumun büyüklüğü, kurum kültürü, kurumun risk algısı, yasal gereklilikler ve kurumun faaliyetlerine göre politikalar özel olarak belirlenmeli ve tasarlanmalıdır.

Standartlar, belirli durumlara göre politikaların yorumlanması ile vücut bulan, politikalara göre biraz daha spesifik bilgi içeren dokümanlardır.

Prosedürler, işin biraz daha uygulama tarafına yakın olan ve politika ve standartlara uygun nasıl iş yapılabileceğinin tariflendiği dokümanlardır.

Rehberler ise belirli bir duruma yönelik olarak ne yapılması gerektiğini söyleyen, daha detay seviyede tarifleyen İngilizce tabiri ile Guidance sağlayan belgelerdir.

Peki kurumlarda genel anlamda bilgi güvenliğine yönelik tasarlanan ve genel ifadeleri içeren politika başlı başına yeterli midir? (Genelde de ismi genel bilgi güvenliği politikası olur :) )

ISACA Cybersecurity Nexus Siber Güvenliğin Temelleri Çalışma Kitabı içerisinde yer alan Siber Güvenlik Kavramları'nın tanımlandığı kısımda Bilgi Güvenliği politika ya da politikaları ile yakın ilişkide olacak şekilde yaygın olarak tasarlanan politikalar aşağıdaki gibidir;

1. Risk Yönetimi
2. İş Sürekliliği / Felaket Kurtarma
3. Varlık Yönetimi
4. Temel Davranış Kuralları
5. Edinim / Geliştirme / Bakım
6. Tedarikçi Yönetimi
7. İletişim ve Operasyon
8. Uyum (Yasal Gereklilikler)

Yukarıda yer alan konulara ilişkin politikalar, içerdiği tanımlar ile Bilgi Güvenliği Politikaları ile uyumlu bir şekilde Bilgi Güvenliğinin sağlanmasına hizmet etmelidirler.

Bilgi Güvenliği Politikası içerisinde temelde neler olmalıdır?

Öncelikle kapsamın açık bir şekilde çizilmesi gereklidir. Bunun için kurum kendi açısında bilgi güvenliğinin tanımını yapmalıdır, bilgi güvenliği ile alakalı olan sorumluluklar belirlenmelidir, öncesinde belirlenmiş hedeflere, metriklere uygun, kurum vizyonunu destekleyecek şekilde bilgi güvenliğinin vizyonu çizilmelidir. Kurum politikaları ile bilgi güvenliği politikası arasındaki ilişki net bir şekilde açıklanmalı, bilgi güvenliği alanında önemli konular olan veri yönetimi, risk değerlendirmesi, yasal düzenlemeler ve sözleşme yaptırımlarına yönelik uyum gibi spesifik konular detaylandırılabilir. (Burada kastettiğim birebir politikanın içerisinde yer almasından ziyade ele alındığı belgelere referans edilmesi daha çok.) Bu konulara ek olarak, Bilgi Güvenliği Strateji Planı ve portföy yönetimi de konuları da ele alınmalıdır.

Politika bütün kurum tarafından özümsenecek şekilde bütün çalışanlara hitap etmeli ve bütün çalışanlar ile de paylaşılmalıdır. Bilgi Güvenliği tek başına IT birimlerinin sorumluluğu değildir. Hatta çalışanlara ek olarak sözleşmeli çalışanlara ve hizmet tedariği kapsamında kurum içerisinde faaliyet gösteren tedarikçi firma çalışanları ile de paylaşılmalıdır. Dokümanın gerektiği zamanlarda ve/veya periyodik olarak gözden geçirilmesi ve güncel ihtiyaçlara göre güncellenmesi önemlidir. Bu sorumluluğun kimde olduğu da açık bir şekilde tanımlanmalıdır.

Genel Bilgi Güvenliği Politikasına ek olarak erişim kontrol politikası, personel bilgi güvenliği politikası ve güvenlik ile alakalı vakaların ele alınmasına yönelik politikalar da önerilmektedir.

Erişim Kontrol Politikası

Erişim Kontrol Politikası, iş hedeflerine uygun olarak iç ve dış paydaşlara gerekli erişim yetkilerinin sağlanmasını düzenleyen politikadır. Politikanın başarımı; erişim ihlali sayısı, yetersiz yetkiden kaynaklanan iş kesintisi miktarı (yapılması gereken bir işe yönelik gerekli erişim yetkisinin tanımlanması gereken personele tanımlanmaması durumu), görevler ayrılığı ilkesi ihlalleri veya konuya ilişkin denetim bulguları gibi metrikler ile ölçülebilir. 

Erişim Kontrol Politikası kapsamında acil durumlarda gerekli olan erişim yetkilerinin nasıl tanımlanabileceği durumu da tanımlanmalıdır. Bunlara ek olarak ilgili politika içerisinde fiziksel ve mantıksal yetki tahsis mekanizması ve yaşam döngüsü (nasıl tanımlanacağından - ara ara nasıl gözden geçirileceğine -nasıl geri alınacağına kadar olan sürecin tariflenmesi), gerektiği kadar yetki / bilinmesi gerektiği kadar bilgi prensibi (yöneticiler tarafından kullanılmayan ve Türk Yönetim anlayışına uygun bir şekilde kendilerine tahsis edilmiş yetkilerin geri alınması), görevler ayrılığı ilkesidir. Güncellemeler sadece görev atanan birimi değil; insan kaynaklarını, veri ve sistem sahiplerini ve bilgi güvenliği fonksiyonunu ilgilendirdiği için değerlendirmelerin daha geniş bir kitle ile yapılması önemlidir.

Personel Bilgi Güvenliği Politikası

Özellikle kritik pozisyonda yer alan çalışanlar için düzenli sicil kaydı incelemesi yapılmalıdır. Bu hedef, inceleme yapılan kritik pozisyonda çalışan sayısı ile ölçülebilir. IT kritik süreçlerinde yer alan personel için de ayrıca inceleme yapılması önemlidir. Kritik Bilgi Güvenliği pozisyonları için halef (successior) planlaması yapılması bir diğer önemli konudur. Bu pozisyonların belirlenmesi (genelde bu planlama olmaz, biz de insan kaynağı asla yitirme olasılığı olmayan kaynakmışcasına iş yapış tercih edildiği için) iyi bir başlangıç olabilir. Gözden geçirme ve güncelleme konusunda sorumluluk her kimde olursa olsun süreçte İnsan Kaynakları, Yasal Uyum fonksiyonu (Hukuk müşavirliği olur, ayrı bir uyum birimi olur), Bilgi Güvenliği ve Bina Güvenliği fonksiyonu temsilcilerinin olması, güncellemelerin bütün çalışanlara ek olarak sözleşmeli personel ve tedarikçi firma çalışanları ile paylaşımı önerilir.

Bilgi Güvenliği ile alakalı vakaların ele alınması konusunu ise bir başka yazımda bulabilirsiniz.

CISA sınavı Türkçe sunulacak ama??

Öncesinde gerek ISACA İstanbul mail listelerinde, gerek sosyal medya araçları üzerinden CISA sınavlarının Haziran 2015'ten itibaren Türkçe olacağı duyurulmuştu. Bu noktada aldığım maillerde sorulan sorulardan fikir sahibi olduğum genel kaygılar üzerine sınavın Türkçe uygulanması noktasında bazı hususlara açıklık getirmeyi bu yazı vasıtasıyla isterim.

Öncelikle sınavın Türkçe sunulması noktasında ISACA İstanbul tarafında yaşanan süreci paylaşmanın yerinde olacağı kanısındayım. ISACA İstanbul tarafında sınavın Türkçe sunulması kararının ISACA tarafından alınması noktasında ciddi emekler sarfedildiğini söylemek doğru olacaktır. Gerek ISACA İstanbul yönetim temsilcileri tarafından yapılan görüşmeler, gerek sınavın Türkçe olarak sunulması dahilinde kabul görmesi noktasında ISACA'ya bir perspektif sunmak adına gerçekleştirilen başarılı sunumlar neticesinde CISA'nın Türkiyedeki sektörel gelişmeler göz önünde bulundurularak Türkçe dil seçeneği ile sunulmasının yerinde olacağı kararı çıkmıştır. Bu aşamadan sonra Haziran 2015 sınavının Türkçe dil seçeneği ile sunulmasına yönelik olarak hazırlıklar ISACA tarafından yürütülmüştür.

Peki ya sınavı Türkçe olarak almak adaylar için avantaj mıdır, yoksa dezavantaj mıdır sorusunu masaya yatırmak gerekebilir. Tabii öncesinde bir kaç hususu paylaştıktan sonra.

Öncelikle sınav tamamiyle Türkçe olarak sunulmayacak, Türkçe dil seçeneği ile sunulacaktır. Yani katılımcıların sınava kayıt olurken seçtikleri dil opsiyonları arasında Türkçe dil seçeneği de yer alacaktır. Türkçe dil seçeneğini tercih edenler sınavı tamamiyle Türkçe göreceklerdir.  Soruların İngilizce versiyonları Türkçe dil seçeneğini seçen CISA adayları tarafından görülmeyecektir. Bu noktada sınav sorularının Türkçeye çeviri kalitesi ile ilgili kaygılar oluşabilir. Bu kaygıların yersiz olduğunu sürece baştan sona hakim birisi olarak gönül rahatlığı ile söyleyebilirim.

Süreçten biraz bahsetmek gerekirse;

Birinci aşamada ISACA web sitesi üzerinde sunulan CISA sözlüğünde yer alan terimlerin Türkçe karşılıklarını içeren CISA Türkçe Terminoloji Listesi; öncelikle ISACA İstanbul Çeviri Komitesi tarafından yürütülen COBIT 5 rehberleri çeviri çalışmaları esnasında oluşturulan sözlük içeriğinden, sözlük içeriğinde mevcut değilse alanında uzman kişiler tarafından belirlenmiş, oluşan liste ISACA İstanbul ve ISACA Ankara Chapterlar'da görevli, gönüllü ve BT denetim, yönetişim ve uyum konularında çalışan uzmanlar tarafından ayrıca gözden geçirilmesi suretiyle oluşturulmuştur. Oluşturulan CISA Terminoloji listesi Türkçe çeviride kullanılmak üzere ISACA yetkilileri ile paylaşılmıştır.

Sonrasında sınav içerikleri ISACA tarafından belirlenen, İngilizce-Türkçe hakimiyeti yüksek profesyoneller tarafından CISA Terminoloji Listesi de kullanılarak Türkçeye çevirilmiştir. Çeviri işleminden sonra ise alanında uzman IT denetçileri tarafından sınav içeriği sınav alınıyormuşcasına tekrar gözden geçirilmiş, açıklık kazandırılmasının uygun düşünüldüğü noktalarda terimlerin ve tamlamaların İngilizcesi de ayrıca paylaşılmıştır. Sınav içeriğinde dilimize oturmuş Türkçe karşılığı olsa dahi açıklık sağlamak adına terimlerin İngilizce karşılıkları da paylaşılmıştır. (Merak etmeyin, kimse firewall için ateş duvarı gibi bir çeviri ile karşılaşmayacak.) Burada amaç İngilizce kaynaklardan çalışan adayların zorluk çekmelerini ve ikilemde kalmalarını engellemektir. Sınavı alacak adaylar sınavın Türkçe çevirisi arkasındaki hassasiyeti eminim fark edeceklerdir.

Sınava Türkçe kaynaklardan hazırlanmak isteyebilecek adaylar için sınava hazırlık sürecinin temel kaynağı olan CISA Review Manual'ın Türkçeye çevirilmesi çalışmaları devam etmektedir. Şu aşamada söyleyebileceğim İngilizce CISA Review Manual ile hazırlansa dahi bir adayın yabancılık çekmeden Türkçe sınav içeriği ile de rahatlıkla başarıya ulaşabileceğidir.

CISA sınavında başarıya ulaşmanın önemli bir yolu olarak da ISACA İstanbul tarafından, Lostar Bilgi Güvenliği işbirliğiyle organize edilen, sektörün duayenleri Kaya Kazmirci ve Murat Lostar tarafından verilen CISA Hızlandırma Kurslarını önerebilirim. Bu sene Haziran ayı sınavı için olan 25 Mayıs haftası yapılacak. Detaylı bilgileri  esra.gokalan@lostar.com.tr adresinden Esra Hanımdan alabilirsiniz. ISACA İstanbul web sitesinden de Eğitim sayfasında da bulabilirsiniz.

Bilgi Teknolojileri Yönetişim ve Denetim alanında gerek kamu, gerek özel sektör tarafındaki gelişmelere baktığımız zaman CISA sertifikasına sahip olmanın profesyoneller açısından farklılık yaratacağı açıktır. Taslak ve yürürlüğe girme arefesinde olan tebliğlerde CISA belgesine sahip denetçilerin çalışma gerçekleştirmelerinin direkt refere edilmesi, büyük holding ve çeşitli sektörlerdeki kuruluşlarda BT denetim fonksiyonuna verilen önemin ivmelenerek artması bahsi geçen sertifikanın önemini daha da artırmaktadır. Bu noktada kamu tarafında da yüksek derecede kabul gören CISA sertifikasının Türkçe dil seçeneği ile sunulmasının önemi bu alanda daha çok yetkin ve yeterli personele ihtiyaç olacağı düşüncesiyle ortadadır.

Konuya ilişkin sormak istedikleriniz için bana hayrican.duygun@isaca-istanbul.org adresinden ulaşabilirsiniz. Gelecek sorular ile birlikte yazının içeriğini de birlikte zenginleştirebiliriz diye düşünüyorum.

Öncesinden CISA'yı aldıktan sonra kaleme aldığım tecrübeleri ve hazırlanma ile ilgili tüyoları içeren blog yazıma buradan ulaşabilirsiniz.

ISACA İstanbulda gönüllü olarak çalışın ve sektördeki diğer profesyoneller ile tanışın.

ISACA aşağıdaki linkteki haber ile Bilgi Teknolojileri Yönetişim, Denetim, Risk ve Uyum alanında faaliyet gösteren profesyonelleri kendilerine en yakın ISACA Chapter'ında gönüllü olarak çalışmaya davet ediyor. http://www.isaca.org/About-ISACA/Volunteering/Pages/Local-Chapter.aspx
Ben de bu yazı vasıtasıyla bire bir olmasa bile yazı içeriğindeki genel fikri Türkçe olarak paylaşmaya çalışacağım.

ISACA'da gönüllü olarak görev almak hem kişisel olarak kendinize hem de kariyerinize yatırım olarak değerlendirilmektedir. Bilgi ve yeteneklerinizi yerel ISACA Chapterınız aracılığı ile paylaşmak tecrübenizi artırmanın yanısıra liderlik yeteneklerinizi de geliştirecektir.

Bir ISACA üyesi olarak ortak hedefler ve ortak konulara ilgi duyan bir topluluğun üyesi olmanın yanı sıra ISACA yerel chapterlarında gönüllü katılım sağlayarak kişisel network anlamında çok değerli ilişkiler geliştirebilme, bildiklerinizi paylaşabilme ve iş hayatınız ile ilgili yeni fırsatlar yaratabilme olanağına sahip olabilirsiniz.

Dünyanın dört bir yanında 200'den fazla ISACA Chapterı gönüllülük esası ile paylaşmanın zenginliğini sunmaktadır. Yukarıdaki linkte yer alan yazı ile de ISACA üyelerini yerel chapterda gönüllü çalışmaya davet etmektedir.

Gönüllülük anlamında bir seferlik alınabilecek görevlerin yanısıra çalışma gruplarına aktif katılım, organizasyonlarda görev almaktan ISACA'nın Uluslararası Komitelerinde görev almaya kadar geniş bir gönüllük yelpazesi mevcuttur. Gönüllülük anlamında rollerin yerel chapterlara göre değişkenlik göstermesi sebebiyle gönüllülüğün ilk adımı olarak yerel chapter ile irtibat kurulması önerilmektedir.

ISACA İstanbul tarafından gerçekleştirilenleri takip etmek isterseniz ve hatta gerçekleştirilen faaliyetler içerisinde daha aktif görev almayı isterseniz http://www.isaca-istanbul.org/tr/ adresinde yer alan iletişim bilgilerinden Chapterda görev alan gönüllüler ile iletişim kurabilirsiniz.

ISACA İstanbul komiteleri http://www.isaca-istanbul.org/tr/committees adresinde yer almaktadır. Bu çalışma gruplarındaki ilgili gönüllülere gerek Linkedin, gerek ise Chapter üzerinden ulaşabilirsiniz.

Peki ISACA İstanbul tarafından neler gerçekleştirilmektedir?

• ISACA İstanbul, ISACA tarafından sağlanan CISA, CISM gibi sertifikasyonlar sürecinde yönlendirici rol oynamakta, sunulan hazırlık kursları ile yeteneklerini belgelemek isteyen profesyonellere katkı sağlamaktadır.  
• Çeviri komitesi çalışmaları aracılığı ile COBIT belgeleri Türkçeye kazandırılmakta, komite çalışmalarına katılım sağlayan gönüllülerle birlikte sektöre anadilimizde kaynak kazandırmanın keyfi paylaşılmaktadır.
• Aylık gerçekleştirilen söyleşiler ile üyeler bir araya getirilmekte, aynı sektörde yer alan profesyonellerin benzeri konulara yönelik bakış açısı ve tecrübelerini paylaşma imkanları sunulmaktadır.
• Gerçekleştirilen günlük eğitim etkinlikleri ile üyelerin ve gönüllülerin daha teknik konularda becerilerini geliştirmeleri konusunda olanaklar sunulmaktadır.
• Yıllık gerçekleştirilen Bilgi Teknolojileri Yönetişim ve Denetim Konferansları sağlanan geniş katılım ile çeşitli sektörlerden, çeşitli rollere sahip profesyoneller bir araya getirilmekte ve etkinliklerde sektöre ilişkin son gelişmeler, güncel konular ve yasal mevzuat ve uygulamalar anlamında yenilikler katılımcılar ile paylaşılmakta, hem ISACA üyeleri hem de kamu kesimi temsilcilerinin katılımı ile eşsiz bir network imkanı sunulmaktadır. Bu yıl 6.sı gerçekleştirilecek olan etkinlikle ilgili detay bilgileri www.btyd.org.tr adresinden edinebilirsiniz.
• Gerek ISACA tarafında, gerek Türkiyede yer alan kamu otoriteleri tarafındaki son gelişmeler, güncel mevzuat değişiklikleri üyeler ile paylaşılmakta, mevzuat değişiklikleri esnasında taslak çalışmalarına katkı sağlanmasına yönelik gerekli ilişkiler yönetilmektedir.
• Üyelerimizin rol aldığı kurumlarda insan kaynakları ihtiyaçlarına yönelik doğru ve yetkin insan kaynağı tedariğine yönelik olarak iş ilanları üyeler ile paylaşılmakta, üyelerimize yeni iş imkanları konusunda bilgilendirmeler yapılmaktadır.
• ISACA İstanbul CISA sertifikasyon sınavının Türkçe olarak gerçekleştirilmesine yönelik gerekli hazırlıkları gerçekleştirmiştir. Haziran ayından itibaren sınav Türkçe olarak sunulacaktır.

Sizler de çalışma gruplarında yer alarak bu faaliyetlerin içerisinde aktif olarak rol almanın keyfiniz yaşayabilirsiniz.

BT Denetim En İyi Uygulamalara Global Bir Bakış Araştırması

ISACA ve Protiviti tarafından yapılan BT Denetimi En İyi Uygulamalara Global Bir Bakış Araştırması Dünya genelinde BT Denetimi özelindeki iyi uygulamarı ortaya koyuyor ve bu alanda faaliyet gösteren bizlere kendi organizasyonlarımızda yürütülen faaliyetleri de değerlendirme imkanı sunuyor. Rapora aşağıdaki bağlantıdan erişebilirsiniz.

http://www.isaca.org/Knowledge-Center/Research/ResearchDeliverables/Pages/a-global-look-at-it-audit-best-practices.aspx

Global düzeyde faaliyet gösteren multinational şirketlerden KOBİ'lere kadar geniş yelpazede yaklaşık 1300 şirketin BT Denetim fonksiyonlarının araştırıldığı araştırma demografik verileri aşağıdaki gibidir;

• BT Denetim Yöneticisi %31, denetçi %21
• Finansal hizmetler %29, Devlet/Eğitim/Kar amacı gütmeyen %16
• 1-5 milyar dolar aralığında gelire sahip firmalar %24
• Borsaya kote %38, özel %36, devlet %18, kar amacı gütmeyen %8
• Organizasyonların yönetim ofisleri lokasyonu Kuzey Amerika %48, Avrupa %26
• BT denetim yönetim ofisleri lokasyonu Kuzey Amerika %48, Avrupa %24

Araştırma kapsamında temelde 5 sonuca ulaşılıyor;

1. Siber güvenlik ve kişisel verilerin korunması temel endişeler. Bu iki alan BT yönetim tarafındaki gündemdeki konular ve BT denetim faaliyetlerini de etkileyeceği düşünülüyor. BT Denetim fonksiyonları planlamalarını yaparlarken kurum içerisinde bu iki alandaki faaliyetleri göz önünde bulundurabilirler sonucu buradan çıkarılabilir.
2. Şirketler BT denetim iş gücü ve kaynak konusunda zorlayıcı unsurlar ile karşı karşıya kalıyorlar. Bu çıkarımı dış kaynaklar özelinde de düşünebilirsiniz.
3. Denetim komiteleri, BT Denetim fonksiyonları ile daha etkileşimli hale geliyorlar. Eskiye göre daha fazla organizasyon BT denetim fonksiyonunda yönetici pozisyonlarını tanımlıyor. Son üç yılda Denetim komitesi toplantılarında BT Denetim fonksiyonlarının temsil edilmesi tamı tamına iki kat artmış olarak görünüyor.
4. BT denetim özelindeki risk değerlendirmeleri yeterli sıklıkta yapılmıyor. Teknoloji doğası gereği hızlı değişim ve dönüşüme maruz iken BT Denetim fonksiyonları tarafından yeterli sıklıkta BT risk değerlendirmesi yapılmıyor. Hatta araştırma sonuçlarına göre BT risk değerlendirmesi hiç gerçekleştirmemiş organizasyonlar mevcut. BT risk değerlendirmesini yapılmasının yanı sıra bu risklerin çeyrekler bazında gözden geçirilmesi ve güncellenmesi öneriliyor.
5. Organizasyonların büyük çoğunluğu BT denetim raporlarından elde edebileceği faydayı etmiyor. Bir çoğu ise BT Denetim ekibi çalışmalarını raporlama yapısına yeteri kadar adapte edemiyor.

Aynı araştırmada teknoloji tarafını zorlayıcı (challenging) trendler belirlenmiş. 2014 yılı için BT güvenlik ve kişisel verilerin korunması/siber güvenlik, kaynak-personel istihdamı - yetenekler konusunda yaşanan zorlayıcı unsurlar, yeni teknolojiler ve altyapı değişiklikleri, yasal gereksinimlere uyum, bütçeleme ve maliyetlerin kontolü ilk 5'te yer alıyor. Diğer hususları raporda detayları ile birlikte bulabilirsiniz.

Raporun içerisinde cevap bulabileceğiniz aşağıdaki sorular ise görsel materyaller ile beslenmiş şekilde rapordaki yerini alıyor.

• Organizasyon içerisinde tasarlanmış bir BT denetim ekibi yöneticisi var mı? (Evet %45)
• BT denetim ekibi yöneticisi kime raporlama yapıyor? (Avrupada %70 Denetim Üst Yöneticisine ki bu bizdeki denetim komitesine denk gelebilir.)
• BT denetimi ekip yöneticisi denetim komitesi toplantılarına düzenli katılım sağlıyor mu? (Evet %55)
• Organizasyon içerisinde BT denetim fonksiyonu nasıl konuşlandırılmış durumda?
• İç denetim içerisinde ve ayrı bir fonksiyon değil. BT denetçisi ayrımı yok.
• İç denetim içerisinde ve ayrı bir fonksiyon olarak
• Organizasyon içerisinde ayrıca bir denetim fonksiyonu olarak
• BT denetim fonksiyonu kurum içerisinde hiç yok. (100 Milyon dolardan az yıllık kazancı olan organizasyonlar için % 11; Avrupa'da %4)
• BT denetim yetkinliklerinin artırmak ve desteklemek için dış kaynak kullanılıyor mu? ( Avrupada %52)
• Dış destek alınan BT denetim kaynak zamanının toplam kaynak içerisindeki oranı nedir? (100 Milyon dolardan az yıllık kazancı olan organizasyonlar için %75'den fazla %8, hiç kullanmayan %11)
• Organizasyonların dış kaynak kullanımındaki temel nedeni nedir?
• İçeride gereken yeteneklerin geliştirilmesi zor. (Avrupa %21)
• Çeşitli kaynaklardan istifade edilmek istenmesi yaklaşımı (Avrupa %11)
• Kurum dışı farklı bakış açısının önemsenmesi (Avrupa %17)
• Kaynakların yetersizliği (Avrupa %24)
• Kurum içi kaynakların kurum dışı deneyimlerden de faydalanmasının düşünülmesi (Avrupa %28)
•   BT denetim raporları sayısının toplam raporlar içerisindeki oranı nedir? (Yüzde 20'den fazla %32, yüzde 5'den az %22)
• Organizasyonunuz BT denetim risk değerlendirmesi gerçekleştiriyor mu? ( Hayır Avrupa için %10)
• BT denetim risk değerlendirmesine aşağıdaki paydaşların katılım durumunun değerlendirilmesi
• Denetim komitesi
• BT icra yönetimi
• İş süreç yöneticileri
• BT organizasyon temsilcileri
• İç denetim/BT denetim
• Risk Yönetimi
• BT denetim risk değerlendirmesinin hangi sıklıkla güncellendiği? (Avrupa çeyrek %27, yarı yıldan az sıklık %73)
• BT denetin risk değerlendirmesinde hangi çerçeve kullanılmaktadır)
• COBIT
• COSO
• ISO
• SOGP
• Kurumunuzun kurumsal risk yönetim programı mevcut ise BT denetim risk çerçevesi ile ilişki var mıdır? (Avrupa evet %42)
• BT denetim fonksiyonunun alanına aşağıdakilerden hangisi girmektedir?
• BT süreçlerini denetlemek (güvenlik, kişisel verilerin korunması gibi süreçler)
• BT  genel kontrollerini değerlendirmek
• Uygulama bazında denetimler gerçekleştirmek
• BT altyapısına yönelik denetimler gerçekleştirmek
• BT uyumunu test etmek
• Sosyal medya denetimleri
• SOX'a yönelik denetimler
• Tedarik denetimleri
• Önemli BT projelerine BT denetimi hangi aşamada dahil olmaktadır?
• Planlama (%30)
• Tasarım
• Test
• Uygulama (Implemantasyon)
• Uygulama sonrası
• Dahil olmazlar (%9)
• BT denetim fonksiyonu güvence, uyum ve danışmanlık faaliyetlerinde zamanlarını hangi oranlarda harcarlar? ( Avrupa'da ağırlıklı güvence ile harcarlarken, danışmanlık ve uyuma harcanan mesai biraz daha az.)
• BT denetim fonksiyonu COBIT çerçevesine göre bir değişim ve değerlendirme yaşadı mı? 
• BT denetime yönelik teknik yetenekler doğrultusunda aşağıdaki başlıkların öneminin değerlendirilmesi (Yüksek önem seviyesi atfedenlerin oranlarına göre yüksekten düşüğe sıralanmıştır.)
• Kontrol analizi
• Risk Analizi
• Süreç değerlendirmesi
• BT ile aynı dili konuşabilme
• Veri analizi
• Muhasebe/denetim
• Proje Yönetimi
• Danışmanlık
• BT denetime yönelik iş ve insan ilişkilerine yönelik yetenekler doğrultusunda aşağıdaki başlıkların öneminin değerlendirilmesi (Yüksek önem seviyesi atfedenlerin oranlarına göre yüksekten düşüğe sıralanmıştır.)
• İlişki geliştirme
• Rapor yazımı
• Stratejik düşünebilme
• Ekip oluşturma ve yönetme
• Çatışma yönetimi
• Müzakere
• İş tarafları ile aynı dili konuşabilme
• Liderlik
• BT denetimi iç denetim biriminde görevli tam zamanlı çalışan profesyoneller tarafından mı gerçekleştiriliyor? (100 Milyon dolardan az yıllık kazancı olan organizasyonlar için evet % 64)
• BT denetim planına almak istenen ama kaynak yetersizliğinden denetim gerçekleştirilemeyen alanlar mevcut mudur? ( 100 Milyon dolardan az yıllık kazancı olan organizasyonlar için Evet %43)
• Organizasyonunuz CISA sertifikalı denetçiye ihtiyaç duyuyor mu? (Avrupa Evet %65)
• Organizasyonunuz içerisinde CISA sertifikalı ya da alma düşüncesinde denetçi oranı nedir? (Avrupa yüzde 75'den fazla %58)
• Organizasyonunuzda başka hangi sertifikalar yer almaktadır?
• CRISC (Avrupa %16)
• CISM (Avrupa %18)
• CIA (Avrupa %19)
• CGEIT (Avrupa %6)
• CISSP (Avrupa %15)

Yukarıda temel düzeyde kendi organizasyonunuz açısından BT denetim fonksiyonunuzu değerlendirmenize yönelik faydalı olabileceği düşünülen bilgiler paylaşılmıştır. Bu paylaşım Avrupadaki firmalara yönelik bilgilerin ve Türkiyedeki çoğu firmanın girebileceği düşünülen aralıklarla ilgili istatistiklerin paylaşılması şeklinde olmuştur. Detaylar ve 2012 yılından bu yana değişen trendlere yönelik bilgiler için raporun kendisine bakmanız ve ilerleyen dönemler için ISACA web sitesini takip etmeniz önerilir.

ISACA İstanbul Chapter faaliyetleri ile ilgili bilgi almak için ise ISACA İstanbul web sitesine bir uğramanızı ve Linkedin grubuna üye olmanızı tavsiye ederim.

NIST tarafından hazırlanan Kritik Altyapı Siber Güvenliği Geliştirmeye yönelik Çerçeve

2000li yılların başlarında lamer araçları olarak tanımlanabilecek SchoolBus, Cain gibi programlar ile internet üzerinden fırtına estiren ergenler büyüdüler ve doğal olarak eskisinden çok daha yetenekli ve tehlikeliler. Bir de buna ek olarak internet üzerinden gerek saldırı amaçlı araçlara, gerek eğitici belgelere erişim o derece kolaylaştı ki bilgisayardan biraz anlayan ve sabır gösterebilen herkes yeteneklerini geliştirebilecek durumda.

Ülkeler arasında siber savaş olarak tabir edilen ve siber saldırılara sahne olan savaşlar o kadar arttı ki Amerikan Ordusunun, Avrupalı bazı devletlerin, İran ve Çin gibi ülkelerin Siber Orduları olduğu sıkça konuşulur oldu. Her ne kadar bu Orduların savunma amacı ile kurulduğu söylense de aktif eylemler gerçekleştirdikleri de bir gerçek. İran nükleer araştırmalarını engellemeye yönelik olan Stuxnet en bilindik örneklerden birisi. Hatırlarsınız belki zamanın Bilim, Sanayi ve Teknoloji Bakanı Nihat Ergün devlet kontrolünde hacker yetiştirileceğine dair açıklamalarda bulunmuştu. (Haberin detayları için tıklayınız). Devlet destekli orduların yanı sıra underground forum sitelerinde bir araya gelen bilgisayar korsanlarında oluşan, lidersiz ve anonim olan siber ordular da siber savaşların bir başka ve güçlü olabileceğini düşündüğüm aktör.

Başka bir deyişle aktörlerin devletler, bilgisayar konusunda yetenekli bireyler, politik gruplar, underground forumlardan beslenen meraklı gençler olduğu çetin bir savaş alanından bahsediliyor Siber alemde.

Peki kurumunuz bu savaşta hedef olabilir mi? Kurumunuzun ya da şirketinizin doğasının ya da mahiyetinin inanın bana hiç önemi yok. Elbette kasıtlı saldırı alan, direkt hedef olan kurumlar var. Bunun yanında uzantısının tr ya da son dönemlerde gözde olduğu için söylüyorum .il uzantılı olması web sitenizin saldırı alması için yeterli olabiliyor. Planlı hedefseniz şayet öncelikli olarak korsanlar net üzerinden sizinle ilgili toplayabildikleri kadar bilgi topluyorlar, iç ağlarınızın ip aralıklarını belirleyip, ağa erişim sağlamaya çalışıyorlar. Buldukları tek bir açık kapı dahi çalışanlarınız kadar bilgiye, belgeye ulaşmalarına ve sistemler üzerinde ayrıcalık elde etmelerine sebep olabiliyor.

Son dönemlerde bütün Dünyada olduğu gibi Türkiyede de önem verilen konulardan birisi siber güvenlik. Ulaştırma Bakanlığı, Başbakanlık özelinde çeşitli çalışmalar mevcut. Kamu özelinde oluşturulmuş çalışma grupları senaryolar üzerinde ve hazır takımlar oluşturma yönünde çalışmalar mevcut. Çünkü siber güvenlik çeşitli paydaşlardan oluşan büyük bir zincir ve saldırı altındaki kurumun tek başına savunma yapabileceği ve çözüm üretebileceği kadar basit bir konu değil.

Bilgi Teknolojileri alanındaki önemli başlıklardan birisi olan Siber Güvenliğe yönelik NIST (National Institute of Standart and Technology) tarafından hazırlanmış olan orjinal adı Framework for Improving Critical Infrastructure Cybersecurity olan çerçeveyi kurumların Siber Güvenlik açısından hazırlıkları aşamasında öneririm. Çerçeveye http://www.nist.gov/cyberframework/ adresinden ulaşabilirsiniz.

Çerçeve temelde 5 fonksiyona odaklanmaktadır. Orjinalleri Identify, Protect, Detect, Respond ve Recover olan bu fonksiyonlar Tanımlama, Koruma, Tespit etme, Yanıtlama ve Geri Kazanma olarak tanımlanmış, her fonksiyon altında ise kontrol kategorileri yer almaktadır.

Tanımlama fonksiyonu altında varlık yönetimi, İş Ortamı, Yönetişim, Risk Değerlendirme ve Risk Yönetim Stratejisi kategorileri yer almaktadır. Tanımlama aşamasında altyapısal manada Siber Güvenliğe konu varlıkların belirlenmesi ve yönetilmesi, kurum iş ortamının yapısının tanımlanması ve iyice tanınması, risklerin yönetilmesine yönelik yaklaşımın belirlenmesi ele alınmaktadır.

Koruma fonksiyonu altında ise erişim kontrol, farkındalık ve eğitim, veri güvenliği, Bilgi koruma süreç ve prosedürleri, bakım ve korumaya yönelik teknoloji kategorileri yer almaktadır. Koruma aşamasında kurum içi erişim kontrolleri ile güvenliğin sağlanması, kurum içi farkındalığın sağlanmasına yönelik eğitim ve farkındalık programlarının sağlanması, bilginin korunmasına yönelik süreç ve süreci açıklayan prosedürlerin oluşturulması, gerekli bakım faaliyetlerinin takip edilmesi ve korumaya yönelik teknolojinin yakın takibi ele alınmaktadır.

Tespit Etme fonksiyonu altında rutin dışı olaylar ve olay yönetimi, güvenlik sürekliliğinin izlenmesi ve tespit süreci kategorileri yer almaktadır. Tespit etme aşamasında siber güvenliğe konu anomilelerin tespit ve takip edilmesi, olayların yönetilmesi, güvenliğin sürekliliğin sağlanmasına yönelik izleme fonksiyonunun oluşturulması ve tespit etme süreçlerinin oluşturulması ele alınmaktadır.

Yanıtlama fonksiyonu altında yanıtlama planlama, iletişim, analiz, azaltma (mitigation) ve iyileştirme kategorileri yer almaktadır. Yanıtlamaya yönelik planlama yapılması, yanıtlama esnasında paydaşların tam uyumlu çalışabilmesine yönelik iletişimin sağlanması, analiz, azaltma ve iyileştirme kategorileri detayı ile ele alınmaktadır.

Geri Kazanma fonksiyonu altında ise geri kazanma planlama, geri kazanma iyileştirme ve iletişim yer almaktadır. Geri kazanıma yönelik planlama, alınan dersler ile iyileşmenin sağlanması ve edinimlerin paylaşılmasına yönelik olarak iletişimin sağlanması kategorileri ele alınmaktadır.

Toplamda 98 adet kontrolün yer aldığı çerçevenin excel formatındaki listesine buradan ulaşabilirsiniz.

Bu liste içerisinde kategori bazında tanımlanmış kontrol listeleri ile çerçevenin detaylarına hakim olunması memkündür. Bir örnek vermek gerekirse tanımlama fonksiyonuna yönelik olarak varlık yönetimi kategorisine yönelik kontroller ile  kurum içerisinde kullanılan donanımsal ve yazılımsal varlıkların envanter kaydı şeklinde takip edilmesi, organizasyon içi iletişim ve data akışlarının dokümante edilmesi, lokasyon dışı sistemlerin kataloglanması, envanterlenen varlıkların kritiklik seviyelerine ve değerlerine göre önceliklendirilmesi, siber güvenliğe yönelik rol ve sorumlulukların belirlenmesi (hizmet alınan destek firmaları da dahil olmak üzere) gibi hususlar önerilmektedir.

Kurum içerisinde Siber Güvenliğe yönelik bir yaklaşım geliştirmek ve bütünün parçası olma noktasında hazır olmak isteyen kurumlara yön çizme noktasında faydalı olacağına inandığım bu çerçeve NİST tarafından tamamiyle ücretsiz ola