BilgiGüvenliği

ISO kapsamında çeşitli alanlarda birçok talimat bulunmaktadır. İşte bazıları: 1. ISO 9001 Talimatları: Kalite yönetim sistemi ile ilgili personel işe alım, makine kullanım, giriş kontrol, imalat ve kontrol, araç gereç bakım gibi talimatlar. 2. ISO 27001 Talimatı: Bilgi güvenliği yönetim sistemi için verilerin korunması, siber tehditlere karşı önlem alma ve bilgi yönetimini sistematik hale getirme talimatları. 3. ISO 14001 Talimatı: Çevre yönetim sistemi için atık yönetimi, enerji verimliliği ve doğal kaynakların korunması gibi çevresel faktörleri kapsayan talimatlar. 4. ISO 45001 Talimatı: İş sağlığı ve güvenliği yönetim sistemi için riskleri belirleme, değerlendirme ve azaltma talimatları. Bu liste kapsamlı değildir ve ISO'nun sunduğu diğer standartlar da farklı talimatlar içermektedir.

Intrusion terimi, bilgisayar sistemlerine veya ağlara yetkisiz erişim kazanılmasını ifade eder ve genellikle zararlı niyetlerle yapılır. Intrusion'un anlattığı konular: - Phishing saldırıları: Kullanıcıları aldatarak kişisel bilgilerini veya sistem erişimini ele geçirme. - Malware saldırıları: Virüs, solucan, trojan ve ransomware gibi zararlı yazılımların kullanımı. - Ağa izinsiz giriş: Ağ şifrelerinin veya güvenlik önlemlerinin aşılmasıyla sisteme kontrol kazanma. - Veri hırsızlığı ve operasyonel kesintiler: Başarılı bir intrusion'un olası sonuçları. Önleme ve tespit yöntemleri: Güçlü şifreler, güvenlik yazılımları, ağ izleme sistemleri ve employee eğitimi gibi önlemler alınır.

Bilgi güvenliği farkındalık eğitimi genellikle yılda bir veya iki kez yapılır.

Bilgi güvenliğinin üç temel ilkesi şunlardır: 1. Gizlilik (Confidentiality): Bilginin yetkisiz kişilerin erişimine kapalı tutulması ve sadece yetkili kişilerce kullanılabilmesi. 2. Bütünlük (Integrity): Bilginin doğru, eksiksiz ve güvenilir olması, yetkisiz değişikliklerden korunması. 3. Erişilebilirlik (Availability): Bilginin ihtiyaç duyulduğunda yetkili kullanıcılar tarafından erişilebilir ve kullanılabilir olması.

Bilgi güvenliği farkındalık eğitimi, aşağıdaki gruplar için zorunludur: 1. Kurum çalışanları: Kurumların her departmanında görev alan personel, günlük iş akışında bilgi güvenliği riskleriyle karşılaştığı için bu eğitimi almalıdır. 2. Alt yükleniciler ve geçici personeller: Kurum için çevrimiçi olarak çalışan yetkililer de bilgi güvenliği farkındalığına sahip olmalıdır. 3. Yöneticiler ve karar vericiler: Üst düzey yöneticiler ve lider kadro, bilgi güvenliği politikalarının şirket geneline yayılmasını sağlamak ve veri ihlallerine karşı stratejik önlemler almak için bu eğitime katılmalıdır. 4. Uyumluluk gerektiren kurumlar: GDPR, KVKK, PCI, HIPAA gibi yasal zorunluluklara tabi olan kurumlar, tüm çalışanları için yılda bir veya iki kez bu eğitimi vermek zorundadır.

CISSP (Certified Information Systems Security Professional) sertifikasını aşağıdaki kişiler alabilir: Bilgi güvenliği profesyonelleri. Siber güvenlik uzmanları. Risk yönetimi profesyonelleri. Yöneticiler ve şirket yöneticileri. Sertifikayı alabilmek için en az beş yıl bilgi güvenliği alanında tam zamanlı iş deneyimine sahip olmak gerekmektedir.

Bilgi Güvenliği Komitesi (BGYÖK) aşağıdaki görevleri yerine getirir: 1. Liderlik ve Yönetim: Bilgi güvenliğini sağlayan ekiplere liderlik eder ve gerekli kaynakları sağlar. 2. Güvenlik Politikaları: Güvenlik politikaları ve etkin çözümler geliştirmek üzere çalışmalar yapar. 3. Olay İzleme ve Müdahale: Bilgi güvenliği olaylarını izler ve gerektiğinde müdahale eder. 4. Farkındalık Artırma: Kurumda çalışanların bilgi güvenliği konusunda farkındalığını artırır. 5. Risk Analizi: Bilgi güvenliği risklerini belirler, değerlendirir ve yönetir. 6. Denetim ve Uyum: Kurumun yasal ve düzenleyici gereksinimlere uyumlu olmasını sağlar. 7. Teknoloji Yatırımları: Bilgi güvenliği için gerekli teknolojik altyapının ve güvenlik çözümlerinin belirlenmesini ve uygulanmasını sağlar.

Mavi, aşağıdaki kalite belgelerine sahiptir: 1. ISO 9001 Kalite Yönetim Sistemi: LPCB ve TÜRK LOYDU kuruluşları tarafından denetlenmiş ve uygunluğu belgelendirilmiştir. 2. TS EN ISO/IEC 27001:2017 Bilgi Güvenliği Yönetim Sistemi: VeriCert Belgelendirme ve Gözetim Hizmetleri Ltd. Şti. tarafından denetlenmiş ve sertifikası alınmıştır. 3. Yangın Alarm Sistemi Ürünleri Sertifikaları: TS EN 54 ve gaz dedektörleri için TS EN 50194 sertifikalarına sahiptir. 4. Uluslararası Akredite Kuruluşlardan Sertifikalar: EN 54 ve CPR sertifikaları ile kalitesi onaylanmıştır. 5. Gümrük Birliği Uygunluk Sertifikası (EAC Sertifikası): Ürünlerinin kalitesinin Avrasya Ekonomik Birliği bölgesi dahilindeki onaylanmış yönetmeliklere uygunluğunu teyit eder. 6. Sürdürülebilirlik Raporları: Mavi, CDP (Carbon Disclosure Project) İklim Değişikliği ve Su Güvenliği Programları’nın Global “A” Listesi’ne girmiştir.

Antivirüs programlarının yanlış pozitif vermesinin bazı nedenleri: Sezgisel tespit yöntemi. Yazılım hataları. Güncel olmayan veritabanı. Davranış analizi. Kötü amaçlı yazılımın yapısı. Yanlış pozitifleri önlemek için antivirüs yazılımını düzenli olarak güncellemek ve güvenilir güvenlik motorlarını kullanmak önemlidir.

YÖK'te (Yükseköğretim Kurulu) yer alan bazı meslekler şunlardır: Yapay Zeka Mühendisliği: Geleceğin meslekleri arasında gösterilen bu bölüm, çeşitli üniversitelerde lisans ve ön lisans düzeyinde yer almaktadır. Bilgi Güvenliği Teknolojisi: Bu alanda da hem lisans hem de ön lisans programları bulunmaktadır. Uluslararası Ulaştırma Sistemleri: Yeni nesil teknolojilerle ilgili bir diğer bölümdür. Yazılım Geliştirme: Yükseköğretim Kurumları Sınavı (YKS) tercih kılavuzunda yer alan bir diğer programdır. Dijital Medya ve Pazarlama: Bu alanda da hem lisans hem de ön lisans düzeyinde eğitim verilmektedir. Ayrıca, YÖK'ün "100/2000 Projesi" kapsamında belirlenen 100 öncelikli alanda da çeşitli mesleklerin gelişimi desteklenmektedir.

Firewall (güvenlik duvarı) kurumsal kullanımda, bir ağın gelen ve giden veri trafiğini kontrol ederek yetkisiz erişimleri ve siber saldırıları engellemek için kullanılır. Kurumsal firewall'un bazı önemli işlevleri: Dış tehditlere karşı koruma: Zararlı yazılımlar ve hacker saldırılarını önler. İç ağ güvenliğinin sağlanması: İç ağda yetkisiz erişim denemelerini izler ve engeller. Veri ihlallerinin önlenmesi: Hassas bilgilerin korunmasına katkı sağlar. Ağ trafiğinin kontrolü: Güvenli olmayan bağlantıları tespit eder ve ağ performansını optimize eder. Regülasyonlara uyum: Veri güvenliği konusunda sıkı regülasyonlara uyumu sağlar.

ISO 27001 ve ISO 27002 standartları, bilgi güvenliği yönetiminde farklı işlevler üstlenir: 1. ISO 27001: - Kapsam: Kuruluşun bilgi güvenliği yönetim sisteminin (ISMS) kurulması, sürdürülmesi ve sürekli iyileştirilmesi gereksinimlerini belirler. - Odak: Risk değerlendirmesi, risk tedavisi, performans değerlendirmesi ve sürekli iyileştirme gibi bilgi güvenliği risklerinin yönetimi. - Sertifikasyon: Sertifikasyon mümkündür; kuruluşlar, standartlara uygunluğu göstermek için sertifika alabilirler. 2. ISO 27002: - Kapsam: ISO 27001'de belirtilen güvenlik kontrollerinin uygulanması için detaylı rehberlik sağlar. - Odak: Güvenlik kontrollerinin seçimi, uygulanması ve yönetimi. - Sertifikasyon: Kendinde sertifikasyon süreci yoktur; ISO 27001 sertifikasyonu için bir referans olarak kullanılır.

TS EN ISO 27000 ve TS EN ISO/IEC 27001 arasındaki temel farklar şunlardır: 1. Kapsam ve Amaç: - ISO 27000: Bilgi güvenliği yönetim sistemleri için genel bir çerçeve ve kılavuzlar sunar. - ISO 27001: ISO 27000 ailesinin bir parçasıdır ve bilgi güvenliği yönetim sisteminin kurulması, uygulanması, sürdürülmesi ve sürekli iyileştirilmesi için gereksinimleri belirler. 2. İçerik: - ISO 27000: Tanımlar, ilkeler, terminoloji ve çeşitli kavramlar içerir, ancak uygulama prosedürlerini ayrıntılı olarak belirtmez. - ISO 27001: Detaylı gereksinimler, risk değerlendirmesi, kontroller ve yönetim süreçleri gibi yapılandırılmış gereksinimleri içerir. 3. Hedef Kitle: - ISO 27000: Yönetici yönetim, bilgi güvenliği profesyonelleri ve paydaşlar için uygundur. - ISO 27001: IT profesyonelleri, uyum görevlileri, risk yönetimi personeli ve liderlik için daha özeldir.

Bilgi Güvenliği Uzmanı sınavı, CISSP sertifikası için oldukça zordur. Sınav, geniş ve derin bir bilgi birikimi gerektirir ve aşağıdaki nedenlerden dolayı zorlayıcı olabilir: Kapsamlı konu yelpazesi: Sınav, güvenlik ve risk yönetimi, varlık güvenliği, iletişim ve ağ güvenliği gibi sekiz ana alanı kapsar. Soru formatı: Çoktan seçmeli soruların yanı sıra ileri seviye yenilikçi sorular da içerir. Zaman baskısı: Sınav süresi altı saattir. Başarı kriteri: Geçmek için %70 puan almak gerekir, bu da yüksek bir başarı şartıdır. Ancak, etkili bir hazırlık süreci ve doğru kaynaklarla bu zorlukların üstesinden gelmek mümkündür.

IDA (İzinsiz Giriş Tespit ve Önleme Sistemi) ve IDS (İzinsiz Giriş Tespit Sistemi) arasındaki temel farklar şunlardır: 1. İşlevsellik: IDA, tehditleri sadece tespit etmekle kalmaz, aynı zamanda otomatik olarak önler. 2. Müdahale: IDS ağa müdahale etmezken, IPS zararlı trafiği engeller. 3. Kapsam: IDS, daha geniş bir veri kümesiyle çalışırken, IPS daha spesifik bir veri kümesine dayalı olarak çalışır. 4. Yerleşim: IDS genellikle ağın daha iç bölümlerinde pasif olarak konumlandırılırken, IPS ağ geçidine yerleştirilir ve tüm trafiği izler.

Ağ ve bilgi güvenliği uzmanı, bilgisayar ağları ve bilgi sistemlerinin güvenliğini sağlamak için çeşitli görevler üstlenir. Bu görevler arasında: 1. Güvenlik Yazılımlarının Kurulumu: Antivirüs yazılımı, güvenlik duvarları ve şifreleme gibi güvenlik yazılımlarını kurmak ve yapılandırmak. 2. Güvenlik Denetimleri: Periyodik güvenlik denetimleri yaparak güvenlik açıklarını tespit etmek ve tehditleri belirlemek. 3. Felaket Kurtarma: Elektrik kesintisi veya fidye yazılımı saldırısı gibi durumlarda sistem yedekleri oluşturmak ve ağı eski haline getirmek için planlar hazırlamak. 4. Siber Suçlara İlişkin Kanıt Toplama: Siber suçların ardından kanıt toplamak ve gözetim zincirini korumak. 5. Ağ Trafik Analizi: Ağ trafiğini izleyerek anormal aktiviteleri tespit etmek ve güvenlik günlüklerini analiz etmek. 6. Eğitim ve Farkındalık: Çalışanlara güvenlik farkındalığı eğitimi vermek ve en iyi güvenlik uygulamaları konusunda rehberlik etmek.

IDS (Saldırı Tespit Sistemi), kötü amaçlı aktarımın algılanmasının ardından aşağıdaki işlemleri gerçekleştirecektir: 1. Uyarı Gönderme: Sistem yöneticisine veya güvenlik personeline alarm gönderir. 2. Kötü Amaçlı Paketleri Bırakma: Şüpheli veya zararlı paketleri bırakır. 3. Trafiği Engelleme: Kaynak adreste trafiği engeller. 4. Bağlantıyı Sıfırlama: Saldırganla olan bağlantıyı sıfırlar. 5. Adli Kanıt Toplama: Tüm saldırıları veritabanında kaydeder ve adli kanıtlar oluşturur.

Bilgi işlem güvenliği sertifikası almak için aşağıdaki adımları izlemek gerekmektedir: 1. Doğru Programı Seçin: Kariyer hedeflerinize uygun bir bilgi güvenliği eğitimi seçin. 2. Kayıt Olun: Online kayıt işlemlerinizi tamamlayın. 3. Eğitim Süreci: Uzaktan eğitimle verilen dersleri başarıyla tamamlayın. 4. Değerlendirme ve Sınav: Eğitim sonunda yapılan değerlendirme sınavlarından başarılı olun. 5. Sertifikanızı Alın: Başarılı olduktan sonra sertifikanız size teslim edilir. ISO 27001 sertifikası almak için ise şu süreç takip edilmelidir: 1. Başlangıç Değerlendirmesi: Organizasyon, mevcut bilgi güvenliği süreçlerini ve altyapısını değerlendirir. 2. Politika ve Prosedürlerin Belirlenmesi: Bilgi güvenliği politikası ve bu politika doğrultusunda işleyen prosedürler belirlenir. 3. Risk Değerlendirmesi: Bilgi güvenliği riskleri belirlenir ve bu risklere yönelik çözüm önerileri geliştirilir. 4. Uygulama ve İzleme: Belirlenen politikalar ve prosedürler uygulanarak, güvenlik önlemleri devreye sokulur ve izlenir. 5. Denetim: Sertifikasyon için başvurudan önce, bağımsız bir denetçi organizasyonun bilgi güvenliği yönetim sistemini denetler. 6. Sertifikalandırma: Denetim sonucunda, organizasyonun bilgi güvenliği yönetim sistemi ISO 27001 standardına uygun bulunursa sertifika verilir.

BİLM-424 Bilgi Sistemleri ve Güvenliği dersi, bilgi sistemlerinin korunması ve güvenliğinin sağlanması konularını kapsar. Bu ders, aşağıdaki ana başlıkları içerir: 1. Bilgi Güvenliğinin Temel Unsurları: Gizlilik, bütünlük ve erişilebilirlik. - Gizlilik: Bilgilerin sadece yetkili kişiler tarafından erişilebilir olmasını sağlar. - Bütünlük: Bilgilerin doğruluğunu ve değiştirilmemesini garanti eder. - Erişilebilirlik: Yetkili kişilerin bilgilere ihtiyaç duyduklarında ulaşabilmeleri için sistemlerin kullanılabilir olmasını sağlar. 2. Bilgi Güvenliği Tehditleri: Kötü amaçlı yazılımlar, yetkisiz erişim, siber saldırılar ve iç tehditler gibi güvenlik açıkları. 3. Güvenlik Önlemleri: Güçlü şifreler, iki faktörlü kimlik doğrulama, antivirüs programları, yedekleme ve güvenlik duvarı kullanımı gibi koruyucu yöntemler. 4. Güvenlik Teknolojileri: Bulut erişimi güvenlik aracıları, uç nokta algılama ve yanıt, DevOps için güvenlik testi gibi teknolojik çözümler.

Güvenlik duvarı açık kalırsa, bilgisayar ve ağ sistemleri aşağıdaki avantajlara sahip olur: 1. Kötü niyetli saldırılara karşı koruma: Güvenlik duvarı, zararlı yazılımların ve hackerların sisteme girmesini engeller. 2. Veri güvenliği: Açık verilerin çalınması veya fidye için tutulması gibi riskler azalır. 3. Ağ stabilitesi: Güvenlik duvarı, ağın kilitlenmesini ve hizmet reddi saldırılarını önler. Özetle, güvenlik duvarının açık olması, sistemi ve verileri güvende tutar ve siber tehditlere karşı savunma sağlar.