Verizon'un 2023 Veri İhlali Soruşturma Raporu'na (DBIR) göre ihlallerin yaklaşık %74'ünde insan faktörü rol oynar. Peki bir bilgi güvenliği olayı tam olarak neyi tehlikeye atar? Cevap üç sözcükte saklı: gizlilik, bütünlük, erişilebilirlik.
Merhaba, ben Güvenlik Uzmanı. Bu derste bilgi güvenliğinin temel taşı olan CIA Üçlüsü'nü (Confidentiality / Integrity / Availability — Gizlilik / Bütünlük / Erişilebilirlik) öğreniyoruz. Soldaki interaktif sahnede (secCiaTriad3D) üç ilkenin birbiriyle dengesini ve birini ihlal ettiğinizde diğerlerine olan etkisini inceleyebilirsin; kaydırıcılarla her ilkenin kuruma yansımasını dene.
BİLGİ GÜVENLİĞİ NEDİR? Bilgi güvenliği, bilginin yetkisiz erişim, değiştirme, ifşa, kayıp veya kesintiye karşı korunmasıdır. ISO/IEC 27001:2022 standardı bilgi güvenliğini tam olarak bu üç özelliğin korunması üzerine tanımlar: gizlilik (confidentiality), bütünlük (integrity) ve erişilebilirlik (availability). Bu üçü birlikte CIA Üçlüsü olarak adlandırılır ve tüm güvenlik kontrollerinin var oluş amacıdır. Neden önemli? Çünkü bir bilgi varlığını (müşteri listesi, sözleşme, kaynak kodu, çalışan özlük dosyası) ne kadar koruduğumuzu ancak bu üç boyutta ölçebiliriz. Bir kontrolün (parola, yedekleme, şifreleme) neye hizmet ettiğini sorduğunuzda cevap daima bu üçünden en az birine dayanır. 1) GİZLİLİK (CONFIDENTIALITY) Tanım: Bilgiye yalnızca yetkili kişilerin erişebilmesi; yetkisiz ifşanın önlenmesi. Neden önemli: Müşteri kişisel verisi, fiyat teklifi veya stratejik plan yanlış ellere geçerse rekabet kaybı, itibar zedelenmesi ve KVKK kapsamında idari para cezası doğar. İş yeri örnekleri: Maaş bordrolarının yalnızca İK'da görünmesi; e-postanın yanlış alıcıya gönderilmemesi; ekranın başkalarına dönük olmaması (omuz sörfü / shoulder surfing). YAPILMASI gerekenler: Bilmesi-gereken (need-to-know) ilkesiyle erişim ver; hassas dosyaları şifrele; ekran kilidini (Win+L) her kalkışta kullan. YAPILMAMASI gerekenler: Gizli belgeyi kişisel buluta/USB'ye kopyalama; parolayı paylaşma; toplu e-postada 'Bcc' yerine 'To' kullanıp adresleri ifşa etme. ISO 27001 bağı: Annex A 5.15 Erişim kontrolü, A 8.24 Kriptografi kullanımı; KVKK md. 12 veri güvenliği yükümlülüğü. 2) BÜTÜNLÜK (INTEGRITY) Tanım: Bilginin doğru, tam ve yetkisiz değişiklikten korunmuş olması. Neden önemli: Banka bakiyesi, fatura tutarı, hasta dozajı veya yazılım güncellemesi izinsiz değişirse maddi zarar ve can güvenliği riski doğar. İhlal her zaman 'çalınma' değildir; sessiz bir değiştirme daha tehlikeli olabilir. İş yeri örnekleri: Muhasebe kaydının onaysız düzenlenmemesi; sözleşme PDF'inin imzadan sonra değişmediğinin doğrulanması; yazılımın yalnız resmî kaynaktan kurulması. YAPILMASI gerekenler: Değişiklikleri loglayan ve onaya bağlayan sistemler kullan; dosya bütünlüğü için sağlama (hash/checksum) ve dijital imza doğrula; sürüm kontrolü uygula. YAPILMAMASI gerekenler: Üretim verisini doğrudan, denetimsiz değiştirme; doğrulanmamış makro/eki çalıştırma; e-posta talimatını teyit etmeden ödeme bilgisi güncelleme. ISO 27001 bağı: Annex A 8.32 Değişiklik yönetimi, A 5.33 Kayıtların korunması; KVKK 'verilerin doğru ve güncel tutulması' ilkesi (md. 4). 3) ERİŞİLEBİLİRLİK (AVAILABILITY) Tanım: Bilgi ve sistemlerin, ihtiyaç duyulduğunda yetkili kullanıcılarca erişilebilir olması. Neden önemli: Fidye yazılımı, donanım arızası veya DDoS saldırısı sistemi durdurursa iş durur, gelir kaybı ve sözleşme cezası oluşur. Gizli ve doğru ama erişilemeyen bilgi de işe yaramaz. İş yeri örnekleri: Kritik dosyaların yedeklenmesi; sunucuların yedekli (redundant) kurulması; ransomware sonrası yedekten geri dönülebilmesi. YAPILMASI gerekenler: 3-2-1 yedekleme uygula; güncellemeleri zamanında kur; iş sürekliliği ve felaket kurtarma planını bil. YAPILMAMASI gerekenler: Tek kopya ile çalışma; şüpheli eki açıp fidye yazılımı bulaştırma; kritik sistemde yetkisiz değişiklik yapıp kesinti yaratma. ISO 27001 bağı: Annex A 8.13 Bilgi yedekleme, A 5.29/5.30 Kesinti sırasında bilgi güvenliği ve ICT süreklilik hazırlığı. ÜÇLÜNÜN DENGESİ Üç ilke çoğu zaman birbiriyle gerilim içindedir. Aşırı gizlilik (çok katı erişim) erişilebilirliği düşürebilir; aşırı erişilebilirlik (herkese açık paylaşım) gizliliği zedeler. İyi güvenlik, varlığın değerine göre üçü arasında dengeyi kurmaktır — bu yüzden önce veriyi sınıflandırır, sonra orantılı kontrol uygularız. CIA + ek ilkeler Modern yaklaşımda üçlüye sıklıkla kimlik doğrulama (authentication), inkâr edilemezlik (non-repudiation) ve hesap verebilirlik (accountability) eklenir; ancak temel her zaman CIA'dir. Bir olayı raporlarken 'hangi ilke ihlal edildi?' sorusu, olayın ciddiyetini ve müdahale önceliğini belirler.
• Bilgi güvenliği = Gizlilik + Bütünlük + Erişilebilirlik (CIA Üçlüsü); ISO/IEC 27001:2022'nin temel tanımıdır. • Gizlilik: yalnız yetkililer erişir (bilmesi-gereken, şifreleme, ekran kilidi). • Bütünlük: bilgi doğru ve izinsiz değişmemiş (onay/log, hash, ikinci kanal teyidi). • Erişilebilirlik: ihtiyaç anında erişilebilir (yedekleme 3-2-1, süreklilik planı). • Üç ilke dengelenir; aşırı biri diğerini zedeler — kontrol veri değerine orantılı seçilir. • Bir olayı raporlarken 'hangi CIA ilkesi ihlal edildi?' sorusu önceliği ve KVKK bildirim yükümlülüğünü belirler.