Kamu bilgisayarları risk altında

[lececafe]

Bilgi Güvenliği Derneği Başkanı Prof. Dr. Şeref Sağıroğlu, kamu kurumlarının bilgisayarlarının çok büyük bölümünün güvensiz olduğuna dikkat çekerek, kamu kurumlarının, ellerindeki yüksek düzeyli bilgiyi koruyamadığını iddia etti.

Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.

Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.

- Son dönemlerde 10 milyonun üzerinde TC kimlik bilgilerinin, Polis Koleji sorularının ve ÖSYM gibi kurumlarda oluşan güvenlik zafiyetlerinin bunun en önemli göstergeleri olduğunu dile getiren Sağıroğlu, Kamu kurumlarında meydana gelen güvenlik açıklıklarının büyük bölümünün insan ve süreç kaynaklı olduğunu, kritik kurumların Bilgi Güvenliği Yönetim Sistemini bünyelerine uygulamaları, belirli sürelerde sızma testleri yaptırmaları önerisinde bulundu.
Açıklama yapan Bilgi Güvenliği Derneği Başkanı Sağıroğlu, dernek olarak düzenledikleri ulusal ve uluslararası konferanslar, paneller, çalıştaylar, seminerler ile kamuda çalışan bilişim uzmanlarını bilgilendirdiklerini belirtirken, bu sene düzenledikleri Uluslararası Bilgi Güvenliği ve Kriptoloji Konferansına kamu, özel sektör ve üniversitelerden bin 200 katılım olduğunu, konferansta sunulan bildirilerin, yapılan çalıştayların tamamını kamuoyu ile paylaştıklarını aktardı. Sağıroğlu,

Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.

internet adresini kendilerini geliştirmek isteyen tüm kullanıcıların ziyaret etmesini önerdi. Türkiye'de son yıllarda konuya yoğun ilgi olduğu ve kamuda farkındalığın artmaya başladığını fakat gelinen noktanın tamin edici olmadığını kaydeden Sağıroğlu, kamu bilişim sistemlerinde tutulan bilgilerin değerinin yüksek olduğu, önemli bilgi varlıklarını oluşturdukları, bunun farkında olarak kurumların bilgi güvenliği konusunda daha hassas olmaları gerektiğini, bu bilinç ve sorumlulukla bilgi varlıklarını korumaları gerektiğini bir kez daha hatırlattı.

İnternetten kaçış yok

Sağıroğlu, kritik verilerin saklandığı bilgisayar sistemlerinin mümkün olduğunca internetten izole edilmesi gerektiğini, Türkiye'nin bilgi toplumu olma yolunda hızla ilerlediği ve devlet hizmetlerinin hızla artmaya başladığı bir dönemde kurumların bilgi ve belgelerini elektronik ortamlarda da güvenli olarak saklayacak, işleyecek ve paylaşacak mekanizmaları kurma ve güvenle işletme konusunda kararlı olmaları gerektiğini, internetten uzak durarak ta bilgi güvenliğinin de sağlanamayacağını, kurumların buna alışmaları ve tedbir alma ve güvenli elektronik ortamları oluşturulması gerektiği ve "bundan kaçış olmadığını" belirtti.

Sızma testi yapılmalı

Her kamu kurumunun kendi bilgi işlem sistemini test ettirmesi gerektiğini aktaran Sağıroğlu, sızma ve saldırı testleri hakkında şu bilgileri verdi: "Sızma testleri felaket başa gelmeden önce, mevcut tehdit ve tehlikelerin önceden tespit edilerek giderilmesi için önemli bir adım olup, kurumlar için bir erken uyarı sistemidir. Bu önemden dolayı, sızma testleri belirli periyodlarda veya sistem yenilenmelerinde yapılmalıdır. Sızma testlerini her kurumun kapsamlı olarak yaptırması gereklidir. Bir açık tespit edilmiş ise kısa sürede kapatılmalıdır. Genel olarak değerlendirildiğinde, pek çok kurum sızma testlerinin öneminin farkında değil veya yaptıramamış, yaptırmış ama kapsamlı değil, yaptırmış ama gereğini yerine getirememiş. Bunun için gerekli hassasiyet gösterilmiyor veya gösterilemiyor" dedi.

Tehditlerin algılama seviyeleri düşük
Kamu kurumlarının bilgi güvenliği farkındalığının ve konuyla ilgili bilgi birikimlerinin çok yüksek olmadığını ve tehditleri algılama seviyelerinin düşük olduğunu iddia eden Sağıroğlu, bunun sebeplerinin de "güvenliğin teknoloji ile sağlanabileceği düşüncesinin kamuda hakim olduğu, uzman insan kaynağı eksikliği ve süreçlerin yeteri kadar üzerinde durulmaması olduğunu" ifade etti.
Teknoloji, insan ve süreç yaklaşımlarının beraber ele alınmasıyla kurumsal bilgi güvenliğinin yüksek seviyede sağlanabileceğini vurgulayaran Sağıroğlu, kamu kurumlarının bilgi güvenliğini bir defaya mahsus yapılacak bir iş olarak değil sürekli ve dinamik süreçleri içerdiğinin bilinmesinin, bunun için bilgi ve ilginin olmasının, uygulama, denetim ve iyileştirmelerin yapılmasının gerektiğinikaydetti. Sağıroğlu, kurumlarda bilgi güvenliğinin sağlanmasının "bütünsel bir bakış açısıyla" ele alınması gerektiğini vurguladı.

Kurum içi saldırılara dikkat

Sağıroğlu, kamu bilgisayar sistemlerine yapılan saldırıların kurum dışından olabileceği gibi kurum içinden de gelebileceğine dikkat çekerek şunları söyledi: "Yapılan saldırılar incelendiğinde, güvenlik zafiyetlerinin ve tehlikeli saldırıların kurum içerisinden alınan bilgilerle yapıldığı ve en zayıf halkanın insan olduğu unutulmamalıdır."

Bilgi güvenliği uzmanı çalıştırılmalı

Sağıroğlu, yüksek seviyede kurumsal bilgi güvenliğinin sağlanması için kamuda bilgi güvenliği uzmanlarının istihdam edilmesi gerektiğini söyledi. Aynı zamanda, "bilgi güvenliği uzmanı" kadrolarının kamuda arttırılması gerektiğine işaret etti. Ayrıca, "kurumsal bilgi güvenliğinin kamu kurumlarında sağlıklı olarak kurulması ve uygulanması konusunda kurumların üniversitelerden ve bağımsız kuruluşlardan danışmanlık almaları da faydalı olacaktır" uyarısında bulundu.

ISO standartları zorunlu olmalı

Sağıroğlu, "kamuda yüksek seviyede kurumsal bilgi güvenliğinden bahsedilmesi için ISO 27001 Bilgi Güvenliği Yönetim Sistemi standardının kritik bilgi bulunduran tüm kamu kurumlarında uygulanmasının zorunlu hale getirilmesi, bu standardı uygulayan kurumların belirli aralıklarla denetlenmesi gerekir" dedi.

Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.