Bundan önceki makalelerde “güvenlik” kavramının anlamı (okumak için tıklayabilirsiniz) ve “fiziksel güvenlik” konuları (okumak için tıklayabilirsiniz) hakkında bilgilendirme yapmıştım. Bu makalede ise, kurumlarda “çevrimiçi (online)” işlenen verilerin güvenliği ile ilgili olarak görüşlerimi yazmak istedim. Umarım okuyucularım bu makalemden faydalanabilirler.
VERİLER ÇEVRİMİÇİ NERDE BULUNUR?
Çevrimiçi veriler ile ilgili güvenlik hakkında konuşmadan önce, çevrimiçi verinin günümüz şartlarında nerelerde bulunduğunu irdelemek gerekecek. 2020 yılı itibari ile çevrim içi veri aşağıdaki şekilde bulundurulmaktadır.
1-Kullanıcıların bilgisayarlarında
2-Ana sunucu sistemleri üzerindeki disklerde
3-Bulut ortamında
4-Ağa takılı depolama cihazlarında
5-Sunucuya direk veya depolama alan ağı (SAN) üzerinden bağlı cihazlarda
Peki bu ortamlarda bulundurulan veriler hangi formlarda mevcut olabilir ona bakarsak;
1-Unstructured (yani yapılandırılmamış) şekilde. Örnek vermek gerekirse dosya formundaki ofis dökümanları, resimler ve videolar, taranmış dökümanlar v.s
2-Structered (yani yapılandırılmış) şekilde. Bu alandaki veriler %99 bir veri tabanı (örneğin SQL, Oracle, Sybase, DB2 vs) içerisinde yer alan verilerdir.
3-Arşiv yada yedeklenmiş paketlenmiş formda. Bu da genellikle ağa takılı depolama alanlarında veya sunucu diskleri üzerinde özel bir formatta bulunurlar. İlgili arşivleme veya yedekleme uygulaması olmadan açılamazlar.
ERİŞİM KONTROLÜ
Bir kurum içinde, güvenliği sağlamanın ilk ve temel yöntemi yukarıda tarif etmiş olduğum ortamlarda mevcut olan verilere kurum içinden veya dışından erişimin kontrollü ve denetimli bir şekilde sağlanmasıdır. Maalesef KOBİ olarak adlandırdığımız küçük ve orta ölçekli işletmelerde, kurum içerisinden erişim genellikle her seviyede güvenli olarak bilindiğinden herkesin her türlü veriye erişimi açık görünmektedir. Yani dış erişime kapalı olan bir ağ her şartta güvenlidir diye yanlış bir algı oluşmaktadır, oysa ki verinin erişim kontrolü hem dışardan hem içerden doğru bir şekilde yapılandırılmalıdır.
ŞİRKET İÇİ ERİŞİM
Kurum içerisinde çalışan beyaz yaka yani kurumun iç ağında bir terminal, pc veya notebook ile verilere erişerek çalışması gereken kullanıcıların gruplanarak yetki matrisi oluşturulması gerekir. Yetki matrisi her kurum tarafından farklı dinamikler ile oluşturulur. Ancak ben örnek olarak aşağıda bir tablo sizinle paylaşmak istedim.
| Kullanıcı Profili | Departman | Yetki Düzeyi | Veri / Uygulama Kullanımı | İnternet Kullanımı |
| Uzman | Finans | Sadece Veri Girişi | Departmanla ilgili olan uygulamalarda sadece veri girişi, dosya sunucusunda kendine ayrılan ortak alanda veri kullanımı | Şirket kuralları gereği kısıtlı kullanım, Sosyal Medya, Film İzleme, Gazete Okuma ve benzeri siteler kapalı |
| Uzman | İnsan Kaynakları | Sadece Veri Girişi | Departmanla ilgili olan uygulamalarda sadece veri girişi, dosya sunucusunda kendine ayrılan ortak alanda veri kullanımı | Şirket kuralları gereği kısıtlı kullanım, Sosyal Medya, Film İzleme, Gazete Okuma ve benzeri siteler kapalı |
| Müdür | Operasyon | Yetkili | Departmanla ilgili olan uygulamalarda tam fonksiyonel kullanım hakkı, dosya sunucusunda hem ortak alanda hemde kendine ilişkin özel alanda kullanım hakkı | Şirket kuralları gereği, sakıncalı içerikli siteler, sosyal medya kullanıma kapalı, geri kalan açık |
| Müdür | Finans | Yetkili | Departmanla ilgili olan uygulamalarda tam fonksiyonel kullanım hakkı, dosya sunucusunda hem ortak alanda hemde kendine ilişkin özel alanda kullanım hakkı | Şirket kuralları gereği, sakıncalı içerikli siteler, sosyal medya kullanıma kapalı, geri kalan açık |
| Genel Müdür | Tüm Şirket | Tam Yetkili | Tüm uygulamalarda tam fonksiyonel kullanım hakkı ve tüm dosya sunucusundaki alanlara erişim hakkı | Sadece sakıncalı içerikli siteler kapalı |
| Uzman | Bilgi İşlem | Kısıtlı Yetkili | Deparmanla ilgili sistem ve uygulamaların temel bazı yetkilerle kullanım hakkı (örneğin kullancıı ekleme çıkarma, bazı temel güncellemeler v.s) | Şirket kuralları gereği kısıtlı kullanım, Sosyal Medya, Film İzleme, Gazete Okuma ve benzeri siteler kapalı |
| Stajyer | İnsan Kaynakları | Asgari Yetki | Sadece stajyerler için özel ayrılmış dosya sunucusu alanlarındaki verilere erişim hakkı | Sadece eposta kullanımı, herhangi bir internet kullanımı yok |
| Müdür | İnsan Kaynakları | Yetkili | Departmanla ilgili olan uygulamalarda tam fonksiyonel kullanım hakkı, dosya sunucusunda hem ortak alanda hemde kendine ilişkin özel alanda kullanım hakkı | Şirket kuralları gereği, sakıncalı içerikli siteler, sosyal medya kullanıma kapalı, geri kalan açık |
| Müdür | Ar-Ge | Yetkili | Departmanla ilgili olan uygulamalarda tam fonksiyonel kullanım hakkı, dosya sunucusunda hem ortak alanda hemde kendine ilişkin özel alanda kullanım hakkı | Şirket kuralları gereği, sakıncalı içerikli siteler, sosyal medya kullanıma kapalı, geri kalan açık |
| Uzman | Kalite Kontrol | Sadece Veri Girişi | Departmanla ilgili olan uygulamalarda sadece veri girişi, dosya sunucusunda kendine ayrılan ortak alanda veri kullanımı | Şirket kuralları gereği kısıtlı kullanım, Sosyal Medya, Film İzleme, Gazete Okuma ve benzeri siteler kapalı |
| Uzman | Üretim | Sadece Veri Girişi | Departmanla ilgili olan uygulamalarda sadece veri girişi, dosya sunucusunda kendine ayrılan ortak alanda veri kullanımı | Şirket kuralları gereği kısıtlı kullanım, Sosyal Medya, Film İzleme, Gazete Okuma ve benzeri siteler kapalı |
| Müdür | Üretim | Yetkili | Departmanla ilgili olan uygulamalarda tam fonksiyonel kullanım hakkı, dosya sunucusunda hem ortak alanda hemde kendine ilişkin özel alanda kullanım hakkı | Şirket kuralları gereği, sakıncalı içerikli siteler, sosyal medya kullanıma kapalı, geri kalan açık |
| Müdür | Bilgi İşlem | Tam YEtkili | Tüm sistemlerde işlem yapma yetkisi (Domain Admin diye bilinir) | Sadece sakıncalı içerikli siteler kapalı |
Yukarıdaki türde bir yetki matrisi, çalışanlar ve departmanlar için, çevrim içi veriye ve bu verileri kullanarak servis veren uygulamalara nasıl bir erişim yetkilendirmesi yapılacağına yol gösterici olacaktır. Bundan sonraki aşama, şirket içindeki mevcut bazı uygulamalarda bu erişimlerin kontrollü olarak sağlanması için gerekli ayar ve konfigürasyonların yapılması şeklindedir.
Erişim kontrollerini, Unstructured veriler için, Active Directory diye bildiğimiz Microsoft Windows Server servisleri üzerinden gerçekleştirebileceğimiz gibi, eğer ortamda sadece ağa bağlı depolama alanlarında bu tür dosyalar saklanıyorsa, ilgili cihazın üzerindeki kullanıc yetkilendirme seçeneklerinden gerçekleştirmek mümkün olacaktır.
Structured veriler için ise, zaten ilgili veritabanını kullanan uygulamanın, kendi kullanıcı denetimi ve yetkilendirme arayüzü olduğu gibi, Active Directory sistemi ile entegre olarak da çalışabilmektedirler. Burda hangi seçenek kuruma daha uygunsa onu değerlendirmek gerekir. Veritabanlarına hiçbir şartta direk erişim sağlanmamalıdır. Bunun için , veritabanlarının çalıştığı sunucularda, direk erişim sağlayan ilgili portlar kapatılmalıdır.
ŞİRKET DIŞINDAN ERİŞİM
Bazı kurumlarda, gerek kendi çalışanları için, gerek ise de dış tedarikçiler veya iş ortakları için uzaktan ve dışardan erişim yapılması gerekmektedir. Bunun için de erişim güvenliği açısından bazı önlemler alınmalıdır. Bunları aşağıda listelemeye çalıştım.
1-Şirket çalışanı olup da dışardan erişim sağlayacak kişilere, VPN yani güvenli uzak bağlantı imkanı sağlanabilir. Bunun için şirket içerisinde VPN kurmaya müsait bir güvenlik duvarı sistemi entegre edilmiş olmalıdır. Bu kişiler VPN ile bağlantı kurduktan sonra, şirket içerisinde çalışıyormuş gibi yukarıda belirtlen yetki matrisi kapsamında çalışmasını sürdürebilecektir.
2-Şirket çalışanı olmayıp da dışardan bağlanması gereken kişiler için de, ayrı bir yetki matrisi oluşturulmalı, bu kişilere de SSL (yada mobil) VPN dediğimiz sistem ile güvenli bağlantı sağlanarak şirket ağına bağlanması sağlanmalıdır. Kişi kendisine verilen yetkiler doğrultusunda işlemlerini gerçekleştirmelidir. Örneğin, eğer teknik destek için bir sunucuya bağlanacak uygulama geliştiricisi ise, sadece o uygulamanın kullanıldığı sunucuya bağlanabilmeli, faklı ağ bileşenlerine erişememelidir.
3-Şirket dışından bağlanan kişilerin, bağlı kaldığı süre boyunca neler yaptığı, hangi tarihte bağlantı kurduğu, hangi sisteme veya uygulamaya bağlandığı ve hangi verilere erişip bu veriler ile neler yaptığı kayıt altına alınarak olası bir veri hırsızlığı veya itilaf halinde bu kayıtlara başvurulabilmelidir. Bu kayıtların ilgili yasalar mevzuatına uygun saklanması da sağlanmalıdır.
4-Gerek şirket içi gerek şirket dışından bağlanacak olan kişiler için, VPN bağlantısının da daha güvenli şekilde sağlanması için ikincil güvenlik sorgulaması yapılmalıdır. Bu işlem 2FA diye bilinen 2 aşamalı güvenlik sorgulaması ürünleri ile gerçekleştirilebilir. Yani bağlanacak kişinin, kullanıcı adı / ve parola dışında SMS veya EPOSTA ile entegre edilmiş ikincil bir şifre gönderimi gerçekleştirmek sureti ile ikincil bir koruma yapılmalıdır.
Erişim kontrolü gördüğünüz gibi, verilerin güvenliği için en temel koruyucu olarak görünmektedir. Buradaki kritik nokta, erişim kontrolü sistemlerinde bir çalışma yapmadan veya herhangi bir ürün satın almadan önce, bahsedilen yetki matrislerinin oluşturulması, kimin hangi şartlarda hangi veriye veya sisteme hangi yolla erişimi yapılacak belirlenmesidir. Ayrıca, izleme , takip veya loglama çözümleri ile de bu tür erişim kayıtları saklanmalı ve ihtiyaç hallerinde bunlar içinde araştırma gerçekleştirerek tespitte bulunulmalıdır. Bu tür ürün ve çözümler için daha detay bilgi talep etmeniz halinde blog@elzerhara.com mail adresinden bana ulaşabilirsiniz.
Güvenlik Pencersi başlığı altında, erişim kontrolü dışında sağlanabilecek ilave güvenlik önlemleri ile ilgili makalemi daha sonra yayımlayacağım. Takipte kalın….