Siber güvenlik nedir?

Siber güvenlik, bütün saldırıları engelleme iddiası değildir. Daha temel bir amacı vardır: değerli olan bir şeyin, istenmeyen koşullar altında da olması gerektiği gibi çalışmasını sağlamak.

Bu “değerli şey” bir müşteri verisi, kullanıcı hesabı, hastane sistemi, üretim hattı veya yalnızca kişisel bir fotoğraf olabilir. Güvenliği anlamaya araçlardan değil, neyi ve neden koruduğumuzdan başlamak gerekir.

Güvenlik neyi korur?

Bir olayın teknik etkisini üç temel hedef üzerinden okuyabilirsin. İngilizce baş harfleriyle buna CIA üçlüsü denir:

• Gizlilik (Confidentiality): Bilgiyi yalnızca yetkili kişilerin okuyabilmesi. Yetkisiz bir veri aktarımı gizliliği bozar.
• Bütünlük (Integrity): Bilginin veya sistem davranışının izinsiz değiştirilememesi. Bir sipariş adresinin saldırgan tarafından değiştirilmesi bütünlük kaybıdır.
• Erişilebilirlik (Availability): Yetkili kişilerin ihtiyaç duyduklarında sisteme ulaşabilmesi. Bir hizmetin kullanılamaz hâle gelmesi erişilebilirliği bozar.

CIA teknik sonucu anlatır. Finansal kayıp, operasyon kesintisi, hukuki yükümlülük ve itibar zararı ise bu sonucun kurum veya insan üzerindeki etkisidir.

Bir olayı beş soruyla düşün

Bir güvenlik haberini ya da karşılaştığın bir sorunu anlamaya çalışırken şu beş soruyu sırayla sor:

1. Varlık (asset): Korunması gereken değerli şey ne?
2. Tehdit (threat): Bu şeye zarar verebilecek olay veya koşul ne?
3. Zafiyet (vulnerability): Olayın başarılı olmasını kolaylaştıran zayıflık ne?
4. Etki (impact): Olay gerçekleşirse hangi teknik ve gerçek sonuçlar doğar?
5. Kontrol (control): İhtimali, etkiyi veya fark edilme süresini hangi önlem azaltır?

Ana fikir

Bir güvenlik olayının en kısa modeli

Bir tehdit olayı, bir zafiyetten yararlanarak varlık üzerinde etki oluşturur. Bir kontrol ise bu zincirin belirli bir halkasını zayıflatır.

Tehdit ile gerçekleşme ihtimali aynı şey değildir. Tehdit, zarar verme potansiyeli olan olay veya koşuldur; ihtimal ise risk değerlendirmesinin ayrı bir parçasıdır. Tehdit kaynağı (threat source) eylemi gerçekleştirebilecek tarafı, tehdit olayı (threat event) ise gerçekleşen veya gerçekleşebilecek eylemi anlatır.

Risk de yalnızca “kaç zafiyet var?” sorusunun cevabı değildir. Aynı zayıflık, internete açık kritik bir sistemde yüksek; erişimi sınırlandırılmış bir test sisteminde daha düşük risk oluşturabilir. NIST SP 800-30 Rev. 1, bu değerlendirmeyi tehdit, zafiyet, ihtimal ve etki ilişkisi üzerinden kurar.

Tek bir örnek üzerinde görelim

Bir e-ticaret şirketinin destek panelini düşün. Çalışanlardan biri başka bir hizmette kullandığı parolayı burada da kullanıyor. Bu parola sızdırıldığında bir saldırgan destek hesabına giriyor, müşteri listesini indiriyor ve bazı siparişlerin teslimat adresini değiştiriyor.

Beş soruluk model bu olayı sadeleştirir:

• Varlık: Müşteri verileri ve sipariş kayıtlarının doğruluğu.
• Tehdit kaynağı: Hesabı ele geçirmek isteyen saldırgan.
• Tehdit olayı: Sızdırılmış parolayla oturum açma girişimi.
• Zafiyet: Parola tekrar kullanımı, yalnızca parolaya dayanan giriş ve gereğinden geniş yetki.
• Etki: Müşteri verilerinde gizlilik, sipariş kayıtlarında bütünlük kaybı.

İlk uygulanacak kontrol, destek ve yönetici hesaplarında çok faktörlü kimlik doğrulamayı (MFA) zorunlu kılmaktır. Çünkü olayın ilk kırılma noktası, tek bir parolanın geçerli oturum açmak için yeterli olmasıdır.

Bu tek başına yeterli değildir. En az yetki (least privilege) saldırganın erişebileceği veriyi sınırlar; olağandışı giriş ve toplu aktarım uyarıları olayı daha erken fark ettirir. Katmanlı savunma, aynı risk zincirinin farklı halkalarını güçlendirmektir.