Riskleri belirlemek ve sürekli ölçmem esas olmalı
Komtera Teknoloji Genel Müdür Yardımcısı Ziya Gökalp
Günümüzde saldırıları ve zafiyetleri gerçek zamanlı tespit etmek, yetkisiz erişimleri önlemek, önemli verileri şifrelemek, veri sızıntısı ve veri ihlallerine karşı tepki vermek adına farklı uygulama ve sistemleri kullanılmak organizasyonlar için kaçınılmaz hale geldi. Bunlara örnek olarak güvenlik duvarları (Firewall), saldırı tespit sistemleri (IPS), veri kayıp önleme uygulamaları (DLP), ileri seviye tehdit analiz sistemleri (Sandbox), zafiyet tespit ve değerleme uygulamaları (Vulnerability Assessment), veri şifreleme çözümleri (Data Encryption), iki faktörlü kimlik doğrulama uygulamaları (Two Factor Authentication), bilgi güvenliği olay yönetimi (SIEM) çözümleri gibi farklı ve karmaşık sistemleri gösterebiliriz.
Ancak Komtera Teknoloji Genel Müdür Yardımcısı Ziya Gökalp’in belirttiği gibi, bu karmaşık ve içlerinde yapay zeka uygulamaları barındıran farklı siber güvenlik sistemlerinin birbirlerinden bağımsız çalışması da mümkün değil. “Birbirleri ile senkron çalışma ve entegrasyon yetkinliğine sahip olmayan siber güvenlik sistemleri mutlaka siber güvenlik döngüsü içinde en zayıf halka olarak kalacak ve risk unsuru taşıyacak” uyarısını yapan Ziya Gökalp, eklemeden geçmedi: “Sistemlerin birbirleri ile entegre edilerek güvenlik politikaları doğrultusunda analiz yapma, birbirlerini uyarma, karşılıklı istihbarat sağlama ve proaktif olarak yanıt verme adına entegre edilmesi kaçınılmaz.”
Bilgi güvenliği ihtiyacı için bilgi güvenliğinin temel bileşenleri olan bilginin gizliliği, bütünlüğü ve erişilebilirliği sağlanmalı. Ancak, bu temel bileşenleri sağlamak her firma için farklı ihtiyaçların karşılanması ve farklı yatırımlar yapılması anlamı taşıyabilir. Öncelikle mevcut durum analizi yapmak, analiz neticesinde temel olarak bilgi kaynaklarını belirlemek ve sınıflandırmak, sınıflandırılmış bilgi kaynaklarına içeriden ve dışarıdan kimlerin, nasıl, hangi yöntemler ile, hangi sıklıkta ve zaman aralığında erişeceğini belirlemek ve riskleri ölçmek esas alınmalı. Belirmenmiş riskleri ve zafiyetleri ortadan kaldırmak adına da bir politika geliştirilmesi ve tüm yatırımların bu çerçevede yapılması da önemli. “Regülasyon ve standartlara uyum içinde olmak işin bir diğer boyutu” bilgisini veren Ziya Gökalp’e göre, özellikle kamu ve finansal kuruluşlar için belirlenmiş ve uyumun kaçınılmaz olduğu standart ve regülasyonlar, siber güvenlik yatırımları için önemli kriterler. “KVKK kapsamında diğer tüm sektörlerde faaliyet gösteren firmalar da yatırımlarını bu kapsamda ele almalı” örneğini paylaşan Ziya Gökalp, şöyle devam etti:
“Siber güvenlik eğilimleri ve ihtiyaçları farklı sistemlerin entegre edilmesi ile birlikte farklı hizmetleri ve farklı çözümleri sunan sağlayıcıların ve denetimcilerin de birbirleri arasındaki işbirliğini gerektirmekte. Farklı üreticilerin farklı çözümlerini entegre etmenin yanı sıra, farklı bulut bilişim platformları, farklı güvenlik operasyon merkezleri (SOC), farklı güvenlik test ve denetim firmaları ile siber güvenlik entegratörlerinin işbirliği sağlaması, entegrasyon birikimi oluşturur. Bu bağlamda farklı konularda ürün ve çözüm sağlayan üretici ve entegratörler bir araya gelerek, doğru ve sektörel çözüm entegrasyonları konusunda sempozyum veya konferanslar düzenleyebilirler. Servis ve çözüm anlamında kurulacak işbirlikleri, sektörel bilgi güvenliği çözümlerinin sunulması ve entegre edilerek risklerin yönetilmesi konusunda fark yaratacaktır. Öncelik; farklı çözüm ve hizmetler konusunda ürün ve deneyimleri olan farklı firmaların bir araya gelerek hedef odaklı ortak çözüm yaratmaları olmalı.”
