İŞ HAYATINDA STANDARTLAR

Kimliğin açıklığı değil doğruluğu esastır. İşlemleri tam olarak kimin yaptığı bilinmelidir.

Bir bilgisayar korsanı (hacker) bir bilgisayar sistemine yetkisiz erişim elde etmeye çalışan bir bireydir. Hackerlar Web siteleri ve bilgisayar sistemlerinin uyguladığı güvenlik korumalarındaki zayıflıkları bularak sıklıkla açık bir sistem yaratan ve kolay kullanılan İnternetin çeşitli özelliklerinden faydalanarak yetkisiz erişim elde ederler

Veri paketleri network cihazları vasıtasıyla ağ üzerinden aktarılırken, kötü amaçlı kişiler bu cihazları ve bilgisayarları paket koklama (sniffleyerek) ya da aldatma (spoofing) işlemleri yaparak bilgileri ele geçirebilirler.

Hizmet dışı bırakma (DoS Saldırısı /Denial-of-Service) bir Web servisi veya Web uygulaması üzerinde altyapının cevap veremeyeceği derecede aşırı istek veya trafik yükü oluşturarak onu hizmet veremez duruma düşürme amaçlı saldırılardır. Genellikle virüsten etkilenmiş zombi bilgisayarların oluşturduğu robot ağları vasıtasıyla yapılır

İnternetin ve elektronik ticaretin gelişmesi ile kimlik hırsızlığı büyük bir sorun haline gelmiştir. Kimlik hırsızlığı bir sahtekârın bir başkasını taklit etmek için sosyal güvenlik kimlik numarasını, sürücü ehliyeti numarası veya kredi kartı numaraları gibi önemli kişisel bilgileri elde etmesi suçudur. Bilgi, kredi almak, ticaret yapmak veya mağdurun adına hizmet almak veya hırsıza ehliyet sağlamak için kullanılabilir (Laudon ve Laudon, 2014:332).

Kötü amaçlı yazılım yaymak, hizmet dışı bırakma (DoS saldırıları) gibi siber suç faaliyetleri sınırsızdır. Çin, ABD, Güney Kore, Rusya ve Tayvan dünyanın kötü amaçlı yazılımlarının çoğunun kaynağıdır.

Rakipler bir dış tehdit unsurudur.

Farkındalık, işletmenin tüm üyeleri çıkabilecek sorunlara karşı uyanık, eğitimli ve bilgi sahibi olmasıdır. İşletme çalışanlarını bilinçlendirmeye yönelik eğitimler bu kapsamdadır. Güvenlik konusunda tolerans olmadığı bilinmelidir.

Kimlik tanıma sistemi girecek kişinin kimliğinin anlaşılmasını sağlar ve yetkisiz girişlere engel olur. Kimlik tanıma sistemlerinde sadece isim ve şifre yeterli olmayabilir. İleri düzey güvenlik için elektronik imza veya iki yönlü doğrulama kullanılabilir.

Mahremiyet (gizlilik) bireylerin yalnız bırakılma, diğer bireylerin veya devleti de içeren kurumların gözetim ve müdahalesinden uzak olabilme talebidir. Mahremiyet talebi iş yerinde de geçerlidir

İnternet erişiminin hızla artmasıyla aslında işletmelerin en büyük sorunu güvenlik olmuştur. İşletmeler bilgi sistemlerinin güvenliğine yönelik birçok önemli tehditle karşılaşabilmektedir. Bu ünitede bu tehditlerin neler oldukları, bu tehditlere karşılık işletmelerin güvenliklerini sağlamak için kullanabilecekleri yöntemler üzerinde durulacaktır. İşletmenin diğer varlıkları gibi donamım, yazılım, ağlar ve bilgi kaynakları da kalitelerini ve faydalı kullanılmalarını sağlamak için çeşitli güvenlik araçları ile korunmalıdır. Günümüzde teknolojinin hızlı gelişmesiyle beraber güvenlik açıkları da bir o kadar artmıştır. Veriler bir ortamdan diğer ortama aktarılırken her an çalınma, değişime uğrama ya da yok edilme tehlikesi ile karşı karşıyadır.

Veriler bir ortamdan diğer ortama aktarılırken her an çalınma, değişime uğrama ya da yok edilme tehlikesi ile karşı karşıyadır. Geçtiğimiz yıllarda LinkedIn’de 6,5 milyon şifrenin çalınması ile oluşan sorunlar işletmelerin bilgi sistemi güvenliğine özel önem vermesi gerektiğine örnek olarak verilebilir.

Kötü amaçlı yazılımları temizleme zorlukları veya kimlik hırsızlığının neden olduğu hasarı onarma, işletmelerin operasyonel maliyetlerini arttırmakta ve hem bireylerin hem de işletmelerin etkinliğini azaltmaktadır

İnternet bağlantılı bazı cihazlar temel güvenlik önemlerine
sahip olmadığından saldırıya açıktır. Bebek monitörleri, ev termostatları ve televizyonlar gibi tüketici cihazları üzerinden yapılan saldırıların da arttığı görülmektedir. HP çok yaygın kullanılan İnternet bağlantılı cihazların 10’unu incelemiş ve yüzde 70’inin ciddi açıkları olduğunu bulmuştur. Bir dizi bilgisayar içeren, sıklıkla birbirlerine bağlı olan ve bazı durumlarda dış dünya ile kablosuz iletişim kuran otomobiller de frenleri, direksiyonu ve hatta motoru kontrol etmek için hacklenebilirler. Sonuç olarak siber güvenlik günümüzde
kalıcı bir işletme riskidir.

Büyük işletmeler daha etkili güvenlik koruyucuları kullanmaya devam ettikçe, tehditler orta ölçekteki işletmelere (100 milyon ile 1 milyar dolar arasında geliri olanlar) kaymaya başlamıştır. Bu işletmelerin birçoğunun büyük işletmelere göre çok daha az güvenlik uygulaması olabilir. 100 milyondan az geliri olan küçük işletmeler 2014 yılında %5 daha az tehdit yakalamıştır.

Büyük işletmeler bilgi güvenliğine daha fazla bütçe ayırmakta, buna karşın arızalar büyük işletmelere daha fazla maliyet yaratmaktadır. Küresel olarak 2014 yılında siber güvenlik arızaları kaynaklı beklenen raporlanmış ortalama finansal kayıp 2013 yılına göre %34 artarak 2,7 milyon dolara ulaşmıştır. Finansal etki gelirlerin azalmasını, iş sistemlerinin zarar görmesini, düzenleyici cezaları ve müşteri kaybını içermektedir. Finansal olmayan zararlar ise imaj zedelenmesi, ürünlerin yağmalanması, araştırma ve geliştirme bilgisinin saptırılması, inovasyona etkileri, çalınan iş ve üretim süreçleri yanında üst düzey plan ve kurumsal stratejiler gibi hassas bilgilerin kaybıdır

Uygulamada farklılıklar bulunmakla birlikte bilgi güvenliği konusunda temel standartlar aynıdır:
• Kimliğin doğruluğu: İşlemleri tam olarak kimin yaptığı bilinmelidir.
• Yetki kontrolü: Kişinin yetkisine uygun işler yapmasıdır.
• Kimliğin gizliliği: Kişinin e-posta veya diğer bilgilerine istenmeyen kişilerin erişimlerinin engellenmesidir.
• Kişisel gizlilik: Kimin hangi işi yaptığı veya müşterinin hangi malı satın aldığı gibi bilgiler kimseyle paylaşılmamalıdır.
• Verinin bütünlüğünün korunması: Gerçek hayatta fatura ve resmi belge gibi varlıklar elektronik ortamda parçalara bölünerek saklanır. Bu parçalardan herhangi biri bozulursa yapılmak istenen işlem farklı bir anlam kazanır.
• İzleme: Yetkisiz erişim durumunda bunun kimin tarafından yapıldığı ve sistemin nerelerini etkilediğini tespit etmek için sistem sürekli izlenmeli ve izlenme sonuçları kaydedilmelidir.

Uygulamada farklılıklar bulunmakla birlikte bilgi güvenliği konusunda temel standartlar aynıdır:
• Kimliğin doğruluğu: İşlemleri tam olarak kimin yaptığı bilinmelidir.
• Yetki kontrolü: Kişinin yetkisine uygun işler yapmasıdır.
• Kimliğin gizliliği: Kişinin e-posta veya diğer bilgilerine istenmeyen kişilerin erişimlerinin engellenmesidir.
• Kişisel gizlilik: Kimin hangi işi yaptığı veya müşterinin hangi malı satın aldığı gibi bilgiler kimseyle paylaşılmamalıdır.
• Verinin bütünlüğünün korunması: Gerçek hayatta fatura ve resmi belge gibi varlıklar elektronik ortamda parçalara bölünerek saklanır. Bu parçalardan herhangi biri bozulursa yapılmak istenen işlem farklı bir anlam kazanır.
• İzleme: Yetkisiz erişim durumunda bunun kimin tarafından yapıldığı ve sistemin nerelerini etkilediğini tespit etmek için sistem sürekli izlenmeli ve izlenme sonuçları kaydedilmelidir.

Günümüz iş dünyasında faaliyet gösteren işletmeler, güvenliği ve kontrolü en büyük öncelik haline getirmelidir. Bir saldırı durumunda çok miktarda veri zarar görmüşse veya deşifre olmuşsa işletme bir daha faaliyet bile gösteremeyebilir. Güvenlik, bilgi sistemlerini izinsiz erişim, değiştirme, hırsızlık veya fiziksel zarardan korumak için kullanılan politikalar, prosedürler ve teknik önlemlerdir. Kontroller işletmenin varlıklarının güvenliği, kayıtlarının doğruluğu ve güvenirliğini ve yönetim standartlarına operasyonel uyum sağlayan yöntemler, politikalar ve prosedürlerdir

Akıllı telefonlar da diğer İnternet cihazları ile aynı güvenlik zafiyetlerine sahiptir ve zararlı yazılımlara ve davetsiz misafirlerin sızmasına açıktır. Kurumsal çalışanlar tarafından kullanılan akıllı telefonlar sıklıkla satış verileri, müşteri isimleri, telefon numaraları ve e-posta adresleri gibi hassas verileri içermektedir. Davetsiz misafirler bu cihazlar ile iç kurumsal sistemlere erişim sağlayabilirler.