Siber Güvenlik: Temel İlkeler, Tehdit Türleri ve Roller

Siber güvenlik, bilgisayarları, ağları, uygulamaları ve verileri yetkisiz erişime, saldırıya ve hasara karşı korumak için alınan teknik ve idari önlemlerin tümüdür. Amaç, bilginin yalnız yetkili kişilerce görülmesini, değiştirilmeden korunmasını ve ihtiyaç duyulduğunda erişilebilir olmasını sağlamaktır.

Bu koruma yalnız bilgi işlem ekiplerinin işi değildir. Bir şirkette şüpheli bir bağlantıya tıklayan tek bir çalışan, en pahalı güvenlik yazılımını devre dışı bırakacak bir açığa yol açabilir; bu nedenle konu her çalışanı ilgilendirir.

Siber Güvenliğin Üç Temel İlkesi

Güvenlik çalışmaları üç ilke üzerine kurulur: gizlilik, bütünlük ve erişilebilirlik. Gizlilik, bilginin yalnız yetkili kişilerce görülmesini; bütünlük, bilginin izinsiz değiştirilmemesini; erişilebilirlik ise sistemin ihtiyaç anında çalışır durumda olmasını anlatır.

Bir hastane sisteminde hasta kayıtlarının dışarı sızması gizliliği, ilaç dozlarının değiştirilmesi bütünlüğü, sistemin saldırı nedeniyle çökmesi erişilebilirliği bozar. Güvenlik önlemleri bu üç riskten hangisine karşı alındığına göre seçilir.

Siber Güvenliğin Alt Alanları

Siber güvenlik tek bir uzmanlık değil, birbirine bağlı alanlardan oluşan bir disiplindir. Ağ güvenliği, uygulama güvenliği, bulut güvenliği, uç nokta güvenliği, kimlik ve erişim yönetimi ile olay müdahalesi bu alanların başlıcalarıdır.

Kurumların bu alanlardaki ihtiyacı, açılan pozisyonların çeşitliliğinden de görülebilir. Siber Güvenlik Uzmanı iş ilanları incelendiğinde ağ yönetimi, güvenlik duvarı yapılandırması ve kayıt izleme gibi becerilerin öne çıktığı görülür.

Başlıca Tehdit Türleri

Kimlik avı, kullanıcıyı sahte bir e-posta ya da sayfa aracılığıyla parola ve kart bilgisi vermeye ikna etmeye dayanır. Fidye yazılımı ise sistemdeki dosyaları şifreleyip açmak için ödeme ister ve bir işletmenin günlerce çalışamamasına yol açabilir.

Zararlı yazılımlar, sistemi kullanılamaz hâle getirmek için yapılan hizmet engelleme saldırıları ve insanların güvenini kötüye kullanan sosyal mühendislik de bu tehditlerin arasındadır. Sosyal mühendislikte saldırgan teknik bir açık aramaz; bir çalışanı telefonda yönetici gibi konuşarak kandırmaya çalışır.

İş Yerinde Çalışanın Rolü

Kurumun güvenlik politikası ne kadar iyi yazılmış olursa olsun, uygulayan kişi çalışandır. Her hesap için ayrı ve güçlü bir parola kullanmak, iki aşamalı doğrulamayı açmak ve işletim sistemi güncellemelerini ertelememek temel önlemlerdir.

Şüpheli bir e-postayı açmadan bilgi işlem birimine iletmek, bir saldırının yayılmasını durdurabilir. Ekranı kilitlemeden masadan ayrılmamak ve şirket bilgisini kişisel bulut hesaplarına yüklememek de günlük alışkanlıkların parçası olmalıdır.

Örnek: Sahte Fatura E-postası

Muhasebe biriminde çalışan birine, tanıdık bir tedarikçinin adını taşıyan bir e-posta gelsin: "Banka hesabımız değişti, bekleyen faturayı yeni hesaba ödeyin." Gönderen adresi, gerçek adresten tek bir harf farklıdır.

Dikkatli çalışan, ödemeyi yapmadan önce tedarikçiyi kayıtlı telefon numarasından arar ve hesap değişikliği olmadığını öğrenir. Bu örnek, en etkili korumanın bazen bir yazılım değil, doğrulama alışkanlığı olduğunu gösterir.

Uzaktan Çalışırken Siber Güvenlik

Evden ya da kafeden çalışmak, şirket ağının koruması dışında çalışmak anlamına gelir. Ortak kablosuz ağlarda şirket sistemlerine yalnız kurumun verdiği güvenli bağlantı üzerinden girmek ve ev modeminin varsayılan parolasını değiştirmek bu riski azaltır.

Uzaktan çalışan kişinin bilgisayarı aile üyeleriyle ortak kullanılmamalı, şirket dosyaları kişisel cihazlara indirilmemelidir. Uzaktan çalışma iş ilanlarında bazı işverenlerin cihaz ve bağlantı kurallarını ilan metninde belirttiği görülür.

Kişisel Verilerle İlişkisi

Siber güvenlik ile kişisel verilerin korunması birbirine sıkı sıkıya bağlıdır. Kişisel Verilerin Korunması Kanunu, veri sorumlularından verilerin hukuka aykırı erişime karşı korunması için gerekli teknik ve idari tedbirleri almalarını ister.

Bir şirketin müşteri listesinin sızması, yalnız bir teknik sorun değil, aynı zamanda hukuki bir sorumluluktur. Bu nedenle güvenlik ekipleri ile hukuk ve uyum birimleri, veri ihlali senaryolarını birlikte planlar.

Siber Güvenlikte Hangi Roller Var?

Güvenlik operasyon merkezinde çalışan analistler, sistem kayıtlarını izleyerek şüpheli hareketleri tespit eder. Sızma testi uzmanları, izin alınmış sistemlere saldırgan gibi yaklaşarak açıkları önceden bulur.

Güvenlik mühendisleri koruma sistemlerini kurar ve yapılandırır; olay müdahale uzmanları saldırı anında zararı sınırlar. Politika, risk ve uyum alanında çalışanlar ise kurumun güvenlik kurallarını yazar ve denetler.

Bu Alana Nasıl Başlanır?

Siber güvenlik alanına girmek isteyenler için sağlam bir temel, ağ protokollerini, işletim sistemlerini ve temel komut satırı kullanımını öğrenmektir. Bilgisayar mühendisliği, yazılım ya da bilgisayar programcılığı eğitimi bu temeli sağlar.

Uluslararası tanınan giriş seviyesi sertifikalar, laboratuvar ortamında yapılan uygulamalar ve güvenlik yarışmaları, eğitim belgesinin yanında becerinin kanıtı olarak sunulabilir. Bilgi işlem destek ya da sistem yönetimi rolünde edinilen deneyim de bu alana geçişte değerli bir başlangıçtır.