Siber Güvenlik Nedir? Temel Kavramlar ve Koruma Yaklaşımı

Siber güvenliğin tanımı ve amacı

Siber güvenlik; bilgisayar yazılımlarını, sistemleri, ağları ve verileri siber tehditlerin yol açabileceği yetkisiz bilgi açıklamasına, hırsızlığa, donanım veya yazılım zararına ve dijital hizmetlerin kesintiye uğramasına karşı koruma alanıdır. Kapsamı yalnızca masaüstü bilgisayarlarla sınırlı değildir; internete bağlı telefonlar, akıllı cihazlar ve birbirine bağlı diğer dijital sistemler de bu alanın içindedir. Çünkü bir sistem dijital hizmet sunduğunda, o hizmetin çalışması ve doğru kişilere doğru bilgiyi vermesi de korunması gereken bir güvenlik hedefi hâline gelir.

Siber güvenlik, saldırı olduktan sonra zararları gidermekten ibaret değildir. Güvenlik yaklaşımı önce tehditleri ve açıklıkları değerlendirmeyi, uygun önlemlerle saldırı ihtimalini veya etkisini azaltmayı, ardından olağandışı durumları fark etmeyi ve gerektiğinde karşılık vermeyi kapsar. Erişim yetkilerini sınırlamak, verileri şifrelemek, ağ trafiğini denetlemek, kayıtları incelemek ve sistemleri güncel tutmak bu yaklaşımın farklı parçalarıdır. Hiçbir önlem her saldırıyı kesin olarak engellemese de birlikte uygulandıklarında yetkisiz erişimi zorlaştırabilir ve oluşabilecek zararı sınırlayabilir.

Örneğin bir okulun çevrim içi bilgi sistemi öğrencilerin hesaplarını, ders kayıtlarını ve hizmetin çalışmasını korumalıdır. Kullanıcıların yalnızca yetkili oldukları bilgilere erişmesi erişim kontrolüyle, verilerin başkaları tarafından okunamaması şifrelemeyle, dış ağlardan gelen bazı isteklerin süzülmesi güvenlik duvarıyla desteklenebilir. Sistem kayıtlarının incelenmesi olağan dışı girişimleri fark etmeye, yedekler ise veri kaybının etkisini azaltmaya yardımcı olur. Böylece amaç yalnızca saldırganı dışarıda tutmak değil, bilginin ve hizmetin güvenilir biçimde kullanılmasını sürdürmektir.

Temel korunma yaklaşımı; değerli varlıkları belirlemek, hangi tehdit ve açıklıkların bulunduğunu değerlendirmek, önleyici ve fark edici önlemler almak ve güvenliği düzenli olarak gözden geçirmek üzerine kuruludur.

Korunan varlıklar ve bilgi türleri

Siber güvenlik; yalnızca bilgisayar kasalarını veya sunucuları değil, bu sistemlerde bulunan ve bu sistemlerle sunulan çok çeşitli varlıkları korur. Kullanıcı hesapları, parolalar, kişisel bilgiler, finansal kayıtlar, yazılımlar, donanımlar, ağ bağlantıları, kurum içi belgeler, veri tabanları ve çevrim içi hizmetler bunlar arasındadır. Bir varlığın güvenlik ihtiyacı, onun değerine ve zarar görmesi durumunda ortaya çıkacak sonuca göre değişir. Örneğin bir hesabın ele geçirilmesi kişisel bilgilere erişim sağlayabilir; bir hizmetin bozulması ise kullanıcıların o hizmete ulaşmasını engelleyebilir. Bu nedenle koruma, hem bilginin kendisini hem de bilgiyi işleyen ve taşıyan sistemleri kapsar.

Gizlilik, bütünlük ve erişilebilirlik ilkeleri

Siber güvenliğin temel hedefleri gizlilik, bütünlük ve erişilebilirlik olarak üç başlıkta açıklanır. Gizlilik, bilgiyi yalnızca erişme yetkisi olan kişi veya sistemlerin görebilmesidir. Bütünlük, verinin yetkisiz biçimde değiştirilmemesi ve gerektiğinde doğru hâliyle kalmasıdır. Erişilebilirlik ise yetkili kullanıcıların ihtiyaç duyduklarında sisteme, veriye veya dijital hizmete ulaşabilmesidir.

Bu ilkeler birbirinden farklı olsa da aynı sistemde birlikte korunur. Bir sağlık kaydının yetkisiz kişilerce okunmaması gizlilikle, kaydın değiştirilerek yanlış bilgi içermemesi bütünlükle, yetkili sağlık çalışanlarının ihtiyaç anında kayda ulaşabilmesi erişilebilirlikle ilgilidir. Şifreleme ve erişim kontrolleri gizliliği destekleyebilir; kayıt ve denetim mekanizmaları bütünlükte rol oynayabilir; güvenilir altyapı, yedekleme ve uygun bakım ise hizmetin erişilebilir kalmasına katkı sağlayabilir. Bir sistem yalnızca dışarıdan erişilemez olduğu hâlde yetkili kullanıcılar da ona ulaşamıyorsa güvenlik hedeflerinden biri eksik kalmış olur.

Siber tehdit, saldırı ve risk arasındaki fark

Siber tehdit, bir sisteme, bilgiye veya hizmete zarar verme potansiyeli taşıyan kişi, olay ya da yöntemdir. Saldırı ise bu tehdidin bir açıklıktan yararlanarak yetkisiz erişim sağlama, veri değiştirme, veri alma veya hizmeti bozma gibi bir eyleme dönüşmesidir. Risk, bir tehdidin mevcut açıklıklardan yararlanması sonucunda zarar ortaya çıkma ihtimalinin ve olası etkisinin değerlendirilmesidir. Kısaca tehdit zarar verme potansiyelini, saldırı gerçekleşen eylemi, risk ise bu durumun oluşturabileceği tehlikeyi anlatır.

Bu ayrım güvenlik kararlarının doğru kurulmasını sağlar. Bir sistemde güncel olmayan yazılım bulunması bir açıklık, bu açıklıktan yararlanabilecek zararlı bir girişim tehdit, açıklığın kullanılarak sisteme girilmesi saldırı, bunun veri kaybına veya hizmet kesintisine yol açma ihtimali ise risk olarak düşünülebilir. Güvenlik değerlendirmeleri sistemleri inceleyerek riskleri ve açıklıkları belirlemeye çalışır. Güncellemeler, erişim sınırlamaları, denetimler ve yedekler gibi önlemler saldırı ihtimalini veya saldırı gerçekleştiğinde oluşacak zararı azaltabilir.

İnsan, süreç ve teknoloji boyutları

Etkili siber güvenlik üç unsurun birlikte çalışmasına dayanır: insan, süreç ve teknoloji. İnsan boyutu; kullanıcıların güvenlik kurallarını anlamasını, şüpheli durumları fark etmesini ve bilgiyi dikkatli kullanmasını kapsar. Yanlış kişiye hassas dosya gönderme, yanıltıcı bir internet adresini gerçek sanma veya zayıf parola yönetimi gibi hatalar teknik araçlar bulunsa bile güvenlik açığı oluşturabilir. Bu nedenle güvenlik farkındalığı ve eğitim, teknolojik savunmanın tamamlayıcısıdır.

Süreç boyutu, güvenliğin rastlantıya bırakılmaması için belirlenen kurallar ve çalışma adımlarıdır. Kimlerin hangi bilgilere erişeceği, sistemlerin nasıl güncelleneceği, kayıtların nasıl inceleneceği, açıklıkların nasıl değerlendirileceği ve yedeklerin nasıl yönetileceği bu boyuta girer. Süreçler tehditleri önleme, belirtileri fark etme ve güvenlik gereksinimine uygun karşılık verme çalışmalarını düzenler.

Teknoloji boyutunda erişim kontrolü, şifreleme, güvenlik duvarları, saldırı tespit sistemleri, kayıt mekanizmaları ve güncel yazılımlar bulunur. Ancak teknoloji tek başına yeterli değildir: Yanlış yapılandırılmış bir güvenlik duvarı beklenen korumayı sağlamayabilir, kuralları bilmeyen bir kullanıcı güvenli görünen sistemi riske atabilir ve güncellenmeyen bir süreç yeni açıklıkları gözden kaçırabilir. Bu üç boyutun birlikte ele alınması, güvenliği yalnızca bir yazılım satın alma işi olmaktan çıkarır.

Yaygın siber tehditlere genel bakış

Oltalama, kullanıcıyı sahte mesaj, site veya bağlantılarla kandırarak bilgi vermeye ya da işlem yapmaya yönelten bir tehdittir. Zararlı yazılım, sisteme zarar vermek, bilgi almak veya işlemleri etkilemek amacıyla kullanılan yazılımları ifade eder; fidye yazılımı ise verileri veya sistemleri kullanılamaz hâle getirip bunların geri verilmesi karşılığında talepte bulunabilir. Oltalama ve zararlı yazılım türlerinin ayrıntılı incelenmesi ayrı bir konudur.