Page 16 - bilgem-teknoloji-dergisi-10

Bilgi Güvenliği
gelişim, tarihte hiç görülmediği kadar hızlı oldu. Bilgi-
sayarların gelişimi, internet, mobil-otonom sistemler
derken bugün her şeyi internete bağlayıp birbirleriyle
ve kullanıcılarıyla iletişime geçmesini, nesnelerin in-
ternetini (IoT – Internet of Things) konuşuyoruz.
Tüm bu gelişmeler insanlığın bir nesli boyunca ger-
çekleşti ve bu gelişim, hayatımızın her aşamasına
yansıdı. Veri işleme, depolama ve iletişim her açıdan
çok kolaylaştı. Artık insan müdahalesi olmadan çalı-
şan fabrikalardan, otonom araçlardan, kendi kendine
karar verebilen ve eğitebilen akıllı sistemlerden bahse-
der olduk. Bu baş döndürücü gelişmeler, hayatımızı çok
kolaylaştırdı ve yaşamımızın birer parçası haline geldi.
Elbette bu hızlı gelişim, içinde pek çok tehdit de ba-
rındırıyor. Bilgi güvenliği açısından bu tehditlere ba-
karsak; bu tip sistemleri tasarlarken, bilgi güvenliğinin
nasıl sağlanacağını da değerlendirip sistem tasarımını
bir bütün olarak oluşturmamız gerekiyor. Geliştirilmiş
bir sistemin daha sonra yapılacak eklemelerle bilgi gü-
venliğini sağlamaya çalışmak, çok da verimli ve etkili
olmayabiliyor. Modern sistemlerde artık bu durum göz
önünde bulundurulmaya çalışılıyor. Otonom sistem-
lerin ve internete bağlı makinaların ele geçirilmesine
veya çeşitli ataklarla çalışmasının durdurulmasına,
Özellikle askeri ve kritik kurumların kullandıkları kripto mobil iletişim sistemleri üzerinden yaptığımız görüş- durum ve gelişimi gerekli alanlarla ilgili görüşleriniz
cihazlarında olması gereken bir diğer önemli özellik ise melerin dinlenmesine engel olmak için çeşitli tedbirler
çeşitli TEMPEST koşullarını sağlamasıdır. TEMPEST alınıyor ve bunlar standartlara dâhil ediliyor.
kısaca, cihazdan istem dışı ışıma ya da iletkenler (güç
hattı, haberleşme bağlantıları v.b.) yoluyla bilgi kaçağı- Ancak tüm bu sistemler için bilgi güvenliği kapsamın-
nı tanımlamaktadır. Cihazın içinde işlenen, henüz şif- da alınan tedbirler, kişisel ve belki bir yere kadar ticari
relenmemiş GİZLİ bilgi ve şifrelemede kullanılan kripto bilgilerin güvenliğini sağlayabilecek düzeydedir. As-
anahtarları gibi kritik bilgilerin korunması gerekir. Bu lında bu durum bile tartışmalıdır zira bir takım hacker
bilgilerin istem dışı olarak cihaz dışına çıkmayacağı gruplarının bile bu tip sistemlerdeki güvenlik tedbirle- protokol tasarım gibi alanlarda uzmanların bir arada
güvence altına alınmalıdır. Buna cihazın sağlaması ge- rini kolaylıkla aşabildiğini görüyor ve biliyoruz. Dolayı-
reken TEMPEST standartları ile test edilerek ulaşılır. sıyla dijital dönüşümün getirdiği tüm bu nimetlerden
faydalanırken özellikle kritik kamu kurumlarımızın bilgi
COMSEC testlerinde ise, bilgi güvenliği ürünü, tasarım güvenliğini sağlamak için milli olarak geliştirilmiş bilgi
ve gerçekleme yönteminin, milli COMSEC kriterlerine güvenliği sistemleri kullanmamız gerekmektedir. Söz
uygunluğu test edilir. COMSEC testi sonucunda, belli bir konusu tedbirlerin bir bütün olarak tasarlanması hem
gizlilik seviyesindeki bilgi güvenliği ürününün sahada uygulama ve maliyet hem de kullanım kolaylığı açısın-
karşılaşabileceği “kurcalama, çalınma, hata yaratma, dan çok daha uygun olmaktadır.
yan kanal analizi ve protokol saldırıları” gibi tehditlere
karşı, hangi güvenlik seviyesinde koruma sağlayabildi- İkili sistemin (dijital) elektronik devrelerde ve yaşa-
ğinin değerlendirmesi yapılmış olur. mımızda yaptığı değişimin benzerini şimdi kuantum
sistemlerinin gelişiminde görmek üzereyiz. Klasik bir
İkili Dijital Sistem ve Kuantum Bilgisayarlar bilgisayar, ikili sistemle çalışıp aynı anda 1 ya da 0 (bit)
kullanıp tek bir işlem yapabilirken, kuantum bilgisayar-
Dijital dönüşüm sürecinden geçtiğimiz bu dönemde, lar kübit (qubit) kullanır; kübitler 1, 0 olabilirken aynı
bilgi güvenliği daha da önemli hale geldi. Bu dönü- anda hem 1 hem de 0 olabilir. Bu, kuantum bilgisa- testlerinden ve onaylardan geçirerek kullanıma sun-
şümün, avantajlar yanında bilgi güvenliği açısından yarları ile aynı anda birden fazla işlem yapabilmemize
getirdiği tehditler nelerdir? Alanda yapılan çalışmalar ve işlem gücümüzün muazzam bir şekilde artmasına
hangi yöne doğru ilerlemektedir, trendler nelerdir? imkân sağlamaktadır. Kuantum bilgisayarlar gelişim
Dijital (sayısal) sistemlerin temeli 0 ve 1 rakamları ile aşamasında ve henüz hayatımıza girmeye başlamadı.
ifade edilen ikili sayı sistemidir. Bu sayı sistemi yüzyıl- Bu olduğunda, dijital sistemler gibi bir dönüm noktası
lardır biliniyordu. 1947 yılında transistorun bulunması, oluşturacaktır.
ardından tümdevrelerin (chip) geliştirilmesi ve ikili sis-
temin elektronik devrelerde kullanımının kolaylığı ile Kuantum bilgisayarlar bu haliyle müthiş bir gelişim
sayısal elektronik devreler geliştirilmeye başlandı. Bu sunsa da tedbirli olmaz isek bilgi güvenliği anlamın-
14
BILGEM
TEKNOLOJI
da ciddi tehditler de barındırmaktadır. Bilgi güvenliğini
sağlamak için kullanılan bir takım asimetrik algoritma- Ülkemizde kritik kurumlarımızın
lar ve bu algoritmaları kullanan kriptografik protokoller
kırılabilir hale gelebilir. Günümüz teknolojisi ile kırı- kullanacakları cihazların testleri,
lamayan ve dolayısı ile güvenli olarak kabul ettiğimiz
iletişim kanalları kaydedilip ileride kuantum bilgisayar- BİLGEM Test ve Değerlendirme
larla çözülmek üzere saklanabilir. Bu nedenle özellikle Başkan Yardımcılığı birimleri
ülke güvenliği için kullandığımız bilgi güvenliği sistem-
lerinin şimdiden kuantum hesaplamaya dayanımlı hale tarafından yapılmaktadır.
getirilmesi gerekmektedir.
Ulusal Elektronik ve Kriptoloji Araştırma Enstitüsü ri çözümler sayesinde, ülkemizde milli bilgi güvenliği
olarak uzunca bir süredir kuantum hesaplamaya da- ürünleri çeşitlenebilmektedir. Ancak bu farkındalık, tüm
yanımlı kripto algoritma ve bu algoritmaları kullanan kurumlarımız için aynı düzeyde değildir. Bazı kurum-
kripto protokolleri geliştirme konusunda altyapı ve bil- larımız, bu kapsamda alınması gerekli tedbirlere çok
gi birikimi oluşturmaya çalışıyoruz. Son dönemlerde fazla önem vermeden faaliyetlerini sürdürmeyi tercih
tasarladığımız cihazlarımızda kuantum hesaplama- edebilmekte, ya da ticari kullanım maksadıyla gelişti-
ya dayanımlı algoritmalar ve protokoller kullanıyoruz. rilmiş kimi yerli ya da yabancı bilgi güvenliği ürünlerini
Sahada halen çalışan cihazlarımızda da buna ilişkin kullanarak güvenlik tedbiri almaya çalışmaktadır. Bu
güncellemeler yapıyor, kuantum bilgisayarlar ülke gü- yaklaşım, ülkemizde bütüncül bir bilgi güvenliği anlayı-
venliğimiz için tehdit oluşturmaya başlamadan önce şı oluşturulmasına katkı sunmamaktadır.
tedbirlerimizi alıyoruz.
Doğrusu burada temel sorun olarak, ülkemizde bilgi
Ulusal Bilgi Güvenliği Otoritesi güvenliği kapsamında uygulanacak kuralları belirleyip
uygulamayı takip edecek tek bir otorite olmamasını
Bilgi güvenliği çözümlerinde ülkemizdeki mevcut görüyorum. Konuya önem veren kurumlarımız kendi
içlerinde uygulanacak kuralları belirleyip kurum içe-
nelerdir? risinde titizlikle uygulanmasını sağlamakta, ancak
Kritik kurumlarımızın bilgi güvenliğini sağlamak için farklı kurumlarda farklı uygulamalar olması sebebiyle
kullanacağımız bilgi güvenliği sistemlerinin üst düzey- bütüncül bir yaklaşım oluşamamaktadır. Ülkemizde,
de güvenlik özelliklerine sahip olması gerekmektedir. belli başlı ülkelerde de örnekleri bulunan, bir bilgi gü-
Bu tür cihaz/sistemlerin geliştirilmesi için elektronik venliği otoritesinin oluşturulmasının faydalı olacağını
tasarım, yazılım, mekanik tasarım, rasgele sayı üreteç- değerlendiriyorum.
leri, TEMPEST, EMI/EMC, COMSEC, kripto algoritma/
uyum içerisinde çalışması gerekmektedir.
Tasarlanan cihazların işletim koşullarını test etmek için
de çevresel ve işlevsel test altyapılarının sağlanması
gereklidir. Ayrıca geliştirilmiş olan sistemlerin güvenlik
testlerinin de tam olarak yapılabilmesi için kripto ana-
liz, rasgele sayı üreteçleri analizi, TEMPEST, EMI/EMC,
COMSEC test laboratuvarlarına ihtiyaç vardır. Ancak
tüm bu uzmanlık alanlarını oluşturduğumuzda ulusal ve
uluslararası (NATO) standartlarına uygun bilgi güvenliği
cihaz/sistemleri geliştirmek mümkün olmaktadır.
Kurumumuz uzun yıllar boyunca elde ettiği tasarım de-
neyimi ve seçkin altyapısı ile ülkemizin kritik kurumları
ve NATO için kripto cihazları tasarlamakta, güvenlik
maktadır. Ülkemizin ihtiyacı olan her türlü bilgi gü-
venliği sisteminin, kâğıt üstü tasarımdan cihaz haline
dönüşmesi evresine kadar geçen tüm aşamalar için
gerekli yetkinliğimiz mevcuttur.
Ülkemizdeki bilgi güvenliği farkındalığına gelirsek, bu
kapsamda kimi kurumlarımız çok hassas ve bilinçli bir
şekilde konuya önem vermekte ve kurum içi tedbirle-
rini buna göre almaktadır. Bu kurumların talep ettikle-
15