Page 48 - bilgem-teknoloji-dergisi-5

Tahsin TÜRKÖZ Bilişim Sistemleri Güvenliğinde TÜBİTAK BİLGEM
Hepimizin bildiği gibi, bilişim sistemleri son 15 yılımıza
damgasını vurdu. Kâğıt üzerinden yürüyen pek çok iş gerek
kolaylığı gerekse getirdiği diğer faydalar nedeniyle sanal
ortamlara taşındı. Uzun yıllar içerisinde oluşmuş birikim ve
tecrübelerimizi küçücük depolama alanlarında taşıyabilir hale
gelmemiz, iş gereksinimlerimizin neredeyse tamamına yakınını
cep telefonları ile karşılayabiliyor olmamız, bu değişimin ne
kadar hızlı ve hayrete düşürücü olduğunun en önemli
göstergelerinden.
Ünlü psikolog Abraham Maslow, bazı eleştirilere rağmen
bugün hâlâ kabul gören kuramında, insanoğlunun beslenme
ve uyuma gibi fizyolojik ihtiyaçlarından sonra kendini güvende 2001 yılında Genelkurmay Başkanlığı’nın da desteğiyle
hissetmek ve tehlikeden uzak durmak içgüdülerinin ağır gerçekleştirilen Ortak Kriter Test Merkezi (OKTEM) kurulması
bastığından bahseder. Tarih, yakın çağımıza kadar bu kuramın projesi ile bu bilgi birikimi, uluslararası kabul gören standartların eldeki bilgi birikiminin geliştirilmesi ve yeni teknolojilerden
en önemli kanıtı niteliğindeydi. Fakat güvenliğin hep arka gerçeklenmesi amacıyla kullanıldı. Bilişim sistemi ürünlerinin
planda kaldığı bilişim sistemlerindeki gelişmeler Maslow’u belirli güvenlik kriterlerine göre değerlendirilip sağlamış
yalancı çıkardı. Özellikle son on yıl içerisinde bilişim olduğu güvenlik seviyelerinin belirlenmesi temel ilkesine
sistemlerinde saptanan açıklıklara karşı savunmasızlığımız, dayanan Ortak Kriterler (‘Common Criteria’, CC)
güvenlik bilincinin ancak yaşanılan acı tecrübelerin bir bileşkesi değerlendirmeleri, ülkemiz laboratuvarlarında yapılabilir hale düşünüyoruz.
ile oluşması, bu noktadaki zafiyetlerimizi ortaya koydu. geldi. Laboratuvar sonraki yıllarda kripto cihazları için
gerçeklenebilir olan COMSEC (Haberleşme Güvenliği) testlerini
de kabiliyetleri arasına ekledi. 2006 yılından günümüze akıllı
Kendini gerçekleştirme kart güvenliği ile ilgili çalışmalarını yoğunlaştırarak, özellikle
ihtiyaçları
Yan Kanal Çözümlemesi (Side Channel Analysis) ve Tersine
Değer ihtiyaçları Mühendislik (Reverse Engineering) konularında uzmanlık
kazandı. Bu alanda sahip olduğu altyapı ile dünyada önemli
test merkezlerinden biri haline geldi.
Ait olma ve sevgi
ihtiyaçları
Güvenlik
ihtiyaçları
Fizyolojik Geçtiğimiz yıl Ortak Kriterler belgelendirmesi konusunda
ihtiyaçlar meydana gelen bir gelişme ile sevindik. Bu konuda paydaş
durumunda olan TÜBİTAK BİLGEM ve TSE’nin işbirliğiyle,
üretilen sertifikaların uluslararası tanınırlığa sahip olması için
Şekil 1. Maslow Üçgeni.
yapılan uzun ve zorlu yolculuk tamamlandı. 12-16 Nisan
tarihlerinde TSE’de uluslararası denetçiler tarafından
Dünden Bugüne gerçekleştirilen ve OKTEM tarafından üretilen değerlendirme
raporlarının da dikkatle incelendiği tetkik başarı ile sonuçlandı.
Ulusal bilgi güvenliğinin sağlanmasını ve bu konularda
ülkemizin kendi ayakları üzerinde durmasını kendisine misyon Sonrasında, Türkiye’nin kabulüne yönelik başlatılan idari süreç
edinmiş TÜBİTAK BİLGEM, bilgi güvenliğinin sadece şifreleme tüm diğer sertifika üreticisi ülkelerin onayı ile tamamlandı.
ile sağlanamayacağını, bilişim sistemleri ve ağ düzeyindeki Böylelikle Türkiye, “Sertifika Üreticisi Ülke” statüsüne sahip
saldırıların da önemsenmesi gerektiğini ve bu alanda 14 ülkenin yanına adını yazdırmış oldu.
uzmanlaşmış bir bölüme ihtiyaç olduğu düşüncesini 1997 Ağ Güvenliği Grubu, kuruluşundan bugüne Türk Silahlı
yılında hayata geçirdi. İlk yıllarında Ağ Güvenliği Grubu adıyla Kuvvetleri’nin bilişim sistemleri güvenliği alanındaki
yürütülen çalışmalarda kapsamlı bir test laboratuvarı kuruldu. gereksinimlerini karşılamak üzere pek çok proje gerçekleştirdi.
Laboratuvar ortamında Microsoft ve açık kaynak kodlu işletim Güvenlik mimarilerinin tasarımı, sistemlerin güvenli kurulumu,
sistemleri, bunların üzerinde çalışan e-posta sunucu, güvenlik testleri, risk çözümleme çalışmalarının gerçekleşmesi
veritabanları gibi popüler uygulamalar, aktif ağ cihaz ve kutuları, gibi alt başlıklar altında ele alınabilecek projelerle Ağ Güvenliği konularında kamu kurumları ile sıkı ilişkiler içerisindeyiz. Kuruluşundan itibaren bilişim sistemleri güvenliği konusunda
saldırı tespit sistemleri gibi savunma ürünleri güvenlik bakış Grubu, ülkemizin özellikle geleceği adına oldukça önemsenmesi
açısı ile değerlendirildi. Önemli bir bilgi birikimi sağlandı. gereken bilişim güvenliği alanında söz sahibi bir otorite
konumuna geldi.
46 Sayı 05 Ocak-Nisan 2011
·
Eldeki bilgi birikiminin paylaşımı ve ülke genelinde bilgi Ülke içerisindeki çalışmalarımız devam ederken, bir taraftan
güvenliği konusundaki bilincin artırılması amacıyla yüzünü da bilgi birikimimizin vermiş olduğu özgüvenle yurtdışında
diğer sektörlere de çeviren Ağ Güvenliği Grubu, kamu kurumları benzer hizmetleri gerçekleştirme konusunda bazı gayretlerimiz
ve kritik özel sektör kurumları ile bazı projeler gerçekleştirdi. oldu. Özellikle Bilgi Güvenliği Yönetim Sistemi, İş Sürekliliği
Güvenlik testleri ile başlayan, daha sonra Risk Analizi, Bilgi gibi alanlarda başarıyla sonuçlanan projelere imza atıldı.
Güvenliği Yönetim Sistemi (BGYS) kurulumu/danışmanlığı ile Türkiye’nin yakın ilişkiler içerisinde olduğu ülkelere bilgi
devam eden bu çalışmalarda kurumların önemli kazanımları güvenliğine yönelik eğitimler verildi. Bu çalışmaların
oldu. Bazı kamu kurumları, yönetim hiyerarşisindeki etkin önümüzdeki yıllarda artan sıklıkla devam edeceğini
noktalara, bilgi güvenliği sağlanmasına yönelik birimler entegre öngörüyoruz.
ederek konuyu en üst düzeyde ele almaya gayret gösterdiler.
Özel sektörde gerçekleştirilen projeler genellikle bankacılık,
telekomünikasyon ve otomotiv alanlarında çalışan firmalarla
yürütüldü. Bunlar mali kazanımların arka planda kaldığı,
haberdar olabilme amacıyla yürütülen projelerdi.
Müşterilerimizin proje çıktılarından memnun kalarak çok Yıllar geçtikçe kabuğunu kıran ve Türkiye’nin önde gelen
yüksek oranda yeni proje önerilerinde bulunmalarının doğru bilişim sistemleri güvenliği merkezlerinden biri haline gelen
yolda olduğumuzun göstergelerinden biri olduğunu Ağ Güvenliği Grubu ismiyle de bir değişim yaşadı ve Bilişim
Sistemleri Güvenliği Bölümü adını aldı. Bölüm halen TSK,
kamu kurumları, özel sektörden firmalar ile gerek yurtiçi
Devlet Planlama Teşkilatı Bilgi Toplumu Dairesi’nin 2005 gerekse yurtdışında projeler gerçekleştiriyor. Her geçen yıl
yılında başlatmış olduğu Bilgi Toplumu Stratejisi isimli çalışma
büyüyen, konusunda uzman kadrosuyla, oldukça geniş bir
ülkemizde bilişim sistemleri adına önemli bir milat oldu. yelpazede kurumların bilgi güvenliği gereksinimlerini
Çalışma, ülkemizin bilgi toplumu olması yolunda önemli karşılamaya gayret gösteriyor.
mesafeler kat etmek ve bilgi teknolojilerinden etkin olarak
yararlanılmasını sağlamak amacıyla gerçekleştirildi. Çalışmanın Bilgi Paylaşınca Güzeldir
bir maddesini de Bilgi Sistemleri Güvenlik Programı
Özellikle Bilgi Sistemleri Güvenlik Programı’nda yürüttüğümüz
oluşturuyordu. TÜBİTAK BİLGEM Ağ Güvenliği Grubu çalışmalarımızın ana hedefi, var olan bilgi birikimimizi ülkemizin
tarafından yürütülen ve halen devam eden bu program ile,
başta kamu kurum ve kuruluşları olmak üzere ülkemizin bilgi faydasına sunabilmekti. Bu amaçla kurumlar ve bu alanda
sistem güvenliğiyle ilgili gereksinimlerinin karşılanması çalışan kişiler ile ortak bazı faaliyetler yürüttük. Örneğin biri
hedeflenmekte. Program kapsamında pek çok kamu kurumunda Ankara’da diğeri de İstanbul’da olmak üzere yılda iki kere
pilot çalışmalar gerçekleştirildi. Bu çalışmalar ile kurumların gerçekleştirdiğimiz etkinliklerde bilgi güvenliğindeki eğilimler,
bilgi güvenliği problemlerini minimize etmek ve kurumsal güncel tehditler gibi konularda paylaşımlarda bulunduk.
bilgi güvenliği bilinci kazandırmak adına gayret gösterildi. Ülkemiz için üzerinde durulması gereken bilgi güvenliği
konularını masaya yatırarak çözümler üretmeye çalıştık.
Kritik kamu kurumlarımızda çalışan personele, üniversitede
bilişim sistemlerinin yönetimiyle görevli kişilere eğitimler Belirli bir kurum ile gerçekleştirilen çalışmaların o kuruma
verildi. sağlayacağı faydayı inkâr etmek mümkün değil. Aynı şekilde,
içi dolu bir etkinliğin katılımcılarına sağlayacağı katma değeri
Bilgi Sistemleri Güvenlik Programı’nın önemli hedeflerinden de... Fakat genel kamu yararını düşündüğümüzde, bu faydaların
birisi de, ülkemizde bilgisayar ortamlarında yaşanabilecek bilgi oldukça dar kapsamda kaldığını söylemek mümkün. Bu
güvenliği olaylarına doğru ve sağlıklı müdahaleyi
gerçekleştirmek amacıyla gerekli altyapıyı oluşturmaktı. Bu felsefeden yola çıkarak, bilgi paylaşımını daha etkin
gerçekleştirmenin yollarını aradık ve Ulusal Bilgi Güvenliği
amaçla yine TÜBİTAK BİLGEM bünyesinde Bilgisayar Kapısı (http://www.bilgiguvenligi.gov.tr) web portalini kurmaya
Olaylarına Müdahale Ekibi (TR-BOME) kuruldu. Bu ekip kritik
kamu kurumlarında BOME yapılanmasının kurulabilmesi için karar verdik. İki yıldır faaliyetlerini sürdüren bu ortamda bilgi
gerekli eğitim ve eşgüdüm faaliyetlerini yürüttü. Kasım 2008’de birikimimizi, bilgi güvenliğine destek veren diğer gönüllü
gerçekleştirilen tatbikat ile kurumlara, bilgi güvenliği sorunlarına uzmanların da katkılarını tüm Türkiye ile paylaşmaya gayret
hızla tepki gösterebilme kabiliyeti kazandırıldı. Halen BOME gösteriyoruz.
Ayrıca, ülkemizi ilgilendiren ve bilişim sistemleri kaynaklı uzman pek çok kişinin takdirini ve desteğini alan Ulusal Bilgi
güvenlik sorunlarında ulusal irtibat noktası olarak pek çok Güvenliği Kapısı interaktif altyapısı ile katılımcı bir içerik
yurtdışı kurumla ortak çalışmalar yürütmekteyiz.
http://www.bilgem.tubitak.gov.tr/ 47