Veri Güvenliği Kapsamında Harici Cihaz Kullanımını Sınırlandırmak Ne Fayda Sağlar?
Bu yazıda bilgi güvenliği uzmanlarının her daim gündemindeki ana konulardan birini farklı bir çerçeveden ele alıyorum.
Taşınabilir depolama aygıtlarının (USB bellek, taşınabilir hard disk, CD/DVD vb.) yanlış ve kontrolsüz bir şekilde kullanılması; kurum bilgi güvenliğini tehlikeye atmakta ve yaygın şekilde veri sızıntısına sebep olabilmektedir. Belki de bu yüzden, 15 Mart 2020 tarih ve 31069 sayılı “Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik” mevzuatı, taşınabilir cihazlar için kontrol ortamının oluşturulmasını bankacılık sektörü için açıkça zorunlu hale getirdi.
Taşınabilir depolama aygıtlarının makinelere bağlanacağı bağlantı ara yüzlerinin kullanıma kapatılması, bilinmeyen depolama aygıtlarının kullanılmaması, cihazların zararlı yazılımlara karşı taranması, bu tür cihazların kullanımının yalnızca iş gereksinimi olan personel ile sınırlandırılması, kullanıcıların periyodik olarak gözden geçirilmesi ve şifrelemelerin gerçekleştirilmesi özellikle bankacılık sektörü için zaten asgari tedbirler arasında yer almaktaydı. Mevzuat maddesinin düzenlenmesi ise, ilgili kontrol ortamının gerekliliğini önemle vurgulamış oldu.
Peki; yukarıdaki kontrollere ek olarak, bu tür cihazların kullanımına izin verildiğinde ne yapılabilir? Veri gizliliğini, bütünlüğünü ve erişebilirliğini sağlamaya yönelik kontrol ortamı daha nasıl genişletilebilir? İşte bu soruya, diski yazmaya karşı korumalı hale getirme işlemi çerçevesinde yanıt arıyoruz.
Çıkarılabilir depolama aygıtlarının yalnızca “Read Only” çalışmasını sağladığınızda veya diğer bir ifadeyle diski yazmaya karşı korumalı (Write-protected disk) hale getirdiğinizde; kontrolünüz dışında içeriğin değiştirilmesini, silinmesini ya da kopyalanmasını engellersiniz. “Peki bu durum kurum güvenliğinize nasıl mı katkı sağlar?”
- Düşünün ki, kritik uygulamanıza ait kaynak kodunuzu yedeklilik ihtiyaçları çerçevesinde harici bir diske aktarmaktasınız. Ya da çalıştığınız firmanın üretim ortamına aktarmak üzere, yazılım paketinizi USB bellek aygıtına kopyaladınız. Bu gibi durumlarda, veri gizliliğine ek olarak veri bütünlüğüne zarar gelme riskini de yönetmek zorundasınız. İşte, diski yazmaya karşı korumalı hale getirmeniz paket içeriğinde kontrolünüz dışında herhangi bir değişiklik yapılmasını engeller.
- Ya da iş gereksinimi doğrultusunda tedarikçiniz/iş ortağınız/yetkili otorite temsilcileri tarafından incelenmesi gereken kurumunuz kritik dokümanlarını USB bellek aygıtına aktardınız ve fiziksel aygıt üzerinden ilgili temsilciler ile veri paylaşımını gerçekleştirdiniz. Diski yazmaya karşı korumalı hale getirerek verinizin bilginiz dışında kopyalanmasını engelleyebilir ve bu sayede veri gizliliğini sağlayabilirsiniz. Ayrıca, doküman içeriğinin yanlışlıkla değiştirilmesi veya silinmesi gibi operasyonel hataları da ortadan kaldırmış olursunuz.
Sonuç olarak; çıkarılabilir depolama aygıtlarının kullanımını yalnızca iş gereksinimi olan personel ile sınırlandırmak kontrol ortamının tesis edilmesine önemli bir katkı sağlayacaktır. Bu cihazların kullanımına nasıl bir kısıtlama getirebileceğinizi değerlendirmek ise katmanlı bir güvenlik mimarisinin oluşturulmasına hizmet edecektir.
Bir sonraki yazıda görüşmek üzere,
Risklerimizi yönetebildiğimiz bir hafta diliyorum!
Sevgiler,
https://www.linkedin.com/in/meltem-yapar-67b9b69b/
