İnsan Odaklı Siber Güvenlik Stratejileri

Sosyal ve iş hayatının giderek elektronikleştiği, sayısallaştığı ve canlı-cansız nesnelerin birbirleriyle bağlantılı hale geldiği bir dünyaya doğru ilerliyoruz. "Siber evren" olarak adlandırılan bu dijital dünya, yalnızca insanların internete bağlandığı bir yapı olmaktan çıkmış durumda. İnsanlar, makineler ve nesnelerden oluşan bu evren sürekli genişliyor.

2021 yılı itibarıyla yaklaşık 20 milyar nesne internete bağlıydı; bunun yaklaşık 5 milyarı insanlardan, 5 milyarı ise makinelerden oluşuyordu. Günlük hayatın neredeyse tamamı internete taşınmış durumda. Sosyal medya, video ve müzik platformları, anlık mesajlaşma, elektronik posta, elektronik ticaret ve bankacılık hizmetlerinin yanı sıra bilgi merkezleri, kütüphaneler ve müzeler de 7 gün 24 saat erişilebilir hale geldi.

Bu dönüşümün doğal sonucu olarak yalnızca dijital hizmetlerin ve bağlantıların sayısı değil, üretilen ve işlenen veri miktarı da olağanüstü bir hızla artıyor. 2021 itibarıyla siber evrendeki veri büyüklüğü yaklaşık 40 zettabayta, yani 43 trilyon gigabayta ulaşmıştı. Bu, 2005 yılına göre yaklaşık 300 katlık bir büyüme anlamına geliyor ve mevcut veri miktarı yaklaşık iki yılda bir katlanıyor. Bu büyüme, verilerin saklanması, iletilmesi, işlenmesi ve güvenliği konularını giderek daha kritik hale getiriyor.

Siber Evren Büyürken Siber Suçlar da Büyüyor

Dijitalleşmenin hayatımızın her alanına yayılması, siber suçların kapsamını ve ekonomik etkisini de büyütüyor. Siber evren genişledikçe ve günlük hayattaki daha fazla faaliyet internete taşındıkça, siber suçların insanlık üzerindeki maliyeti de sürekli artıyor.

2019 yılında küresel siber suçların maliyeti yaklaşık 2 trilyon dolardı. Tahminlere göre bu rakam 2021 yılında 6 trilyon dolara ulaştı.

Siber tehditler de tek bir biçimden ibaret değil. Sistemlere yetkisiz erişim, sistemlerin bozulması veya hizmetlerin engellenmesi, bilgilerin değiştirilmesi, yok edilmesi, ifşa edilmesi ya da çalınması başlıca tehditler arasında yer alıyor. DDoS saldırıları, bilgisayar virüsleri, worm ve trojan türü zararlı yazılımlar, keylogger ve spyware uygulamaları, phishing saldırıları ile ağ trafiğinin dinlenmesi ve izlenmesi de bu tehditlerin araçları arasında bulunuyor.

Bu tehditlerin arkasındaki motivasyonlar da farklılaşıyor. Devlet destekli yapılar açısından istihbarat toplama, ekonomik ve endüstriyel casusluk, kritik altyapılar hakkında bilgi edinme, dijital gözetleme ve siber savaş öne çıkarken; suç örgütleri açısından dolandırıcılık, ideolojik amaçlar ve ekonomik kazanç temel motivasyonlar olarak ortaya çıkıyor.

Siber Güvenlik Neyi Korumalı?

Siber güvenliği yalnızca bilgisayarları veya ağları saldırılardan korumak olarak değerlendirmemek gerekiyor. Siber güvenliğin temel amacı, dijital sistemlerin ve bilgilerin güvenilir biçimde çalışmasını sürdürebilmesini sağlamak.

Bu çerçevede siber güvenlik;

• verinin bütünlüğünün korunmasını,
• mahremiyet ve gizliliğin korunmasını ve yetkisiz erişimin engellenmesini,
• bilgiye erişimin yanı sıra erişim hızının ve kalitesinin korunmasını,
• iş sürekliliği ve performansın devamlılığının sağlanmasını

kapsayan bütüncül bir yaklaşım olarak ele alınmalıdır.

Dolayısıyla siber güvenlik, yalnızca teknik ekiplerin sorumluluğunda olan bir konu değildir. Teknolojinin yanında süreçlerin ve insanların da aynı sistemin parçası olarak değerlendirilmesi gerekir.

Siber Güvenlikte Üç Temel Unsur: Strateji, Süreç, Teknoloji ve İnsan

Etkili bir siber güvenlik yaklaşımının birden fazla katmanı bulunuyor. Ulusal ve uluslararası ölçekte belirlenmiş bir siber güvenlik stratejisi, bu stratejiyle uyumlu süreçler, doğru ve güncel teknolojiler ve bütün bunların merkezinde yer alan insan unsuru birlikte ele alınmalı.

Bu unsurların birbirinden bağımsız yürütülmesi yeterli değil. Siber güvenlik; planlı, uyumlu, eşgüdümlü ve sürekli geliştirilen bir risk yönetimi yaklaşımı olarak ele alınmalı.

Buradaki en kritik unsur ise insan.

Çünkü en gelişmiş güvenlik teknolojileri ve en iyi tasarlanmış süreçler dahi onları kullanan insanların hataları veya farkındalık eksiklikleri karşısında etkisiz hale gelebiliyor. Bu nedenle siber güvenlik stratejisinin odağında yalnızca teknoloji değil, insan bulunmalı.

Ulusal Siber Güvenlik Stratejisi Aynı Zamanda Bir Kültür Meselesidir

Siber güvenlik yalnızca kurumların kendi içinde alacağı teknik tedbirlerle çözülebilecek bir mesele değil. Ulusal ölçekte de ortak bir yaklaşımın oluşturulması gerekiyor.

ITU Siber Güvenlik Çerçevesi doğrultusunda; eylemleri ve zamanlaması planlanmış, sorumluları belirlenmiş, süreçleri tanımlanmış ve değerlendirme ölçütleri ortaya konmuş, insanı odağına alan bir Ulusal Siber Güvenlik Çerçevesi oluşturulması önem taşıyor.

Ancak bir çerçevenin oluşturulması tek başına yeterli değil. Bu çerçevenin toplum tarafından benimsenmesi ve günlük hayata yansıması gerekiyor. Bu nedenle ulusal bir siber güvenlik kültürü oluşturulması, insan unsurunun etkinliğini artırmanın temel araçlarından biri olarak görülmeli.

Çok Boyutlu ve Çok Katmanlı Bir Mücadele

Siber güvenliğin sağlanması teknoloji, süreçler ve insan olmak üzere üç temel boyutta ele alınmalı. Bu üç boyut birbirinden ayrıştırılmadan, planlı, uyumlu, eşgüdümlü ve sürekli geliştirilerek yönetilmeli.

Burada özellikle insan boyutunun diğer unsurlardan daha fazla önem taşıdığı unutulmamalı.

Yönetici, uzman veya sıradan kullanıcı ayrımı olmaksızın siber evrende yer alan her insanın siber güvenliğin bir parçası olduğu kabul edilmeli. Her bireyin siber tehditlerin farkında olması, bilgi sahibi olması ve temel siber hijyen kurallarını günlük hayatının bir alışkanlığı haline getirmesi gerekiyor.

Siber Hijyen Günlük Bir Alışkanlık Olmalı

Siber güvenlik konusunda alınabilecek en önemli tedbirlerin bir bölümü aslında oldukça basit davranışlardan oluşuyor. Günlük hayatta fiziksel hijyene dikkat ettiğimiz gibi, dijital dünyada da siber hijyen alışkanlıklarını geliştirmemiz gerekiyor.

Bunun için:

• Siber tehlikelerin farkında olunmalı ve riskler bilinmeli.
• İnternette bilinçli hareket edilmeli; bilinmeyen sitelere ve mesajlara karşı mesafeli olunmalı.
• Yazılım ve cihazlar düzenli olarak güncellenmeli.
• Sosyal medyada karşılaşılan bilgilere sorgulamadan güvenilmemeli ve gereksiz kişisel bilgiler paylaşılmamalı.
• Güçlü şifreler kullanılmalı ve hesapların güvenliği sağlanmalı.

Özellikle COVID-19 döneminde dijital araçların ve internet kullanımının daha da yoğunlaşmasıyla birlikte bu yaklaşımın önemi arttı. Günlük hayatta nasıl hijyen kurallarına ihtiyaç duyuyorsak, sanal dünyada da aynı şekilde siber hijyeni bir alışkanlık haline getirmemiz gerekiyor.

Sonuç

Dijitalleşme hayatın her alanına yayıldıkça siber güvenlik artık yalnızca bilişim teknolojilerinin bir konusu olmaktan çıkıyor. Verinin, hizmetlerin, kurumların ve insanların dijital dünyadaki varlığını sürdürebilmesi için bütüncül bir güvenlik yaklaşımına ihtiyaç var.

Bu yaklaşımın dört temel ayağı bulunuyor: doğru strateji, doğru süreçler, doğru teknoloji ve insan. Ancak bu yapının merkezinde insan yer alıyor.

Dolayısıyla siber güvenlikte başarı yalnızca daha gelişmiş teknolojiler satın almakla mümkün değil. Teknolojiyi doğru süreçlerle desteklemek, bu süreçleri doğru insanlarla işletmek ve bütün sistemi sürekli geliştirmek gerekiyor. Ulusal ölçekte ise bunun üzerine bir siber güvenlik kültürü inşa edilmesi gerekiyor.

Sonuçta siber güvenliğin en zayıf halkası çoğu zaman teknoloji değil, insan. Bu nedenle siber güvenlik konusunda atılabilecek en önemli adımlardan biri, her bireyin kendi sorumluluğunun farkına varmasını ve siber güvenliği günlük hayatının doğal bir parçası haline getirmesini sağlamak.