Ülkemizde siber güvenlik yapılanmasını sağlamak amacıyla teknik ve hukuki yaptırımları içeren çalışmalar neticesinde siber güvenliğin önemi dikkate alınarak 20 Ekim 2012’de Resmi Gazete’de Bakanlar Kurulu Kararı olarak “Ulusal Siber Güvenlik Çalışmalarının Yürütülmesi ve Koordinasyonuna İlişkin Karar” yayınlanmıştır. Bu karar ile siber güvenlik alanına yönelik usul, esas ve standartları onaylamak, bunların uygulanmasını ve koordinasyonunu sağlamak amacıyla da “Siber Güvenlik Kurulu” oluşturulmuştur. Siber Güvenlik Kurulunun gerçekleştirmiş olduğu toplantı sonucunda da Ulaştırma, Denizcilik ve Haberleşme Bakanlığı tarafından yayımlanan eylem planı kabul edilmiştir.
SOME (Siber Olaylara Müdahale Ekibi) Nedir?
Bu kapsamda temel görevi koordinasyon ve işbirliği olan Ulusal Siber Olaylara Müdahale Merkezi (USOM) kurularak, faaliyetlerine başlamıştır [3]. Ayrıca oluşturulan rehber Kurumsal SOME ve Sektörel SOME olarak belirlenmiş, 11 Kasım 2013 tarihli ve 28818 sayılı Resmi Gazete’de yayımlanan Siber Olaylara Müdahale Ekiplerinin Kuruluş, Görev ve Çalışmalarına Dair Usul ve Esaslar Hakkında Tebliğ kapsamında Kurumsal SOME kurma yükümlülüğü olan kurumların faydalanması amacıyla hazırlanmıştır.
Ulusal Siber Olaylara Müdahale Merkezinin (USOM) organizasyonel yapısı aşağıdaki şekilde gösterildiği tanımlanmıştır.
Kurumsal SOME
Yayımlanan rehbere göre Kurumsal SOME, müstakil bir bilgi işlem birimi barındıran tüm kamu kurum ve kuruluşları ile kritik altyapı işleten özel sektör kuruluşlarını kapsamaktadır. Müstakil bir bilgi işlem birimi barındırmayan kurum ve kuruluşlar bu kapsamın dışında tutulmuştur. Bu rehber ile ayrıca Kurumsal SOME’lerin kurum organizasyonu içerisindeki yeri, kapasite planlaması, personel nitelikleri (eğitim düzeyi ve tecrübe), alması gereken eğitimler, bir personelin siber olay öncesi, esnası ve sonrasında yapması gereken çalışmalar, kurum içi/kurum dışı paydaşlarla iletişim esasları, Kurumsal SOME’lerin kurulması için gereken kuruluş süreçleri ve esasları ile bu süreçte kullanılacak olan ekler, şekiller ve tablolar belirlenmiştir.
Kurumsal SOME’nin kurum içindeki paydaşları ve temel fonksiyonlarına yönelik yapısı aşağıdaki şekildeki gibidir.
Bir Kurumsal SOME’nin sahip olması gereken fonksiyonlar aşağıdaki tabloda gösterildiği gibi belirlenmiştir.
Kurumsal SOME’lerin alması tavsiye edilen eğitimler aşağıdaki tabloda gösterilmiştir.
Sektörel SOME
Sektörel SOME’lerin amacı kendisine bağlı Kurumsal SOME’lerin USOM ile olan iletişim faaliyetlerini düzenlemek, sektör dahilinde kullanılacak iletişim yöntemi ile ilgili usul ve esasları belirlemektir. Bunun yanı sıra USOM’un belirlediği yöntemleri de kullanabileceklerine ilişkindir. Sektörel SOME’ler, sorumluluk alanındaki kritik sektördeki siber güvenliğin koordinasyonundan, düzenlenmesinden ve yetki alanı varsa denetlenmesinden sorumludur. Bu görev ve sorumluluklarını yerine getirirken, USOM ve kendi sektöründeki Kurumsal SOME’ler ile koordinasyon ve iletişim içerisinde bulunmalarına yönelik usul ve esaslar kapsamında çalışmaktadırlar.
Sektörel SOME’lerin alması tavsiye edilen eğitimler aşağıdaki tabloda gösterilmiştir.
USOM, Kurumsal SOME ve Sektörel SOME arasındaki hizmet alanları aşağıdaki tablo üzerinden görülebilir.
SOME Kulumu
Kurumsal SOME’lerin, aşağıda belirtilen gereksinim listesi göz önünde bulundurularak kurulması esastır. Bu kapsamda, Kurumsal SOME, SOME İletişim Bilgileri Formunu doldurarak güvenli iletişim sistemi üzerinden USOM’a ve varsa bağlı olduğu Sektörel SOME’sine iletir. Kurumsal SOME, ihtiyaç duyması halinde karşılıklı mutabakat ile USOM’dan kuruluş şartlarının yeterliliği ile ilgili yerinde inceleme talep edebilir. USOM, kurulan Kurumsal SOME’lerin listesini UDHB’ye iletir.
Genel Öğeler
- Görev Alanının Tanımlanması: Kurumsal SOME’nin sorumlu olacağı bilişim varlıkları ile hizmet vereceği kurum/birim(ler) net bir şekilde belirlenmelidir.
- Görev ve Yetkilerin Belirlenmesi: Kurumsal SOME’lerin görev ve yetkileri SOME’nin temel hedeflerini de içerecek şekilde açıkça belirlenmelidir.
- Organizasyon Şeması: Kurumsal SOME’nin kurulduğu kuruma ait organizasyon şemasındaki yeri belirtilmelidir.
- Kurumsal SOME Organizasyonu: Kurumsal SOME amir ve personelinin görev ve sorumlulukları ile kurumdaki yeri detaylandırılmalıdır. Tüm ekip çalışanları aynı birimde bulunmuyorsa bu durum Kurumsal SOME organizasyon şemasında belirtilmelidir.
Politika
- Bilginin Sınıflandırılması ve Korunması: Hassas, gizli veya halka açık bilgilerin sınıflandırıldığı, ayrı ayrı bu bilgilerin nasıl saklanacağı, nakledileceği, erişilebileceği, vb. gibi konuların açıklandığı politikalar hem elektronik hem de basılı kopyalar şeklinde oluşturulmalıdır.
- Kayıt Tutma: Tutulan elektronik veya basılı kayıtların sınıflarına göre ne kadar süre saklanması gerektiği, yedeklemenin nasıl yapılacağı, yedeklerin nasıl nakledileceği ve arşivleneceğini belirten politikalar hazırlanmalıdır.
- Kayıt Yok Etme: Sayısal veya basılı kayıtların sınıflarına göre ne şekilde ve kim tarafından yok edilebileceğini belirten politikalar oluşturulmalıdır.
- Bilgi Dağıtımı ve Erişimi: Dağıtılabilecek bilginin türü ve metodunun açıklandığı, hangi bilgiye kimlerin ulaşabileceğinin belirtildiği politikalar oluşturulmalıdır.
- Kurumsal SOME Sistemlerinin Kullanımı: Kurumsal SOME çalışanlarının ekipman ve sistemlerini günlük işlerde nasıl kullanacağı detaylı olarak açıklanmalıdır. Ekipman ve sistemlere ait aşağıdaki konularda politikalara açıklık getirilmelidir:
- İzinsiz erişime karşı nasıl korunuyor?
- Kişisel amaçlı kullanılabilir mi?
- Hangi sitelere giriş yapılabilir veya yapılamaz?
- Kişisel yazılımlar indirilip yüklenebilir mi?
- Virüs ve casus yazılım taraması hangi sıklıkla yapılıyor?
- Yazılım güncellemeleri hangi sıklıkla yapılıyor?
- Olay Müdahale Politikası: Kurumsal SOME sorumluluklarının detaylıca belirtildiği, hangi durumlarda kolluk kuvvetleri ya da USOM ve varsa bağlı Sektörel SOME’den yardım istenebileceğinin açıklandığı politikalar hazırlanmalıdır.
Çalışma Ortamı
- Fiziksel Güvenlik: Kurumsal SOME birimlerine ait çalışma yeri, haberleşme altyapısı ile bilginin ve çalışanların korunmasını dikkate alarak düzenlenmelidir.
- Depolama: Kurumsal SOME ekibi depolamaları gereken fiziksel varlıklarını güvenli bir şekilde saklamalıdır. Bu varlıkların nasıl ve nerede saklanacağı, bu materyale kimlerin erişebileceği ile ilgili yöntemler belirlenmelidir.
- E-posta ile güvenli iletişim yöntemi (PGP Kullanımı): Kimlerin anahtarları olmalı, anahtarlar nasıl üretilmeli ve saklanmalı konuları netleştirilmelidir.
- Kimlerde anahtar olacaktır (amir, personel, vb.)?
- Anahtarlar nasıl oluşturulacak, yönetilecek ve saklanacaktır?
- Anahtar yönetimi konuları:
- Anahtarları kim oluşturacaktır?
- Hangi tür anahtar oluşturulacaktır?
- Anahtar boyutu ne olacaktır?
- Son kullanma tarihleri belirlenecektir
- İptal sertifikası gerekli olacak mıdır?
- Anahtarlar ve iptal sertifikaları nerede saklanacaktır?
- Anahtarlar nasıl iptal edilecektir?
- Anahtarları kim imzalamalıdır?
- Parola politikası var mıdır?
Olay Yönetimi
1. Olay Müdahale Planı: İzlenmesi gereken adımlar şu şekilde sıralanabilir:
- Olay atama
- Olay analiz
- Olay önceliği yükseltme
- Olayı kapama
- Olaydan alınan dersler
Ayrıca Şu Hususlara Dikkat Edilmelidir:
- Olayla ilgili kayıtları kim tutuyor, bilgiyi kim takip ediyor?
- Olay sırasında sürekli bilgilendirilmesi gereken denetmenler var mı?
- Olay sırasında olayın derecesini yükseltmek için bir politika mevcut mu?
- Bir olayı kapatmak için hangi kriterlere bakılır.
2. Raporlama: Kurumsal SOME’nin kurum içi ve kurum dışı paydaşlar arasındaki bilgilendirme süreci tanımlanmalıdır. Olay sonrası USOM’a rapor verilmelidir.
SOME’nize Uluslararası Akreditasyon Kazandırmak İster misiniz?
SOME (CSIRT) Akreditasyonu – TI (Trusted-Introducer)
Türkiye’de kurulu olan SOME’ler için herhangi bir akreditasyon merkezi bulunmamaktadır. SOME’lerin bağlı olduğu ana kurum olan USOM, akreditasyonunu TI üzerinden almıştır. TI (Trusted Introducer) 2000 yılında Avrupa’daki SOME’ler tarafından kurulmuştur, özel ve kamuya ait tüm SOME ekipleri TI üzerinden akreditasyon alarak bu birliğin parçası olabilmektedir. Akreditasyon süreci başarıyla tamamlandıktan sonra TI’ın sitesinden görülebilir.
Türkiye’de Akredite Edilmiş Kurumlar
Türkiye’de TI tarafından akredite edilmiş iki kamu kurumu bir özel şirket bulunmaktadır. BGA Bilgi Güvenliği A.Ş. olarak 2015 yılında tüm gereksinimleri karşılayarak TI tarafından akredite ilk özel şirket olma unvanını almış bulunmaktayız.
TI tarafından Akredite Edilmiş Kamu Kurumları
- USOM
- Tubitak Ulakbim
TI tarafından Akredite Edilmiş Özel Firmalar:
Detaylı bilgi ve danışmanlık hizmetleri için, bilgi@bga.com.tr adresimiz ile iletişime geçebilirsiniz.
