Zihin haritaları

Düşüncelerinizi ve fikirlerinizi işe yarayacak şekilde kağıda aktarmak zordur. Aklınıza gelenleri alt alta bir kağıda dökmek ilk bakışta mantıklı gelse de aslında beynimizin çalışma biçimine uygun bir yapı olmadığı için, en verimli yöntem değildir.

 Listelerin eksik kaldığı en önemli noktalardan birisi fikirlerimizin birbirleriyle olan bağlantılarının net bir şekilde görülememesidir. Özellikle belirli bir konuda kafa yorarken veya bilgi toplarken “zihin haritası” (ing. Mind Map) kullanmak işinize yarayabilir.

Zihin haritalarının faydalarını ve kullanılabilecekleri alanları aşağıda listeledim.

Zihin haritalarının faydaları:

Verimliliği artırmak

Yaratıcı düşünme yeteneğini geliştirmek

Düşüncelerinizi yapılandırmak

Bilgileri görselleştirmek

Veriyi daha etkin biçimde yönetmek

Zihin haritalarının kullanılabileceği alanlar:

Kişisel bilgileri yapılandırmak

Bilgiyi kayıt altına almak

Hayatınızı yönetmek

Beyin fırtınası yapmak için

Planlama yapmak için

Yönetim becerilerini geliştirmek

Toplantıları  daha verimli hale getirmek için

Sınavlara çalışırken

Ders içeriği hazırlarken

Ezber yaparken

Yukarıdaki iki listeden aklınızda nelerin kaldığını bilmiyorum ama yukarıdaki sıkıcı listeleri zihin haritası haline getirdim. Fark edeceğiniz gibi, aynı bilgileri sunmama rağmen, beyniniz büyük ihtimalle aşağıdaki şekli çok daha kolay algıladı.

Zihin haritaları yapılacak listesi tutmaktan, geliştirdiğiniz bir yazılımın özelliklerini ve projenin hangi aşamasında olduğunuzu takip etmeye kadar her alanda kullanılabilir. Aşağıda örnek olarak hazırladığım bir Barselona seyahati planını görebilirsiniz. Gidiş yolculuğum, dönüş yolculuğum, Barselona'daki Türkiye Cumhuriyeti temsilciliği, Otel bilgileri, göreceğim yerler ve ihtiyacım olabilecek İspanyolca cümleler dahil bütün bilgileri görebilirsiniz. Veriler anlamlı gruplar ve görsel olarak algılayabileceğim bir biçimde karşımda olduğu için uzun bir liste yerine çok daha etkili kullanabildiğim bir bilgi kaynağı haline gelmiştir. 

 Zihin haritalarını günlük olarak müşterilerde takip ettiğim projelerde ve sızma testlerinde bulgu kaybetmediğimden emin olmak için kullanıyorum. Aşağıdaki örnekte sızma testi yaptığım bir ağda, bulguları ekledikçe ortaya çıkan yapıyı görebilirsiniz.

Öncelikle hedef hakkında bildiklerimden başlıyorum. Aşağıda IP adresi bloğunu ve kuruluş ağı üzerinde bulunduğunu tahmin ettiğim sunucuları yerleştirdim. 

İkinci aşamadı IP bloğu üzerinde çalışır durumda olduğunu tespit ettiğim sunucuların IP adreslerini yerleştirdim. Normalde bunları hangi yöntemle (ping, TCP scan, UDP scan, vs.) bulduğumu ve üzerlerinde hangi servislerin çalıştığını (sonraki aşamada da tespit ettiğim zafiyetleri) de zihin haritasına dahil ediyorum. 

Tespit ettiğim DNS sunucularını ekliyorum

Diğer sunucuları tespit ettikçe ekliyorum ve sonuç olarak aşağıdaki haliyle hedef hakkında bir zihin haritası oluşturmuş oluyorum. Bu çalışma hedefin topolojisinin de oluşturulması aşamasında da faydalı olmaktadır. 

Zihin haritalarını çizmek için Freemind yazılımını kullanıyorum (http://freemind.sourceforge.net/wiki/index.php/Main_Page) ihtiyacımı büyük ölçüde karşılıyor. 

İşiniz veya projeniz ne olursa olsun zihin haritalarını kullanarak işinizi daha etkili yapabileceğinize inanıyorum. 

Ağ Güvenliği Kontrol Listesi

Belirli bir plan dahilinde ele alınmazsa ağ güvenliğini sağlamak çok karmaşık bir iş gibi görünebilir. Bütçe eksikleri, personel yetersizliği, üst yönetiminin ilgisizliği gibi konular bilişim ve bilgi güvenliği alanında çalışanlar için yorucu olabilir.
Ağ ve bilgi güvenliği konusunda ilk aşamada bakılması gerekenleri toparlamanın faydasının olabileceğine inanıyorum.

Ağ güvenliği
Ağ güvenliğinin sağlanması için aşağıdaki konularda somut olarak ne yapıldığının ve ne yapılması gerektiğinin ortaya konulması gerekir.

Kullanım politikaları: Ağ üzerinde izin verilen ve verilmeyen davranışların ve trafik türlerinin belirlenmesi gerekir. Örneğin Skype benzeri anlık mesajlaşma uygulamalarına izin verilip Torrent trafiği yasak olabilir. Buna ihtiyaçlarınıza olarak karar vermeniz gerekiyor.
Eposta ve iletişim faaliyetleri: eposta eklerinin oluşturduğu tehditlerin ele alınması gerekiyor.
Antivirüs politikası: Zararlı yazılımların oluşturduğu tehditlere karşı
Erişim politikaları: Ağ kaynaklarına kimin ve nasıl erişebileceğinin belirlenmesi
Parola kuralları: Kullanıcıların güçlü parola seçmesive kurum genelinde parolaların ne sıklıkla değiştirilmesi gerektiği
Şifreleme kuralları: Ağ üzerindeki verinin ve veri trafiğinin hangi durumlarda ve nasıl şifrelenmesi gerektiği
Uzaktan erişim kuralları: Kurumsal ağ dışından kurum kaynaklarına kimlerin nasıl ulaşacağının belirlenmesi

Ağ güvenliği sağlamak için aşağıdaki güvenlik önlemlerine ihtiyacınız var. Bunlar en temel ve "olmazsa olmaz" cihazlardır.
Güvenlik duvarı (firewall): Ağınıza izinsiz erişimleri engellemek için
Sızma tespit ve engelleme sistemi (IPS/IDS): Ağınıza sızma girişimlerini tespit edip engellemek için
Kablosuz ağ güvenliği: Kablosuz ağınıza kimlerin nasıl bağlanabileceğini denetlemek için

Ağ güvenliği için yapılması gerekenler
Ağ üzerindeki cihazların envanterini çıkartmak: Ağ üzerinde hangi cihazların olduğu, bunların fiziksel olarak bulundukları yer gibi bilgilerin listelenmesi önemlidir
Standart konfigürasyon: Ağ üzerindeki cihazların türlerine göre hazırlanmış standart konfigürasyonları olmalıdır. İlk aşamada zor gibi görünse de yönetim kolaylığı ve bütünlük açısından önemlidir.
Yönetim arabirimleri: Statik IP belirlenmeli ve mümkün olan en güvenli bağlantı yöntemi kullanılmalıdır. Telnet ve benzeri, kullanmadığınız diğer bağlantı yöntemlerini devre dışı bıraktığınızdan emin olun.
SNMP: SNMP kullanıyorsanız fabrika çıkışı ayarlarını mutlaka değiştirin, kullanmıyorsanız SNMP bağlantısını kapatın
Yedekleme: Cihaz konfigürasyon dosyalarını düzenli olarak yedekleyin.
Yazılım: Cihazlarınızın yazılımı olduğunu unutmamak ve yazılımları düzenli olarak güncellemek çok önemlidir.
VLAN: Sunucu, istemci yedek alma ve benzeri gruplara göre trafik türlerini ayırmak için VLAN ayrımı yapılmalıdır
Kullanılmayan portlar: Cihazlar üzerinde kullanılmayan portların aktif olmadığından emin olun. Ağ üzerinde hub benzeri cihazların kullanımını sınırlandırın.

İstemci ve Sunucu güvenliği

Envanter: Ağınızdaki istemcilerin ve sunucuların envanterinin çıkartılması, hangi bilgisayarın nerede, hangi işletim sistemiyle ve kimin tarafından kullanıldığını listeleyin.
Ağ ayarları: İstemcilerin ve sunucuların hangi ağlara, hangi VLAN'lara ve nasıl bağlanacağının belli olması önemlidir.
Yama yönetimi: Yazılım üreticileri tarafından yayınlanan güncellemelerin ve yamaların düzenli olarak yüklenmesi çok önemlidir.
Antivirüs: Hem istemcileri hem de sunucular üzerinde antivirüs kullanılması çok önemlidir.
Host-based IPS: Antivirüs üreticilerinin bir kısmı istemci seviyesinde sızma tespit ve engelleme sistemini antivirüs çözümlerine entegre etmiştir. Bunlardan faydalanabileceğiniz gibi başka yöntemlerle de istemcilerin ve sunucuların gerekmedikçe kendi aralarında iletişim kurmasını sınırlandırmalısınız.
Admin kullanıcısı: Sızma testleri sırasında "büyük ikramiye" olarak görebileceğimiz ve ağ genelinde bütün (veya birçok) makinede geçerli olabilecek bir admin kullanıcısı kullanmayın. Her istemci ve sunucu için farklı bir admin kullanıcısı ve parolası oluşturun. İdeal olarak hiç bir kullanıcı kendi makinesinde admin yetkili kullanıcı hesabı kullanmamalıdır.
Yedekleyin: Düzenli olarak yedekleyin

Ağ Güvenliği Kontrol listeleri
Aşağıdaki listeleri doldurarak mevcut durumunuzu ve iyileştirmeniz gerekenleri ortaya çıkartabilirsiniz.

Konu	Evet	Hayır
Politika ve Kurallar
Bilişim kaynakları kullanım politikaları belli mi?
Ağ kaynakları kullanım politikaları belli mi?
Eposta ve iletişim faaliyetleri denetleniyor mu?
Antivirüs kullanılıyor mu?
Erişim politikaları ve uralları belli mi?
Parola kuralları belli ve uygulanıyor mu?
Şifreleme kuralları belli ve uygulanıyor mu?
Uzaktan erişim kuralları belli ve uygulanıyor mu?
Güvenlik Cihazları	Var	Yok
Güvenlik duvarı (firewall) var mı?
Sızma tespit ve engelleme sistemi (IPS/IDS) var mı?
Kablosuz ağ güvenliğini sağlıyor muyum?
Antivirüs her tüm sunucu ve istemcilerde yüklü mü?
Ağ Güvenliği	Evet	Hayır
Ağ üzerindeki cihazların envanteri var mı?
Ağ cihazlarının nerede olduğunu biliyor muyum?
Standart konfigürasyon belli mi?
Yönetim arabirimleri denetleniyor mu?
SNMP Kullanıyor muyum? Kullanımyorsan devre dışı mı?
Düzenli olarak konfigürasyon yedeği alıyor muyum?
Cihaz yazılımlarını (Firmware) güncelliyor muyum?
VLAN ayrımı var mı? Anlamlı mı?
Ağ cihazları üzerinde kullanılmayan portlar kapalı mı?
İstemci ve Sunucu güvenliği	Evet	Hayır
İstemci ve sunucuların envanteri var mı?
İstemci ve sunular üzerindeki işletim sistemlerini biliyor muyum?
Ağ ayarları belli ve standart mı?
Yama ve güncellemeleri düzenli olarak yüklüyor muyum?
Bütüm istemci ve sunucularda antivirüs var mı?
Host-based IPS kullanıyor muyum?
Sunucu ve istemciler arasındaki trafiği denetliyor muyum?
Admin kullanıcısı sistem kullanıcısından farklı mı?
Farklı admin kullanıcı ve parolaları kullanıyor muyum?
Düzenli olarak yedek alıyor muyum?

CEO'nun Siber Güvenlik Rehberi

“Siber güvenlik” veya daha genel olarak kabul görmüş ismiyle “bilgi güvenliği” konuları her geçen gün kurumsal yapının daha üst basamaklarında ele alınıyor. İş hayatına ilk başladığımda “bilgisayarcı çocuk” tarafından ele alınan konu artık müdür, direktör ve hatta genel müdür seviyesinde ele alınmaya başlandı. Bilgi Güvenliği konusunda çalışmayan ama bütçe veya satınalma onayı gibi nedenlerle bu konuda karar vermek zorunda kalan; CEO, CXO, Genel Müdür, Satınalma Müdürü, Finans Müdürü, Mali Müşavir, Danışman ve benzeri görevleri üstlenenlerin bu konuda daha doğru ve etkin kararlar vermelerini sağlayacak bazı basit soruları toparlamak istedim.

Yönetici (temsili)

Konunun Bilgi İşlem birimlerinin ötesine ve/veya üstüne taşınmasının başlıca nedenleri arasında aşağıdakileri sayabiliriz;

• Kanuni zorunluluklar: 5651 sayılı kanun gibi kanunların veya  çeşitli yönetmeliklerin kurumsal bilgileri koruma zorunluluğu getirmesi.
• Değişen iş süreçleri: Internet’e ve bilgi teknolojilerine daha bağlı hale gelen iş süreçleri bilgi güvenliği ihlallerinin iş, para veya itibar kaybına neden olması şirketlerin üst yönetimlerinin konuya daha fazla ilgi göstermesine neden olmuştur.
• Artan bilinç düzeyi: Bilgi güvenliği konusunda yaşanan ihlallerin ve konunun bir şirket için hayati önem taşıdığının basında ve çeşitli etkinliklerde dile getirilmesi kurumsal yapının her basamağında belli bir farkındalık düzeyi oluşmasını sağlamıştır.

Bilgi güvenliğinin teknik/teknolojik bir konu olmadığını elimden geldiğince her fırsatta vurgulamaya çalışıyorum. Bilgi güvenliği konusu aslında bir risk yönetimi konusudur ve bu nedenle konuşmaların ve kararların sadece teknik bir bakış açısı ile ele alınması çok doğru olmayacaktır. Bilgi güvenliği konusunda doğru adımların atılması ve yatırımların yapılmasını sağlamak amacıyla konuya Üst Yönetim bakış açısıyla yaklaşmanın faydası olacaktır.

Bilgi güvenliği yatırımlarının etkili olması, yapılan yatırımın tam karşılığının alınabilmesi ve şirket veya kurum için hayati önem taşıyan bu konuda atılan adımların somut olarak ne anlama geldiğinin Üst Yönetim tarafından anlaşılması çok önemlidir.

Bu işlere “Bilgisayarcı Çocuk” bakmıyor mu?

Maalesef, Bilgi Güvenliği bir risk yönetimi faaliyetidir ve şirket risklerinin sahiplerinin sorumluluğuna girmiştir. Şirket risklerinin sahipleri; Genel Müdürler, CEO’lar, Finans müdürleri veya İdareciler gibi şirketin veya kurumun doğru çalışmasını, zarara uğramaması ve daha ileriye gitmesi için çalışan kişilerdir.

Teknik birimlerle Yöneticilerin Bilgi Güvenliği konusunda karar vermek için yaptıkları toplantılarda teknik olmayan idarecilerin elinin altında bulunmasında fayda gördüğüm bazı soruları aşağıda toparladım. Bir karar toplantısında veya ilk fırsatını bulduğunuzda teknik birimdeki arkadaşlarınızla bu soruların etrafında bir görüşme yapmak kurumsal Bilgi Güvenliği düzeyinizi anlamak ve iyileştirmek için faydalı olacaktır.

Siber hırsızlık ve Casusluk Zafiyet Kontrol Soruları

• Korumamız gereken veya yarın sabah gazete manşetlerinde görmekten hoşlanmayacağımız ticari sır, bilgi, yazışma, plan, proje ve/veya patentlerimiz var mı?
• Ticari sırlarımıza, bilgilerimize, yazışmalarımıza, planlarımıza, projelerimize ve/veya patentlerimize erişmek isteyebilecek rakipler veya başkaları var mı?
• Ticari sır, bilgi, yazışma, plan, proje ve/veya patentlerimiz bilgisayar ortamında tutuluyor mu?
• Bilgisayarlarınız veya bilgisayar ağınız internete bağlı mı?
• Bilgisayarlarınızda USB girişi, ağ kablosu girişi veya CD/DVD yazıcı var mı?
• Önemli bilgilerimizin, dosyalarımızın ve yazışmalarımızın yedeklerini düzenli olarak alıyor muyuz?

Bu soruların yanıtları kurumsal ağınızın saldırganlar açısından ne kadar “iştah açıcı” olduğunu ortaya koymaktadır. Bunlardan en az 2 tanesine “evet” yanıtı verdiyseniz Yönetim olarak Bilgi Güvenliği konularına dahil olmanız gerekmektedir.

Teknik Riskler ve Zafiyetler Kontrol Soruları

Bu soruların yanıtları kurumsal ağınızın ne kadar “hacklenebilir” olduğu konusunda bir fikri verecektir.

• Daha önce bilgi güvenliği konusunda bir ihlal yaşandı mı?
  Önceki güvenlik ihlaline neden olan açık hala kapatılmamış olabilir. İstatistiksel olarak daha önce saldırıya uğramış bir şirketin tekrar saldırıya uğrama ihtimali çok yüksektir.
• Bilgisayarlarınızda veya bilgisayar ağınızda zararlı yazılım tespit edildi mi? (virüs, Truva atı, ransomware, vs.)
  Zararlı yazılımlar geride arka kapılar veya kendilerini bile bırakabilirler. Bu nedenle daha önce zararlı yazılım bulaşmış bir ağın ve sistemlerin çok dikkatlice incelenmesi ve temizlenmesi gerekir. 
• Ağınızı açık portları ve zafiyetleri tespit etmek için dışarıdan tarayanlar var mı?
  Web uzantınız .gov.tr ise günde birkaç bin kez, .com.tr ise günde birkaç yüz kez  taranıyorsunuz. Bilgi İşlem ekibinin bunun farkında olması ve ağ üzerinde gerekli tedbirleri alması önemlidir.
• Kullandığınız yazılımların ve sistemlerin daha güncel sürümleri veya bu yazılımlar için yayınlanmış yamalar var mı?
  Güncel sürümler güvenlik açıklarını kapattığı için çok önemlidir. Kullandığınız yazılımların bir envanterini çıkartmak ve bunları üreticilerin web sayfalarındaki son sürümlerle karşılaştırmak sistemlerinizin güncel olup olmadığını anlamınızı sağlar.
• Personeliniz iş için laptop, tablet, akıllı telefon benzeri taşınabilir cihazlar kullanıyor mu?
  Mobil cihazların güvenliğini sağlamak için alınması gereken önlemlerin alındığından emin olmak gerekiyor. Cihazlar çalınabilir, güvenli olmayan bir ağ üzerinden şirket bilgilerine ulaşabilir ki, bu durumda ,aynı ağa bağlı herhangi biri de aynı bilgileri görebilir.
• Ağ ve bilgiye ulaşmak için sadece parola (kullanıcı adı ve şifre olarak da bilinir) kontrolü mü yapıyorsunuz?
  Sadece parolaya güvenmek parolanın ele geçirilmesi durumda tamamen korumasız kalmanıza neden olur.
• Ağınızın ve bilgisayar sistemlerinizi düzenli olarak bilinen zafiyetlere karşı tarıyor musunuz?Bu taramaları yapmak bilinen ve saldırganlar tarafından yaygın olarak istismar edilmeye çalışılan güvenlik zafiyetlerini tespit etmenizi ve gerekli önlemleri almanızı sağlar.
• Ağınıza veya ağınızdaki sistemlere uzaktan erişim (RDP, SSH, Web arayüzü, API, vs.) sağlıyor musunuz?
  Uzaktan erişim sağlayan cihaza (masaüstü bilgisayar, laptop, tablet veya akıllı telefon) zararlı yazılım bulaşmış olabilir veya güvensiz bir bağlantı üzerinden bağlanıyor olabilir. Bu durumların dışında da uzaktan erişim vererek kurumsal ağınızı dış dünyaya açtığınızı bilmeli ve gerekli tedbirleri almalısınız.  

 Yukarıdaki sorular içerisinde “evet” yanıtı verdikleriniz ele alınması gereken güvenlik tehditlerine işaret etmektedir.

 Bu konulardan yola çıkarak bir çerçeve oluşturmak ve kurumsal ağınızın ve bilgilerinizin güvenliğini arttırmak için önemli adımlar atmanızı sağlayacaktır.