Yapay Zeka Modellerine Yönelik Prompt Injection Saldırıları Makalemiz Yayınlandı!
Yapay Zeka Modellerine Yönelik Prompt Injection Saldırıları Makalemiz Yayınlandı!
Siber Guvenlik Terimleri Sozlugu
Bilgi güvenliği, biçimi ne olursa olsun bilginin gizliliğini, bütünlüğünü ve erişilebilirliğini koruma disiplinidir.
Bilgi güvenliği, kurumun sahip olduğu bilginin biçimi ne olursa olsun; dijital bir dosyada, bir kâğıt üzerinde ya da bir çalışanın zihninde bulunsun, yetkisiz erişime, izinsiz değiştirilmeye ve kaybolmaya karşı korunmasını amaçlayan disiplindir. Koruma yalnızca teknolojiyle değil; süreçler, politikalar ve insan davranışıyla birlikte sağlanır.
Kavram sıklıkla siber güvenlikle eş anlamlı kullanılır, ancak ikisi aynı şey değildir. Siber güvenlik dijital ortamdaki varlıkların korunmasına odaklanırken bilgi güvenliği daha geniştir: arşiv odasındaki bir dosyanın kilitli tutulması, toplantı odasında konuşulan bir bilginin dışarı sızmaması ya da bir çalışanın ekranındaki verinin yandaki masadan okunamaması da bu kapsamdadır.
Bilgi güvenliği, bilginin gizliliğinin, bütünlüğünün ve erişilebilirliğinin korunmasıdır. ISO/IEC 27000 bu üç niteliğe ek olarak özgünlük, hesap verebilirlik, inkâr edilemezlik ve güvenilirlik gibi özelliklerin de korunabileceğini belirtir.
Bir kurumda bilgi güvenliği, tek bir ürünle satın alınan bir durum değil, sürekli işletilen bir yönetim sistemidir. Varlıkların envanteri çıkarılır, bu varlıklara yönelik riskler değerlendirilir, riski kabul edilebilir seviyeye indirecek kontroller seçilir ve kontrollerin gerçekten çalıştığı düzenli olarak ölçülür. Bu döngü, ISO/IEC 27001’in tanımladığı Bilgi Güvenliği Yönetim Sistemi’nin (BGYS) özüdür.
Siber güvenlik, bilgi güvenliğinin dijital ortama bakan alt kümesidir. Ağa bağlı sistemleri, uygulamaları ve verileri saldırılara karşı korur. Bilgi güvenliği ise bilginin yaşam döngüsünün tamamını kapsar: üretildiği an, saklandığı ortam, aktarıldığı kanal ve imha edildiği yöntem.
Fark pratikte önemlidir. Bir kurum güvenlik duvarına, uç nokta korumasına ve izleme çözümlerine yatırım yapıp yine de bilgi güvenliği açısından zayıf kalabilir; çünkü kâğıt çıktılar denetimsiz atılıyor, tedarikçiyle paylaşılan veriler sözleşmeye bağlanmamış ya da işten ayrılan personelin erişimleri kapatılmamış olabilir.
Disiplinin çekirdeğinde CIA üçlüsü bulunur. Gizlilik bilginin yalnızca yetkili kişilere açık olmasını, bütünlük bilginin izinsiz değiştirilmemesini, erişilebilirlik ise ihtiyaç duyulduğunda bilgiye ulaşılabilmesini ifade eder. Üç nitelik birbiriyle yarışır: aşırı sıkılaştırma erişilebilirliği düşürür, aşırı esneklik gizliliği zayıflatır. Doğru denge riske göre kurulur.
Sızma testinden olay müdahalesine, uçtan uca çözümlerle yanınızdayız.
Fiyat Teklifi AlBilginin korunamaması yalnızca teknik bir arıza değil, doğrudan iş kaybıdır. Müşteri verisinin sızması itibar ve müşteri güveni kaybına, üretim verisinin bozulması hatalı üretime, kritik sistemlerin erişilemez hâle gelmesi ise gelir kaybına yol açar. Kişisel veri içeren ihlallerde KVKK kapsamında bildirim yükümlülüğü ve idari para cezası riski doğar.
Bu nedenle bilgi güvenliği artık bir BT konusu olmaktan çıkıp yönetim kurulu gündemine taşınmıştır. Kurumlar güvenlik yatırımını, önlenen kayıp ve karşılanan yasal yükümlülük üzerinden değerlendirir. Sigorta şirketleri, iş ortakları ve kamu alıcıları da tedarikçilerinden belgelenmiş bir güvenlik düzeni talep etmektedir.
Sağlam bir program varlık envanteriyle başlar: hangi bilgi nerede duruyor, sahibi kim, ne kadar kritik? Ardından tehdit, zafiyet ve risk ilişkisi kurularak değerlendirme yapılır ve kontroller önceliklendirilir. Teknik kontrollerin yanında politika, prosedür ve farkındalık eğitimi de programın parçasıdır.
Yazılı bir bilgi güvenliği politikası, kurumun neyi neden koruduğunu ve kimin neyden sorumlu olduğunu tanımlar. Politikanın altında erişim yönetimi, yedekleme, olay müdahalesi ve tedarikçi güvenliği gibi konularda prosedürler yer alır. Sorumluluk atanmamış bir kontrol, uygulanmayan bir kontroldür.
Programın olgunluğu düzenli olarak ölçülür. Sızma testleri, zafiyet taramaları ve iç denetimler kontrollerin kâğıt üzerinde değil sahada çalıştığını gösterir. Ölçüm sonuçları risk kaydına geri beslenir; böylece güvenlik yatırımı tahmine değil veriye dayanır.
En yaygın hata, güvenliği yalnızca ürün alarak sağlamaya çalışmaktır. Kurulan çözümün kimin tarafından işletileceği, ürettiği uyarıya kimin bakacağı ve hangi süreçle müdahale edileceği tanımlanmadığında yatırım rafta kalır. İkinci sık hata, riskin ölçülmeden korunmaya çalışılmasıdır: envanteri çıkarılmamış bir ortamda hangi kontrolün önce geleceği tahminle belirlenir.
Üçüncü hata, güvenliğin yalnızca teknik ekibe bırakılmasıdır. İnsan kaynakları işten ayrılış sürecini güvenlikle birlikte işletmiyorsa, satın alma tedarikçi sözleşmelerine güvenlik maddesi koymuyorsa ya da yönetim artık riski kabul etmiyorsa program eksik kalır. Bilgi güvenliği kurumun tamamına yayılmadığı sürece tek bir departmanın raporu olmaktan ileri gidemez.
Son olarak ölçüm ihmal edilir. Kontroller kurulur ama gerçekten çalışıp çalışmadığı sınanmaz; yedekler alınır ama geri yükleme denenmez, olay müdahale planı yazılır ama tatbikat yapılmaz. Sınanmamış kontrol, çalıştığı varsayılan kontroldür.
Privia Security olarak kurumların bu döngüyü kurmasına ve sürdürmesine uçtan uca eşlik ediyoruz: siber risk analizi ile mevcut durum ölçülür, önceliklendirilmiş bir yol haritası çıkarılır ve kontrollerin etkinliği dönemsel olarak yeniden sınanır.
Bunlar İlginizi Çekebilir
