Verilerin oluşturulması, hazırlanması, temizlenmesi veya kullanılması kadar önemli bir diğer husus da en uygun biçimine getirilen verilerin yönetilmesi ve en güvenli şekilde saklanmasıdır. Yönetme, Saklama ve Silme süreçlerinde dikkat edilmesi gereken pek çok unsur bulunmaktadır. Bu unsurlar veriyi yedeklemeden korumaya, şifrelemeye, güncellemeye kadar çok çeşitli adımlar içermektedir. Gerekli özen gösterilmediğinde gizli veya hassas verilerin kaybedilmesi, daha da kötüsü başkalarınca kontrolsüz bir şekilde ulaşılması, kullanılması ve değiştirilmesi gibi tehlikeler doğmaktadır.
Veri güvenliği Stratejisi
Verilerin güvenliğini sağlamak için kişi ve kuruluşlarca veri güvenliği stratejisi oluşturulması gereklidir. Bu stratejide verilerin sınıflandırılması, nerede ve hangi koşullarda saklanacağı, nasıl ve kim tarafından korunacağı açıkça belirtilmelidir.
1-) Bilgisayar Sistemlerinde Güvenli Dosya Saklama ve Yönetme
Günümüzde kişilere, kurumlara hatta ülkelere ait verilerin büyük bir kısmı disk sistemi (sabit disk “SSD, HDD”, USB bellek, Veri Saklama Bandı “LTO” vb.) ortamlarında depolanmaktadır. Bu kayıt ortamlarında saklanan bilgilerin tamamı maalesef aynı gizlilik seviyesinde değildir.
Bazı verilerin ortaya çıkması kişileri ve kurumları para, zaman, prestij kaybı gibi önemli kayıplarla karşı karşıya bırakabilir.
Verilerin önem sırasına uygun olarak yani güvenliğin temel üç ayağı olan; gizlilik, bütünlük ve sürekliliğinin sağlanması çerçevesinde saklanması gerekmektedir. Aynı zamanda gizliliğin korunması adına gerektiğinde güvenli olarak da silinmesi ya da imha edilmesi de büyük önem taşımaktadır.
Bu bölümde bilgilerin güvenli olarak iletilmesinden ziyade saklama ortamlarında güvenli bir şekilde saklanması ve işlenmesi ele alınmıştır.
Kurumlar tüm uygulamalarını bilgisayar ortamına taşıyıp, gelir – gider, Ar-Ge, ürün, personel, kurum politikaları gibi bir çok kurum için hayati öneme sahip olan bilgileri disklerde tutmakta ve yedeklerini de;
- yerel depolama alanları,
- bulut “cloud”,
- kurumsal veri arişvleri ve veri depoları,
- güvenli yedeklenen depolama alanları vb. yerlerde tutmaktadır.
Aynı şekilde herhangi bir kişinin bilgisayarında ona ait gelir gider, banka işlemleri, sağlık bilgileri, özel resim dosyaları, bilgi dosyaları gibi kayıtlar bulunabilir. Hatta bu bilgiler kişilerin cep telefonlarında bile olabilir. Bu verilerin yedekleri genellikle harici bir disk veya bulut “cloud” gibi bir saklama ortamlarında saklanmaktadır.
Bu bilgilerin ilgisiz kişilerin eline geçmemesi için cihazlar kullanıldığı sürece şifreleme, kimlik doğrulama, yetkilendirme gibi birçok güvenlik önlemi alınmaktadır.
Fakat silindiği düşünülen dosyalar, saklama ortamının uygun bir şekilde silinmemesi durumunda sayısal adli analiz araçlarıyla ya da basit yazılım araçlarıyla kolayca geriye döndürülebilmektedir. Hatta bu saklama ortamları zaman zaman kontrolsüz bir şekilde elden çıkartılabilmektedir.
Örneğin; çok kritik bilgileri bulunan bir kurum veya kişi eskiyen bilgisayarını herhangi bir işlem yapmadan başka bir kuruma bağışlayabilmekte, hurda olarak satabilmekte ya da doğrudan çöpe atabilmektedir.
Bozulan veya çok eskiyen bilgisayarların disklerin uygun bir şekilde silinmeden elden çıkarılması, çok önemli bilgilerin ilgisiz kişilerin eline geçmesine neden olmaktadır.
Hatta bu bilgisayarlara ait saklama ortamları yeterince güvenli olmayan yöntemlerle silinmesi durumunda verilerin büyük bir bölümünün veya tamamının geriye döndürü̈lmesi mümkün olmaktadır. Bu yetkisiz geriye döndürmelerin ortadan kaldırılması için veriler önemlerine uygun olarak silinmelidir.
2.Verilerin Sınıflandırılması
Günlük hayatımızda olduğu gibi bilgisayar sistemlerinde de saklanan verilerin hepsi aynı öneme sahip değildir. Verilerin bazılarını doğrudan hiçbir endişe duymadan başkaları ile paylaşırken, bazı verilerin ise başkaları tarafından görülmemesi, bizim için önem arz etmektedir.
Verilerin gizliliklerine göre tasnif edilmesi işlemine bilgi sınıflandırması denilmektedir. Bilgisayar sistemlerinde de her bir dosya içerdiği bilgiye göre bir etiket ile sınıflandırılmaktadır.
Bilgi sınıflandırma tarihçesi özellikle askeri ve devlet bilgileri göz önüne alındığında çok gerilere gitmektedir. Teknolojinin gelişmesiyle kurumlar ve kişilerin verilerinin de sınıflandırılması ihtiyacı ortaya çıkmıştır. Gizlilik sınıfları şu şekildedir;
- Açık (Public)
- Hassas (Sensitive)
- Özel (Private)
- Gizli (Secret)
- Çok Gizli (Top Secret)
- Çok Çok Gizli (Above Top Secret)
- Açık (Public): Başkalarının eline geçmesi durumunda kuruma maddi ya da prestij olarak herhangi bir zararı dokunmayan bilgilerdir. Kurum reklamları, müşterilerine sunduğu hizmetler gibi topluma açık olan dokümanlar tasnif dışı olarak da değerlendirilir.
Hassas (Sensitive): Daha çok yetkisiz erişim ve yetkisiz değiştirilmeye karşı korunması gereken bilgilerdir. Bilginin yetkisiz olarak değiştirilmesi ve silinmesi durumunda kurum ve kişi zor durumda kalabilir.
Özel (Private): Kuruma veya kişiye ait bilgilerdir. Bu bilgilerin açığa çıkması kurumu ve kişileri zor duruma düşürür. Maaş bilgilerinin ortaya çıkması, kişilere ait sağlık bilgilerinin başkaları tarafından bilinmesi vb. bu bilgilere örnek gösterilebilir.
Gizli (Secret): Bilginin başkalarının eline geçmesi durumunda kurum maddi ve prestij olarak ciddi kayba uğrar. Örneğin Ar-Ge bilgileri, ürünlere ait özel bilgiler, ticari sırlar vb. bu tür bilgilere örnek gösterilebilir.
3.Verilerin Güvenli Saklanması
Bir veri tek bir yerde tutulmamalı, gerekirse tüm ortamlarda (sabit disk, bulut, kurumsal arşiv gibi) ve farklı mekanlarda (ofis, ev gibi) saklanmalıdır.
Veriler bilgisayar ortamlarında saklanırken işletim sistemleri ve uygulama yazılımları aracılığıyla ilgisiz kişilerden kimlik doğrulama ve yetkilendirme önlemleriyle korunurlar.
Örneğin bilgisayarımız çalışırken başından ayrıldığımızda ya bilgisayarı kapatmalıyız ya da kilitleyerek ilgisiz kişilerin çalışma ortamımıza erişmesini engellemeliyiz. Dışarıdan gelebilecek sıkıntılara karşı ise güvenlik duvarını etkin hale getirmeliyiz ve güncel bir antivirüs programı kullanmalıyız.
Eğer çok sayıda kullanıcının dosyasının bulunduğu bir ortamda çalışıyorsak, o zaman da yetkilendirme mekanizmasını kullanarak hangi kullanıcının hangi dosyalara erişim yapabileceğini belirleriz ve her kullanıcı kendi yetkileri çerçevesinde dosyalara ulaşabilir.
Tabii ki bilgisayardaki verileri şifreli olarak tutmuyorsak bu çözüm yeterli olmaz, çünkü bilgisayar çalıştırılabilir bir usb vb. cihazlar ile açılarak sabit disk üzerindeki veriler okunabilir, kopyalanabilir veya değiştirilebilir. Üstelik bilgisayarın sabit diski çıkarılıp başka bir bilgisayara takılarak içindeki veriler de kolayca erişilebilinir.
O yüzden çok önemli bilgilerin bilgisayarda açık olarak saklanması uygun değildir. Birçok düzenleme ve yasa, önemli verilerin saklanması ile yakından ilgilenir. Ülkemizdeki Kişisel Verilerin Kullanımı ve Korunması “KVKK kanunu buna örnek olarak gösterilebilir.
Günümüzde veriler, bilgisayarlar arasında iletilirken şifrelenebilir veyahut bilgisayar ortamında saklanırken de şifreli olarak tutulabilirler. Verileri saklama ortamlarında tutmak için birçok çözüm bulunmaktadır.
Bilgisayar arasında veri iletilirken şifrelemeye tam doğru olmasa bile şu örnek verilebilir. Zaman zaman Whatsapp kullanırken yukarıda bir bildirim gözümüze çarpar. “Gönderdiğiniz mesajlar uçtan uca şifrelenmektedir.”
Veriler işletim sistemleri aracılığıyla, uygulamalar aracılığıyla ya da donanımsal şifreleme çözümleri aracılığıyla şifrelenerek saklanabilirler.
Verileri bilgisayarda şifreli olarak tutmak için PGP, Truecryp, Bitlocker, Mcafee Endpoint Encryption, Symantec Endpoint Encryption, FileVault gibi programlar yaygın olarak kullanılmaktadır. Taşınabilir bellek ortamlarının (Harici HDD, USB vb.) birçoğu verileri otomatik olarak şifreli saklayacak mekanizmalara sahiptir. Seagate firmasının HDD’lerini satın aldığınızda ilk kullanımda içinde “Seagate Securite” uygulaması görmüşsünüzdür. İşte bu uygulamayı örnek olarak gösterebiliriz.
Bilgilerin büyük bir kısmı USB belleklerde veya Harici HDD’lerde tutulduğu için bunların içinde bulunan dosyaların da şifreli olarak tutulması çok önemlidir. USB ve HDD’lerde verileri şifreli olarak saklamak için Comodo Disk Encryptor, Rosho Mini Drive, USB Safe Guard, DiskCryptor, TrueCryp gibi kullanımı kolay ve etkin çözümler mevcuttur. Bazı HDD’ler içinde ise yukarıda dediğim gibi kendi şifreleme uygulamaları mevcuttur.
Aynı zamanda;
- Aşırı elektrik yüklemesine veya ani elektrik kesintilerine karşı koruma sistemi geliştirilmelidir. (UPS, Jeneratör vb.)
- Binalar, odalar ve dosya dolapları gibi fiziksel ortamlara erişim de sürekli kontrol edilmelidir.
4.Verilerin Güvenli Silinmesi ve İmhası
Verilerin güvenli olarak silinmesi, güvenli saklanması kadar önemli bir konudur. Çünkü verilerin etkin bir şekilde silinmemesi durumunda basit adli analiz araçları ile veriler kolay bir şekilde geriye döndürülebilmektedir
Saklama ortamlarından verilerin silinmesi ve yeniden kullanılması konusunda aşağıdaki maddeler yaygın olarak kullanılmaktadır;
- Hassas bilgi içeren saklama ortamları fiziksel olarak imha edilmeli ya da her bir veri silmeden sonra saklama ortamının rastgele karakterlerle doldurulduğu güvenli silme programları ile üç defa silinmelidir.
- Tüm saklama ortamları, elden çıkarılmadan (devir, satış, çöpe atma vb.) önce hassas veri açısından kontrol edilmeli. Hassas veri içeriyorsa güvenli olarak silinmelidir.
- Şifrelenmiş verileri saklayan diskler doğrudan elden çıkarılmamalı basitte olsa silme işlemine tabi tutulmalıdır.
- Hassas bilgi içeren hassas saklama ortamları tamir edilemiyorsa imha edilmelidir.
- Kurum kendisi için güvenli silme prosedürü oluşturmalı ve veri silmede onu kullanmalıdır.
- Aynı gizlilik seviyesinde kullanılacak saklama ortamlarının bir defa silinmesi yeterli olabilir.
- Hali hazırdaki gizlilik seviyesinden daha düşük bir gizlilik seviyesinde kullanılacak saklama ortamları, her bir silmeden sonra saklama ortamının rastgele karakterlerle doldurulduğu güvenli silme programları ile üç defa silinmelidir.