dijital güvenlik önlemleri için Bilgi ve İletişim Güvenliği Rehberi hazırladı.
Buna göre kamu kurumlarında önce bir anket yapılarak
güvenlik açıkları tespit edilecek.
Milliyet’ten Kıvanç El’in haberine göre, daha sonra tüm kamu
personeli için zorunlu olacak uygulamalar hayata geçirilecek. Kamu
çalışanlarının uyacağı tedbirler şöyle:
Sistem uyaracak
Her kamu kurumu için kullanılacak programlar belirlenecek ve
bir ‘beyaz liste’ oluşturulacak. Personelin beyaz listede bulunan uygulamalar
haricinde uygulama kurması engellenecek. Program kurulmaya çalışıldığı zaman
uyarı verecek bir sistem kurulacak.
Aynı şekilde internet ağında da ‘kara liste’ veya ‘beyaz
liste’ belirlenecek. Ağ erişimleri sınırlandırılacak. Kurum sistemleri tümünü
kapsayacak şekilde; port, servis ve protokol taramaları gerçekleştirecek.
Zararlı IP adreslerine erişimin denetlenmesi için tüm DNS sorguları kayıt
altına alınacak.
Kamuda sıkça kullanılan IP telefonlar ile ilgili de yeni
önlemler alınacak. IP telefon, altyapı sağlayıcısı veya kurum tarafından
güvenlik duvarları ile korunacak. IP telefon sistemlerinin iz kayıtları
tutulacak.
Kurum tarafından ‘gerekli görülen durumlarda’ belirlenen
kaynaklar ve hedefler arasındaki tüm ağ trafiği izlenebilecek. Kayıt
mekanizmaları oluşturulacak. İhtiyaç duyulması durumunda ilgili trafik kaydı
incelenebilecek.
Kurumdaki kritik sistemler taşınabilir depolama birimlerini
desteklemeyecek şekilde yapılandırılacak. Taşınabilir depolama birimleri
takıldığında uyarı verilecek bir sistem kurulacak. Bu uyarılar kayıt altına
alınıp izlenebilecek.
Güvenlik testi
Kişisel veri barındıran veri tabanının dışarıya aktarımı
konusunda da önlemler alınacak. Personelin kişisel verilerinin yer aldığı
bilgisayara sadece yetkilendirilmiş kullanıcı ulaşabilecek.
Kurum ağına bağlı yetkisiz kablosuz erişim noktalarının
tespit edilmesini ve alarm üretilmesini sağlayan ağ tabanlı keşif araçları
kullanılacak.
Tüm sızma testleri ve güvenlik denetimleri yılda en az bir
kez yapılacak.
Video konferans uygulamaları kurum içerisinde
barındırılacak. Kurum içerisinde barındırılmayan üçüncü taraf bir uygulama
kullanılacak ise uygulama açık kaynak kodlu olacak. Yönetici onayıyla ekran
paylaşımı ve dosya paylaşım özelliği engellenecek.
‘Jailbreak’ önlemi
Kurumsal kritik verilerin saklanması/depolanması amacıyla
bulut depolama hizmetleri kullanılmayacak. Kritik verilerin yurt içinde
depolandığı ve yurt dışında barındırılmayacağı garanti altına alınacak.
Kurum bünyesinde geliştirilen uygulamaların,
rootlanmış/jailbreak yapılmış cihazlarda çalışmayı reddedeceği sistem
kurulacak.
Kurum tarafından sağlanan telefon ve tabletler üzerinde
jailbreak veya rootlama işlemi yapılmaması konusunda personel uyarılacak.
Kritik görevlerde çalışanlar, mobil cihazlarını halka açık
şarj istasyonlarında şarj etmemeleri konusunda uyarılacak.
Kaybolması ve çalınmasına karşı cihazı uzaktan fabrika
ayarlarına döndürüp içindeki veriyi silebilecek bir mekanizma kullanılacak.
Onarım/tadilat için üçüncü kişilere verilecek cihazların,
fabrika ayarlarına döndürülmesi ve içindeki kurumsal verilerin silinmesi
uyarısı yapılacak. Cihaz içindeki veri silinemeyecek durumda ise cihaz imha
edilecek.
Laptop uyarısı
Kurum bünyesinde kullanılacak cihazların listesi
çıkartılacak ve bu liste dışında bulunan cihazların kurum sistemlerine erişimi
engellenecek.
Taşınabilir bilgisayarlara, çalınma ve kaybolma riskine
karşı disk şifreleme uygulanacak. Kullanıcıların disk şifreleme özelliğini
devre dışı bırakmaları engellenecek. Taşınabilir bilgisayarlarda, harici
depolama ortamlarının izinleri devre dışı bırakılacak. İş gereksinimleri
doğrultusunda gerekli onayların alınması durumunda harici bellek
kullanılabilecek ancak yapılan işlemler izlenecek.
Siber saldırıya karşı birim
Siber olayların yönetimi aşamalarında görev alacak
personelin rol ve sorumlulukları tanımlanıp, olaya müdahale için gerekli teknik
alt yapı personele sağlanacak. Siber olay yönetimi kapsamında görev alacak
personel Kurumsal SOME (Siber Olaylara Müdahale Ekibi) kriterlerine uygun
seçilecek.
