Bilgi Güvenliği (InfoSec) nedir?

Bilgi Güvenliği (InfoSec) tanımı

Genellikle InfoSec şeklinde kısaltılan bilgi güvenliği, hassas kurumsal bilgileri kötüye kullanımdan, yetkisiz erişimden, kesintiden veya yıkımdan geniş ölçüde koruyan bir dizi güvenlik prosedürü ve aracıdır. InfoSec, fiziksel ve çevresel güvenliği, erişim denetimini ve siber güvenliği kapsar. Genellikle diğerlerinin yanı sıra bulut erişimi güvenlik aracısı (CASB), aldatma araçları, uç nokta algılama ve yanıt (EDR) ve DevOps (DevSecOps) için güvenlik testi gibi teknolojileri içerir.

Bilgi güvenliğinin temel unsurları

InfoSec, kurumsal bilgileri farklı cihaz ve konumlarda güvende tutan, siber saldırılara veya diğer yıkıcı olaylara karşı korunmaya yardımcı olan bir dizi güvenlik aracı, çözümü ve süreci içerir.

Uygulama güvenliği

Uygulamaları ve verilerini korumak için yürürlüğe sokulan ilkeler, prosedürler, araçlar ve en iyi uygulamalar.

Olay yanıtı

Bir kurumun siber saldırı, veri ihlali veya başka bir yıkıcı olayın ardından yanıt verme, düzeltme ve yönetme planı.

Bulut güvenliği

Sistemler, veriler, uygulamalar ve altyapı dahil olmak üzere bulutun tüm yönlerini korumak için yürürlüğe konan ilkeler, prosedürler, araçlar ve en iyi uygulamalar.

Bulut güvenliği

Altyapı güvenliği

Hem donanım hem de yazılım sistemleri dahil olmak üzere bir kurumun tüm teknolojik altyapısını kapsayan güvenlik.

Şifreleme

Yalnızca belirli bir iletinin hedeflenen alıcılarının onu görüntüleyebilmesini ve deşifre edebilmesini sağlamayı amaçlayan, iletişimi güvence altına almak için algoritma tabanlı bir yöntem.

Güvenlik açığı yönetimi

Bir kurumun uç noktaları, yazılımları ve sistemlerindeki güvenlik açıklarını belirlemek, değerlendirmek ve gidermek için kullandığı süreç.

Olağanüstü durum kurtarma

Doğal afet, siber saldırı veya başka bir yıkıcı durum gibi bir olayın ardından işlevsel teknolojik sistemleri yeniden kurma yöntemi.

Bilgi güvenliğinin üç temeli: CIA üçlüsü

Gizlilik, bütünlük ve kullanılabilirlik, güçlü bilgi koruması temel taşlarını oluşturarak bir kurumun güvenlik altyapısının temelini oluşturur. CIA (Gizlilik, Bütünlük, Kullanılabilirlik) üçlüsü, bir InfoSec planının uygulanması için yol gösterici ilkeler olarak bu üç kavramı sunar.

Gizlilik

Gizlilik, InfoSec'in önemli bir bileşenidir ve kurumlar, yalnızca yetkili kullanıcıların bilgilere erişmesine izin veren önlemleri yürürlüğe koymalıdır. Veri şifreleme, çok faktörlü kimlik doğrulaması ve veri kaybını önleme, kuruluşların veri gizliliğini sağlamaya yardımcı olmak için kullanabileceği araçlardan bazılarıdır.

Bütünlük

Kurumlar, tüm yaşam döngüsü boyunca verilerin bütünlüğünü korumalıdır. Güçlü InfoSec'e sahip kurumlar, doğru ve güvenilir verilerin önemini anlar ve yetkisiz hiçbir kullanıcının verilere erişmesine, bunları değiştirmesine veya başka bir şekilde müdahale etmesine izin vermez. Dosya izinleri, kimlik yönetimi ve kullanıcı erişim denetimleri gibi araçlar, veri bütünlüğünün sağlanmasına yardımcı olur.

Kullanılabilirlik

InfoSec, yetkili kullanıcıların verilere ihtiyaç duyduklarında güvenilir ve tutarlı erişime sahip olmalarını garanti etmek için fiziksel donanımın bakımını ve sistem yükseltmelerini düzenli olarak tamamlamayı içerir.

Yaygın bilgi güvenliği tehditleri

Gelişmiş kalıcı tehdit (APT) saldırısı:

Tespit edilmemiş bir saldırganın (veya grubun) bir kurumun ağına ve verilerine erişim kazandığı, uzun bir süre boyunca gerçekleşen karmaşık bir siber saldırı.

Botnet:

"Robot ağı" teriminden türetilen botnet, bir saldırganın kötü amaçlı kodla bulaştırdığı ve uzaktan kontrol ettiği bağlı cihazlardan oluşan bir ağdan oluşur.

Dağıtılmış hizmet engelleme (DDoS) saldırısı:

DDoS saldırıları, bir kurumun web sitesini veya uygulamasını zorlamak için botnetleri kullanır ve bu da çökmelere ya da geçerli kullanıcı veya ziyaretçilerin hizmet reddi almasına neden olur.

İstemsiz indirme saldırısı:

Kullanıcı bir web sitesini ziyaret ettiğinde, cihazına otomatik olarak indirilen ve bu kullanıcıyı daha fazla güvenlik tehdidine karşı savunmasız hale getiren kötü amaçlı bir kod parçası.

Açıklardan yararlanma seti:

Güvenlik açıklarını tespit etmek ve cihazlara kötü amaçlı yazılım bulaştırmak için güvenlik açıklarından yararlanan kapsamlı bir araç seti.

İç tehdit:

Kurumun içinden birinin, kasıtlı olarak veya olmayarak, yetkili erişimden yararlanma ve kurumun sistemlerine, ağlarına ve verilerine zarar verme veya savunmasız hale getirme olasılığı.

Bağlantıyı izinsiz izleme (MitM) saldırısı:

Kötü niyetli bir saldırgan, bilgi veya veri çalmak için geçerli bir kullanıcının kimliğine bürünerek bir iletişim hattını veya veri aktarımını kesintiye uğratır.

Kimlik avı saldırısı:

Kimlik avı saldırıları, e-posta, kısa mesaj veya diğer iletişim yöntemleri aracılığıyla bilgi çalmak için kurumların veya kullanıcıların kimliğine bürünür.

Fidye yazılımı:

Bir kurumun veya kişinin bilgilerini şifreleyen ve fidye ödenene kadar erişimi engelleyen kötü amaçlı bir gasp saldırısı.

Sosyal mühendislik:

Saldırganın tuzağa düşürme, korkutma veya kimlik avı yoluyla kurbanın güvenini kazandığı, kişisel bilgileri topladığı ve bu bilgileri bir saldırı gerçekleştirmek için kullandığı, insan etkileşimi ile yönlendirilen siber saldırılar.

Sosyal medya saldırısı:

Sosyal medya platformlarını hedef alan, platformları dağıtım mekanizması olarak kullanan veya kullanıcı bilgilerini ve verilerini çalan siber saldırılar.

Virüsler ve solucanlar:

Bir kullanıcının ağı veya sistemi genelinde kendi kendine çoğalabilen kötü amaçlı, tespit edilmemiş kötü amaçlı yazılım.

Bilgi güvenliği için kullanılan teknolojiler

Bulut erişimi güvenlik aracıları (CASB)

Kimlik doğrulaması ve kimlik bilgisi eşleştirmeden şifrelemeye, kötü amaçlı yazılım algılamaya ve daha fazlasına kadar birden çok farklı güvenlik ilkesini birleştiren, kurumsal kullanıcılar ve bulut hizmeti sağlayıcıları arasında konumlandırılan güvenlik ilkesi uygulama noktaları. CASB'ler, yetkili ve yetkisiz uygulamalar için hem yönetilen hem de yönetilmeyen cihazlarda çalışır.

Veri kaybı önleme

Veri kaybı önleme (DLP), hassas verilerin kaybolmasını veya kötüye kullanılmasını önlemek için yürürlüğe konan ilkeleri, prosedürleri, araçları ve en iyi uygulamaları kapsar. Anahtar araçlar, düz metni bir algoritma aracılığıyla şifreli metne dönüştürme anlamına gelen şifrelemeyi ve bir veri parçasına bir dizi rasgele sayı atayıp ilişkiyi depolamak için bir belirteç kasası veritabanı kullanma anlamına gelen belirteçlere ayırmayı içerir.

Uç noktada algılama ve yanıt verme (EDR)

EDR, uç nokta cihazlarındaki tehditleri algılamak, araştırmak ve bunlara yanıt vermek için bir dizi araçtan yararlanan bir güvenlik çözümüdür.

Mikro segmentasyon

Mikro segmentasyon, veri merkezlerini birden çok, ayrıntılı, güvenli bölgelere veya segmentlere bölerek risk seviyelerini düşürür.

DevOps için güvenlik testi (DevSecOps)

DevSecOps, güvenlik önlemlerini geliştirme sürecinin her adımıyla bütünleştirme, hızı artırma ve gelişmiş, daha proaktif güvenlik süreçleri sunma sürecidir.

Kullanıcı ve varlık davranış analizi (UEBA)

UEBA, tipik kullanıcı davranışını gözlemleme ve normal sınırların dışında kalan eylemleri tespit etme sürecidir ve işletmelerin potansiyel tehditleri belirlemesine yardımcı olur.

Bilgi güvenliği ve kurumunuz

Kurumlar, InfoSec ve risk yönetiminin sağlanmasına yardımcı olmak üzere özel standartlar veya endüstri standartları oluşturarak güvenlik denetimlerini bir kurum genelinde standart hale getirmek için bilgi güvenliği yönetim sistemlerini (ISMS) kullanabilir. InfoSec'e yönelik sistematik bir yaklaşım kullanmak, kurumunuzu proaktif olarak gereksiz risklerden korumaya yardımcı olacak ve tehditler ortaya çıktıklarında ekibinizin bunları verimli bir şekilde çözmesine olanak tanıyacaktır.

Bilgi güvenliği tehditlerine yanıt verme

Güvenlik ekibiniz bir InfoSec tehdidine dönüştürüldükten sonra aşağıdaki adımları tamamlayın:

Ekibinizi toplayın ve olay müdahale planınıza başvurun.
Tehdidin kaynağını belirleyin.
Tehdidi kontrol altına almak ve düzeltmek için eylemler gerçekleştirin.
Tüm hasarları değerlendirin.
İlgili tarafları bilgilendirin.

Kaynaklar

Microsoft Güvenlik hakkında daha fazla bilgi edinin

İç mekanda sıcak ışık altında dizüstü bilgisayar kullanan kişi

Microsoft Güvenlik

Güvenliğe kapsamlı bir yaklaşım.

Daha fazlasını keşfedin

Koltuğun üzerinde tablet kullanan bir kişi.

Bilgi koruması ve yönetimi

Farklı bulutlarda, uygulamalarda ve uç noktalarda bulunan hassas verileri koruma altına almaya yardımcı olun.

Daha fazla bilgi edinin

Ofis ortamında bilgisayar masasında çalışan bir kişi.

Microsoft Purview Bilgi Koruması

Hassas bilgileri bulundukları veya taşındıkları her yerde keşfedin, sınıflandırın ve koruyun.