Uyumluluk
Bilgi güvenliği CIA üçlüsünün tüm parçalarının korunmasını sağlamak için hem iş hem de yasal standartlar oluşturulmuştur. Bu standartlara uymak için önlemler almak uyum olarak bilinir. Bu bölümde, işletmelerin uyması gereken birçok önemli politikanın ayrıntıları özetlenecektir.
Uyumluluk Araçları
Sistemlerin uyumlu olup olmadığını belirlemek için uyumluluk denetimleri gerçekleştirilir. Bunlar otomatik olabilir ve makineleri periyodik olarak tarayan uç nokta yazılımı kadar basit olabilir. Dışarıdan bir ekibin belirli bir sitede sızma testi gerçekleştirmesi kadar karmaşık olabilirler. Her iki durumda da, uygunluk denetimleri güvenlik politikalarını ihlal eden durumları arar.
Risk değerlendirmesi, tespit edilen ihlallerden birinin ne kadar zarar verici olabileceğini belirleyen uyumluluğun önemli bir parçasıdır. Risk analizi raporları genellikle bir uygunluk denetiminin ikinci adımı olarak oluşturulur. Bu raporlar, şirketin hangi önlemlerin alınması gerektiği konusunda bilinçli bir karar vermesine yardımcı olur.
Son olarak değişiklik kontrolleri, gerçekleşmesi gereken değişikliklerin yerine getirilmesini sağlamak ve güvenlik politikalarının ihlal edilmesine yol açan değişiklikleri izlemek için kullanılır. Bir sistemin nasıl ve neden değiştiğini takip ederek ve onaylar gerektirerek sistemler güvensiz bir durumdan güvenli bir duruma geçebilir ve umarız bu şekilde kalabilir. Değişiklik kontrolleri siber güvenlik çalışmalarının her alanında bulunmalıdır.
PII/PCI
Kişisel Olarak Tanımlanabilir Bilgiler (PII) ve Ödeme Kartı Endüstrisi (PCI) uyumluluğu muhtemelen en büyük uyumluluk sektörüdür. PII, sosyal güvenlik numaraları (SSN'ler), ad ve soyadlar, doğum günleri, adresler, anne kızlık soyadları vb. olabilir. PCI ile ilgili veriler kart sahibinin adı, hesap numarası, kartın son kullanma tarihi, güvenlik kodları, şerit/çip verileri, PIN'ler veya kart numaraları olabilir.
Burada ayrıntıları verilen protokollerin çoğu bu verileri korumak için tasarlanmıştır.
PCI DSS
PCI DSS, Ödeme Kartı Endüstrisi Veri Güvenliği Standartları anlamına gelmektedir. Büyük kredi kartı şirketleri tarafından zorunlu tutulur ve Ödeme Kartı Endüstrisi Güvenlik Standartları Konseyi (PCI SSC) tarafından sürdürülür.
100 sayfadan fazla olan DSS, PCI verilerini korumaya yönelik temel kurallardır. Ağ güvenliği, güvenlik açığı yönetimi, izleme/test gereksinimleri ve diğer bilgi güvenliği politikalarını detaylandırırlar.
Standartlar, bir işletmenin kaç kredi kartı işlemi gerçekleştirdiğine dayanan seviyelere dayanmaktadır. Daha fazla iş yapan şirketlere (daha düşük seviyeler) daha katı standartlar uygulanmaktadır. Seviyeler aşağıda gösterilmiştir:
- Seviye 1 - Yılda altı milyondan fazla işlem
- Seviye 2 - Yılda bir ila altı milyon arasında işlem
- Seviye 3 - Yılda 20.000 ile bir milyon arasında işlem
- Seviye 4 - Yıllık 20.000'den az işlem
PHI/HIPPA
Korumalı Sağlık Bilgileri (PHI), çeşitli yasal ve sektörel standartlar tarafından kapsanan bir başka korumalı veri türüdür. PHI tıbbi geçmiş, tıbbi tesisler için kabul bilgileri, reçete bilgileri veya sağlık sigortası verileri olabilir.
Sağlık Sigortası Taşınabilirlik ve Hesap Verebilirlik Yasası (HIPAA) PHI'nin nasıl ele alınması gerektiğine ilişkin standartlar sağlamaktadır. HIPAA uyarınca PHI yalnızca belirli taraflara ifşa edilebilir, kullanıcıların PHI'yi görme ve düzeltme hakkı vardır ve PHI güvenli bir şekilde saklanmalı ve iletilmelidir.
Sağlık hizmeti sağlayıcınızın ziyaretinizin ayrıntılarını size e-posta ile göndermek yerine neden sizi her zaman güvenli bir portala gönderdiğini hiç merak ettiyseniz, bunun nedeni PHI ile uğraşmaları ve e-postanın güvenli kabul edilmemesidir.
SOX/GLBA
Sarbanes-Oxley Yasası (SOX) dotcom balonunun patlamasının ardından finansal dolandırıcılıkla mücadeleye yardımcı olmak amacıyla kabul edilmiştir. SOX bazı temel CIA önlemlerini detaylandırmaktadır (çoğu yönetmelik gibi):
Gizlilik
-şifreleme, veri kaybı önleme
Bütünlük
-erişim kontrolü, günlük kaydı
Erişilebilirlik
-veri saklama, denetimler, ihlallerin kamuya açıklanması
İşin ilginç yanı, bu kontrollerin aynı zamanda bir şirketin ilişkileri hakkında yalan söylemesini de zorlaştırmasıdır. SOX, kayıtları 90 gün boyunca saklayarak, değişiklikleri takip ederek ve kamuya açıklama zorunluluğu getirerek şirketlerin sahtekarlık yapmasını zorlaştırmaktadır.
Gram-Leach-Bliley Yasası (GLBA), CIA'yı korumak ve müşteriye daha fazla bilgi sağlamak için tasarlanmış bir başka yasadır. GLBA, bir finans kuruluşunun müşteri bilgileriyle ne yaptığını açıklamasını, müşteriye vazgeçme hakkı sunmasını ve birlikte çalıştığı satıcıların uyum içinde olduğundan emin olmasını zorunlu kılmaktadır.
GDPR
Genel Veri Koruma Yönetmeliği (GDPR), müşterilerin takip edilmeleri halinde bilgilendirilmelerini gerektiren daha az hedefli ancak daha geniş kapsamlı bir Avrupa Birliği yasasıdır. Çoğu insan için GDPR'nin en büyük etkisi, web siteleri tarafından kullanılan çerezleri onaylamak zorunda olmalarıdır. Çerezlerin neredeyse yalnızca oturum yönetimi için kullanıldığını ve bu nedenle bir web sitesine gelen ziyaretçileri izlediğini hatırlayın.
GDPR risk değerlendirmesi, şifreleme, takma ad kullanımı, dokümantasyon ve denetimlere ilişkin kuralları ana hatlarıyla belirlemektedir. GDPR ayrıca ziyaretçilere müşteri verilerinin bir web sitesi tarafından unutulması seçeneğini de sunmaktadır. Avrupa sahasında faaliyet göstermek isteyen işletmeler, dünya çapındaki işletmelerin çoğu, kendilerini GDPR uyumlu hale getirmelidir.
ABD Vatanseverlik Yasası/PRISM
Uyumluluk gerektiren tüm düzenlemeler bilginin korunmasıyla ilgili değildir. Bazı yönetmelikler, devlet kurumları tarafından casusluk için gizliliği özellikle zayıflatmak üzere tasarlanmıştır.
ABD Vatanseverlik Yasası 11 Eylül saldırılarının ardından kabul edildi ve diğer pek çok şeyin yanı sıra telekom sağlayıcılarının müşteri bilgilerini talep etmelerini gerektirdi. Bunlar telefon aramalarının kayıtları, ağ trafiği örnekleri veya konum bilgileri olabilir.
Daha sonra 2007 yılında Amerika'yı Koruma Yasası (PAA) bu gözetimi genişleterek daha fazla şirketin bilgi taleplerine uymasını zorunlu kılmıştır. Bu eylem, Edward Snowden sızıntılarıyla ortaya çıkan ve şirketleri dünya çapında bir internet izleme programına uymaya zorlayan PRISM programını başlattı.
Önceki Ders: Güvenlik Açığı Yönetimi
Sonraki Ders: Laboratuvar: Nessus ile Tarama
Yorumlar
Yorum Gönder