• Gizlilik: Bir bilginin veya verinin yalnızca erişim yetkisi olan kişiler tarafından görüntülenebilmesini veya okunabilmesini ifade eder. Hassas verilerin yetkisiz erişime karşı korunması, şifreleme algoritmaları ve erişim kontrolleri aracılığıyla sağlanır. Örneğin, bir e-posta gönderdiğinizde, bu e-postanın sadece alıcı tarafından okunabilmesi gizlilik prensibinin bir uygulamasıdır. TLS (Transport Layer Security) gibi protokoller, bu gizliliği sağlamak için veriyi şifreler.
• Bütünlük: Bilginin doğruluğunu, eksiksizliğini ve değişmemiş halini ifade eder. Bilginin yetkisizce değiştirilmediği veya bozulmadığı garanti edilmelidir. Veri iletimi sırasında veya depolanırken kasıtlı ya da kasıtsız bir şekilde değiştirilmediğinden emin olmak için hash fonksiyonları ve dijital imzalar kullanılır. Örneğin, bir dosyanın indirildikten sonra orijinaliyle aynı olduğundan emin olmak için bütünlük kontrolü yapılır.
• Erişilebilirlik: Yetkili kullanıcıların veya sistemlerin, ihtiyaç duydukları zaman bilgiye ve bilgi sistemlerine kesintisiz bir şekilde erişebilmelerini sağlar. Sistemlerin ve hizmetlerin sürekli çalışır durumda olması, yedeklilik, felaket kurtarma planları ve yeterli bant genişliği gibi önlemlerle garanti edilir. Hizmet Reddi (Denial of Service - DoS) veya Dağıtılmış Hizmet Reddi (Distributed Denial of Service - DDoS) saldırıları, erişilebilirliği doğrudan hedef alan tehditlerdir.

• Kimlik Doğrulama (Authentication): Bir kullanıcının, sistemin veya sürecin iddia ettiği kimliği doğrulamak için kullanılan bir yöntemdir. Parolalar, biyometrik veriler, dijital sertifikalar veya çok faktörlü kimlik doğrulama (MFA) gibi yöntemlerle gerçekleştirilir. “Senin kim olduğunu kanıtla.” sorusuna verilen yanıttır.
• Yetkilendirme (Authorization): Kimliği doğrulanmış bir kullanıcının veya sistemin hangi kaynaklara (dosyalar, veritabanları, uygulamalar vb.) erişebileceğini veya hangi eylemleri gerçekleştirebileceğini belirleme sürecidir. “Kim olduğunu kanıtladıktan sonra ne yapmaya iznin var?” sorusuna verilen yanıttır.
• İnkâr Edilemezlik (Non-repudiation): Bir eylemin veya işlemin gerçekleştiğini gerçekleştiren tarafın daha sonra inkâr edememesini sağlar. Genellikle dijital imzalar ve zaman damgaları aracılığıyla sağlanır. Bu, özellikle hukuki süreçlerde kanıt değeri taşır.

• TLS El Sıkışma Aşamaları: Bu karmaşık süreç, güvenli bir oturum anahtarının türetilmesini ve tarafların birbirlerini doğrulamalarını sağlar:
  1. ClientHello: İstemci, sunucuya bir bağlantı başlatma isteği gönderir. Bu istekte, istemcinin desteklediği TLS sürümleri (örneğin TLS 1.2, TLS 1.3), şifreleme takımları (yani kullanabileceği şifreleme algoritmaları, hash algoritmaları vb. kombinasyonları) ve rastgele bir sayı bulunur.
  2. ServerHello: Sunucu, istemcinin tekliflerini değerlendirir ve en uygun TLS sürümünü ve şifreleme takımını seçer. Kendi rastgele sayısını da ekleyerek istemciye yanıt verir.
  3. Sertifika ve Sunucu Anahtar Değişimi (Server Certificate ve Server Key Exchange): Sunucu, dijital sertifikasını (kimliğini kanıtlamak için, bir Sertifika Yetkilisi - CA tarafından imzalanmış) ve bazı anahtar değişim bilgilerini (örneğin Diffie-Hellman parametreleri) gönderir. Bu sertifika, sunucunun alan adını ve genel anahtarını içerir.
  4. ClientKeyExchange: İstemci, sunucunun sertifikasını CA'ya güven zincirini takip ederek doğrular. Eğer sertifika geçerliyse, bir “pre-master secret” oluşturur. Bu gizli anahtarı, sunucunun genel anahtarı ile şifreler ve sunucuya gönderir. Bu, Simetrik Anahtar Değişimi için ilk adımdır.
  5. Şifreli Oturum Kurulumu (ChangeCipherSpec ve Finished): Hem istemci hem de sunucu, önceden paylaşılan rastgele sayılar ve “pre-master secret” kullanarak aynı simetrik oturum anahtarını türetir. Her iki taraf da bu yeni anahtarı kullanarak şifreli iletişime geçeceğini belirten bir “ChangeCipherSpec” mesajı ve oturumun başarıyla kurulduğunu onaylayan bir “Finished” mesajı gönderir. Bundan sonraki tüm iletişim bu oturum anahtarıyla şifrelenir.

# TLS El Sıkışmasının Basitleştirilmiş Bir Algoritma Gösterimi

function tls_handshake_flow(client_side, server_side):
    # Adım 1: ClientHello
    client_side.send("ClientHello: Desteklenen TLS Sürümleri, Şifreleme Takımları, Client Rastgele Sayısı")

    # Adım 2: ServerHello
    server_side.receive("ClientHello")
    server_side.send("ServerHello: Seçilen TLS Sürümü, Şifreleme Takımı, Server Rastgele Sayısı")

    # Adım 3: Sunucu Sertifikası ve Anahtar Değişimi
    server_side.send("Server Certificate")
    server_side.send("Server Key Exchange Parameters") # Opsiyonel, anahtar değişim metoduna bağlı

    # Adım 4: İstemci Sertifikası (İstemci Kimlik Doğrulama için Opsiyonel)
    # client_side.send("Client Certificate") # Eğer sunucu istemci kimlik doğrulaması talep ediyorsa

    # Adım 5: İstemci Anahtar Değişimi
    client_side.receive("Server Certificate", "Server Key Exchange Parameters")
    client_side.verify_certificate()
    pre_master_secret = client_side.generate_pre_master_secret()
    encrypted_pre_master_secret = client_side.encrypt(pre_master_secret, server_side.public_key)
    client_side.send("Client Key Exchange: " + encrypted_pre_master_secret)

    # Adım 6: Şifreli Oturum Anahtarının Türetilmesi
    client_side.derive_session_key(pre_master_secret, client_random, server_random)
    server_side.derive_session_key(pre_master_secret, client_random, server_random)

    # Adım 7: Şifreli İletişimin Başlatılması
    client_side.send("ChangeCipherSpec")
    client_side.send("Finished")
    server_side.receive("ChangeCipherSpec", "Finished")
    server_side.send("ChangeCipherSpec")
    server_side.send("Finished")
    client_side.receive("ChangeCipherSpec", "Finished")

    # Güvenli İletişim Başladı
    print("TLS El Sıkışması Başarılı! Şifreli İletişim Kuruldu.")
end function

• Kimlik Doğrulama Başlığı (Authentication Header - AH): Veri paketinin bütünlüğünü ve kimlik doğrulamasını sağlar. Veriyi şifrelemez, bu nedenle gizlilik sağlamaz.
• Kapsülleyici Güvenlik Yükü (Encapsulating Security Payload - ESP): Veri paketinin hem şifrelenmesini (gizlilik) hem de bütünlüğünü ve kimlik doğrulamasını sağlar. Genellikle AH'tan daha sık tercih edilir çünkü daha kapsamlı bir koruma sunar.

• SFTP (SSH File Transfer Protocol): SSH üzerine inşa edilmiş güvenli dosya transferi protokolüdür. Dosya aktarımları sırasında verilerin şifrelenmesini ve kimlik doğrulamasını sağlar.
• FTPS (FTP Secure): Geleneksel FTP protokolüne SSL/TLS şifrelemesi ekleyen bir protokoldür. FTP ile aynı komut yapısını kullanır ancak kontrol ve/veya veri bağlantısı için şifreleme sunar.
• DNSSEC (Domain Name System Security Extensions): Alan Adı Sistemi'nin (DNS) doğruluğunu ve bütünlüğünü sağlamak için dijital imzalar kullanan bir dizi uzantıdır. DNS önbellek zehirlenmesi gibi saldırılara karşı koruma sağlar.
• S/MIME (Secure/Multipurpose Internet Mail Extensions): E-posta iletişimi için şifreleme ve dijital imza sağlar. E-postaların içeriğini şifreleyerek gizliliği, dijital imza ile gönderenin kimliğini ve iletinin bütünlüğünü garanti eder.
• OAuth ve OpenID Connect: Kullanıcıların kimlik bilgilerini doğrudan paylaşmadan üçüncü taraf uygulamaların kullanıcı adına belirli kaynaklara erişim izni almasını sağlayan yetkilendirme ve kimlik doğrulama çerçeveleridir. Örneğin, bir web sitesine Google veya Facebook hesabınızla giriş yapmanızı sağlarlar.

“Bilgi, bir organizasyonun en değerli varlıklarından biridir. ISO/IEC 27001, bu varlığı korumak için kapsamlı bir çerçeve sunarak, yalnızca teknik önlemlerle değil, aynı zamanda süreçler, insanlar ve teknoloji aracılığıyla bir bütünleşik güvenlik kültürü ve yönetimi yerleştirir. Bu, modern işletmeler için sadece bir seçenek değil, bir zorunluluktur.” - Siber Güvenlik Danışmanı

Genişletmek için tıkla ...

• ISO 27001'in Temel Faydaları:
  • Kapsamlı Risk Yönetimi: Bilgi güvenliği risklerini sistematik olarak tanımlayarak, analiz ederek ve uygun kontrollerle yöneterek potansiyel tehditlere karşı koruma sağlar.
  • Yasal ve Düzenleyici Uyumluluk: GDPR, KVKK (Kişisel Verilerin Korunması Kanunu) gibi ulusal ve uluslararası veri koruma ve güvenlik düzenlemelerine uyumu kolaylaştırır, cezai yaptırımları ve hukuki riskleri azaltır.
  • Kurumsal İtibar ve Güven: Müşterilere, iş ortaklarına ve hissedarlara kuruluşun veri güvenliği konusundaki taahhüdünü ve yetkinliğini göstererek güven aşılar, rekabet avantajı sağlar.
  • Sürekli İyileştirme ve Adaptasyon: BGYS'nin düzenli olarak gözden geçirilmesini, iç ve dış denetimlerle etkinliğinin ölçülmesini ve değişen tehdit ortamına karşı sürekli olarak güncellenmesini zorunlu kılar.
  • Operasyonel Verimlilik: Net güvenlik politikaları ve prosedürleri oluşturarak, güvenlik olaylarının daha etkin yönetilmesini ve iş süreçlerinin daha güvenli hale gelmesini sağlar.

• Tanımla (Identify): Kuruluşun sistemlerini, varlıklarını, verilerini ve yeteneklerini anlamak, riskleri belirlemek ve siber güvenlik politikalarını ve süreçlerini oluşturmak için temel bir anlayış geliştirmek.
• Koru (Protect): Kritik hizmetlerin sunulmasını sağlamak ve siber güvenlik olaylarının etkilerini sınırlamak için uygun güvenlik önlemlerini ve kontrollerini (erişim kontrolü, veri güvenliği, siber güvenlik farkındalık eğitimi vb.) uygulamak.
• Tespit Et (Detect): Siber güvenlik olaylarını zamanında tespit etmek için uygun mekanizmaları (anormallik izleme, sürekli izleme, olay tespiti süreçleri vb.) oluşturmak ve sürdürmek.
• Müdahale Et (Respond): Tespit edilen siber güvenlik olaylarına müdahale etmek için planlar geliştirmek, olay yönetimi, iletişim ve analiz gibi süreçleri uygulamak.
• Kurtar (Recover): Siber güvenlik olaylarından sonra kurtarma yeteneklerini sürdürmek, etkilenen hizmetleri ve verileri geri yüklemek ve gelecekteki olaylara karşı direnci artırmak için planlar yapmak.

• Kapsamlı Koruma: Veriyi farklı katmanlarda (ağ, uygulama, veri tabanı) koruyarak bütüncül ve çok katmanlı bir savunma mekanizması oluştururlar. Bu, siber saldırganların tek bir zayıf noktadan faydalanmasını zorlaştırır.
• Yasal ve Düzenleyici Uyum: Kuruluşların GDPR, HIPAA, KVKK, SOX gibi ulusal ve uluslararası yasal düzenlemelere ve endüstri standartlarına uymasına yardımcı olurlar. Bu uyum, yüksek para cezaları, hukuki davalar ve itibar kaybı gibi risklerden korur.
• İş Sürekliliği ve Felaket Kurtarma: Siber saldırılar, sistem kesintileri ve veri kayıpları sonucu yaşanabilecek kesintileri minimize ederek iş sürekliliğini teminat altına alırlar. Protokoller ve standartlar, daha dirençli sistemler ve daha etkin felaket kurtarma planları oluşturulmasını teşvik eder.
• Güven ve İtibar Oluşturma: Şeffaf ve sağlam güvenlik uygulamaları, müşterilerin, iş ortaklarının ve hissedarların kuruluşa olan güvenini artırır. Güvenlik ihlalleri, müşteri kaybına ve pazar değerinde düşüşe yol açabilir; bu nedenle güvenlik, marka sadakati için kritik öneme sahiptir.
• Risk Azaltma ve Yönetimi: Potansiyel siber riskleri öngörerek ve bunlara karşı önlemler alarak finansal, operasyonel ve hukuki kayıpları azaltırlar. Güvenlik standartları, risklerin sistematik olarak değerlendirilmesi ve yönetilmesi için bir çerçeve sunar.

• Karmaşıklık: Birçok güvenlik protokolü ve standardı oldukça karmaşık bir yapıya sahiptir. Bu durum, doğru yapılandırma, entegrasyon ve yönetim için yüksek düzeyde uzmanlık, deneyim ve sürekli eğitim gerektirir. Yanlış yapılandırmalar, güvenlik açıklarına yol açabilir.
• Sürekli Değişen Tehdit Manzarası: Siber tehditler, saldırı yöntemleri ve zafiyetler sürekli olarak evrilmektedir. Bu, mevcut protokollerin ve standartların düzenli olarak güncellenmesini, yeni tehditlere karşı adapte edilmesini ve kuruluşların proaktif olmasını zorunlu kılmaktadır. Statik bir güvenlik anlayışı, hızla yetersiz kalacaktır.
• Maliyet: Gerekli güvenlik çözümlerinin (donanım, yazılım), uzman personel istihdamının, eğitimlerin ve uyumluluk denetimlerinin maliyeti, özellikle küçük ve orta ölçekli işletmeler (KOBİ'ler) için önemli bir yük oluşturabilir.
• İnsan Faktörü: En gelişmiş teknik önlemler bile insan hatası, bilinçsizliği veya kötü niyetli içeriden kaynaklanan tehditler nedeniyle aşılabilir. Güvenlik bilincinin artırılması, eğitimler ve güçlü bir güvenlik kültürü oluşturulması bu nedenle hayati öneme sahiptir.
• Entegrasyon Sorunları ve Uyumluluk Çatışmaları: Farklı sistemler, uygulamalar ve bulut hizmetleri arasında güvenlik protokollerinin uyumlu bir şekilde entegre edilmesi zorlayıcı olabilir. Ayrıca, birden fazla standarda veya regülasyona uyum sağlama gereksinimi (örneğin hem GDPR hem de HIPAA), kaynakların ve süreçlerin yönetilmesinde çatışmalara yol açabilir.
• Performans Etkisi: Özellikle şifreleme ve gelişmiş güvenlik kontrolleri, sistem ve ağ performansında belirli bir düşüşe neden olabilir. Güvenlik ile performans arasında optimal bir denge bulmak önemlidir.

• Kuantum Kriptografi ve Kuantum Dirençli Algoritmalar: Kuantum bilgisayarların geliştirilmesi ve yaygınlaşması, günümüzdeki çoğu kriptografik algoritmayı (örneğin RSA, ECC) kırma potansiyeline sahiptir. Bu tehdide karşı, kuantum dirençli kriptografi (post-quantum cryptography) algoritmalarının geliştirilmesi ve standartlaştırılması büyük önem taşımaktadır. Protokoller, kuantum sonrası döneme uyum sağlamak üzere evrimleşecektir.
• Yapay Zeka (AI) ve Makine Öğrenimi (ML) Destekli Güvenlik: AI ve ML, anormal davranışları tespit etme, güvenlik olaylarını analiz etme ve otomatik müdahale yeteneklerini geliştirmek için güvenlik operasyon merkezlerinde (SOC) ve güvenlik ürünlerinde giderek daha fazla kullanılmaktadır. Bu teknolojiler, bilinmeyen (sıfır gün) saldırıları ve gelişmiş kalıcı tehditleri (APT) tespit etmede ve önlemede kilit rol oynayacaktır. Gelecekte protokoller, AI/ML ile entegre çalışacak şekilde tasarlanacaktır.
• Sıfır Güven (Zero Trust) Yaklaşımı: Geleneksel çevre tabanlı güvenlik modellerinin (ağ içinde güven, ağ dışında güvensizlik) aksine, Sıfır Güven modeli “asla güvenme, her zaman doğrula” prensibini benimser. Bu yaklaşım, ağ içindeki her erişim isteğinin, kullanıcının veya cihazın konumundan bağımsız olarak kimlik doğrulaması ve yetkilendirmesi gerektiği anlamına gelir. Mikro-segmentasyon, sürekli doğrulama ve en az ayrıcalık prensibi bu modelin temelini oluşturur. Bu modelin protokoller ve standartlar üzerindeki etkisi artacak, daha granüler ve dinamik erişim kontrolü mekanizmalarını zorunlu kılacaktır.
• IoT (Nesnelerin İnterneti) Güvenliği ve Edge Computing: Milyarlarca IoT cihazının yaygınlaşmasıyla birlikte, bu cihazların ve uç bilişim (edge computing) ortamlarının güvenliği için özel protokoller ve standartlar geliştirilmesi gerekmektedir. Zayıf IoT güvenliği, geniş ölçekli botnet saldırılarına ve veri ihlallerine zemin hazırlayabilir. Hafif ve enerji verimli güvenlik protokollerine olan ihtiyaç artacaktır.
• Veri Yönetişimi ve Gizliliği Odaklı Protokoller: GDPR, KVKK ve CCPA gibi veri gizliliği düzenlemelerinin dünya genelinde yayılmasıyla birlikte, veri yönetişimi ve gizliliği konuları, güvenlik protokollerinin ve standartlarının tasarımında daha da merkezi bir rol oynayacaktır. Gizliliği Artırıcı Teknolojiler (Privacy-Enhancing Technologies - PETs) ve federated öğrenme gibi yaklaşımlar daha fazla benimsenecektir.
• Bulut Güvenliği ve Serverless Mimariler: Bulut tabanlı hizmetlerin ve serverless (sunucusuz) mimarilerin artan kullanımı, bu dinamik ve dağıtık ortamlara özgü güvenlik protokolleri ve standartlarının geliştirilmesini zorunlu kılmaktadır. Paylaşılan sorumluluk modelinde güvenlik, protokollerin ve yapılandırmaların doğru bir şekilde uygulanmasını gerektirir.