Paper 158

Generated: Sun Dec 8 11:03:10 2002

158 - Title Küresel Perspektifte Ulusal Bilgi Güvenliği Denetimi
Authors Süleyman Kondakcı, IT Consortium of Turkey and Cankaya Üniversitesi
PC Member No
Contact person Süleyman Kondakcı, kondakci@itconsortium.org , +90 (532) 7788090
Main Fields 1. E-turkiye, e-devlet, politikalar, mekanizmalar, eylem planlari
7. Guvenlik, Bilgi Guvenligi
Other Main Fields
Abstract + Keywords Küresel Perspektifte Ulusal Bilgi Güvenliği Denetimi

Süleyman Kondakcı, IT Consortium of Turkey,
Division of Information Security, The Netsekuritas
Çankaya Üniversitesi Bilgisayar Mühendisliği Bölümü
kondakci@itconsortium.org

Özet- Hızla yaygınlaşan elektronik iş ve e-devlet planlamaları bilgi güvenliği test ve değerlendirme standart ve yaklaşımlarının ulusal boyutta ele alınması gerekliliğini kaçınılmaz kılmaktadır. Güvenlik açısından kayda değer önem arzeden Web ortamı, İnternet üzerinde yürütülen işler için önemli güvenlik tehditleri içermektedir. Özellikle, kamu ve diğer sektörlerde kritik ve stratejik özellik gösteren yazılımlar ulusal çıkarlar açısından daha farklı bir risk faktörü sergilemektedir. Web kullanıcılarının önemli bir kesimi bu tehditlerin boyutu ve ciddiyeti konusunda gereken bilgi ve fikre sahip değildirler. E-iş ve olası e-devlet planlamaları bu sorumluluğun bilinci dahilinde riskleri minimuma indirecek tüm önlemlerin alındığından emin olmanın yöntemlerini araştırmalıdır. Kullanıma sokulmadan önce, sistem ve ürünlerin güvenlik test ve değerlendirme işleminden geçirilmesi tehditleri karşılamanın güvencesini sağlamak için ilk adım olacaktır. Ancak, BT kontrol ve denetimi, BT güvenliği test ve değerlendirme prosedür, politika ve yaklaşımları Türkiyede hiç bir şekilde açıkca ifade edilmemiştir. Gerek Avrupa Birliğine uyum süreci, gerek küresel boyutta kaydedilen ilerlemeleri yakalamak açısından ulusal bilgi güvenliği konsepti ve test ve değerlendirme politika, prosedür ve metodolojilerinin oluşturulması gerekmektedir. BS 7799 ve ISO 17799 [1] belirtildiği gibi, bu konuda bir çok AB ülkesi kendi pratik yaklaşımları çerçevesinde bilgi güvenliği denetimi ve setifikasyon işlemlerini yıllardır yürütmektedirler. Uluslararası standart ve yaklaşımları da dikkate alarak, bu çalışmamızda ulusal bilgi güvenliği test ve değerlendirme ana çerçevesi önerilmektedir. “ISO/IEC 15408 and Common Criteria for Information Technology Security Evaluation (CC)” adı altında çok uluslu çalışmalar tamamlanmıştır. Bu çalışmamızda önerdiğimiz metodoloji ISO/IEC 14508 standartlarına uyum sağlamkla birlikte, Avrupa Birliği BT teknolojileri ve BT güvenliği değerlendirme prosedür ve yöntemleri de birliğe katılım hazırlıklarını desteklemek açısından önem taşımaktadır. Bu alanda tanımlanmamış ülke politika, yasa ve standartları, çalışmalarımızın ulusal nitelik kazanması ve hızlanması açısından da ele alınması için öneriler sunnaktayız. Kurulacak bilgi güvenliği test ve değerlendirme laboratuarları, sertifikasyon kurulu ve yasal uyarlamalar bilişimde güvenliği artırmakla birlikte İnternet kullanımını daha etkin ve güvenli kılacaktır.

Keywords: National Information Security Evaluation Scheme, ISO/IEC 15408 and CC, Turkey in perspective, forgotten entropy.

Remarks MAKALE

overview

158 - Title	Küresel Perspektifte Ulusal Bilgi Güvenliği Denetimi
Authors	Süleyman Kondakcı, IT Consortium of Turkey and Cankaya Üniversitesi
PC Member	No
Contact person	Süleyman Kondakcı, kondakci@itconsortium.org , +90 (532) 7788090
Main Fields	1. E-turkiye, e-devlet, politikalar, mekanizmalar, eylem planlari 7. Guvenlik, Bilgi Guvenligi
Other Main Fields
Abstract + Keywords	Küresel Perspektifte Ulusal Bilgi Güvenliği Denetimi Süleyman Kondakcı, IT Consortium of Turkey, Division of Information Security, The Netsekuritas Çankaya Üniversitesi Bilgisayar Mühendisliği Bölümü kondakci@itconsortium.org Özet- Hızla yaygınlaşan elektronik iş ve e-devlet planlamaları bilgi güvenliği test ve değerlendirme standart ve yaklaşımlarının ulusal boyutta ele alınması gerekliliğini kaçınılmaz kılmaktadır. Güvenlik açısından kayda değer önem arzeden Web ortamı, İnternet üzerinde yürütülen işler için önemli güvenlik tehditleri içermektedir. Özellikle, kamu ve diğer sektörlerde kritik ve stratejik özellik gösteren yazılımlar ulusal çıkarlar açısından daha farklı bir risk faktörü sergilemektedir. Web kullanıcılarının önemli bir kesimi bu tehditlerin boyutu ve ciddiyeti konusunda gereken bilgi ve fikre sahip değildirler. E-iş ve olası e-devlet planlamaları bu sorumluluğun bilinci dahilinde riskleri minimuma indirecek tüm önlemlerin alındığından emin olmanın yöntemlerini araştırmalıdır. Kullanıma sokulmadan önce, sistem ve ürünlerin güvenlik test ve değerlendirme işleminden geçirilmesi tehditleri karşılamanın güvencesini sağlamak için ilk adım olacaktır. Ancak, BT kontrol ve denetimi, BT güvenliği test ve değerlendirme prosedür, politika ve yaklaşımları Türkiyede hiç bir şekilde açıkca ifade edilmemiştir. Gerek Avrupa Birliğine uyum süreci, gerek küresel boyutta kaydedilen ilerlemeleri yakalamak açısından ulusal bilgi güvenliği konsepti ve test ve değerlendirme politika, prosedür ve metodolojilerinin oluşturulması gerekmektedir. BS 7799 ve ISO 17799 [1] belirtildiği gibi, bu konuda bir çok AB ülkesi kendi pratik yaklaşımları çerçevesinde bilgi güvenliği denetimi ve setifikasyon işlemlerini yıllardır yürütmektedirler. Uluslararası standart ve yaklaşımları da dikkate alarak, bu çalışmamızda ulusal bilgi güvenliği test ve değerlendirme ana çerçevesi önerilmektedir. “ISO/IEC 15408 and Common Criteria for Information Technology Security Evaluation (CC)” adı altında çok uluslu çalışmalar tamamlanmıştır. Bu çalışmamızda önerdiğimiz metodoloji ISO/IEC 14508 standartlarına uyum sağlamkla birlikte, Avrupa Birliği BT teknolojileri ve BT güvenliği değerlendirme prosedür ve yöntemleri de birliğe katılım hazırlıklarını desteklemek açısından önem taşımaktadır. Bu alanda tanımlanmamış ülke politika, yasa ve standartları, çalışmalarımızın ulusal nitelik kazanması ve hızlanması açısından da ele alınması için öneriler sunnaktayız. Kurulacak bilgi güvenliği test ve değerlendirme laboratuarları, sertifikasyon kurulu ve yasal uyarlamalar bilişimde güvenliği artırmakla birlikte İnternet kullanımını daha etkin ve güvenli kılacaktır. Keywords: National Information Security Evaluation Scheme, ISO/IEC 15408 and CC, Turkey in perspective, forgotten entropy.
Remarks	MAKALE