Bilgi güvenliği, işin sürekliliğini sağlamak ve her şeyin sorunsuz, yolunda gitmesini temin etmek demektir. Peki teknik güvenlik, güvenlik duvarları ve antivirüs neden var? Uç cihazları, iş istasyonlarını ve bulut hizmetlerini neden güvence altına almamız gerekiyor? Güvenlik kavramlarını anlamak önemlidir.
Bilgi güvenliği, dijital ya da elektronik olmayan biçimdeki bilgiyi de kapsayan kurumsal politikalardır. Bilişim teknolojileri (ICT) güvenliği çözümleri ve yönetimi, verinin gizliliğini, bütünlüğünü ve erişilebilirliğini sağlayan teknik çözümlerdir; siber güvenlik yönetimi ise ICT'ye bağımlı işlevlerin sürekliliğini sağlayan teknik, işlevsel ve yönetsel bir prosedürdür.
Risk yönetimi sürecinde durum, gerçek hayattaki kişisel değerli eşyalara benzer. Kimse sağlık verilerini, aile bilgilerini, maaşını vb. paylaşmak istemez. Öte yandan kişisel veriler, mali bilgiler, müşteri bilgileri vb. önemli varlıklardır ve gerçek hayattaki insanlar gibi kurum da değerli varlıklarını paylaşmak istemez.
Siber güvenliğin uluslararası bir boyutu da var. Birçok sektör, PCI-DSS ve HIPAA gibi küresel ölçekte gereksinimler ve güvenlik ölçütleri oluşturuyor. COBIT, NIST, ISO 27XXX gibi standartlar da var.
AB'deki kurumlar çeşitli düzenlemeler üzerinde çalışıyor. Bu sürekli bir süreç. Bunlardan bazıları şunlar:
Siber Dayanıklılık Yasası (Cyber Resilience Act)
NIS Direktifi
NIS2 Direktifi
CER Direktifi
Siber Güvenlik Yasası (Cybersecurity Act)
Siber Dayanıklılık Yasası (Cyber Resilience Act)
Dijital ürün ve hizmetlerin üreticileri ile satıcıları için ortak siber güvenlik ölçütleridir. Donanım ve yazılım ürünlerinin piyasaya daha az güvenlik açığıyla sunulmasını ve üreticilerin bir ürünün yaşam döngüsü boyunca güvenliği ciddiye almasını sağlayarak, dijital unsurlar içeren güvenli ürünlerin geliştirilmesi için koşullar yaratmaları gerekir. Yasa esas olarak donanım ve yazılım geliştiricilerini ilgilendirir.
NIS Direktifi
Özellikle kritik altyapılara odaklanır: enerji, ulaşım, bankacılık, sağlık, su ve dijital altyapı. Örneğin CSIRT'lerden oluşan bir ağla sınır ötesi iş birliğini güçlendirir.
NIS2 Direktifi
AB genelinde siber dayanıklılığı artırmaya odaklanır. Kapsam, ekonomi ve toplum için ne kadar kritik olduklarına bağlı olarak yeni sektörleri ve kuruluşları da içerecek biçimde genişler. Ulusal güvenlik, parlamento, kamu güvenliği vb. için geçerli olmayacak. Tüm orta ve büyük ölçekli şirketleri kapsar. 2024'te yürürlüğe girecek ve yaptırım tutarı 10 milyon euro.
Finlandiya'da da çeşitli düzenlemeler var.
Tietosuojalaki
Laki sähköisen viestinnän palveluista
Tiedonhallintalaki
Tunnistuslaki
Son olarak kendi siber alanını tanımak, önemli varlıkları önceliklendirmek, hizmetlerin tüm zincirinde veri işlemeyi bilmek, risk değerlendirmesi yapmak ve değişiklik kontrolünü sağlamak önemlidir. Bu noktada düzenlemeler kuruluşlar ve güvenlik uzmanları için bağlayıcı ve yol göstericidir.