Asıl tehlike içerde, dışarda değil !

Merhabalar,

Bir BT yoneticisi, sirketlere uygun guvenlik politikalarini belirlemek, uygulamaya almak ve yurutmek konusunda gorev yapmaktadir. Ancak ozellikle sirket ust yonetiminden gelen ve asagida kisaca ozetlemeye calistigim durumlarda guvenlik aciklari olusmakta. Bu gibi durumlarla karsilasan BT yoneticisi arkadaslarin fikirlerini almak isterim.

• Yonetim kurulu baskani, uyelerinin hatta sirket genel muduru ve genel mudur yardimcilarinin internete direkt cikmak istemeleri (yani bir proxy kullanmadan ve direkt firewall uzerinden) durumunda tum guvenlik politikalarinin disina cikmis olmazlar mi ?
• Ayrica bu kisilerin facebook ve benzeri sitelere giris yapmak istemeleri, internetten muzik veya diger programlari download etmeleri, hatta MSN kullanma gibi durumlarinda hangi guvenlik politikasıni yada urununu kullanabilirsiniz ?
• Bu kisilerin bilgisayarlarinda kurulu olan virus tarama programlarina guvenmek ne kadar sagliklidir veya yeterlimidir ? Bu bilgisayarlarin USB’lerinden cesitli dosya alisverisleri ile diger bilgisayarlara virus veya diger zararli programlarin bulasmasina engel olunabilir mi ?
• Ozellikle notebook kullanicilarinin wireless kullanarak TTNET WIFI gibi yerler uzerinden kendi kisisel abonelikleri ile internete cikmalari durumuna nasil engel olunabilir ?
• Gene notebook kullanicilarinin sirket ortaminin disindayken interneti kullanmalari durumunda sanirim sadece virus tarama programlarina guvenmekten baska caremiz yok degil mi ?
• Sirkete gelen danismanlarin sirket network hattina bagli iken, internet hattini kullanarak disardaki diger sistemlere baglanmak istemeleri (danisman olarak diger sirketlerede destek vermek zorunda olduklarindan), MSN ve benzeri programlari kullanmak istemeleri durumunda politikalar nasil revize edilmekte ?
• Sirket ust duzey kullanicilarinin bilgisayar kullanim bilgilerinin –istisnai durumlar haricinde- oldukca yetersiz olduguda gozonunde bulundurursak nasil bir yontem izlenmelidir ?

Yukaridaki bu tespitleri arttirmak mumkun ama ben sizlerin zamanini almamak icin ilk aklima gelenleri yazdim. Bu gibi durumlar karsisinda guvenlik urunlerini arttirmak mumkun olmakla beraber getirecegi mali yukleri sirket ust yonetimine anlatmak ve kabul ettirmekte mevcut kriz durumunu da goz onunde bulundurursak cok zor gibi …Ayrica sisteme cesitli guvenlik uygulamalarini entegre etmekte beraberinde bir yigin sorunu hatta BT yonetimi acisindan karmasayi da getirmektedir. Bu yazdıklarımdan sakın ola, konu hakkında bir şey bilmiyorum ve öğrenmek istiyorum gibi bir durum anlaşılmasın. 25 yıllık BT yöneticisi olarak karşıma çıkanları, yaşadıklarımı, duyduklarımı paylaşmak istedim.

Biraz keskin bir soru olacak ama o zaman onca yazilim, urun ve guvenlik konusunda BT yoneticilerinin ugrasilari bir kisir donguden mi ibaret ?

Bu sorular cercevesinde yakin cevremde yaptigim kisa arastirmalarda aldigim cevaplari paylasmak istiyorum ;

“Sana katılmamak mumkun degil, hepimiz ayni dertten muzdarip degilmiyiz. Sen istedigin kadar paronaya yap, guvenligi maximuma cikar , içerden bir kullanici memory stick’i pc ye taksin
sonuc ortada… Egitim sart peki bir kerelik eğitim etkilimi ? ?) saniyorum anladiniz . Eğitmenmiyiz, BT cimi? ?) bunu değistirmek zor. Daha cok isimiz var .”

Bu arkadasim benzer sorunlarla karsilastigindan halden anliyor ve durumun carpikligini dile getiriyor.

“Cevap basit.
Bu tip genel guvenlik politikası harici seyler isteyen yetkililere kendiniz adına bir muvakkatname hazırlatıp imzalatın. İstediginiz sey sirketin genel bilgi sistemleri guvenlik politikasına aykırıdır ve risk icermektedir.
Bu eylemi saglamam halinde olusabilecek sorunlardan ben mesul degilim.

Yarın bi gun bu istek neticesi olusacak sorun , is gucu , zaman ve para kaybından sorumlu olmazsanız en azından basınız agrımaz.”

Bu arkadasim ise, cozumu basite indirgemiz ama hayat ve calisma kosullari o kadar basit degil. Karşında Yonetim Kurulu başkanı veya Genel Müdür varsa imza almak ne kadar mümkün olabilir ? Ayrica bir sorun çıktığında gene uğraşacak, gece uykusuz kalacak BT yöneticileri değil mi ?

“BT yoneticilerinin YK'a bazi seyleri anlatabilmenin zorluklarini iyi bilirim fakat bu konuda da 1 musibet 1000 nasihatten iyidir seklinde yaklasirsak
bir guvenlik kontrolu/denetimi yaptirabilir rapor hazirlanabilir.Hazirlanan raporu ve riskleri goren YK'ya bazi seyleri sizin disinizda biriden duymak "iyi" gelebilir ! :)
belkide , ozaman konunun onemini anlayabilirler belki yatirim karari alabilirler ; Tecrubeyle sabittir.

Daha sonra sirketinizin BT alt yapisi icin belirli standartlari ornek gosterebilir ve bu standartlari yakalamayi hedefleyen bir proje ile YK'a gidebilirsiniz. ( ITIL , Cobit , ISO 27001 vs vs ... )”

Bu arkadaşım ise, konuya teorik yaklaşmakta ve çözüm önerilerini getirmektedir. BT yöneticisinin yapamadığını dışardan bir danışman ya da danışmanlık firmasına yaptırmak gerekiyor. Zaten danışmanlarında görevleri bu değil mi ? Bu da başka bir yazı konusu olacak kadar derin.

“Değiştiremiyorsan sen firmanı değiştir ve kurumsal bir firmaya geç”

Bir arkadaşım ise konuya çok daha keskin bir çözümle yaklaştı. Eğer olmuyorsa işi değiştireceksin ve kurumsal bir firmaya geçeceksin. Sanki tüm kurumsal firmalarda bu sorunlar yok mu ? dışardan devasa görünen şirketlerin BT sistem ve ekiplerinin aslında ne kadar düşük seviyede olduklarını 25 yıllık tecrübeyle o kadar çok gördüm ki ?

Güvenlik ürünlerinin daha çok dışardan gelen tehditler ve saldırılar için tasarlanmıştır. Bence asıl tehlike içerde. İçerdeki kullanıcılar ve yaptıkları BT sistemleri için asıl büyük tehdit oluşturmaktadır. Bunları engellemek o kadar koaly olmuyor. Hele dağınık sistemlere sahip iseniz. Her bir lokasyon için yatırımlar yapmak ve bunları yönetmek, kontrol etmek için geniş ve bilgili ekiplere ihtiyacınız var. Ayrica yatırımın büyüklüğünü de sanırım gözünüzde canlandırıyorsunuzdur. Konu derin ve uzun buradan anlatmak zor. Hani bazı şeyler vardır ya anlatılmaz ancak yaşamak gerekir işte öyle bir şey…

Konu hakkında sorularım ve aldığım cevaplar özetle bunlar. Siz ne düşünüyorsunuz ?

Sistem Odası Tasarımı ve Dikkat Edilmesi Gerekenler

• Sistem odalarını kurarken onceden planlama yapilmalidir.
• Sistem odasında sistemlerin kabinlerin yerleştirilmesini kagit uzerinde yapilmali ve ileride buyume ve genisleme sartlari gozonunde bulunulmalidir.
• Sistem odasinin topraklamasi binanin topraklamasindan ayri olarak yapilmalidir.
• Sistem odasinin elektrik dagitim panolarinin ayri olmasi ve mumkunse kat panolarindan ayri olarak direkt giristen beslenmelidir.
• Sistem odasina, sicaklik-nem-giris kontrol sistemleri kurulmali ve kontrol disi durumlarda SMS ile uyari sistemleri ile desteklenmelidir.
• Sistem odasina kesinlikle guvenlik kameralari yerlestirilmelidir. Ozellikle mesai saatleri disinda girisler oldugunda alarm ve SMS ile uyari sistemleri kurulmalidir.
• SMS ile uyari sistemlerinin calisir oldugunu gozlemlemek icin belli saatlerde sistemden olagan mesajlar atilmalidir. SMS sisteminin calistiginin da kontrol edilmesi gerekir.
• Sistem odasinin sogutulmasi icin klima sistemlerinin tabandan sogutma sistemli olmasini tercih ediniz. Split ya da kabin tipi klimalar hava sirkulasyonlarinda saglikli sonuclar vermez. Ayrica bu klimalarinda elektrik sistemleri ayri olmalidir. Klima bakimlarini zamaninda yaptirmaniz gerekir. Bu islemleri Idari Isler departmani ile ortaklasa ya da BT olarak kendi basiniza yaptirabilirsiniz.
• Sistem odasinin UPS’i mumkunse bina sistemi ile ayri olmalidir. Bu durumda BT’ye iki UPS sisteminin kontrol etme sorumlulugu getirecegini de unutmamak lazim.
  Bina jenerator sisteminin calisir durumda olmasi sistem odalarinin guvenligi icin onemli oldugunu kesinlikle unutmayiniz. Jeneratorun bakimi hatta mazotunun calisip calismadigini da BT sorumlulugundadir. Bu yuzden Idari isler departmanina birakmamakta fayda var.
  Bina icindeki genel guvenlik elemanlari ozellikle mesai saatleri disinda olabilecek acil durumlarda sistem odasina girebilecekleri icin (yetkili BT personeli gelene kadar) yetki verilmesi uygun olacaktir.
• Ozellikle elektrik kesintilerinde UPS’in devreye girmemesi ya da jeneratorun devreye girmemesi durumlarinin da kontrol altina alinmasi gerekmektedir. Mesai saatleri disinda guvenlik elemanlarinin bu tur durumlarda isik-ses ile uyarilmalari uygun olacaktir.
  UPS akulerinin sarjli olmasina ve elektrik kesildiginde ne kadar zaman dayanacaklarini kontrol altinda tutunuz. Elektrik kesintilerinin ya da gerilim degisimlerinin cok oldugu yerlerde UPS akuleri zamanla etkilerini kaybedebilirler.
• Kapi giris kontrol sisteminin ve kartlarin ozellikle sistem odasina giris yapan elemanlarin ayrilmasi durumda guncellenmesi atlanmamalidir.
  

1. Yangın
   Bilgisayar sistemleri yangına karsı oldukça zayıf bir korunmaya sahiptirler. Yangın bilgisayarları dogrudan yakarak zarar veremese bile, yüksek sıcaklık sabit disklerin ve kartlar üzerindeki tüm lehimlerin erimesine neden olabilir.
   1980’lerin sonunda Halon gazı temelli yangın söndürücülerin, sistem odalarının yangın korumasında uygun oldugu düsünülmekteydi. Halon gazı, atesin kimyasalreaksiyonunu keserek yangını söndürmekte, su gibi elektrik iletkenligi özelligi de göstermemektedir. Ancak Halon gazı bogucu niteliktedir, ölümlere sebebiyet verebilir. Ayrıca ozona zarar vermemek amacıyla karbondioksit (CO2) temelli söndürücülerde kullanılabilmektedir.
   Oncelikle sistemleri acilen kapatiniz (dugmesinden degil) Bu konuda onceden hangi sistemlerin hangi sirada ve kimler tarafindan kapatilacagini biliniz ve zaman zaman bunu test ediniz.
   Sistemleri kapattiktan sonra Elektrik sistemlerini devre disi birakiniz (salterleri kapatin)
   Tasınabilir yangın söndürücünün kapıya olabildigince yakın olmasını ve sistem odasına girme yetkisine sahip personelin bu söndürücüyü kullanabilme konusunda yeterli deneyim sahibi olmalidir.
   Yangın söndürücünüzün yeniden doldurulması gerekip gerekmedigine iliskin durumunu aylık olarak kontrol ediniz. Göstergelerinde kontrol edilmesini hatırlatalım. Bu konuyu sirketinizin Idari isler departmanina birakmamanizi oneririm.
   Eger otomatik bir yangın alarm sisteminiz varsa, sistemin yanlıs alarm ve acil durumlarda durdurulabilir oldugunu denetleyiniz. Calisir gozukur ama calismaz !
   Yakın çevrede, yangını ya da yanlıs alarmı fark edenlerin kullanabilecekleri bir telefonun bulunmasını saglayınız. Yanina itfaiyenin ve polisin acil numaralarini da yazmayi ihmal etmeyin.
2. Duman
   Duman, bilgisayar sistemlerine derinden zarar verir. Bilgisayar disklerinin kafalarına,optik disklere ve teyp sürücülerine etki eder.
   Sistem odasında sigara içmelerine izin vermeyiniz.
   Sistem odasına mutlaka duman dedektörleri yerlestiriniz. Aylik olarak test etmelisiniz.
   Yükseltilmis zeminin oldugu odalarda zeminin altına, alçaltılmıs tavanın oldugu odalarda tavanın üstüne duman dedektörleri yerlestirmelisiniz.
   Uygun oldugu takdirde, hem zeminin altına hem de tavanın üzerine dedektör yerlestirmekten kaçınmayınız.
3. Toz
   Duman gibi, toz da disk kafalarında birikerek disklerinizi çalısmaz hale getirebilir. Uzun vadede hem kayıt kafasına hem de disk kayıt ortamına birikerek onlari calismaz hale getirir ve bir anda verilerinize ulasamazsiniz. Havada bulunan tozun büyük bölümü elektriksel olarak iletkendir. Bir çok bilgisayar sistemlerinde, sogutma vantilatörleri aracılıgı ile hava sistem içerisinde çekilmekte ve arkadaki fanlardan disariya atilmaktadir. Bu hava alisverisi sirasinda havanin icinde bulunan tozlar sistemlerin icinde kalabilir ve zamanla temizlik yapilmadigi durumlarda birikerek zararli olmaya baslarlar.
   Sistem odanızı olabildigince tozdan arındırınız. Ozellikle yukseltilmis tabanlara dikkat edin. Sistem odasına girerken ayakkabılarınızı temizlemenizi oneririm. Odaya ne kadar az giris olursa o kadar iyi. Ayrica odanin tabanini haftada bir paspaslamayi unutmayin.
   Eger bilgisayarlarınızın hava filtreleri varsa, periyodik olarak degistiriniz ya da temizlenebilir türde ise temizleyiniz.
   Bilgisayar sistemlerinin temizliginde kullanmak üzere bir kompresör edininiz ve periyodik olarak kullanılmasını saglayınız.
4. Deprem
   Ozellikle ulkemizin bir deprem kusaginda oldugunun hatirlanmasiyla bu konuda binanin saglamligi ile dogru orantilidir. Ancak depremler her zaman yikici olmaz. Bu yuzden deprem sirasinda ki sallantilardan sistemlerin etkilenmemesi sizin sorumlulugunuzdadir.
   Sistemlerinizi kabinlere montaj ediniz.
   Kabinlerin altindaki tekerlekleri sabitleyiniz. Boylece hareket etmelerini engellemis olursunuz.
   Sabitlenmemis hicbir sistemin olmadigindan emin olun. Ozellikle kucuk switchler, modemler konusunu gozardi etmeyin.
5. Patlama
   Bilgisayar sistemleri patlamaz ama bina icindeki dogal gaz ve benzeri yanici bilesenlerden dolayi binaniniz dolasiyle bilgisayar sistemleriniz zarar gorebilir.
   Sistem odanızın yerini, patlama için merkez olabilecek istasyonlardan uzak olacak biçimde seçiniz.
   Yedeklerinizi patlamaya dayanabilecek kasalar içerisinde, ya da daha iyisi bina dısında güvenli mekanlarda saklayınız.
6. Sicakliklik ve Nem
   Sistem odalarinin sicaklik seviyelerinin 18-22 derece arasinda olmasi normaldir. Bu degerlerin alti ve ust degerleri sistemlere zarar verecektir.
   Sistem odanıza bir sıcaklık ve nem alarmı yerlestirerek çok sıcak ve çok soguk durumlarda alarmların olusturulmasını saglayınız.
   Bilgisayar sistemlerinizi duvarlara çok yakın yerlestirmemeye özen gösterin. Boylece hava akimini engellememis olursunuz. Sistemler onden sicak havayi alir ve arkadan verir. Bu yuzden duvara yakin yerlestirdiginiz takdirde, havalandırmayı engelleyerek bilgisayarlarınızın iç sıcaklıklarının yükselmesine neden olabilirsiniz. bilgisayarlarının her kenarının duvardan 15-20 cm açıkta olmasını önerilir.
   Kablolamalarin hava akimini engellemeyecek sekilde yapilmasini ve ozellikle fanlara gelmeyecek sekilde duzenleyiniz.
   Yukseltilmis tabanlar, sistem odasini soguturken kacak noktadirlar. Ozellikle sistem odasinin cevresindeki sicak havayi sistem odasina tasirlar. Bunun icin yalitimi iyi yapin.
   Sistem odasinda pencere varsa pencereleri filmle kaplayiniz. Hem guvenlik acisindan (disardan gorunmesi engellenmis olur) hem de sicakligi engeller.
   Yerden uflemeli (tabandan) klima sistemlerinin kullanilmasini tavsiye ederim.
7. Bocekler
   Her turlu hasarat sistemlerinize zarar verebilirler. Ozellikle temiz olmayan sistem odalarinda (boyle bir sistem odasi olmaz herhalde!) olusan orumcekler bir toz toplama istasyonu hale gelirler.
   Yukseltilmis taban ve tavanlarin yalitimlarina dikkat edilmelidir. Ozellikle kemirgen turu bocekler kablolari kemirirerek zararli olabilirler.
   Ilaclama ya da tabletlerle boceklere karsi onlem aliniz. Bunu binanin her yerinde uygulamalisiniz. Network kablolari ya da fiber optik kablolarin zarar gormesi kesintiye neden olacaktir. İdari isler departmani ile ortaklasa calisma yapmaniz faydali olacaktir.
8. Elektriksel Gürültü
   Motorlar, fanlar ve bazı hizmet birimleri ürettikleri elektriksel gürültü nedeniyle diger bilgisayar sistemlerine zarar verebilirler. Gürültü, hava yoluyla ya da birbirine yakın güç kabloları aracılıgı ile tasınabilir.
   Bilgisayar sistemlerinize güç saglayan devre üzerinde büyük bir baska cihazın çalısmamasını garanti ediniz.
   Ttüm kabinlerinize ayrı güç ve toprak kablolaması yaptırınız.
   Bilgisayar sisteminizin güç kaynagına bir hat filtresi ekletiniz.
   Cep telefonları, walkie-talkie’ler ve her türlü radyo alıcı ve vericileri bilgisayar sistemlerine zarar verir. Özellikle güçlü vericiler, bilgisayar sistemlerinize kalıcı zararlar verebilirler.
   Her türlü alıcı ve verici, bilgisayar sistemlerinden, kablolardan ve çevre birimlerinden en az 2.5m uzakta tutulmalıdır.
9. Yıldırım
   Yıldırımlar, ani gerilim dalgalanmaları yaratarak bilgisayar sistemlerinize zarar
   verebilirler. Eger binanızın paratoneri varsa, yıldırım paratonere çarptıgı andan toprakla bulusana kadar akım geçen tüm yol üzerinde ciddi bir manyetik alan yaratır.
   Sistem odanizin, paratoner sisteminin gectigi kablolamadan etkilenmeyecek bir yere kurunuz.
   Binanizi paratoner ya da paratoner cerceve sistemleri ile kaplayiniz. Ozellikle celik konstruksiyon uzerine kurulmus olan binalarda konstruksiyonlarin her kosesini topraklama yaparak kafes sistemi olusturarak yildirimlara engel olabilirsiniz.
10. Titresim
    Titresim, uzun sürede bilgisayar sistemlerine zarar verebilir.
    Sistemlerinizi kabinler icine monte ederken sabitlemeyi cok iyi yapmalisiniz. Vidalamanin saglam olmasina dikkat ediniz.
    Kablolari sistemlerinizin uzerine birsey koymayiniz hatta kablolari bile !
11. Su
    Su, sistemlerinizin en buyuk tehlikesidir. Hem kisa devre yaparak daha buyuk tehlikelere neden olabilecegi gibi sistem icinde zararda verebilirler.
    Sistem odanizin taban ve tavanlarina su dedektorleri yerlestiriniz.
    Sistem odanizda umarim acilabilir pencere yoktur.
12. Yiyecek ve içecekler
    Sistem odasi icine kesinlikle yiyecek ve içecekle girilmemelidir. Ozellikle gece calismalari sirasinda bu tur kazalar herseyi berbat edebilir.
13. Bilinçli Saldırılar
    Sistem odasinin taban yada tavanı duvarla bolunmus degildir. Bu yuzden buralardan gelebilecek tehliklere karsi dikkatli olmalisiniz. En iyisi buralari duvar ormekle girislere engel olabilirsiniz.
    Tabii sistem odalarinin kapilarini da kontrol altina almalisiniz.
    Pencerelerin sistem odalari icin ne kadar tehlikeli olduklarini birkez daha guvenlik acisindan tekrarlamis olalim.
    Yönetici olarak...
    Bina ve sistem odası elektrik sistemine hakim olun. Topraklamayı sakın ihmal etmeyin !
    Idari işler departmanı ile ortaklaşa hareket etmelisiniz.
    Sistem odasına, ısı-hareket-nem gibi bilgileri kontrol eden ve aşırı durumlarda SMS atan sistemler kurun.
    Acil durum eylem planınız olsun ve sistemlerinizin kapanma sırasını belirleyin.
    UPS ve Jeneratör sistemlerinin kontrol ve bakımlarını asla ihmal etmeyin.