Tag: IT

Digital Transformation, Information Security, Information Technologies, Operational Technology

Operasyonel Teknolojilerin Yönetimi ve Güvenlik Riskleri

Burada çıkış noktası olarak bakmamız gereken ilk nokta OT envanteri:

Kaçımız elimizdeki OT envanterini %100 biliyor?

Cihazların fiziksel sorumluluğu kimde?

Sahiplik ve ekipman ile ilgili diğer sorumluluklar kimlerde?

Bunun cevabı farklı organizasyon yapılarında bakım olabilir, otomasyon olabilir, hatta operasyonel kullanıcılar, yani üretim gibi departmanlar olabilir.

Ama IT değil…

Dolayısıyla rollerin ve sorumlulukların doğru ayrılması gerekiyor.

Photo by Pixabay on Pexels.com

Benim görüşüme göre OT’de siber güvenlik konuşuyorsak sorumluluğu IT’de olmalı, hem yakınsayan IT_OT domainleri bakımından, hem de IT’deki siber güvenlik tecrübesinin kullanılabilmesi için IT’nin bu görevi üstlenmesi mantıklı.

Fakat rollerin ve sorumlulukların doğru atandığı bir değişiklik yönetimi yapılmıyorsa bu süreci yönetmek çok zor.

Burada yine IT süreçleri işin içine giriyor. ITIL’ın hizmet geçiş süreçlerinden değişiklik yönetimi bu konu için biçilmiş kaftan.

Bu sürecin doğru kurgulanması ile organizasyonel yapıda ayrı bir OT departmanına gerek kalmıyor. Bir OT değişiklik yöneticisi, görevler ayrılığı ilkesine göre belirlenmiş paydaşlar ve doğru yönetilen bir süreç ile başarılı olunabilir.

Sadece mevcut kadro buna göre kurgulanmalı ve gereken teknik yetkinlikler ile donatılmalı, gerekiyorsa genişletilmeli.

Photo by Nataliya Vaitkevich on Pexels.com

OT Güvenlik Riskleri

Legacy OT sistemler satın alındığında güvenlik ya da IT-OT yakınsaması göz önüne alınmadığı için bugünün güvenlik bakış açısıyla analiz ettiğimizde kontrolsüz ve yönetilemeyen bir yapı oluştuğunu söyleyebiliriz.

Bunun sonucunda da otomasyonun kullanıldığı her sektörde güvenlik riskleri oluşmuş durumda.

Yönetilemez yapının en önemli sebebi yukarıda da bahsettiğim gibi OT envanterinin olmaması. Buna bağlı olarak da OT altyapısı:

  1. Görünür değil
  2. Ölçülebilir değil
  3. Bunların sonucu olarak da yönetilemeyen ve iyileştirilemeyen bir yap var.
Photo by Pixabay on Pexels.com

Kendinize şu soruları sormanızı istiyorum:

  1. Kaç OT domaininiz var?
  2. Bu domainler altında kaç OT cihazınız var?
  3. Bu cihazların kaç tanesi güncel firmware ile çalışıyro?
  4. OT cihazlarının arasındaki veri trafiği nasıl?
  5. Hangi OT cihazları dışarısı ile haberleşebiliyor?
  6. Hangi OT cihazlarına fiziksel bağlantı mümkün?
  7. Hangi OT cihazlarında kötü niyetli yazılımlara karşı koruyucu bir yazılım var?
  8. OT cihazlarınız nasıl bir ağ yapısında bağlı?
  9. Bir OT güvenlik duvarı kullanıyor musunuz?
  10. OT envanteriniz güncel mi?
  11. Envanterinizdeki cihazlar ile ilgili güncel güvenlik zafiyetleri nele?

Bu sorulara cevap veremediğiniz sürece yönetilebilir ve sürdürülebilir bir altyapınız yok demektir ve ancak bu olgunluk seviyesine eriştikten sonra OT tarafında siber güvenlik anlamında bir sıkılaştırmaya gidebilirsiniz.

Photo by ThisIsEngineering on Pexels.com

Tabii ki bunu yaparken uygulayacağınız basit bir risk yönetim süreci işleri hem daha görünür, hem de iyileştirme için daha kolay önceliklendirebilir kılacaktır. Açıklarımızın kullanılmasındaki olasılık ve etkinin operayonunuzu ne ölçüde etkileyeceğinin rakamsal bir değerini koyamadığınız sürece yönünüzün tayininde sıkıntıya düşmeniz kaçınılmazdır.

OT risk yönetimi yaparken dikkat etmeniz gereken konu IT’deki güvenlik risklerine ek olarak OT’nin fiziksel hasara çok daha açık olduğu gerçeğidir. Hatta pek çok durumda bu fiziksel hasarlar insan hayatı ile de ilişkilidir. Dolayısıyla risklerinizi belirlerken olası maksimum hasarın ekipman olmadığı, insan hayatının da işin ucunda olduğu gerçeğini asla gözardı etmeyin.

Güvenli günler dilerim!

Digital Transformation, Information Security, Information Technologies

Security in the time of Corona

As the world is struggling with the Corona virus (COVID-19) pandemic, the security folks are struggling with something else: Securing the remote business… We have been so busy with securing our systems from the viruses that we could not see that a natural virus could cause more problems than the digital ones.

Working remotely was not an option for many companies or not for every position so most of the companies were caught off guard. Many of us were just not ready to transform the business this fast but it’s happening folks and here are some of the concerns you should take into consideration:

1. Security Issues on Mobile Devices

It’s easy to secure your employees’ devices when they are inside your network, under your firewalls but is it the same when they connect from home?

VPN is not the solution for every connection, what if the employee connects to some unsecure site, you never know. Things get more complicated when the employees use their own devices for work.

All you can do is to increase the awareness of the employees and put some strict rules for those you can control, such as strong password policies and access management.

Technology in the hands

2. Issues with Backup and Recovery

Data loss can be a huge problem for remote business and the problem is bigger if the employees are using their own devices for business.

There are quite good backup and recovery solutions in the market, you can use them secure the data in a centralized backup and recovery system or you can simply make the employees take their own local backups but being on cloud seems to be the best solution for this issue.

cloud-backup[1]

3. Issues related to Shadow IT

End-users usually tend to use their practical solutions and they use anything possible once they are out of your control.

Shadow IT has been a pain in the neck for many years, users want to use some free applications for which they have no idea of the security concerns.

It used to be easy when the only way to use an application was to install it on your computer and only IT could install software to the corporate PC’s but it is a dilemma when you can use cloud services from home.

The level of security awareness just becomes more important related to shadow IT solutions. End-users must think like security analysts when they are deciding to use an application other than the corporate’s assets and decide not to use if possible.

shadowIT-light[1]

There are many more security issues for remote business and it usually comes to the point where the end-users must be aware of the security risks and act accordingly.

Security awareness training programs must be updated with the use cases that we are facing at this coronavirus transformation and companies should invest more on training the employees in order to protect themselves.

Stay home, stay secure!

Information Security, Information Technologies

GRCAC Day Bursa 2020

ISACA Ankara Chapter olarak Tofaş‘ın ev sahipliğinde EY‘ın katkılarıyla düzenlediğimiz yönetişim, risk, uyum, denetim ve siber güvenlik konulu GRCAC Day Bursa semineri 7 Şubat 2020’de Tofaş Akademi Doğu Kampüsü’nde gerçekleşti.

This slideshow requires JavaScript.

Digital Transformation, Information Security, Information Technologies

I’m speaking at CS4CA MENA Summit!

cs4ca cyber security for critical assets mena dubai erdem aksoy

The 4th in a successful series of exclusive Cyber Security for Critical Assets Summits in the MENA region, that brings together the region’s industry leaders to discuss and create best practice industry guidelines. The CS4CA MENA Summit is brought to you by Qatalyst Global.

Digital Transformation, Information Security, Information Technologies

Endüstriyel Nesnelerin İnterneti ve Güvenlik Zorlukları

Henüz “Nesnelerin İnterneti” (IoT) için güvenlik sorunları çözülememişken IoT’nin endüstrinin içine girmesi ve uçtan uca etkileşimli üretim ağlarının doğal olarak kontrol edilemez bir biçimde büyümesi bizi yepyeni güvenlik zorluklarıyla karşı karşıya getirdi. Gelin bu zorlukları ana başlıklar altında özetleyelim:

Smart-Manufacturing-11[1]

Kesintisiz Ağ Hizmetinin Sağlanamaması

Üretim içerisindeki makine, ekipman, sensör, kontrol ünitesi vs. gibi pek çok nesnenin birbirine ve buluta bağlı (connected) olduğu, anlık veri toplama ve işleme yetkinliklerinin organizmanın parçaları olarak düşünüldüğünde herhangi birisinde veya tamamındaki kesintilerin organizmanın işleyişini bozduğu akıllı üretimde ağ hizmetinin önemi yadsınamaz.

IoT[1]

Yazılım Geliştirme Yaşam Döngüsündeki Sıkıntılar

Güvenliği geliştirme sürecine katmamış eski yazılımlar, alt seviyelerde iletişime geçen cihazlar, güvenlik protokollerinin olmadığı ya da uyumsuz olduğu sistemleri birbirine bağlarken SSDLC prensiplerine uygun geliştirme yapılmaması ya da yapılamaması da önemli bir açık. Ortak bir standardın olmadığı yapıları birbirine güvenli bir şekilde bağlamak her zaman kolay olmuyor. En zayıf halka gittiğinde yapının tamamının gideceği öngörülerek doğru yazılım geliştirme süreçleri uygulanmalı.

2947939151[1]

Yetersiz Değişiklik Yönetimi Uygulamaları

Uç noktalarda yapılan her değişikliğin kontrollü bir şekilde yapılması güvenlik açısından hayati önem taşımaktadır. Değişiklikleri kayıt altına alıp, analiz edip, yönetemeyen bir şirket üretim hattını kendi elleriyle tehlikeye atmaktadır.

change management process değişim değişiklik erdem aksoy

Yetersiz Risk Yönetimi Uygulamaları

Atılan her adımın risklerinin hesaplanmadığı bir ortamda yolumuzu çizmek ve izlemek imkansızdır, özellikle de endüstriyel IoT güvenliği gibi sağlam temellere oturmayan bir teknolojide.

RISK CONCEPT

Uç Noktaların İzlenebilirliği

Her ne kadar uç noktaları izleyebilen ve belirli bir seviyeye kadar güvenlik sağlayabilen sistemler olsa da üretim firmalarının bilinçsizlikleri sebebiyle bu yatırımları yapmadan dijitalleşmesinin getireceği zorlukla gün geçtikçe artmakta.

AdobeStock_201721018-696x425[1]

Tabii ki bu olası zorluklara ek olarak pek çok konu daha sıralanabilir. Kesin olan bir şey var ve maalesef o da üretim şirketlerinin gözleri kapalı olarak dijitalleştikleri.

Information Technologies

ITIL 4 ile IT Hizmet Yönetimi

2011’den bu yana güncellenmeyen ITIL, ITIL 4 olarak hayatımıza girdi.

ITIL, service management, itsm, it, management

Şimdi diyeceksiniz ki eski öğrendiklerimiz çöpe mi gitti? Hayır, ITIL 4 eski versiyondan çok farklı değil, sadece eskiden birbirinden biraz daha bağımsız olarak aktarılan süreçlerin bir bütün halinde nasıl kullanılabileceğinin anlatıldığı ve ITIL Practitioner ile hayatımıza giren uygulama konseptlerinin daha Foundation seviyesinde empoze edilmeye başlandığı çok başarılı bir versiyon olmuş. Sürekli iyileştirmenin öneminin altının çizilmesi, DevOps, Agile, Lean gibi diğer metodolojiler ile nasıl birlikte çalıştığının anlatılması, daha bütünleşik bir bakış açısına geçilmesi de diğer artıları.

Her IT profesyonelinin en az Foundation seviyesinde bilmesi gerektiğini düşündüğüm ITIL 4 için Axelos tarafından yetkilendirilmiş eğitim kurumlarından eğitim alabilir, sınavına girerek kendinizi sertifikalandırabilirsiniz. Foundation sonrası devam etmek isteyenler için de çok güzel bir kariyer tercihi olabilir.

ITIL, kariyer, ITSM, sertifika, certification, carrier, master, foundation, practice

Türkiye’de ITIL eğitimlerinde tavsiyem Educore, eğitmeni Erman Taşkın‘ın ITIL 4’ün yazarları arasında bulunmakta olduğunu ayrıca eklemek isterim.

Digital Transformation, Information Security

I’m speaking at CS4CA MENA Summit!

The 3rd in a successful series of exclusive Cyber Security for Critical Assets Summits in the MENA region, that brings together the region’s industry leaders to discuss and create best practice industry guidelines. The CS4CA MENA Summit is brought to you by Qatalyst Global

Information Security, Information Technologies

ISO 27001’e Çevik Yaklaşım

ISO 27001 Bilgi Güvenliği Yönetim Sistemi’ni kurmak artık eskisi kadar zor değil. Reçetesi çıkmış, neler yapılması gerektiği bilinen, yetişmiş eleman kaynağının bile rahat bulunabildiği bir konu haline geldi artık 27001.

Ama sistemi kurmak ile yaşatmak arasında ince bir çizgi var; kurduğunuz sistemi planlı bir şekilde yaşatmazsanız bir süre sonra takip etmesi zor ve içinden çıkılamaz bir yapı haline geliyor.

iso-27001-1[1]

Farklı iş yerlerinde, farklı ekiplerle, farklı stratejilerle yönetildiğini tecrübe ettiğim ISO 27001 için son günlerde izlemeye başladığım yöntem ise Agile (çevik) yönetim, daha da açmak gerekirse Scrum metodolojisi.

Daha önce yazılım projelerinde tecrübe ettiğim, küçük çaplı projelerde başarısını gördüğüm, karmaşık ve kalabalık ekiplerde iş paketlerinin yığıldığı, takip edilmesinin imkansız hale geldiği projeleri de yaşadığım Scrum’ı ISO 27001’in yaşatılması için kullanma fikri, klasik iş planında ana başlıklar altında verilen sorumlulukların denetimlerde hep eksik verir hale dönüşmesi üzerine detay kırılıma gitme ihtiyacıyla gelişti.

Kişilerin yetkinliğine ve sorumluluk bilincine olan güvenle yürütülemeyen büyük parçaları “böl ve fethet” yöntemi ile, küçük parçalar halinde, çıktılarını daha görünür hale getirerek ilerletmenin faydasını ilk günden itibaren hissetmeye başladık.

scrum-nedir-780x405[1]

İşe büyük parçaları görebildiğim klasik iş planı ile başlamak ilk adımımdı. ISO 27001’in yaşam döngüsü içerisinde periyodik olarak yapılması gereken işleri öncelikle ay bazında bölerek ana başlıklarıyla bir “master plan” oluşturmak aslında daha önceden verimli bir şekilde yürütemediğimiz işlerin listelenmesinden başka bir şey değildi.

Sonra sıra sürecimiz için uygun periyodun belirlenmesi ve iş adımlarıyla ilgili kuralları tanımlamaya geldi.

Yazılım projelerinde haftalık ya da 2 haftalık sprint periyotları iş takibi için uygunken ISO 27001 için işin doğası gereği aylık sprint’lerin uygun olduğu kanısına varıp, günlük toplantılar yerine haftalık toplantılar ile planlama yapmaya karar verdik.

scrum335[1]

Klasik akıştan sapmadan ISO 27001’in doğasına uygun adımları Trello uygulaması üzerinde oluşturarak görülebilirliği arttırmak adına takibimi kolaylaştıracak etiketler ile de destekledik.

Aylık açılan panolarda ana adımları iş kartlarına bölerek yapılacaklar listemizi oluşturup, haftalık toplantılarda da o haftanın planlamasını yaparak verimli ve görülür bir akış elde ettik.

trello

İşin yönetimi ve izlenebilirliği açısından haftalık planlamalarla takip edilen aylık panolar işin mutfağı iken yapılan işlerin yönetim gözüyle görünür kılınması için ise yine Trello üzerinde BigPicture eklentisinin yardımını aldık.

Tüm iş kartlarını bir liste halinde görüp etiket ve terminlerine göre takip edebildiğimiz bu ekranda ayrıca bir Gantt şeması yardımıyla da proje planımızı izlenebilir hale getirdik.

BigPicture

Planlı, Plansız, Gecikmeli işlerin ne olduğunu tek ekrandan takip edip, her küçük iş kartının çıktısını kontrol altına alabildiğimiz bu yeni sistemde kişilerin yetkinlik ve sorumluluk bilincinden bağımsız kontrollü bir yapıya geçerek ISO 27001’i yaşatılabilir bir yapıya soktuk.

Bundan sonrası metodolojiye uyum ve sürekli takip, her proje ve operasyonda olduğu gibi.