Bulut Teknolojisinde Bilişim Güvenliği ve Olası Problemler

Günümüz koşullarında teknoloji baş döndüren bir hızla gelişmekte ve hızlı bir ilerleme kat etmektedir. Bunun doğal bir sonucu olarak da kurumlar tarafından kullanılan sistemler ve teknolojiler hızlı bir değişim sergilemektedir. Flexera’nın 2021 araştırmasına göre kurumların %92’si çoklu bulut (multi-cloud computing), %80’i de hibrit bulut (hybrid cloud computing) stratejisine sahiptir. Çoklu bulut teknolojisi birden fazla bulut hizmeti sunan firmanın (cloud service provider) kullanılması, hibrit bulut teknolojisi ise özel ve genel bulut teknolojisinin (private and public cloud) birlikte kullanılması anlamına gelmektedir.

Bu tarz bir kullanım şeklinin en büyük dezavantajı, ilgili hizmetler arasında uyum ve koordinasyonun sağlanmasında yaşanan problem ve zorluklardır. Burada odaklanılması gereken nokta, bütüncül bir güvenlik yönetimidir (holistic security management). Bu yöntem, kurumlara geleneksel kurumsal çözümlerin ötesinde avantajlar sağlamaktadır.

Yukarıda yapılan açıklama ve değerlendirmeler ışığında; veri ve veri güvenliğinin bulut teknolojilerindeki önemi açıkça görülmektedir. Veri güvenliğinin sağlanabilmesi için temel bilişim güvenliğinin gerekleri olan ve endüstride yani piyasada CIA Triad olarak bilinen gizlilik (Confidentiality), bütünlük (Integrity) ve ulaşılabilirlik (Availability) şartlarını karşılaması beklenmektedir.

         –      Gizlilik (confidentiality): Yetkisiz kişilerin veriye ulaşımını engellemekte ve bu maksatla koruma sağlamaktadır.

         –      Bütünlük (Integrity): Verinin yetkisiz kişiler tarafından değiştirilmesini ya da manipüle edilmesini engellemektedir.

         –      Ulaşılabilirlik (Availability): Veriye ihtiyaç duyulduğunda ulaşabilmeyi mümkün kılmaktadır.

Söz konusu ilkeler hangi bulut teknoloji modeli (public, private or hybrid) ya da kategorisi (infrastructure-as-a service (IaaS), platform-as-a service (PaaS), software-as-a service (SaaS)) kullanılırsa kullanılsın karşılanması ve temin edilmesi gereken ilkelerdir. Aksi durum ciddi güvenlik açıklarına ve ihlal riskine yol açar. Söz konusu hizmet ve dağıtım modelleri yazımızın konusu olmaması hasebiyle burada ele alınmamıştır.

Özellikle veri bütünlüğü (data integrity) bulut teknolojilerinde büyük önem arz etmektedir. Bu alanda güvenlik ihlalinin çeşitli nedenleri söz konusudur. Bunlar şu şekilde özetlenebilir:

• İnsan hataları
• İçeriden Gelen Tehditler
• Kötü niyetli Saldırganlar
• Konfigürasyon Hataları
• Transfer Hataları
• Güvenliği İhlal Edilmiş Donanımlar

Söz konusu risk alanları içerisinde en hassas alanı kurumların içerisinden gelen riskler ve tehditler (Insider Threats) oluşturmaktadır. Bu kişiler kurumun verilerine ve sistemlerine ulaşma yetkisi olan ya da yetkisi zamanında kaldırılmamış kişilerdir. Mevcut çalışanlar, erişimi kapatılmamış eski çalışanlar, iş ortağı olan başka kurumlar ve yükleniciler bu grupta yer alabilmektedir. Bu grup tarafından sebep olunan tehditleri kasıtlı ve kasıtsız olarak iki ana gruba ayırmak mümkündür.

• Kasıtsız (Unintentional)
• Kimlik bilgilerini koruyamamak
• Phishing veya sosyal mühendislik (social engineering) kurbanı olmak
• Güvenlik güncellemesi ve security patch eksiklikleri
• Hassas verilerin yetkisiz kişilerle paylaşımı
• Güvenlik politikalarının yetersiz uygulanması
• Kasıtlı (Intentional)
• Casusluk (espiyonaj)
• Çıkar elde etmek
• Öç almak

Ponemon Enstitüsü’nün 2020 araştırmasına göre kurum içi tehdit olaylarının %62’si çalışanların dikkatsizliğinden kaynaklanmakta, bu tür olayların sayısı ise 2018’e göre %47 artmış bulunmaktadır. Bu nedenle kurumların bu alanda ciddi tedbirler alması büyük önem arz etmektedir. Bu alanda istikrarlı ve güvenilir bir güvenlik stratejisi (security strategy and policy) oluşturulmalı ve sıkı bir şekilde uygulanması takip edilmelidir. Bu kapsamda alınabilecek tedbirler şunlardır:

• Veriler taşıdığı değer ve hassasiyete göre tasnif edilmelidir.
• Giriş yetkileri sınırlandırılmalı ve kontrol altında tutulmalıdır.
• Kişisel ve iş hesapları birbirinden ayrılmalıdır.
• Kullanıcı faaliyetleri gözlenmeli ve takip edilmelidir (user activity monitoring). Bu takip bütün ağ (across the entire network) genelinde uygulanmalıdır.

Bulut hizmeti sağlayıcıları (cloud provider),  altyapının güvenliğinden sorumlu olsalar da, kurumlar kendi üzerlerine düşen bazı görevleri yerine getirmek durumundadır. Öncelikle kurumlar hassas bilgilerinin önemli bir kısmını üçüncü bir tarafa (third party) yani bir bulut bilişim hizmet sağlayıcısına göndermektedir. Bu transfer ciddi riskler barındırmaktadır.  Bu nedenle;  veriler buluta gönderilirken şifreleme ve güvenli iletişim protokolleri kullanılmazsa, kurumsal bilgilerin hackerlar tarafından ele geçirilme ihtimali doğar.

Kurumların bilişim altyapılarını güçlendirerek, kullanıcı, uygulama ve güvenlik çevresindeki izlenebilme kabiliyetini artırması oldukça önemlidir. Bunun yanı sıra bulut güvenliği, hizmet sağlayıcı ile hizmeti kullanan kurum arasında paylaşılan bir sorumluluktur (shared responsibility model). Sorumlulukların dağılımı kullanılan hizmet modeline (IaaS, PaaS, SaaS) göre değişmekte, bu da şirketlerin bulut teknolojisine emanet ettiği işlevlerin güvenlik riskini etkilemektedir.

Kurumlar on-premise sistemlerini ve bilişim altyapılarını cloud ortamına taşırken (migration to the cloud); profesyonel destek ve danışmanlık almalı, ayrıca kendi bünyesinde bu işlemleri yapabilecek ve devam ettirebilecek yetkin bir ekip oluşturmalıdır. Bu konuda oluşabilecek bir zafiyet kurumları bilgi güvenliği alanında zor durumda bırakabileceği gibi piyasa değerini de olumsuz etkileyebilecektir.

Yukarıdaki veriler ve yapılan değerlendirmeler ışığında bulut teknolojileri kullanılırken oluşabilecek güvenlik problemleri ya da zorlukları aşağıdaki gibi ifade edilebilir:

• Görünürlük eksikliği (lack of visibility)
• Çok kiracılı ortamlarda yetersiz yalıtım (multitenancy)
• Giriş yetkileri ve yönetimi ile gölge IT (Access management and shadow IT)
• Yanlış yapılandırma/ayarlama (misconfigurations)

Kurumların sürekli olarak göz önünde bulundurması gereken husus; veri gizliliği ve güvenliğinden esas sorumlu olan tarafın kurumun kendisi olduğu gerçeğidir. Kurumların bulut teknolojilerini kullanıyor olmaları, bu sorumluluğu bulut teknolojisi sunan (cloud provider) üçüncü şahıslara devrettiği anlamı taşımamaktadır. Bu tarz güvenlik problemlerine yönelik alınabilecek bulut güvenlik çözümleri (cloud security solutions) daha sonra, değişen güvenlik boyutları ışığında ele alınacaktır.