E-DÖNÜŞÜM M UYGULAMALARI: GÜVENLİK K SORUNLARI VE ÇÖZÜM ÖNERİLERİ

Transkript

1 E-DÖNÜŞÜM M UYGULAMALARI: GÜVENLİK K SORUNLARI VE ÇÖZÜM ÖNERİLERİ Bilge KARABACAK bilge@uekae.tubitak.gov.tr 6 HAZİRAN 2008

2 Gündem 1. Durum tespiti: Vatandaşların kritik bilgilerinin yayınlanması E-dönüşüm uygulamalarında sorgulama özgürlüğü Zayıf kimlik doğrulama sistemleri 2. Daha iyiye gitmek için: Neler yapılıyor? Neler yapılmalı? 2

3 3 Sektör Dergisinden Bir Haber

4 4 Site Başka, Haber Aynı

5 Program Kamu kurumu web sayfası TC KİMLİK NO ADRES 5

6 6 TC Kimlik No E-Dönüşüm Adres

7 Bilgi güvenliği farkındalığı? E-dönüşüm farkındalığı? Mahremiyet? Gizlilik? 7 Haberlere Geri Dönelim...

8 8 Konuya Geri Dönelim...

9 TC Kimlik Numarası mı Lazım?

10 TC Kimlik Numarası mı Lazım?

11 TC Kimlik Numarası mı Lazım?

12 TC Kimlik Numarası mı Lazım? 43 12

13 TC Kimlik Numarası mı Lazım?

14 Daha Fazla TC Kimlik Numarası mı Lazım? Adı Soyadı Cinsiyeti Doğum yılı İl-ilçe Baba adı Anne Adı TC Kimlik No 14

15 Arayalım 1363 Adı ve soyadı gg.aa.yyyy doğum tarihi Doğum yeri Ana ve baba adı 15 Adı Soyadı Cinsiyeti Doğum yılı İl-ilçe Baba adı Anne Adı TC Kimlik No

16 E-dönüşüm Uygulamalarında Sorgulama Özgürlüğü Adı Baba adı Doğum yılı Doğum yeri (il/ilçe) Doğum tarihi (YYYY) Vergi kimlik no 16 Soyadı Adı Baba adı Doğum yeri Doğum tarihi

17 E-dönüşüm Uygulamalarında Sorgulama Özgürlüğü İlk soyadı SSK Sicil no TC kimlik no Anne Adı Doğum yeri Doğum Tarihi (GG.AA.YYYY) Hizmet dökümü Karne no 17 Bağkur no Baba adı TC kimlik no Doğum tarihi Nüfus ili Meslek ili Vergi no Mesleğe giriş tarihi Banka ismi ve şubesi Borç durumu / ödeme bilgisi vs. vs.

18 E-dönüşüm Uygulamalarında Sorgulama Özgürlüğü Üniversite bilgisi Baba adı Kredi no/katkı no/burs no vs. Banka ve şube bilgileri Ödeme/borç bilgileri 18

19 19 Zayıf Kimlik Doğrulaması

20 20 Zayıf Kimlik Doğrulaması

21 Problemlerin Özeti Problem - 1: Vatandaşların kritik bilgilerinin yayınlanması gov.tr, org.tr, bel.tr, edu.tr Problem - 2: E-dönüşüm uygulamalarında sorgulama özgürlüğü Kullanma zorunluluğu olmayan uygulamalar Sorgu sonucunda gereğinden fazla bilgi olması Sorgu formlarında tüm alanların zorunlu olmaması Zorunlu alanların kolay tahmin edilebilir olması Adı, soyadı, baba adı Yığın sorgulama yapılabilmesi Problem - 3: Zayıf kimlik doğrulama sistemleri İş/sınav başvuruları 21

22 22 Bir Karşılaştırma Yaparak Durum Tespitini Bitirelim

23 23 Durum Tespiti Çözüm

24 24 Eğer Sadece Teknoloji İle Başbaşa Kalırsak...

25 25 Eğer Sadece Yasal Önlem Alırsak...

26 26 Hem Teknoloji, Hem Hukuk...

27 Teknoloji Çözüm Piramidi Problem 3 Uzun/orta vadeli teknik çözümler Ülke çapında düzenleme Vatandaşlık kartı projesi Elektronik kimlik doğrulama ve yönetimi Mevzuat ile desteklenmeli Problem 2 Kısa vadeli teknik çözümler Kurum gerçekleştirmeli Problem 2 Uygulama kullanılmıyorsa kapatılmalı Tüm alanların zorunlu hale getirilmesi Görsel doğrulama metotları kullanılmalı Sorgu sonuçlarının kısıtlanması Erişimler kayıt altına alınmalı ve incelenmeli 27

28 46 Numaralı Eylem Vatandaşlık Kartı; Pilot Uygulaması ve Yaygınlaştırılması Biyometrik unsurlar da içeren elektronik vatandaşlık kartının kimlik doğrulama için kullanımı sağlanacak ve tüm kimlik doğrulama fonksiyonları tek bir elektronik kartta toplanacaktır. Pilot uygulama sosyal güvenlik alanında hayata geçirilecek, yaygınlaştırma çalışmaları bu uygulamanın sonuçlarına göre yapılacaktır. Problem 2 Problem 3 28

29 Elektronik Kimlik Doğrulama ve Yönetimi Sistemi Uzun/orta vadeli teknik çözümler Ülke çapında düzenleme Vatandaşlık kartı projesi Elektronik kimlik doğrulama ve yönetimi Vatandaşlık Kartı MERNİS Veritabanı E-devlet kapısı

30 Vatandaşlık Kartı Projesi Mevzuat Desteği 30 4 Temmuz 2007 Tarih ve Sayılı resmi gazetede yayımlanan Vatandaşlık Kartı Projesi Konulu Başbakanlık Genelgesi Vatandaşlık kartı: Nüfus cüzdanının yerini alacak E-dönüşüm eylem planı 46 nolu maddeye referans Yapılacak işler ve sorumluluklar: Pilot aşama Yaygınlaştırma aşaması

31 Proje Hakkında Bazı Bilgiler Pilot çalışmaların 2010 da tamamlanması öngörülmektedir. Bütün vatandaşlara yaygınlaştırılmasının 2015 te tamamlanması öngörülmektedir. Sağlık Bakanlığı, Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü, Sosyal Güvenlik Kurumu ve UEKAE çalışmaktadır. 31

32 88 Numaralı Eylem Ulusal Bilgi Sistemleri Güvenlik Programı TR-BOME Sanal Ortam Savunma Merkezi (SOSAM) kurulumu Bilgi güvenliği kapısı ( Bilgi güvenliği yönetim sistemi danışmanlığı Bilgi güvenliği eğitimleri 32 Bilgi sistemleri güvenliği dokümantasyonu

33 Tespit-1: Ceza Yasası Ne Yapılması Gerektiğini Söylemez Ceza yasamızda: Bilgi teknolojilerinin hedef olduğu suçlar Bu teknolojilerin araç olarak kullanıldığı suçlar 1. Türk Ceza Kanunu (5237) Madde...135, 142, 158, 243, 244, 245, Sayılı Internet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun 33

34 Tespit-2: Düzenleyici Mevzuat Eksikliği Ülkemizde bilgi güvenliği konusunda: Kurumların uyması gereken bilgi güvenliği kurallarının ve düzenlemelerinin Uymayanlara verilecek cezaların olduğu bir bilgi güvenliği mevzuatı yoktur. Kurumlar: Kamu kurumları Sivil toplum kuruluşları Özel şirketler 34

35 87 Numaralı Eylem Bilgi Güvenliği ile İlgili Yasal Düzenlemeler Problem 1 Ülke güvenliğini ilgilendiren bilgilerin elektronik ortamda korunması ve devletin bilgi güvenliği sistemlerinin geliştirilmesi amacına uygun yasal altyapıyla ilgili düzenleme yapılacak ve uygulamaya konulacaktır. Kişisel Verilerin Korunması Hakkında Kanun Tasarısı Taslağı yasalaştırılacaktır. Problem 2 Adalet Bakanlığı, 24 Nisan 2008 de TBMM ye sevk etmiştir. Kanunla kişisel verilerin otomatik olan veya olmayan yollarla işlenmesi konusu düzenlenmiştir. Kişisel Verileri Koruma Kurulu oluşturulması 35

36 Temel Çerçeve Problem 1 Problem 2 36 Problem 5 Problem N İçerik: Yasaklamak, iptal etmek, kapatmak, ceza vermek İçerik: Düzenlemek, yöntem belirlemek, yön çizmek, ne yapılması gerektiğini söylemek Yeni kurumlar, kurumlarda yeni birimler Herkes için görevler, rol ve sorumluluklar Herkesin Katkısı Kamu Kurumları Hastaneler, Belediyeler Sivil Toplum Kuruluşları Özel Şirketler Problem 3 Problem 4

37 Örnek: E-imza için Düzenleyici Mevzuat KANUN 5070 Sayılı Elektronik İmza Kanunu YÖNETMELİK Elektronik İmza Kanununun Uygulanmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik Sertifika Mali Sorumluluk Sigortası Yönetmeliği GENELGE Kamu Sertifikasyon Merkezi Oluşturulması Genelgesi Kamu Sertifikasyon Hizmetlerine İlişkin Usul ve Esaslar Hakkında Başbakanlık Genelgesi TEBLİĞ Elektronik İmza ile İlgili Süreçlere ve Teknik Kriterlere İlişkin Tebliğ 37

38 Bilgi Güvenliği için Düzenleyici Mevzuat KANUN TÜZÜK YÖNETMELİK GENELGE 1. Bilgi Sistem ve Ağları için Güvenlik Kültürü 2. Birlikte Çalışabilirlik Esasları Rehberi 38

39 Birikim ve Bilgi Güvenliği Kanunu E-dönüşüm Eylem Planı 87 numaralı madde Yapılmış çalışmalar Kurumların katkısı 39

40 Tekerleği Yeniden Keşfetmeyelim Diğer ülkeler/uluslararası organizasyonlar ne yapmışlar? 40 Yasal olarak ne yapmışlar? Düzenleyici kanunları neler? Cezalar neler? Teknolojik olarak ne yapmışlar? Kurumsal olarak ne yapmışlar? Hangi kurumlar var? Kurumlar arası rol ve sorumluluklar nasıl dağıtılmış?

41 ABD deki Düzenleyici Yasalar 7 Bilgisayar suçları ve ağ güvenliği 9 E-ticaret 4 E-imza ve kriptografi 28 4 Mahremiyet ve Veri Koruma Çalışanları ve bilgi teknolojilerini koruma İletişim (Telekomünikasyon)

42 42 YCDO = You Can t Do Online!!!

43 43 Eğer Şifren Varsa...

44 44 Amerikalı Adresini Değiştirmek İstiyor - 1. Aşama

45 45 Amerikalı Adresini Değiştirmek İstiyor - 2. Aşama

46 46 Amerikalı Adresini Değiştirmek İstiyor - 3. Aşama

47 47 Belli Saatlerde Kullanım

48 48 Sadece Ölülerin Bilgileri Var

49 Özet Çözümler Teknik çözümler Kısa vadeli Orta/Uzun vadeli Mevzuat ile ilgili çözümler Bilgi güvenliği mevzuatı (kanun, tüzük, yönetmelik, genelge) 49

50 Sonsöz Amacım: herhangi bir kamu kurumunu eleştirmek değil. Sorunlar: Kurumlardan ziyade Ülkemizin sorunları Amacım: farkındalığa katkıda bulunmak, çalışmalar konusunda bilgilendirmek 50

51 Sunumda Adı Geçen Mevzuat Kişisel Verilerin Korunması Hakkında Kanun Tasarısı Bilgi Sistem ve Ağları için Güvenlik Kültürü Genelgesi Birlikte Çalışabilirlik Esasları Rehberi Genelgesi pdf Bilgi Toplumu Stratejisi Eylem Planı ( ) Vatandaşlık Kartı Projesi Konulu Başbakanlık Genelgesi E-imza ile İlgili Düzenleyici Mevzuat Türk Ceza Kanunu Sayılı Kanun 51

52 Teşekkürler Sorular? Bilge KARABACAK