standard ocak 2015 1
48 16 ISSN: 1300-8366 54 626 Ocak 2015 Sahibi: 70 2 standard ocak 2015
Standard 14 20 24 30 27 60 38 40 42 54 58 56 66 74 10 standard ocak 2015 3
4 standard ocak 2015
standard ocak 2015 5
6 standard ocak 2015
standard ocak 2015 7
8 standard ocak 2015
standard ocak 2015 9
dosya iber tehdit ve. iber istihbarat iber istihbarat; ülkemizde siber ü e li i alt ala lar da biri larak em kaza ma a ba la a k larda bir di eri belki de e emlisi larak kar m za kma a ba l r k de il l esi e kadar siber ü e lik dü as ileri ele leri i dahi tam larak bil i sahibi lmad b emli ala imdilerde siber ü e li e la bak a m za ere ek kadar ü deme t rm d r mda basit ta m ile b ala bil i ü e li i i tehdit ede tehlikelere kar istihbarat t lama e k r mlar aras bil i a la m esas a da a a bir akla m larak zetlemek a l lma a akt r 10 standard ocak 2015
Proaktif Güvenlik İleriki kısımlarda daha ayrıntılı olarak üzerinde duracağımız siber istihbarat alanını tam olarak kavrayabilmek için öncelikle proaktif güvenlik adını verdiğimiz bakış açısına sahip olmak gereklidir. Proaktif güvenlik; uzun dönemler boyunca bilgi güvenliğine hakim olan genel-geçer yaklaşımların aksine herhangi bir tehdit, yaşanmış bir saldırı haline gelmeden önlemeyi öngören yaklaşımdır. Zira gerçekleşmiş bir saldırıyı takiben, söz konusu saldırı hakkında bilgi sahibi olmak ve önlem geliştirmek son derece önemli olsa da doğru bir güvenlik yaklaşımının, saldırıların meydana gelmeden önlenmesi ilkesiyle şekillendirilmesi daha doğrudur. Siber istihbaratın hizmet ettiği amaç da tam olarak budur. Siber İstihbarattaki Öncül Adımlar 11 Kasım 2011 de, Amerika Birleşik Devletleri'nde oylamaya sunulan Siber İstihbarat Paylaşımı ve Korunma Yasası ( Cyber Intelligence Sharing and Protection Act ) bu metodolojinin geleceğine yönelik önemli sinyaller vermiş olsa da, özellikle siber tehdit paylaşımının uygulanma biçimine ilişkin önemli bir boşluğun altını çizmiştir. Takiben, başta ABD olmak üzere siber güvenliğin standartlarını belirleyen ülkeler siber tehdit paylaşımının en verimli şekilde gerçekleşmesini hedefleyen düzenleme ve standartlar hazırlamıştır. Tüm bu süreçler ışığında siber istihbarat, günümüzdeki gerek devlet kurumları (ordu, kamu yönetimi, izleme-denetleme mercileri dahilen) ve kritik sektörlerde (silah, telekomünikasyon, enerji, finans, sağlık ve havacılık sanayileri dahil olmak üzere 13 farklı faaliyet alanı) faaliyet gösteren kuruluşlar arasında siber tehditlere ilişkin tehdit ve önleyici aksiyon bilgilerinin aktif biçimde paylaşılmasını sağlayan çözümler halini almıştır. Tabi ki standart taslaklarının hazırlanmasından günümüzün aktif siber tehdit paylaşım platformlarına kadar geçen süreç içerisinde, geniş bir yelpazedeki birçok farklı kurum ve kuruluşların katılımları söz konusu olmuş, ortaya çıkan standartların birçoğu günümüzün ileri düzey siber istihbarat platformlarının şekillenmesine öncülük etmiştir. Özellikle DARPA (ABD İleri Savunma Projeleri Ajansı - Defense Advanced Project Agency ) ve MITRE tarafından hazırlanan standartlar siber tehdit paylaşımına ilişkin temel bileşenleri tanımlamada önemli bir yol katetmiştir. Tabi ki günümüz dünyasında siber istihbarat gibi aktif bir bilgi güvenliği yaklaşımının özel kurumların katılımı olmaksızın gereğince ilerlemesi pek mümkün olmadığından, siber güvenlik alanında faaliyet gösteren özel kuruluşlar da hazırlanan bu standart ve düzenlemelere katılım göstermiş ve siber istihbarat alanındaki belli-başlı birçok özel platformun temeli atılmıştır. Bu esnada, 2013 yılının başında, Türkiye odaklı hizmet veren kurumumuz tarafından USTA (Ulusal Siber Tehdit Ağı) Platformu geliştirilerek hizmet vermeye başlanılmıştır. USTA Platformu, dünyada geliştirilmiş olan tüm standartların gerçek anlamıyla uygulamaya konulduğu ilk platform olarak dikkat çekmiş, Belçika da düzenlenen, NATO ve Interpol dahil olmak üzere önemli kurumlardan temsilcilerin katılım gösterdiği Siber İstihbarat Fuarında geliştirilmiş en kapsamlı siber istihbarat çözümü olarak anılmıştır. USTA; ülkemizde siber istihbarat ve siber tehdit paylaşımı alanında hizmet vermek üzere oluşturulmuş platformlar arasında, dünya standartlarına uygun tehdit bilgisi sağlayan tek platform olarak hizmet vermeye devam etmektedir. standard ocak 2015 11
Siber Tehdit Paylaşımı Farklı siber güvenlik çözümleri, siber güvenliğe ayrılan kaynak miktarı ve yetiştirilen beyaz-şapkalı hacker ların sayısı gitgide artsa da siber saldırganların cephesindeki artış miktarı çok daha hızlı gerçekleşmektedir. Özellikle bilişimin hayatla gitgide daha entegre hale gelmesi sebebiyle farklı motivasyonlara sahip siber saldırgan türleri oluşmaktadır. Terazinin bu iki kefesi arasındaki dengesizlik, ne yazık ki en basit bilişim sistemlerinden en kapsamlı bilişim altyapılarına kadar dijitalleşen dünyanın her alanını savunmasız hale getirmiştir. Mevcut durum değerlendirildiğinde, gelişen siber tehditler karşısındaki en etkili çözümler hiç şüphesiz, (i) kurumlar arasında siber tehditlerin paylaşılması ve (ii) saldırganların cephesinden istihbarat elde edilmesidir. Kurumların yüz-yüze geldikleri tehditlere ilişkin bilgileri, ortak bir platformdaki diğer üye kurumlar ile paylaşmasını temel alan siber tehdit paylaşımı her ne kadar basit bir süreç gibi görünüyor olsa da dikkat edilmesi gereken birçok önemli husus söz konusudur. Zira farklı kurumların, bilgi seviyeleri ve tehditlere olan yaklaşımlarının aynı olması söz konusu olamaz. Aynı kurum içerisinde dahi personel arasındaki bilgi seviyesinde farklılıklar olabilmektedir. Bu çerçevede en önemli husus söz konusu kurumun hangi sektörde faaliyet gösteriyor olursa olsun, yüzleşebileceği siber tehditleri herkesin anlayabileceği bir terminoloji ile paylaşabilmesidir. Bunun başarılabilmesi için (gerek dünyadaki öncül yönetmelikler, gerekse bizler tarafından ülkemizde hazırlanan standartlar doğrultusunda) siber tehditlerin kurumlar tarafından kolaylıkla açıklanabilmesine imkân sağlayacak bir terminoloji geliştirilmesi en uygun yoldur. Örneğin USTA Platformunun Siber Tehdit Paylaşımı kısmında paylaşılan siber tehditler bileşenlerine ayrılmıştır. Böylelikle siber tehdit paylaşımında bulunan kurumlar, paylaşmak istedikleri tehditleri ve diğer siber olayları kolayca yetkili mercilere aktarabilecektir. Böylelikle, paylaşılan tüm tehditlerin, herkes tarafından ortak bir yaklaşım dahilinde paylaşılması ve anlaşılması mümkün olabilmektedir. Diğer yandan, Siber Tehdit Paylaşımına yönelik bir diğer önemli husus ise paylaşılan tehditlerin doğrulanmasıdır. Sürecin bu aşamasında, yetkin bir onay ekibi gereksinimi doğmaktadır. Herhangi bir kurum tarafından paylaşılan tehditlerin diğer kurumlara aktarılmadan önce doğruluk ve tutarlılık yönünden doğrulanması, siber tehdit paylaşımı akışını temin edecek en önemli hususlardan biridir. Her ne kadar ideal olan bu doğrulama sürecinin siber güvenlik konusunda yetkin kamu mercileri tarafından yürütülmesi olsa da gerek know-how eksikliği, gerekse yasal mevzuat ve altyapıdaki aksaklıklar nedeniyle bu yaklaşım pratikte pek mümkün olamamaktadır. Örneğin USTA nın siber tehdit paylaşım platformu dahilinde paylaşılan tehditler diğer kurumlara iletilmeden önce şu an için ekibimiz tarafından doğrulanmaktadır. Bu doğrulama mercileri ileride SOME ve USOM kapsamında bulunan kurumlar olacaktır. 12 standard ocak 2015
Siber İstihbaratta Sonraki Adım: Karanlık Tarafı Dinlemek Siber istihbarat alanı her ne kadar Siber Tehdit Paylaşımı ekseninde şekillendirilmiş olsa da bu, günümüz koşullarında pek yeterli değildir. Özellikle ülkemizde, kurumlar arasında kollektif güvenlik bilincinin olmaması veya yasal merciler tarafından bu tür platformlara katılım yönünde farkındalık çalışmalarının yetersiz kalması gibi sebeplerden dolayı siber tehdit paylaşımı istenilen düzeye taşınamamıştır. Ancak bu eksiklik, yine siber istihbarat metodolojisini kullanan ve çağın siber tehditleri adına çok daha değerli bulgulara ulaşmamızı sağlayan yeni bir teknoloji geliştirmemizi sağlamıştır: Siber İstihbarat Sensörleri. Bugüne kadar dünyada gerek siber güvenlik, gerekse siber istihbarat alanında yapılan çalışmaların büyük bir çoğunluğu, mevcut tehditlere ilişkin istihbarat verilerinin kurbanlardan elde edilmesine odaklanmıştır. Ancak ne yazık ki siber-dolandırıcılardan devlet eğitimli hacker ordularına ve hacktivistlere kadar birçok farklı grubun farklı şekilde faaliyet gösterdiği karanlık taraf tan istihbarat alma yoluna pek gidilmemiştir. Özellikle bu istihbaratı saldırganlar fark etmeksizin ve sürekli olarak almak, günümüze kadar teorik geliştirilse de başarılı bir örneği bulunmayan bir amaç olarak kalmıştır. Saldırganların faaliyet gösterdiği tespit edilen binlerce platforma bizlerin sensör adını verdiğimiz takip sistemleri yerleştirerek, clearweb ve deepweb de yer alan en kötü şöhretli zararlı yazılım, siber dolandırıcılık ve siber saldırı kaynaklarını devamlı izleyen bir sistem geliştiren firmamız, bu alanda halen dünyanın sayılı siber istihbarat şirketleri arasında anılmaya devam etmektedir. Özellikle savunma ve finans sektörlerinden çeşitli paydaşların faydalandığı USTA (Ulusal Siber Tehdit Ağı), gerek bu benzersiz niteliği, gerekse siber istihbarata olan profesyonel yaklaşımı sebebiyle ülkemizdeki en etkili siber istihbarat çözümü olmaya devam etmektedir. Özellikle gerek tek tek, gerekse istatistiksel veri olarak sunulabilen siber saldırgan çıktılarının özellikle siber güvenlik politikalarını şekillendiren kamu kurumları için önemi yadsınamayacak ölçüde büyüktür. Sonuç olarak bakıldığında, özel bir kuruluş olarak ne kadar ileriye gidilirse gidilsin ülkemizdeki farklındalık seviyesi istenilen düzeye gelmediği sürece, en azından Türkiye de hedeflediğimiz amaçlara ulaşmanın zor olacağı aşikardır. Bu çerçevede, özellikle Türkiye nin siber güvenlik alanındaki yeni teşebbüslerindeki koordinasyon eksikliği, özel sektör ile iletişim eksikliği, kritik sektörler genelinde farkındalık eksikliği ve tabi ki sunulan teşvik programlarındaki vizyon eksikliği gibi hususların altının bir kere daha çizilmesi; ortak bir vizyon geliştirmenin gerek kamu, gerekse özel sektör için son derece verimli olacağının anlaşılması gerekir. standard ocak 2015 13
14 standard ocak 2015
TSE'nin verdiği hizmetler Belgelendirmesi Belgelendirmesi Belirlenmesi Laboratuvarı Belgelendirmesi Laboratuvarı Kurulumu Siber Güvenlik Eylem Planı Siber güvenlik konusunda yasal düzenlemelerin yapılması Uluslararası hukuktan kaynaklanan hakların kullanılması Ulusal siber olaylara müdahale organizasyonu oluşturulması Ulusal siber güvenlik altyapısının oluşturulması Siber güvenlik alanında insan kaynağının yetiştirilmesi Siber güvenlikte yeni teknolojilerin geliştirilmesi Ulusal güvenlik mekanizmalarının kapsamının genişletilmesini içerir. Ortak Kriterler Standardı BT ürününün yeterli geliştirme ortamında gerçeklenip gerçeklenmediğini kontrol eder. Fonksiyonel, Bağımsız ve Sızma testleri (açıklık analizi) yapar. Ortak Kriterler Uluslararası Tanıma Anlaşmasını imzalayan ülkeler, ürün hangi ülkeden sertifika almış olursa olsun o ürünün belirtilen seviyede güvenli olduğunu kabul etmiş sayılırlar. standard ocak 2015 15
dosya Adli bilişimin ne olduğunu kısaca özetlemek istersek şunu söyleyebiliriz; Adli Bilişim, sayısal (dijital) verileri, Elde etme Muhafaza etme Analiz etme işlemlerinin, delilin gereklerine uygun olarak mahkemeye sunulma aşamasına kadar uygulanmasıdır. Her ne kadar yukarıda saydığımız konu başlıkları diğer birçok adli bilim için de geçerliyse de adli bilişimi diğer adli bilimlerden ayıran temel unsurlardan birisi, incelediği delillerin oldukça narin olmasıdır. Yani zamanında müdahale edilmediğinde bu sayısal deliller kolaylıkla zarar görebilir ve hatta tamamen ortadan kalkabilir. Aynı zamanda, bu aşamalardan herhangi birinde soru işareti oluşturacak şekilde bir aksiyon alınmışsa, örneğin el konulan sabit diskin imajı bir yazma-koruması üzerinden sisteme bağlanıp imajı alınmamış ve hash değeri hesaplanmamışsa veya adli emanate alınan diske ait emanet zincirinde eksiklikler varsa ya da endüstri tarafından kabul görmüş donanım, yazılım ve yöntemler kullanılarak bir analiz gerçekleştirilmemişse bu durumda ilgili sayısal delilin kabul edilebilirliği mahkemede tartışılabilir. Bununla birlikte sayısal deliller üzerinde yapılacak analizler ile olay aydınlatılsa bile olayı kimin yaptığının kesin olarak ortaya çıkartılamaması gibi bir durum da söz konusu olabilir. (Örneğin ortak kullanılan bilgisayarlardaki suç unsurlarının kimin tarafından oluşturulduğunun tespitinin zorluğu gibi). Eldeki sayısal deliller üzerinde yapılan adli bilişim incelemeleri sonucunda yazılan rapor neticesinde ilgili olay üzerinde karar verme yetkisine sahip otoriteler bir karara varır ve bu durum yapılan adli bilişim incelemesinin ne kadar kritik olduğu- 16 standard ocak 2015
nun da göstergesidir. Elbette çoğu zaman sadece sayısal deliller üzerinde yapılan analizlerin sonuçları karar verme noktasında tek başlarına yeterli değildir, fakat ciddi oranda kanaat uyandırdıklarını da söyleyebiliriz. Dolayısıyla bu analizlerin doğru kişiler tarafından, bilimsel ve tekrar edilebilir şekilde gerçekleştirilmesinin de sağlanması oldukça önemlidir. başında adli bilişim konusunda bilirkişilik yapan ya da yaptığını iddia ederek adliyelere başvurup mahkemelerde bilirkişilik yapan kişilerin belirli bir standardının olmaması geliyor. Bu durumun birçok kritik davanın işleyiş ve karar süreçlerine olumsuz etki yaptığını da biliyoruz. Bu tür durumlarla karşılaşmamak adına öncelikle yapılması gerekenleri şöyle sıralayabiliriz; Adli bilişim uzmanı olarak görev alacak kişilerin belirli bir standart dahilinde hazırlanmış eğitimlerin tamamını almalarını sağlamak, Eğitim sonrasında örnek vakalar üzerinden bilgi ve becerilerini ispatlayabilecekleri çalışmalar yapmalarını sağlamak, Düzenlenecek yazılı ve sözlü bir sınav ile bu kişileri sertifikalandırmak, Adli makamlar ile yapılacak düzenlemeler ile bilirkişi olarak görev alacak kişilerde bu sertifikanın aranmasını sağlamak. standard ocak 2015 17
Yukarıda da değindiğim gibi adli bilişim konusunda çalışacak uzmanların öncelikle iyi bir eğitimden geçmiş olması ve bunun yanında bir uzman ile birlikte belirli bir süre çalışarak farklı vakıaların adli bilişim incelemelerinin nasıl gerçekleştirildiği konusunda deneyim sahibi olması gerekiyor. Her ne kadar adli bilişim kendi içinde alt alanlara ayrılsa da temelde bir adli bilişim uzmanının hangi konu başlıklarında bilgi sahibi olması gerektiğini göstermesi açısından aşağıdaki konu başlıklarını sıralayabilriz. Computer Forensics tirilecek adli bilişim incelemelerinde ilgili işletim sistemine özel olarak hangi bulguların nerelerden elde edilebileğinin ele alındığı lanıcının en son çalıştırdığı komutların hangi dosyada ve nerede saklandığı gibi konular bu başlık altında ele alınır. Network Forensics Bu konu başlığında ağ üzerinden elde edilebilecek sayısal delillerin neler olduğu ve bu delillerin ne şekilde elde edilip analiz edilebileceği ele alınır. Örneğin bir sanayi casusluğu olayında şirket dışına hangi belgelerin sızdırıldığının tespitinde ağ üzerinden yakalanan tam paket verisi üzerinde bir analiz yapılması gerekebilir. Bu başlık altında bu analizlerin nasıl ve ne şekilde yapılabileceği ele alınır. Malware Forensics Birçok kurum ve şirketin bilgisayarlarına bulaşıp bu bilgisayarların kötüye kullanılmasına ya da bu bilgisayarlardaki gizli belgelerin başkalarının eline geçmesine imkân tanıyan zararlı kodların tespit ve analiz edilmesi konularının yer aldığı konu başlığıdır. Bu başlık kodların temel yapısı, otomatize ve manuel yöntemlerle bu zararlıların nasıl tespit edilip sonrasında dinamik ve statik yöntemlerle nasıl analiz edileceği ele alınır. File System Forensics Disklerde yer alan ve işletim sistemlerinin dosyaları ve dizinleri organize etmek için kullandıkları dosya sistemlerinin detaylarının yer aldığı bu konu başlığında disk mimariler, dosya sistemi yapıları, dosya sistemlerindeki silinmiş dosyaların kurtarılması gibi konulara değinilir. 18 standard ocak 2015
Mobile Forensics duyulan bu başlık altında temelde mobil istemciler üzerindeki sayısal delillerin ne şekilde elde edilebileceği ve analiz edilebileceği ele alınır. Örneğin mobil cihazlar üzerindeki mesajlaşma uygulamalarının veritabanlarının elde edilip burada yer alan silinmiş mesajların nasıl kurtarılabileceği bu konu başlığı altındadır. Adli bilişim uzmanı olmak isteyen kişilerin yukarıda sayılan konu başlıklarında eğitim almak istediklerinde karşılarına iki farklı seçenek çıkar. Bunlardan biri üniversite eğitimi, diğeri ise belirli bir sertifika programı çerçevesinde bu eğitimleri almak. özellikle son yıllarda birçok devlet ve vakıf üniversitesinde açılan Si- açıklık kapatılmaya çalışılsa da bu konuda yeterli düzeyde bilgi ve birikime sahip öğretim görevlisi olmaması, bu programların başarısı konusunda soru işareti taşımamıza sebep olmuyor değil. Fakat farkındalığın artmış olması noktasında oldukça sevindirici bir gelişme. Bunun haricinde adli bilişim uzmanlığı konusunda dünyada kabul görmüş üretici bağımsız sertifikalar da hatırı sayılır bir değere Analyst) ve ISC2 nin CCFP (Certified Cyber Forensics Professional) sertifikaları bütün dünyada geçerli sertifikalar olup hem eğitim içerikleri hem de sertifika için şart koştukları sınavları oldukça başarılıdır. Ayrıca adli bilişim incelemelerinde kullandığımız yazılımların da timleri ve eğitim sonunda sınavla alınan sertifikasyonları mevcuttur. Konuyu özetlemek gerekirse adli bilişim uzmanı olarak görev alacak kişilerin mutlaka belirli eğitimleri almış olması, belirli bir süre vakalar üzerinde çalışarak tecrübe kazanmış olması ve mutlaka bir sertifika otoritesi tarafından sertifikalandırılması gerektiğini söyleyebiliriz. standard ocak 2015 19
ARAEDEURODL BORSADÜNYA K TL2015EUR$UHA G20 PGK 20 standard ocak 2015
RJ RKY OTSE OECD 2014 ün en önemli konuları arasında: Amerika Birleşik Devletleri (ABD) Merkez Bankası nın (FED) parasal genişleme politikasından vazgeçerek faiz artırımı yönünde hareket edeceğini açıklaması, Rusya nın, Ukrayna ve Kırım da yaptığı askeri ve siyasi müdahaleler neticesinde hem yaşanan bölgesel gerginlikler hem de ABD ve Avrupa Birliği nin (AB) Rusya ya uyguladığı yaptırımlar neticesinde ülke ekonomisinin daralması, AB Euro Bölgesinde, ekonomideki daralmanın resesyona kadar dayanması ve deflasyon (fiyat artış oranında gerileme) riskinin artması, Orta Doğu da öngörülemeyen bir şekilde ortaya çıkan IŞİD terör örgütünün yanı sıra dünyanın çeşitli bölgelerinde (ABD, Avustralya, Fransa, Afrika, Orta Asya) meydana gelen terör saldırıları ve bunun yarattığı güvenlik zafiyeti paniği ve jeopolitik riskler, Suriye den bölge ülkelerine yaşanan göç, Petrol fiyatlarında yaşanan düşüş, altın ve dolardaki hızlı trafik olarak sıralanabilir. standard ocak 2015 21
Dünya, kapsamlı büyüme ve güvenlik konularına odaklanacak OECD nin 2014 Kasım ayında yayımladığı Ekonomik - sında büyüme rakamlarının yüzde 3,3 ile 3,9 arasında öngörüldüğünü belirtmesi, beklenen bir gelişme ola- ya nın Brisbane kentinde yine Kasım ayında yaptıkları oranında artırmayı hedeflediklerini, bunun da küresel ekonomiye 2 trilyon dolar ekleyerek milyonlarca yeni iş olanağı sağlayacağı belirtilmiştir. Kapsamlı Büyüme nomiden finansa, enerji verimliliğinden uzun dönemli kalkınma planlarına kadar her alanda desteğin verileceğinin altını çizmiştir. Önceki yıllarda enerji güvenliği konusunda önlem almak için stratejiler geliştiren gelişmiş ve gelişmekte olan ülkeler, son yıllarda enerjinin yanı sıra vatandaşlarının can güvenliğini ve devlet sırlarını koruma altına almak konusunda da yeni bir döneme girmiş bulunmaktadır. ülkenin hem kendi vatandaşlarını hem de başka ülkeleri dinlemesi, siber güvenlik konusunu ortaya çıkarmıştır. Teröre karşı can güvenliği önlemleri kapsamında ise ABD de silahsızlanma politikalarının önemi artmış, İngiltere de IŞİD nedeniyle güvenlik seviyesi yükseltilmiştir. Dünyanın büyük ekonomilerinin, bölgesel çatışmalar, işsizlik ve ekonomik az gelişmişlik nedeniyle yaşanan göçler, insan kaçakçılığı neticesinde yaşamını yitirenler, evlerinden, yurtlarından ayrılarak Batı ya yönelen büyük bir nüfusun yaratacağı sosyal ve ekonomik sıkıntılara karşı hazırlıklı olması gerçekliği ortaya çıkmıştır. ABD de büyüme artışı devam edecek ABD, 1930 yılından sonra en büyük ekonomik krizini ekonomisine değil AB ve diğer dünya ülkelerine de negatif yansıması olan bu krizden kolay kolay kurtulunamayacağı düşünülüyordu. Ancak, 2014 yılında hem istihdam verilerinden gelen olumlu rakamlar hem de ABD Merkez Bankası FED in uyguladığı parasal genişleme politikalarından vazgeçmeye başlaması ve beklenen faiz artırımı haberleri doların yükselmesine neden oldu. Ekonomistler, ABD için 2015 enflasyon beklentilerini düşen petrol fiyatlarının da etkisiyle azaltmaktadırlar. Mart ayında açıklanacak olan 2014 nihai büyüme rakamının yüzde 3 civarında olması ABD ekonomisi için 2005 yılından beri en yüksek değer olarak kaydedilecektir. Bu durumda, ABD Merkez Bankası FED in 2015 ortasında yani Haziran veya en geç Eylül ayı içinde faiz artış hızı da yükselebilir. Amerika ayrıca Rus ekonomisine de büyük bir darbe vurarak petrol arzını ve stoklarını artırmış, rezervleri son 30 yılın en üst seviyesine taşıyarak petrol fiyatının düşmesine neden olmuştur. AB Ekonomisinde gözler Avrupa Merkez Bankası (ECB) politikalarında 2014 yılının son günlerinde ECB Baş Ekonomisti Peter Praet düşük petrol fiyatlarının enflasyon rakamlarında düşüş riskini artırdığını belirtirken, bunun 2015 te faizlerin eksi hanelere gerilemesi yani deflasyon riskine yol açacağına dikkat çekmiştir. Düşen fiyatlar ve yatırımların azalması, işsizliğin artması AB ülkelerinde ekonomiyi - de riskleri getirmektedir. Yani Euro Bölgesinde yer alan 19 AB ülkesinin merkez bankalarının hem bağımsız olarak kendi ülkelerinde özel şirketlerin tahvillerini hem de bir birlik düşüncesi ile AB nin çevre ülkelerindeki (hedef bölge) şirketlerin tahvillerini satın almaları oldukça zor yüksek ve daha fazla borçlanmak istemiyorlar. AB genelinde büyümedeki yavaşlama, ırkçılık söylemleri ve gösteriler, işsizlik nedeniyle yaşanan hem AB ülkeleri arası hem de Afrika ve diğer bölgelerden alınan göçler, sosyal olaylarda yaşanan gerginliklere de yol açmaktadır. Son olarak Fransa da yaşanan terör eylemi nedeniyle ortaya çıkan bir başka gerçek daha vardır. O da AB nin genel olarak bir güvenlik politikası olmamasıdır. AB nin hem kendisine enerji sağlayacak güzergâhları sağlama alma anlamında hem de teröre karşı bir güvenlik politikası oluşturması 2015 yılında AB yi zorlayacak en önemli konular olarak düşünülebilir. Bölgesel Güç Savaşları Dünya, 21. Yüzyılda enerji savaşları ve bölgesel güç ortaya koyma mücadelesi veren ülkelerin politikaları doğrultusunda şekillenecek gibi görünmektedir. Bu durum 22 standard ocak 2015
ülke ölçeğinde ekonomilerde belirsizliğe, dünya genelinde ise büyüme rakamlarında dalgalanmaya neden olmaktadır. Örneğin Rusya nın, öncelikle Ukrayna ve Kırım bölgesinde ve genel olarak da eski SSCB ülkelerinde yeniden etkili olma hamlelerine hem ABD den hem de AB den gelen ticari yaptırımların yanı sıra savunma, finans ve enerji alanındaki kısıtlamalar, Rus ekonomisinde daral- ne kadar 2014 te yavaşlama gösterse de yine de hızlı büyüme oranı ile tüketim piyasası anlamında bu ülkeye mal ve hizmet aktarımı yapan ülke piyasaları için önem arz edecektir. Ancak, artan refah seviyesi neticesinde, - ülkelerindeki enerji tüketiminin artması, küresel enerji tüketim ekseninin doğuya kaydığını göstermektedir. Japon ekonomisi de, AB gibi parasal genişleme yöntemi ile ekonomisini canlandırmaya çalışan ülkeler arasında yer almaktadır. Ancak yaşanan her türlü belirsizliğe rağmen, Japonya ve Avustralya kapsam dışında tutulursa, bölgesel olarak 2015 yılında en yüksek büyüme ora- Cumhuriyeti) ülkeleri arasında ise en yüksek büyümenin Hindistan da olacağı, bunun önümüzdeki yıllarda da devam edeceği öngörülmektedir. Petrolün uzun zamandır yani Mayıs 2009 dan beri en düşük seviyelerine inerek 2014 sonu itibarıyla varil fi- Örgütünün (OPEC) 2014 sonlarına doğru dünya petrol talebinin azalacağı öngörüsünde bulunmasına neden olmuştur. Talep tahminini düşürmekte, Ekonomik İşbirliği ve Kalkınma Örgütü (OECD) ülkelerinde, Asya ve Avrupa ekonomilerinde yaşanan daralma ve büyüme rakamlarındaki düşüklük neticesinde tüketimin beklenenden az olması etkili olmuştur. Petrol fiyatlarındaki düşüş, ekonomisi petrol ve türevlerine bağlı Rusya, bir sıkıntı oluşturmaktadır. Ekonomide 2015 yılını belirleyecek olan en önemli aktörlerden birisinin petrol fiyatları olacağını söyleyebiliriz. Türkiye ekonomisinde büyüme hedefleri azaltıldı Petrol fiyatlarındaki düşüş, enerji alanında Türkiye gibi dışa bağımlı ülke ekonomilerinde pozitif bir etki yapacak ARAED gibi görünse de (cari açığın kapanması, ulaşım maliyetlerinin düşmesi neticesinde TL201 tüketim mal ve hizmetlerinde fiyat indirimleri vb.) uzun vadede böyle bir olumlu etki si, Türk Lirasında yaşanan değer kaybı, ülkemiz açısından da büyüme rakamlarının aşağı yönde hareket etmesine neden olabilecektir. Rusya da yaşanan ekonomik durgunluk, Ukrayna da yaşanan kriz, bu bölgelerden ülkemize gelecek turist sayısında da negatif bir etki yaşatabilir. Türkiye nin en büyük ihracat BORS pazarı olan Avrupa ülkelerinde büyümenin duraksaması ve çevre ülkelerdeki jeopolitik gelişmeler sonucunda dış talepte yaşanan zayıflama, ihracat büyümesine sınırlandırıcı etki yapmaktadır. Türkiye nin en büyük sıkıntılarından birisi de cari açıktır. Faizleri düşürerek yatırımcıları teşvik edici önlemler alınması yeterince etkili olmadığından, hem yabancı hem de özel kesimdeki yatırımlar durma noktasına gelmiştir. Türkiye, bölgesinde sürdürülebilir G20 barış sağlanması koşulu ile ihracatını artırabilir. Siyasi riskler nedeniyle bazı bölge ülkeleri ile ihracat pazarımızda talebin yüzde 40 dolayında bir düşüş yaşaması ve AB nin yılın ikinci yarısında durgunluğa (resesyon) girmesine rağmen ihracatımız artmaya devam etmiştir. Ancak kurda yaşanan dalgalanmalar cari açığa çare olabilecek derecede bir ilerleme yaşanmasını engellemiştir. Bölgesel ekonomik ve siyasi istikrarsızlıklar ve jeopolitik gerginlikler, YE PG özellikle sınır komşumuz Suriye de yaşanan iç savaş ve ülkemize gelen sayıları 2 milyona yaklaşan mülteciler, Türkiye nin büyüme hedeflerini de etkilemektedir. Ticarette kaybedilen Irak ve Suriye pazarı, Türkiye nin Orta Doğu ile bağlantısının kesilmesine neden olmuştur. Değerlendirme: 2015 yılında ekonomiyi, petrol fiyatları, bölgesel güç savaşları, ABD ve Rusya ekonomilerinde yaşanacak gelişmeler doğrultusunda, AB ve diğer ülke ekonomilerin alacağı pozisyonlar belirleyecektir. Hem bireylerin can güvenliği hem de kişisel verilerle birlikte devletlerin bilgi güvenliğinin önemi daha da artacaktır. Türkiye de ise 10. Kalkınma Programı dahilinde Öncelikli Dönüşüm Programları ile eğer adaletli gelir dağılımı sağlanabilir ve yeni yapısal reformların uygulanması yönünde güçlü RA bir irade sergilenirse, dolardaki yükseliş, cari açık ve sıcak paradaki azalmaya, işsizlik oranlarındaki artışa ve seçim ekonomisine rağmen 2015 i ekonomide büyük dalgalanmalar yaşanmadan atlatabileceğimizi söyleyebiliriz. standard ocak 2015 23
24 standard ocak 2015
Siber güvenlik alanında Enstitü olarak yaptığınız çalışmaları anlatabilir misiniz? Madde 10 da ilgili kuruluş olarak Madde 12 de ise sorumlu kuruluş olarak, kamu kurumları kritik bilgi teknolojileri ürün ve sistemlerinin asgari güvenlik gereksinimlerinin belirlenmesi, belgelendirmenin yapılması ve Sızma Testi Uzmanı - Beyaz Şapkalı Hacker Belgelendirmesi görevleri verilmiştir. (Bulut - - çalışmaların yüzde 95 i bitirilmiştir. Ulusal Koruma Profili Havuzu Projesi ile ülkemizin bilgi güvenliği ihtiyaçları doğrultusunda, bilgi teknolojileri ürün ve sistemleri için güvenlik kriterleri-standartları ve koruma profilleri oluşturulmaktadır. Ayrıca son zamanlarda revaçta olan ve Enstitümüzün yaptığı Beyaz Şapkalı Hacker Belgelendirmesi de bu çalışmalar kapsamında ortaya çıkarılmış, bununla ilgili CtF (Capture the Flag-Bayrağı Yakala) Laboratuvarı ve sınav ortamı kurulmuş, teorik ve uygulamalı eğitimler ve sınavlar organize edilmiştir. Sınavlarda başarılı olanlara, sertifikalar verilmektedir. Beyaz Şapkalı Hacker eğitimleri hakkında bilgi verebilir misiniz? İnsanlar bu eğitime neden katılsın? güvenlik konusunda eğitim ve danışmanlık veren, siber güvenlik konusunda belirlenecek diğer alanlarda hizmet sunan gerçek ve tüzel kişilerde bulunması gereken asgari özelliklerin belirlenmesi ve belgelendirmenin yapılması kapsamında Sızma Testi Uzmanı-Beyaz Şapkalı Hacker adayları, TSE Yazılım Test ve Belgelendirme Dairesi Başkanlığının hazırlamış olduğu uygulamalı eğitim programına katılıp CtF (Capture the Flag) laboratuvar ortamında yazılı ve uygulamalı sınavlara tabi olmaktadırlar. Eğitimlere giren her kişiden Temiz Adli Sicil Kaydı istenmekte, ayrıca her kişiye eğitimde öğrendiklerini kötüye kullanmayacaklarını beyan ettikleri İş Etiği İlkeleri Taahhütnamesi imzalatılmaktadır. Sızma Testi Uzmanlıkları genel olarak 2 temel alana ayrılmaktadır: Ağ ve Sistem Altyapısı Sızma Testi Uzmanlığı, Bu 2 temel alan da ayrıntılı olarak 9 ayrı teknolojik alana ayrılmaktadır; Ağ ve Sistem Altyapısı Sızma Testi Uzmanlığı, Endüstriyel Kontrol Sistemleri, Sosyal Mühendislik, standard ocak 2015 25
Fiziksel Uygulamalar, Mobil Uygulamalar, Kablosuz Ağlar, Adli Bilişim. Sızma Testi Uzmanı Sertifikasyonunda derecelendirme 4 çeşittir: 1. Stajyer Sızma Testi Uzmanı 2. Kayıtlı Sızma Testi Uzmanı 3. Sertifikalı Sızma Testi Uzmanı 4. Kıdemli Sızma Testi Uzmanı Şimdiye kadar Sızma Testi Uzmanı eğitimlerimiz için 300 adet başvuru alındı, 2014 Mayıs-Aralık döneminde Teorik ve Uygulamalı Sızma Testi Uzmanı Eğitimleri 200 kişiye verildi ve 2 adet sınav yapıldı. Teorik sınava 113 kategorisinde toplam 94 kişiye stajyer sızma testi uz- fikası, 4 kişiye de sertifikalı sızma testi uzmanı sertifikası sızma testi uzmanı sertifikası, 13 kişi kayıtlı sızma testi uzmanı sertifikası, 5 kişi de sertifikalı sızma testi uzmanı sertifikası almaya hak kazandı. Sonuç olarak 2014 yılı içerisinde 4 seviyede 2 farklı uzmanlık alanında toplam 213 adet sertifika verildi. Bu bağlamda, kamu güvencesiyle verilmeye başlanmış bu eğitimlere, sınavlara ve sertifikasyon programı- Planında bahsi geçen ve tüm kamu kurumlarının bünyesinde kurulması gereken SOME (Siber Olaylara Müdahale Ekibi) ve TİB bünyesinde kurulmuş olan USOM (Ulusal Siber Olaylara Müdahale) ekip üyelerinin, kanlığımızın düzenlediği bu eğitimlere ve sınavlara ka- Baş- tılıp kendilerini yetiştirmesi daha da önem arz etmektedir. Özellikle USOM ve SOME ekip liderlerinin, en az Sertifikalı Sızma Testi Uzmanı olmaları, ekipteki diğer kişilerin ise Kayıtlı Sızma Testi Uzmanı olmaları kuvvetle önerilmektedir. Önümüzdeki süreçte siber güvenlik konusunda yeni projeleriniz var mı? dardı kapsamında uluslararası Ortak Kriterler Test Laboratuvarı kurulması planlanmaktadır. Başkanlığımızın kuracağı bu laboratuvar, ülkemizin bilgi güvenliği sektörüne ve ekonomisine büyük katkılar sağlayacaktır. Ayrıca Sızma Testi Uzmanı-Beyaz Şapkalı Hacker eğitim ve sınavları için kullandığımız CtF (Capture the Flag) laboratuvar ortamını statik ortamdan dinamik ortama taşımayı planlamaktayız. Bu şekilde sınav ortamındaki sızma senaryoları dinamik olarak güncellenebilecek, sızma testi eğitim ve sınavları online olarak da yapılabilecektir. Bilirkişisi yetiştirme ve belgelendirme programını oluşturmaktır. Aday Adli Bilişim Uzmanları tarafımızca oluşturulacak teorik ve uygulamalı eğitim ve sınavlara katılıp, başarılı olanlar sertifikalandırılacaktır. Analiz ve Delil sertifikasyon yapılması planlanmaktadır. Bilgisayar Sistemleri Adli Analiz Uzmanı, Bilgisayar Ağları Adli Analiz Uzmanı, Mobil Cihazlar Adli Analiz Uzmanı, Uygulama Yazılımları Adli Analiz Uzmanı, Kötücül Yazılımlar Adli Analiz Uzmanı gibi uzmanlık alanları planlanmaktadır. 26 standard ocak 2015