Ağ Güvenliği Politikası Nedir ve Neden Önemlidir?

Ağ güvenliği politikaları, bir kuruluşun ağ tabanlı varlıklarını nasıl kullandığı, yönettiği ve koruduğuna ilişkin katı kuralların ana hatlarını çizer. İyi düşünülmüş bir politika olmadan, bir şirketin ağını kötüye kullanıma, yetkisiz erişime ve siber saldırılara karşı korumaya yönelik resmi bir planı olmaz.

Bu makale, herhangi bir kuruluşun siber güvenlik stratejisinin hayati bir unsuru olan ağ güvenliği politikalarına bir giriştir. Bu önlem belgelerinin bir ekibin ağ tabanlı tehditleri önleme, tespit etme ve bunlarla başa çıkma becerisini nasıl geliştirdiğini görmek için hemen katılın.

Ağ Güvenliği Politikası Nedir?

Ağ güvenliği politikası, ağ tabanlı veri ve kaynakların gizliliğini, bütünlüğünü ve kullanılabilirliğini sağlamaya yönelik stratejilerin ana hatlarını çizen resmi bir belgedir. Bir ağ güvenliği politikasının ana hedefleri şunlardır:

• Ağ varlıklarının kabul edilebilir kullanımını tanımlayın.
• Standartlaştırılmış güvenlik prosedürlerini ana hatlarıyla belirtin.
• Kaynakları ağ tehditlerine karşı korumak için en uygun önlemleri oluşturun.

Ağ güvenliği politikaları, BT gereksinimleri değiştikçe ve siber suçlular yeni taktikler buldukça sürekli güncelleme gerektiren "canlı" belgelerdir. Tipik bir ağ güvenliği politikasının neleri içerdiğine ilişkin bir genel bakış burada yer almaktadır:

• Politikanın amacının ve hedeflerinin bir taslağı.
• Kilit personel ve politikanın oluşturulması ve uygulanmasındaki rolleri.
• Kapsam dahilindeki varlıkların ve kaynakların net bir şekilde tanımlanması.
• Tanımlanan güvenlik risklerine genel bakış (genellikle ciddiyet ve olasılığa göre önceliklendirilir).
• Belirlenen risklerin yönetilmesi ve azaltılmasına yönelik stratejiler.
• Uygulanan güvenlik önlemlerine ilişkin bilgiler (güvenlik duvarları, izinsiz giriş tespit sistemleri (IDS'ler), kötü amaçlı yazılımdan koruma araçları, uç nokta güvenliği vb.).
• Ağ kaynaklarının uygun kullanımına ilişkin yönergeler.
• Güvenliği tehlikeye atabilecek faaliyetlere ilişkin kısıtlamalar.
• Sorunların ve olayların raporlanmasına ilişkin prosedürler.
• Olaya müdahale adımlarına gidin.

Tipik bir ağ güvenlik politikası, her biri güvenliğin belirli bir yönüne (örneğin, veri şifreleme, şifre kuralları, yama yönetimi vb.) odaklanan birden fazla belgenin bir koleksiyonudur. Bu belgeler arasında genellikle bazı örtüşmeler vardır; bu, yönergelerin tüm politikalar arasında tutarlı olması durumunda endişeye neden olmaz.

Ağ Güvenliği Politikaları Neden Önemlidir?

Ağ güvenliği politikaları, ağ tabanlı varlıkların korunmasında hayati bir rol oynar. Bu politikaların bu kadar önemli olmasının ana nedenleri şunlardır:

• Gelişmiş ağ güvenliği. İyi düşünülmüş bir politika, siber savunmaları güçlendirir, güvenlik açıklarını azaltır ve ekiplerin kurumsal ağı güvenli bir şekilde nasıl kullanacaklarını bilmelerini sağlar. Şirketler hem dış hem de iç tehditlere karşı daha dirençli hale gelir.
• Gizlilik, Bütünlük ve Erişilebilirlik (CIA). Ağ güvenliği politikası, değerli verilerin sızması, bozulması veya kullanılamaz hale gelmesi olasılığını azaltır.
• Tutarlı güvenlik önlemleri. Politikalar, kuruluş genelinde güvenlik önlemleri için standartlaştırılmış bir çerçeve sağlar. Şirket, ağ güvenliğini sürdürmek için en uygun stratejileri tanımlar ve uygular.
• Yasal ve mevzuata uygunluk. Ağ güvenliği politikaları, kuruluşların ilgili yasal ve düzenleyici standartlara (ör. CCPA veya GDPR) uymasına yardımcı olur.
• Proaktif bir güvenlik zihniyeti. Kuralların ve en iyi uygulamaların oluşturulması, bir şirketin ağ güvenliğine proaktif bir şekilde yaklaşmasını gerektirir. Politikalar aynı zamanda organizasyon içinde güvenlik bilincine sahip bir kültürün yaratılmasına da katkıda bulunur.
• Düzenli strateji revizyonları. Bir ağ güvenliği politikası, yeni riskleri ele almak veya en son BT değişikliklerine uyum sağlamak için düzenli güncellemeler gerektirir. Düzenli incelemeler ve güncellemeler kuruluşların en son güvenlik tehditlerine ayak uydurmasına yardımcı olur.
• Olaylara optimum yanıtlar. Çok yönlü bir ağ güvenliği politikası, ekiplerin olaylara hızlı ve etkili bir şekilde müdahale etmesine yardımcı olan bir olay müdahale planını içerir. Öngörülemeyen olaylara hazırlıklı olmak aynı zamanda felaketten kurtarmayı ve iş sürekliliğini de geliştirir.

14 Kritik Ağ Güvenliği Politikası

Şirketler genellikle her belgenin ağ güvenliğinin farklı bir yönünü çevreleyen kuralları dikte ettiği birden fazla politika oluşturur. Kuruluşların ağ güvenliği duruşunu geliştirmek için oluşturduğu en yaygın politikalara göz atalım.

Erişim Kontrolü Politikası

Erişim kontrol politikası, ağ kaynaklarına erişim izni verme ve erişimi iptal etme prosedürlerini tanımlar. Politikanın temel amacı, ağ içindeki belirli verilere, uygulamalara ve alanlara yalnızca yetkili kişilerin erişebilmesini sağlamaktır.

Tipik bir erişim kontrolü politikası aşağıdaki bilgileri kapsar:

• Erişim elde etmeden önce kullanıcı kimliğinin doğrulanmasına yönelik gereklilikler (ör. şifreler, biyometri, akıllı kartlar vb.).
• Erişim kontrolleriyle ilgili tanımlanmış riskler.
• İki faktörlü (2FA) veya çok faktörlü kimlik doğrulama (MFA) gibi erişim kontrolü için kullanılan teknolojiler.
• Kullanıcıları rollerine ve sorumluluklarına göre sınıflandıran çeşitli erişim düzeyleri.
• Birisi şirketten ayrıldığında veya rol değiştirdiğinde erişim haklarının iptal edilmesine ilişkin prosedürler.
• Ağın, ağa erişen cihazların kimliğini nasıl doğruladığına ilişkin özellikler.
• Yetkisiz erişim girişimlerini tespit etmek için kullanıcı etkinliklerini izlemeye yönelik yöntemler (örneğin, günlüğe kaydetme mekanizmaları veya güvenlik bilgileri ve olay yönetimi (SIEM) araçları).
• Ofis misafirlerine geçici erişim sağlamaya yönelik politikalar.
• Erişim kontrolüyle ilgili güvenlik olaylarının ele alınmasına yönelik prosedürler.
• Ağ Erişim Kontrolü (NAC) talimatları.

Büyüklüğü veya sektörü ne olursa olsun her kuruluşun bir erişim kontrol politikasına ihtiyacı vardır. Bu belge, uyumluluğun sağlanması ve ağa izinsiz giriş yapanların tespit edilmesi açısından hayati öneme sahiptir.

Hesap Yönetimi Politikası

Hesap yönetimi politikası, ağ içindeki kullanıcı hesaplarını yönetmeye yönelik kuralları ve prosedürleri ana hatlarıyla belirtir. Bir şirketin genellikle bu belgeye dahil ettiği şeyler şunlardır:

• Kuruluşun hesap yönetimi için kullandığı araçlar ve teknolojiler.
• Yeni kullanıcı hesapları oluşturma prosedürleri.
• Kullanıcı hesaplarına uygun izinlerin atanmasına ilişkin yönergeler.
• Kullanıcı kimliklerini doğrulamak için kullanılan kimlik doğrulama yöntemleri.
• Kullanıcı hesaplarını değiştirmeye yönelik prosedürler (örn. izin güncellemeleri, rol değişiklikleri, hesap ayarlarında düzenlemeler vb.).
• Kullanıcı hesaplarının devre dışı bırakılması veya sonlandırılması işlemleri.
• Kullanıcı hesabı etkinliklerini izlemeye yönelik yönergeler.
• Kullanıcı hesaplarına erişimin kurtarılmasına yönelik protokoller.

Kullanıcı hesaplarını oluşturmak, değiştirmek ve devre dışı bırakmak için güvenli ve tutarlı prosedürler isteyen her kuruluşun bir hesap yönetimi politikasına ihtiyacı vardır.

Şifre Politikası

Bir parola politikası, ağ içinde parolaların oluşturulmasını, yönetimini ve kullanımını yönetir. Bu politikanın temel amacı şifrelerin güçlü, benzersiz ve düzenli olarak güncellenmesini sağlamaktır.

Tipik bir şifre politikasının içerdiği bilgiler şunlardır:

• Kullanılan şifre yönetimi araçlarına genel bakış.
• Güçlü ve karmaşık şifrelerin nasıl oluşturulacağına ilişkin talimatlar (örneğin, büyük ve küçük harflerin, sayıların, özel karakterlerin vb. kullanımı).
• Parolalar için minimum ve (varsa) maksimum uzunluk.
• Şifrelerin yeniden kullanımına ilişkin kurallar.
• Kullanıcıların şifreleri değiştirme sıklığı.
• Belirli sayıda başarısız oturum açma denemesinden sonra kullanıcı hesaplarının otomatik olarak kilitlenmesine ilişkin kurallar (kaba kuvvet saldırılarını önlemek için yaygın bir strateji).
• Şirketin şifreleri nasıl sakladığına ve koruduğuna ilişkin açıklamalar.
• Şifre kurtarma prosedürleri.
• Üçüncü taraf uygulamalarla veya entegre hizmetlerle ilişkili şifrelerin kullanımına ilişkin yönergeler.

Parola politikası, ne kadar büyük veya küçük olursa olsun her kuruluş için olmazsa olmazdır. Bu politika, çalınan kimliklerin ve ağ ihlallerinin önlenmesi için gereklidir.

Ağ Kullanım Politikası

Ağ kullanım ilkesi, ağ kaynaklarının kabul edilebilir kullanımını tanımlar. Bu belgenin diğer bir yaygın adı Kabul Edilebilir Kullanım Politikasıdır (AUP).

Ağ kullanım politikasının temel amacı, ağın ve varlıklarının sorumlu ve güvenli kullanımını sağlamaktır. İşte bu belgede özetlenenler:

• Çalışanların kuruluşun ağ kaynaklarını kullanabileceği kabul edilebilir amaçlar.
• Yasaklanmış ağ faaliyetleri (ör. kumar, sosyal medya, kişisel e-postalar, resmi olmayan iletişim araçları, yasa dışı veya etik olmayan faaliyetler, gölge BT araçları vb.).
• Ağ bant genişliğinin uygun kullanımına ilişkin yönergeler.
• Yazılımın kuruluşa ait cihazlara kurulumuna ilişkin kurallar.
• Zorunlu ağ güvenliği uygulamalarına ve araçlarına genel bakış.
• Kullanım talimatlarını ihlal etmenin sonuçları.
• Kişisel cihazların kullanımına ilişkin kısıtlamalar.

Ağ kullanım politikası, ağ faaliyetlerini kontrol etmek isteyen her kuruluş için alınması gereken bir önlemdir.

Uzaktan Erişim Politikası

Uzaktan erişim ilkesi, bir kuruluşun iç ağına ve kaynaklarına tesis dışı bir konumdan güvenli erişim için kuralları belirler. Tipik bir uzaktan erişim politikasında bulmayı bekleyebileceğiniz şeyler şunlardır:

• Kimlerin ağa uzaktan erişme yetkisine sahip olduğunu gösteren bir liste.
• Uzak kullanıcıların kimliğini doğrulamak için kullanılan yöntemler.
• Uzaktan erişime izin verilen cihaz türleri.
• Uzak bağlantı kurmak için onaylanmış yöntemler (örn. RDP veya VPN).
• Çalışanların uzaktan erişim elde etmek için karşılaması gereken güvenlik standartları (ör. güncellenmiş uygulamalar, şifreleme gereksinimleri, güvenlik duvarı yapılandırmaları, etkinleştirilmiş antivirüs yazılımı vb.).
• Uzaktan erişim sırasında hassas verileri koruyan güvenlik önlemleri.
• Uygun uzak etkinliklere ilişkin yönergeler.
• Uzaktan erişim oturumlarının günlüğe kaydedilmesi ve izlenmesi prosedürleri hakkında bilgi.

Uzaktan erişim politikaları, çalışanların şirket ofisi dışındaki konumlardan dahili ağa bağlanmasına izin veren herhangi bir şirket için isteğe bağlı değildir.

Veri Şifreleme Politikası

Veri şifreleme ilkesi, hassas ağ verilerini koruyan şifreleme tekniklerinin kullanımını yönetir. Tipik bir veri şifreleme politikasının kapsamı aşağıda açıklanmıştır:

• İlgili veri koruma düzenlemeleri veya uyumluluk standartları.
• Duyarlılık ve önem temelinde veri kategorileri.
• Onaylanmış şifreleme algoritmaları.
• Şifreleme anahtarlarının oluşturulması, saklanması ve yönetilmesine yönelik prosedürler.
• Çeşitli cihazlarda ve ortamlarda depolanan verilerin şifrelenmesine ilişkin gereksinimler (kullanılmayan şifreleme).
• Verileri bir ağdan diğerine geçerken şifrelemeye yönelik standartlar (aktarım sırasında şifreleme).
• Etkin işleme sırasında verilerin şifrelenmesine ilişkin gereksinimler (şifreleme kullanımda).
• Bulut ortamlarındaki verilerin şifrelenmesine yönelik önlemler.
• Verilerin şifresini çözme prosedürleri.

Hassas veya gizli verileri işleyen her kuruluş bir şifreleme politikası oluşturmayı düşünmelidir. Bu politika özellikle katı veri koruma düzenlemelerine sahip sektörlerdeki kuruluşlar (ör. sağlık hizmetleri, finans veya devlet) için geçerlidir.

Güvenlik Duvarı ve Ağ Güvenliği Politikası

Güvenlik duvarı ve ağ güvenliği politikaları, güvenlik duvarlarını ve diğer ağ güvenliği aygıtlarını yapılandırmaya, kullanmaya ve yönetmeye ilişkin kuralları tanımlar. Bu politikanın temel amacı gelen ve giden ağ trafiğini izlemektir.

Şirketlerin genellikle güvenlik duvarı ve ağ güvenliği politikalarına dahil ettiği şeyler şunlardır:

• Donanım ve yazılım tabanlı güvenlik duvarlarına ilişkin kurallar ve yapılandırmalar.
• İzin verilen ve yasaklanan trafik türleri.
• Trafiği kötü amaçlı etkinlik belirtilerine karşı izleyen izinsiz giriş önleme ve tespit sistemlerine yönelik kurallar ve yapılandırmalar.
• Her bölümün güvenlik gereksinimlerinin ana hatlarını içeren ağ bölümlendirme yönergeleri.
• VPN'leri yapılandırma ayarları.
• Ağ trafiğinin günlüğe kaydedilmesi ve izlenmesi için gereksinimler.
• Güvenlik duvarlarının ve izinsiz giriş önleme sistemlerinin tespit ettiği güvenlik olaylarını tanımlamaya ve bunlara yanıt vermeye yönelik prosedürler.
• Ağı hizmet reddi saldırılarına karşı korumaya yönelik önlemleri belirtir (örneğin, filtreler veya trafik kısıtlamanın uygulanması).
• Ağ yapılarını gizlemek için Ağ Adresi Çevirisinin nasıl kullanılacağına ilişkin talimatlar.
• Belirli uygulamalara, protokollere veya hizmetlere (ör. e-posta veya veritabanı sunucuları) yönelik güvenlik önlemleri.

Şirket içi ağı yöneten her kuruluşun bir güvenlik duvarı ve ağ güvenliği politikası olması gerekir. Ancak politikanın ne kadar karmaşık ve bütçe açısından ağır olacağı şirketler arasında önemli ölçüde farklılık gösteriyor.

Olay Müdahale Politikası

Olay müdahale politikası, ekiplerin ağ içindeki güvenlik olaylarına nasıl tepki vereceğini belirleyen belgelenmiş bir dizi prosedür sağlar. Bu politikaya dahil etmeniz gerekenler şunlardır:

• İlgili tüm yasal ve düzenleyici gereklilikler (örneğin, belirli bir RTO veya RPO'yu karşılaması gereken bir sistem).
• Potansiyel güvenlik olaylarını tanımlamaya yönelik yöntemler ve prosedürler.
• Öngörülemeyen olayları doğalarına ve etkilerine göre kategorize etmeye yönelik bir çerçeve.
• Müdahalede yer alan bireylerin rolleri ve sorumlulukları.
• Bir olay hakkında iç ve dış paydaşların bilgilendirilmesine yönelik bir iletişim planı.
• Olayın kontrol altına alınmasına yönelik eylem ve prosedürler (örneğin, etkilenen sistemlerin izole edilmesi veya ağ erişiminin kapatılması).
• Sorunun temel nedeninin ortadan kaldırılmasına yönelik süreçler.
• Etkilenen sistemlerin normal çalışmaya geri döndürülmesine ilişkin talimatlar.
• Olayın nedenini ve kapsamını belirlemek için adli analiz yapılmasına yönelik prosedürler.
• Müdahale faaliyetleri için dokümantasyon gereklilikleri.
• Olay sonrası incelemelerin yürütülmesi süreci.
• Olay müdahale ekipleri için talimatları inceleyin.

Şirketler genellikle yıkıcı olabilecek her olay için ayrı bir politika oluşturur. Kuruluşların her talihsiz senaryoya yönelik bir politikası olamaz, bu nedenle doğru risk değerlendirmeleri ve önceliklendirme çok önemlidir.

Yama Yönetimi Politikası

Yama yönetimi politikası, yazılım yamalarının planlanmasını, test edilmesini, dağıtılmasını ve izlenmesini yöneten prosedürleri belirtir. Bu politikanın temel amacı, ağ sistemlerinin en son güvenlik yamaları, hata düzeltmeleri ve yazılım güncellemeleriyle güncel olmasını sağlamaktır.

Tipik bir yama yönetimi politikasının kapsadığı şeyler şunlardır:

• Yamalama için kullanılan araç ve teknolojilere genel bakış (ör. yama yönetimi yazılımı, güvenlik açığı tarama araçları, yapılandırma yönetim sistemleri vb.).
• Yama programları.
• Çalışanların en son yamalar ve güncellemeler hakkında nasıl bilgi sahibi olabileceğine ilişkin talimatlar.
• Yazılım ve sistemlerdeki güvenlik açıklarını belirleme süreci.
• Yamalara öncelik verme kriterleri.
• Üretime dağıtılmadan önce yamaların kontrollü bir ortamda test edilmesine yönelik prosedürler.
• Beklenmeyen sistem davranışı durumunda yamaları geri almaya yönelik bir kılavuz.
• Yama yönetimi faaliyetlerinin etkinliğini izlemeye yönelik yöntemler.
• İlgili belgelerin (yama dağıtımlarının kayıtları, test sonuçları ve iletişim günlükleri) bakımına ilişkin kurallar.

Her kuruluşun bir yama yönetimi politikasına ihtiyacı vardır. Bu olmadan, bir şirketin çalışanların en son yazılım sürümlerini kullanmasını sağlaması mümkün değildir.

E-posta Güvenlik Politikası

E-posta güvenlik politikaları, bir kuruluş içinde e-posta mesajlarının güvenli kullanımını belirler. Bu politikalar, kuruluşları e-postayla ilgili tehditlere (ör. kimlik avı saldırıları, kötü amaçlı yazılım dağıtımı, sosyal mühendislik taktikleri vb.) karşı korur.

E-posta güvenlik politikaları, aşağıdakiler de dahil olmak üzere bir dizi önlemi ve en iyi uygulamaları kapsar:

• E-posta iletişimini korumak için kullanılan tüm teknolojilere genel bakış.
• Yalnızca yetkili kullanıcıların e-postalara erişebilmesini ve e-posta gönderebilmesini sağlamaya yönelik yönergeler.
• Kimlik avı girişimlerini belirleme ve engelleme adımları.
• Kötü amaçlı ekleri ve bağlantıları tespit etmek ve engellemek için e-posta içeriğini tarama prosedürleri.
• Hassas veya gizli bilgilerin e-posta yoluyla yetkisiz aktarımının önlenmesine ilişkin talimatlar.
• Spam ve istenmeyen e-postaları filtrelemeye yönelik yönergeler.
• Şüpheli e-postaların ve e-postayla ilgili olası güvenlik olaylarının bildirilmesine yönelik prosedürler.
• E-posta güvenlik politikasına farkındalığı ve bağlılığı sağlamak için çalışan eğitiminin düzenlenmesine yönelik talimatlar.

Şirket içi e-posta sunucusu çalıştıran her kuruluşun bir e-posta güvenlik politikasına ihtiyacı vardır.

Ağ İzleme ve Günlüğe Kaydetme Politikası

Ağ izleme ve günlüğe kaydetme politikası, kuruluşun ağı nasıl izleyeceğini ve etkinlikleri nasıl günlüğe kaydedeceğini yönetir. Bu politikanın genel olarak kapsadığı konular şunlardır:

• Ağ izlemenin hedefleri (örneğin, güvenlik olaylarını tanımlamak ve önlemek, ağ performansını optimize etmek, kritik hizmetlerin yüksek düzeyde kullanılabilirliğini sağlamak vb.).
• Kullanıcı gizliliği ve veri koruma yasalarıyla ilgili hususlar.
• Ağ izleme faaliyetlerinin kapsamı.
• Ağ izleme araçları uygulandı.
• Bant genişliği kullanımını, gecikmeyi ve kullanılabilirliği izlemeye yönelik prosedürler.
• Şüpheli veya kötü amaçlı etkinlikleri tespit etmeye yönelik yönergeler.
• Toplanan log türlerine ilişkin detaylı açıklamalar.
• Günlük depolama mekanizmaları ve saklama süreleri.
• Günlükleri analiz etme ve rapor oluşturma prosedürleri.
• İzlenen olaylara dayalı olarak bildirimler ve uyarılar oluşturmaya yönelik kriterler.

Şirket içi ağ işleten her kuruluşun bir ağ izleme ve günlük kaydı politikasına ihtiyacı vardır.

Mobil Cihaz Güvenliği Politikası

Mobil cihaz güvenlik politikası, ağa bağlı mobil cihazların güvenli kullanımını ve yönetimini yönetir. Bu politika şirketlere şu konularda yardımcı olur:

• Hassas veritabanlarını koruyun.
• Veri bütünlüğünü ve gizliliğini sağlayın.
• Akıllı cihazları ve dizüstü bilgisayarları kurumsal ağa bağlamanın güvenlik risklerini azaltın.

Mobil cihaz güvenlik politikasında şunları bulacaksınız:

• Kuruluş içindeki mobil cihazlar için kabul edilebilir kullanım politikaları.
• BYOD cihazlarının iş görevleri için kullanılmasına ilişkin kurallar.
• Cihazları güvenlik ayarları, şifreleme ve diğer gerekli kontrollerle yapılandırmaya yönelik prosedürler.
• Güvenli kimlik doğrulama, cihaz kaydı ve yetkisiz erişimi önlemeye yönelik önlemler için gereksinimler.
• Mobil cihazlarda ağ bağlantılarının güvenliğini sağlamaya yönelik önlemler.
• İşle ilgili uygulamaları mobil cihazlara yükleme ve kullanma yönergeleri.
• Çalışanların kaybolan veya çalınan cihazları bildireceği bir süreç.
• Kaybolan veya çalınan cihazlardaki verileri uzaktan silme işlemi.
• Veri kaybı veya cihaz arızası durumunda yedekleme ve kurtarma süreçlerine ilişkin prosedürler.

Kendi ağında mobil cihazların kullanımına izin veren her kuruluşun bir mobil cihaz güvenlik politikasına ihtiyacı vardır.

Sunucu Güvenliği Politikası

Sunucu güvenlik politikası, bir kuruluşun ağındaki sunucuların güvenli yapılandırılması, yönetimi ve kullanımına ilişkin yönergeleri ana hatlarıyla belirtir. Şirketlerin genellikle bu politikaya dahil ettiği şeyler şunlardır:

• Tüm sunuculara genel bakış (model, yaş, başvurulacak yönetici, son kontrolün zamanı, raf bilgisi vb.).
• Sunuculara erişimi kontrol etmeye yönelik önlemler (örneğin, kimlik doğrulama mekanizmaları, kullanıcı hesabı yönetimi, rol tabanlı erişim kontrolleri (RBAC), vb.).
• Sunucu yapılandırma standartları (örneğin, işletim sistemi ayarları, ağ yapılandırmaları, güvenlik yazılımı yapılandırmaları vb. için yönergeler).
• Sunuculara güvenlik yamaları ve güncellemeleri uygulama prosedürleri.
• Sunucu odasının fiziksel güvenliğinin nasıl sağlanacağına ilişkin yönergeler.
• Doğru sunucu yönetimi için talimatlar.
• Davetsiz misafirler veya sunucu odasına su baskını gibi güvenlik olaylarına müdahale etmeye yönelik prosedürler.
• Sunucu arızası durumunda veri kurtarma kılavuzları.

Sunucu güvenlik politikaları, şirket içi sunucu odasına sahip her kuruluş için olmazsa olmazdır.

Güvenlik Açığı Değerlendirme Politikası

Bir güvenlik açığı değerlendirme politikası, ekiplerin bir ağ içindeki güvenlik kusurlarını sistematik ve proaktif bir şekilde nasıl araması gerektiğini açıklar. Tipik bir güvenlik açığı değerlendirme politikası aşağıdaki bilgileri sağlar:

• Güvenlik açığı değerlendirmelerinin kapsamı.
• Değerlendirmelerin sıklığı.
• Kusurları keşfetmeye yönelik yetkili araçlar ve teknikler (ör. ağ tarayıcıları, uygulama güvenlik tarayıcıları, sızma testi araçları vb.).
• Güvenlik açığı değerlendirmeleri gerçekleştirmek için gereken izinler.
• Değerlendirme sonuçlarının belgelenmesi ve raporlanmasına ilişkin prosedürler.
• Farklı faktörlere (ör. kusur ciddiyeti, kuruluş üzerindeki potansiyel etki, gerçekçi risk düzeyi vb.) dayalı olarak belirlenen güvenlik açıklarının önceliklendirilmesine yönelik kriterler.
• Tanımlanan güvenlik açıklarını ele alma ve iyileştirme süreci.
• Yanlış pozitifleri yönetme ve ele alma prosedürleri.
• İyileştirme çabalarının etkililiğinin yeniden değerlendirilmesi ve doğrulanması için kılavuzlar.

Ağ güvenliği risklerini proaktif olarak azaltmak isteyen her kuruluşun bir güvenlik açığı değerlendirme politikasına ihtiyacı vardır.

Ağ Güvenliği Politikası Nasıl Uygulanır?

Bazı politikaların oluşturulması diğerlerinden daha zordur ancak hepsi benzer bir prosedür içerir. Aşağıda bir ağ güvenlik politikası oluşturmaya ve uygulamaya yönelik adım adım bir kılavuz bulunmaktadır.

1. Politika Hedeflerini ve Kapsamını Tanımlayın

Politikayı kimin oluşturacağını, inceleyeceğini ve uygulayacağını belirleyerek başlayın. Çoğu şirket aşağıdakilerin bir kombinasyonunu tercih eder:

• BT ekibinden temsilciler.
• Güvenlik uzmanları (dahili veya dış kaynaklı).
• Hukuk ekibi.
• Yönetici liderlik.

Ekip oluşturulduktan sonra ağ güvenliği politikanızın üst düzey hedef(ler)ini açıkça tanımlayın. İşte birkaç yaygın örnek:

• Veri korumanın iyileştirilmesi.
• Yetkisiz erişimin önlenmesi.
• Ağ çalışma süresini artırma.
• Ağı ihlal eden davetsiz misafirleri izole etmek.
• Fidye yazılımı enjeksiyonlarını önleme.
• Trafik izlemenin iyileştirilmesi.

Daha sonra politikanın kapsamını tanımlayın. Ağdaki tüm kaynakları (örn. sunucular, veritabanları, uygulamalar, cihazlar vb.) tanımlayın ve kataloglayın. Ayrıca ağı kimin ve ne şekilde kullandığını da hesaba katın.

Ağ için geçerli olan yasal ve düzenleyici gereklilikleri göz önünde bulundurun. Birçok kuruluşun PCI veya HIPAA gibi sektöre özel standartlara uyması gerekir. Ağ güvenliği ilkesinin bu gereksinimlerle uyumlu olduğundan emin olun.

Son olarak belirlenen hedefleri, varlıkları ve tanımlanan kapsamı belgeleyin. Bu bilgi, ağ güvenliği politikasının geliştirilmesi için bir temel görevi görür.

2. Ağ Risk Değerlendirmesi

Ağın güvenliğini etkileyebilecek potansiyel tehditleri belirleyin. Olağan riskler şunları içerir:

• Kötü amaçlı yazılım enjeksiyonları.
• Veri sızması.
• Arabayla indirmeler.
• Yetkisiz erişim.
• Arka kapı kurulumu.
• İnsan hatası (örn. çalışanların şifrelerini paylaşması veya hesaplarından çıkış yapmayı unutması).
• Kaynakları tüketen sahte trafik.
• Ortadaki adam saldırıyor.
• Trafik kaçırılıyor.

Tanımlanan her riskin olasılığını değerlendirin. Çoğu şirket bu süreçte geçmiş verilere, sektör eğilimlerine ve uzman görüşlerine güvenir.

Ayrıca tanımlanan her riskin potansiyel etkisini de değerlendirmelisiniz (ör. kesinti süresi, veri ihlalleri, yanlış yönlendirilmiş trafik vb.). Etki analizi, aşağıdaki açılardan sonuçların ölçülmesine yardımcı olur:

• Mali kayıplar.
• İtibar hasarı.
• Operasyonel kesinti.

Olasılık ve etki kombinasyonuna dayalı olarak riskleri önceliklendirin. Yüksek öncelikli riskler, hem gerçekleşme olasılığı yüksek hem de önemli potansiyel sonuçları olan risklerdir. Tanımlanan tüm riskleri olasılıkları ve etkileriyle birlikte listeleyerek risk değerlendirmesi sonuçlarını belgeleyin.

3. Politika Geliştirme

Şu ana kadar toplanan bilgileri aşağıdakileri sağlayan bir güvenlik stratejisi oluşturmak için kullanın:

• Birinci adımda tanımlanan hedeflerin karşılanmasına yardımcı olur.
• İkinci adımda belirlenen yüksek öncelikli riskleri azaltır.

Çoğu durumda, bir güvenlik uzmanı ilk taslağı yazmalı ve kapsam dahilindeki varlıkları belirlenen risklerden en iyi hangi önlemlerin koruyacağını özetlemelidir. Politikanızın temelini belirlemek için kurum içi uzmanlara güvenebilir veya üçüncü taraf bir ekip kiralayabilirsiniz.

Güvenlik ekiplerinin bir politika oluştururken başvurduğu tipik önlemler şunlardır:

• Yeni güvenlik kontrollerini uygulayın.
• Daha iyi erişim kontrolleri dağıtın.
• Yeni güvenlik duvarları ve kimlikleri ayarlayın veya değiştirin.
• İzleme yeteneklerini geliştirin.
• Verileri şifreleyin.
• DDoS önleme araçlarını dağıtın.
• Olay müdahale prosedürlerini oluşturun veya iyileştirin.
• Yeni yedekleme stratejileri oluşturun.
• Honeypot sunucularını kurun.
• Ağı birden fazla bölgeye ayırın.
• Sıfır güven güvenlik önlemlerini uygulayın.

Güvenlik uzmanlarını politikaya dahil edilen her önlemin arkasındaki mantığı belgelemeye teşvik edin. Bu mantığı anlamak, politikanın benimsenmesine ve gelecekteki revizyonlara yardımcı olur.

Güvenlik ekibi politikayı oluşturduktan sonra belgeyi tüm önemli paydaşların incelemesi ve onayı için dağıtın. Tüm karar vericiler stratejiyi imzalarsa bir sonraki adım, yeni güvenlik önlemlerini açıklayan ayrıntılı bir belge yazmak olacaktır.

Yazarlar, politikayla birlikte gelen güvenlik değişikliklerini özetlemenin yanı sıra bu noktada aşağıdakileri de tanımlamalıdır:

• Politikayı uygulayacak personele başvurun.
• Çalışanların yeni politikaya uyum sağlamak için ne yapması gerektiğine ilişkin açık beklentiler.
• Ağ güvenliğini tehlikeye atan faaliyetlere ilişkin kısıtlamalar.
• Güvenlik olaylarının raporlanmasına ilişkin prosedürler.
• Ağ güvenliği politikasının gözden geçirilmesi için zaman çizelgeleri.

4. Politika Uygulaması

Yeni politikanın uygulanmasına ilişkin aşamaları ve kilometre taşlarını özetleyen ayrıntılı bir zaman çizelgesi oluşturun. Yapılandırılmış ve organize bir yaklaşım sağlamak için her aşama için belirli zaman dilimleri belirleyin.

Uygulamada yer alan bireylere veya ekiplere görev ve sorumluluklar atayın. Hesap verebilirliği sağlamak için planın hangi yönünden kimin sorumlu olduğunu açıkça tanımlayın.

Tam ölçekli uygulamadan önce küçük ölçekli dağıtımları uygulayın. Bu pilot programlar bir kuruluşun şunları yapmasına olanak tanır:

• Mevcut iş akışlarını ve süreçleri aşırı derecede aksatmaktan kaçının.
• Öngörülemeyen zorlukları tanımlayın ve ele alın.
• Her yeni özelliğin ve aracın beklendiği gibi çalıştığından emin olun.
• Daha geniş bir kullanıma sunmadan önce geri bildirim toplayın.

Gerekirse pilot dağıtımlar sırasındaki geri bildirimlere göre politikayı ayarlayın. Ayrıca herkesin yeni politikaya nasıl uyum sağlayacağını anladığından emin olmak için çalışanlara yönelik güvenlik farkındalığı eğitimleri düzenleyin.

Ağ Güvenliği Stratejinizle Proaktif Olun

Ağ güvenliği politikasına sahip olmamak, şirketlerin siber savunmalarında aşırı tepkisel hale gelmesi anlamına geliyor. Kuruluşlar güvenlik iyileştirmelerini yalnızca, ekiplerin genellikle siber ölüm zincirinin son noktasına doğru durduğu olaylardan sonra değerlendirir. Bu riskli zihniyetten kaçının ve şirketinizin ağ tabanlı tehditlere karşı hazır olmasını sağlayacak politikalar oluşturmaya başlayın.