Sizin gibi okuyucular MUO'yu desteklemeye yardımcı oluyor. Sitemizdeki bağlantıları kullanarak bir satın alma işlemi gerçekleştirdiğinizde, bir ortaklık komisyonu kazanabiliriz.
Sık sık siber saldırıların ve ihlallerin yaşandığı bu günlerde, her kuruluşun güvenliğini iyileştirmesi ve varlıklarının güvenliğini sağlamak için önlemler alması önemlidir. CIA üçlüsü, her kuruluşun güvenlik duruşu ve altyapısı için hayati bir modeldir. Peki CIA üçlüsü tam olarak nedir? Ve güvenli bir sistem oluşturmanıza ve sürdürmenize nasıl yardımcı olur?
CIA Üçlüsü Nedir?
CIA üçlüsü, Gizlilik, Bütünlük ve Erişilebilirlik anlamına gelir. Her sistemin veya kuruluşun güvenliğini yönlendirmek için kullanılan bir modeldir.
CIA üçlüsü bir üçgene benzetilebilir. Güvenli bir sistem oluşturmak için uyulması gereken birbiriyle bağlantılı üç kural ve ilke kümesidir. CIA üçlüsünün bir bileşeni karşılanmazsa, sistem güvenli değildir.
CIA üçlüsü, etkili güvenlik altyapısı ve politikaları için bir temel görevi görür; yerinde olduğunda, güvenlik uzmanlarının politikalar belirlemesi ve kişinin güvenliğindeki zayıflıkları analiz etmesi daha kolaydır.
Gizlilik
Gizlilik, kuruluşunuzun verilerinin ve varlıklarının gizliliği ile ilgilidir. Bu, yalnızca yetkili personel ve hesapların özel verilere erişmesi gerektiği anlamına gelir. Herhangi bir yetkisiz hesap, bir sistemdeki verileri veya komutları okuyamaz, yazamaz veya yürütemez.
Bir kuruluşta bir hesabınız varsa, hesabınızdaki verilere erişmeden veya verileri değiştirebilmeden önce oturum açmanız gerekir. Bilgilerinizi girme süreci, kuruluşun kimliğinizi doğrulayan veri tabanıdır. Bu, varlıklarınızın gizliliğini korumak için yapılır. Bir bilgisayar korsanı hesabınıza ve verilerinize erişim kazanırsa gizliliğiniz ihlal edilmiş demektir.
Gizliliğin ihlal edilmesine ilişkin bazı örnekler şunları içerir: Ortadaki Adam (MitM) saldırıları, paket dinleme, SQL enjeksiyonları ve bir kuruluşa yönelik doğrudan siber saldırılar veya kasıtsız veri sızıntıları.
Çoğu zaman, parolalar güvenli bir şekilde saklanmadığı için gizlilik ihlal edilir. Parolaları şifrelemek ve parolasız kimlik doğrulaması kullanmak gibi parola yöneticileri ve çoklu oturum açma sağlayıcıları varlıklarınızın gizliliğini ve dolayısıyla güvenliğinizi iyileştirmeye yardımcı olur. Çok faktörlü kimlik doğrulama ayrıca her kullanıcının kimliğini doğrulamak ve verilere erişme ve bunları değiştirme yetkisine sahip olduklarından emin olmak için işletme çapında uygulanmalıdır.
Bütünlük
Siber güvenlikte bütünlük, bir sistemde depolanan varlıkların ve verilerin güvenilirliğini, güvenilirliğini ve gerçekliğini ifade eder. Bir kişi veri aktarmak için web sitenizi veya uygulamanızı kullandığında, bu veriler herhangi bir kurcalama olmaksızın onlara ulaşıyor mu?
Dürüstlük, sahip olduğunuz veya bakımınıza emanet edilen her varlığın her zaman doğru, bütün ve tutarlı olmasını sağlar. Bütünlük, sisteme saldıran, önemli verileri, günlükleri ve bilgileri değiştiren siber suçlular tarafından tehlikeye atılabilir.
Sisteminizin bütünlüğünü sağlamanın yolları arasında şifreleme, mesaj özetlerini kullanmave dijital filigranlar. Bu yöntemler, herhangi bir değişiklik yapılmadığından emin olmak için aktarımın başında ve sonunda verileri kontrol etmenizi sağlar. Diğer yöntemler arasında sürüm denetimi ve izinsiz giriş tespit sistemlerinin kullanılması yer alır.
Dürüstlük yerini siber güvenlikte başka bir önemli kavrama bırakır: inkar etmeme.
Reddetmek, bir sözleşmenin veya işlemin geçerliliğini reddetmek veya reddetmek anlamına gelir. Reddetmeme, gönderenin bir mesajın alıcıya gönderildiğini inkar edememesini ve bunun tersinin de garanti altına alınmasını sağlar. Göndericiye teslimat kanıtını ve alıcıya gönderenin kimliğinin kanıtını sağlar. Bu şekilde, her iki taraf da aktarılanın bütünlüğünden emin olur. Reddetmeme ayrıca şifreleme ve dijital imzalardan yararlanır.
Kullanılabilirlik
Verilerin gizliliği ve bütünlüğü sağlanıyorsa ama yine de ulaşılamıyorsa, boşuna değil mi?
CIA üçlüsünde kullanılabilirlik, bir kuruluştaki ve sistemdeki tüm veri ve varlıkların yetkili kullanıcılar tarafından her zaman kolayca erişilebilir olması gerektiği anlamına gelir. Bunu başarmak için, tüm veritabanları, teknik altyapı ve sistemlerin - hem yazılım hem de donanım - düzenli olarak bakımı yapılmalı ve çalışır durumda tutulmalıdır.
Kullanılabilirlik ihlaline bir örnek, Hizmet Reddi (DoS) saldırısıdır. DoS saldırısı, bir siber suçlu çok fazla trafiğe sahip bir sistemi sel bastığında ve onu kullanıcılar için erişilemez hale getirdiğinde gerçekleşir. Kullanılabilirlik ihlallerinin diğer örnekleri şunları içerir: arabellek taşması saldırıları, donanım hatası ve basit insan hataları.
Kullanılabilirlik ihlallerini engellemek için her zaman birden fazla veri yedeğiniz olması gerekir. Sunucular, veritabanları ve uygulama ağları gibi donanım ve yazılım altyapılarında artıklık kavramını uygulamak da gereklidir. Yedeklilik, her zaman kullanılabilirliği sağlamak için aynı depolama altyapısının birden çok örneğinin tutulduğu bir uygulamadır. Bir saldırı durumunda, bir sonraki cihaz veya ekipman, herhangi bir aksama olmadan saldırıya uğrayan kişinin görevini üstlenebilir.
CIA Üçlüsü Neden Önemli?
CIA üçlüsü, sistemlerin ve varlıkların güvenliğini sağlamak için bir kılavuz ve kontrol listesi işlevi gördüğü için siber güvenlikte çok önemli bir kavramdır. CIA üçlüsü ile kuruluşların ve güvenlik personelinin güvenilir ve güvenli sistemler oluşturması daha kolaydır.
Olay müdahalesinde, CIA üçlüsü, üçlünün tam olarak ihlal edilen kısımlarını belirlemede çok önemlidir ve ekibin buna göre tepki vermesine yardımcı olur.
Gizlilik, Bütünlük, Kullanılabilirlik: Hangisi Daha Önemli?
Her biri çok farklı ve herhangi bir sistemin güvenliği için gerekli olduğundan, üç kavramdan en önemlisini seçmek zor olacaktır. Bazı durumlarda, biri diğerinin üzerinde seçilebilir. Örneğin, bir siber saldırı sırasında bir sistemin gizliliğini korumak için kullanılabilirlikten vazgeçilmesi gerekebilir.
Ancak unutmayın, CIA üçlüsünün bir bileşeni ihlal edilirse, o sistemin güvenliği yetersiz kalır.
CIA Triad ile Güvenlik Duruşunuzu Geliştirin
CIA üçlüsü, kuruluşunuzun genel güvenlik duruşunu geliştirmede ve sürdürmede büyük bir rol oynar. Uygulanan bu üç temel bileşenle, kuruluşunuz tehdit aktörlerine ve siber suçlulara karşı güvende kalabilir. Ayrıca, şirketiniz için farkındalık ve güvenlik eğitimi gerçekleştirirken bir rehber görevi görebilirler.