Merakla açılan kayıt: erişim denetiminin hesabını yönetim verir

Bu hafta iki ayrı masadan iki ayrı dosya geldi. Biri Londra'dan, biri Ankara'dan. İkisinde de zero-day yok. Exploit yok. Yalnızca yetkili bir hesap ve o hesabın açtığı kayıtlar var.

Önce olgular. İngiltere'nin veri koruma kurumu ICO, sağlık kuruluşlarından bu yıl 300'den fazla yetkisiz erişim bildirimi aldığını açıkladı. Kurum 200'den fazla üst düzey yöneticiye mektup yazdı. İstediği şey bir politika belgesi değil. Kişisel güvence. Son tarih 27 Kasım.

İkinci dosya KVKK'dan. Kurul'un 11 Kasım'da yayımladığı bildirime göre bir havayolu şirketinin BT talep ve geliştirme sistemine admin parolasıyla yetkisiz erişildi. Etkilenen kişi sayısı 11.762. İhlal 12 Ekim'de başladı, 26 Ekim'de tespit edildi. Parolanın nasıl elde edildiği bildirime göre kesin olarak tespit edilemedi. İnceleme sürüyor.

İki dosya, tek soru

Biri içeriden, biri dışarıdan. Fark burada bitiyor.

Londra'daki personel sisteme kendi hesabıyla girdi. Ankara'daki bildirimde ise giriş geçerli bir yönetici hesabıyla yapıldı. İki durumda da sistem kapıyı açtı. Çünkü kapıyı açan kimlik geçerliydi.

O halde soru teknik değil, yönetsel. ICO'nun mektubundaki üç soru bunu açıkça söylüyor. Kayıtlara kim erişebiliyor? Kimin neye baktığını denetleyen biri var mı? Yetkisiz erişim yakalanınca ne oluyor?

Bu üç sorunun cevabı bir güvenlik ürününde durmaz. Yetki matrisinde, denetim takviminde ve disiplin prosedüründe durur. Üçü de yönetimin imzasını taşır.

"Kişisel güvence" ne demek?

ICO'nun seçtiği kelime önemli. Kurum, kuruluştan değil yöneticiden güvence istiyor. Önlemlerin kâğıt üzerinde değil sahada çalıştığını soruyor. Önlemlerini son altı ayda gözden geçirmemiş olana üç ay süre veriyor. Yetersiz bulduğuna yaptırım uygulayabileceğini söylüyor.

Bu, sorumluluğu BT biriminden alıp yönetim katına taşıyan bir dildir. "Sistemde log var" cevabı yetmez. Soru şudur: o log'a son ne zaman bakıldı, kim baktı, ne bulundu?

Türkiye'de çerçeve farklı değil. 6698 sayılı Kanun'un 12. maddesi uygun güvenlik düzeyini sağlama yükümlülüğünü veri sorumlusuna verir. Veri sorumlusu bir yazılım değildir. Tüzel kişidir ve onu yönetenler temsil eder. İhlal bildirimi Kurul'un sitesinde yayımlandığında altında şirketin adı yazar.

İki hafta

KVKK bildirimindeki bir ayrıntı üzerinde durmak gerekir. Başlangıç ile tespit arasında yaklaşık iki hafta var. Bildirim bu sürenin nedenini anlatmıyor; ben de tahmin yürütmeyeceğim. Ama yönetim kurulu masasında sorulacak soru bellidir: yönetici hesaplarının oturumları izleniyor mu, izleniyorsa uyarı kime düşüyor?

ICO dosyasında da aynı boşluk var. Habere göre NHS, izleme yeteneğinin kullanılan teknolojiye göre değiştiğini kabul ediyor. Bazı yeni sistemler şüpheli erişimi anında işaretleyebiliyor. Bazıları işaretleyemiyor. İşaretleyemeyen sistemde denetim elle yapılır. Elle yapılmıyorsa hiç yapılmıyordur.

Bütçe kalemi olarak denetim

Erişim denetimi çoğu kurumda bir proje olarak başlar ve proje bitince unutulur. Yetkiler verilir. Geri alınmaz. Görev değişir, yetki kalır. Log tutulur. Okunmaz.

Bunun bedeli iki dosyada da görünüyor. Birinde düzenleyici kurum yöneticilerin kapısını çalıyor. Diğerinde ihlal, Kurul'un sitesinde şirket adıyla duruyor. İkisi de bütçeye yazılmamış bir kalemin faturasıdır.

Son söz

Yetki matrisini bu çeyrek içinde masaya getirin ve her yönetici hesabının sahibini adıyla yazın. Erişim kayıtlarının incelenmesini bir kişiye görev olarak verin, sonucu her ay yönetime raporlatın. Yetkisiz erişim yakalandığında işleyecek soruşturma ve bildirim adımlarını yazılı hale getirin. Güvenceyi düzenleyici istemeden önce siz isteyin.