Tıbbın Ustaları dergisinde yayınlanan Büyük Riskler Sessiz Tehditler başlıklı siber güvenlik farkındalığı makalem.

1. BÜYÜKRSKLER
SESSZTEHDTLERSESSZTEHDTLER

2. KoryakUZAN
INVICTUS A.Ş. Yönet c Ortağı
koryak.uzan@ nv ctuseurope.com

3. Tek cümle le açıklayacak olursak, s ber güvenl ğ “k ş ve kurumların yürüt-
mekte olduğu faal yetler ve b lg varlıklarını, d j tal ortamlardan geleb lecek
tehl kelere karşı korumalarıdır” şekl nde özetlemem z mümkün. Pek çok k ş
pekâlâ bu tanımı yapab lecek durumda olmasına karşın “d j tal dünyadan ge-
leb lecek tehl keler” fades ne yazık k halen anlaşılamıyor. Günümüzde, ne-
redeyse tüm operasyonumuz d j talleşm ş olmasına karşın yüzleşeb leceğ -
m z r skler n boyutu halen gözardı ed l yor. Sırtını sorgulamaksızın bu alanda
oluşturulan (Ancak günümüz tehd t ve metotlarının oldukça ger s nde kalan)
uluslararası b lg güvenl ğ standartlarına dayayan kurumlar aslında almakta
oldukları r sk n halen farkına varamıyor.
S ber güvenl k özell kle son yılların en popüler konuları arasında yer alıyor. Bu
popülerl k öneml b r farkındalık yaratıyor olsa da, herkes n aklında c dd b r
b lg k rl l ğ olduğunu söylemeden geçemey z. Sık sık, kamu ve özel sektörün
yaşadığı s ber saldırılar, farklı ülke ve gruplarca desteklenen s ber olaylar veya
devletler arasında süregelen s ber savaşlar g b konular kulağımıza çalınıyor
olsa da, halen b rçok nsan bu yoğun b lg bombardımanı net ces nde “ney n
ne olduğunu” gerçek anlamıyla kavramakta zorluk çek yor. Bu noktada s ber
güvenl k le lg l temel kavramların anlaşılması ve farklı sektörler n ne tür teh-
d tler le yüzleşeb leceğ n n anlaşılması özell kle farmasöt kal çözümler gel ş-
t ren herkes yakından lg lend r yor.

4. YAZ TIBBIN USTALARI 157
Ney Korumak İst yoruz?
Öncel kle tek b r hususun
bu noktada anlaşılması çok
öneml . S ber r skler yalnızca
barındırdığımız b lg ler de-
ğ l, sürdüregeld ğ m z tüm
faal yetler lg lend r yor. Bu
alanda kr t k altyapılar ç n
çözüm sağlayıcı olarak fa-
al yet gösteren b zler n her
şeyden önce sorduğu soru
en öneml etken olarak öne
çıkıyor: “Ney korumamız
gerek yor?”
Halen pek çok k ş ve ku-
rum s ber güvenl ğ yalnızca
web s tes le l şk lend r -
yor. Oysa, tüm operasyonu-
muz farklı d j tal çözümler
tarafından yönet l yor. Üs-
tüne-üstlük, dayandığımız tüm bu s stemler n kurum
dışına (Internete) er ş mler bulunuyor. IP kameraların-
dan telekonferans s stemler ne, g r ş/çıkış turn keler n-
den veya yüz tanıma s stemler nden kurum ç proje
yönet m yazılımımıza kadar b r çok şey doğrudan dış
dünyaya açık veya dış dünyaya açık olan s stemler le
l şk lend r lm ş ken, s ber güvenl k r skler n n değer-
lend r lmes nde yok sayılıyor. Tümbus stemler ngü-
vende olduğu ve güvenl şek lde yapılandırıldığı
“farz ed l yor” ve bu s stemler n n üret c ler n n
b lg güvenl ğ nden de y anladığı farz ed l yor.
Ancak gerçek, bu varsayımlardan çok daha farklı.
Bunu düşünmek; b r doktorun müth ş b r yakın dö-
vüş uzmanı veya asker olduğunu varsaymaya benz yor.
D ğer yandan, b r s stem kuran ve gel şt ren le o s stem-
de zaf yet arayan k ş ler n çok farklı perspekt flere sah p
olduğunu özell kle bel rtmem z gerek yor. Zaten tam da
bu sebeple, dünyada yüz b nlerce IT f rması bulunur ken
ş n gereğ nce yapan s ber güvenl k f rması sayısı 1000’
geçm yor.
Farklı sektörler nasıl mücadele ed yor? Farklı alan-
larda h zmet eden sektörler n b rb r nden farklı güven-
l k ht yaç ve öncel klend rmeler söz konusu. Örneğ n
b r e-t caret f rması veya b r havayolu ş rket sürekl
“er ş leb l r” olması ç n alması gereken önlemlere yatı-
rım yapar ken; b r ar-ge laboratuvarı ver ler n n çalınma
r sk ne karşı alması gereken önlemlere daha fazla kay-
nak ayırıyor. Bankalar g b hem er ş leb l r olması, hem
de barındırdığı ver n n güvenl ğ n ön planda tutması
gereken yapıların se s ber güvenl k yatırımları d ğer
tüm sektörler n ötes nde. Örneğ n, ortağı olduğum ku-
rum havacılık, b yomed kal, enerj , telekomün kasyon,
ödeme s stemler g b 7 farklı kr t k endüstr ye h zmet
ver yor olsa da, yoğunluğumuzun %50’den fazlası 15
bankacılık kurumu le f nans sektöründen gel yor.
Sağlık sektörünün s ber güvenl k olgunluğu: Sağ-
lık sektörünün gerek farkındalık, gerekse mücadele
konusunda olması gereken olgunluğun çok ger s n-
de olduğunu söylemek yanlış olmayacaktır. Pek tab ;
bu konuda söz gel m b r sağlık kurumu, b yomed kal
f rması veya laç ş rket n n faal yet gösterd ğ ülken n
son derece öneml b r etken olduğunu söylemel y z.
Bu konuda İng ltere, Amer ka ve İsv çre’n n farklı faal -
yet türler ç n şart koştuğu farklı düzenlemeler var. Bu
şartlar, beraber nde öneml b r farkındalık ve güvenl k
okur yazarlığı get r yor. D ğer yandan, sağlık sektörü ve
bağlı bulunduğu farklı sektörlerden dünya devler ne ev
sah pl ğ yapan b r çok ülke halen s ber güvenl ğe b r
“araç muayenes ” gözüyle bakıyor. “Geçer not bulunan
raporumuzu alalım, dosyamıza koyalım, b ts n-g ts n”
şekl nde örnekleyeb leceğ m z bu yaklaşım her geçen
gün farklı kurumlara m lyonlarca dolar zarar ett rse de
zararlar sümen-altı ed lmeye devam ed yor.
F nans sektörü; am r standartların b rer “asgar ” ge-
reks n m olduğunu anlamış ve devamlı daha karmaşık
atak senaryolarına karşı farklı test ve h zmetler alıyor
ken sağlık g b son derece öneml ver ler n şlend ğ b r
sektörün bu olgunluktan uzak olması şaşkınlık ver c b r
durum. Bu noktada, sürdürülen mücadelen n bambaş-
ka b r savunma parad gması olduğunun, s ber güvenl k

5. r sk n n, b r dolandırıcılık r sk , personel ver ml l ğ r sk
veya loj st k kayıpları r sk g b alışılagelm ş “ ç/dış dene-
t m”mantığı ledüşürülemeyeceğ n nkes nolarak drak
ed lmes salık ver l yor. Dolayısı le, özell kle sağlık
endüstr s ndek k ş ve kurumların artık sırtlarını
temeldüzenlemelere,asıluzmanlıkalanıs bergü-
venl kolmayandenetç raporlarına,ISO27001,ISO
27799 g b ver emn yet (güvenl ğ değ l!) stan-
dartlarına değ l gerçek anlamda “tekn k” know-
how sah b çözümlere dayaması gerek yor.
S ber saldırganların dünyası: Öncel kle nasıl IT yö-
net c l ğ , r sk yönet c l ğ ya da güvenl k uzmanlığı b r
meslek ve kazanç kapısı se, s ber yer altında “hacker”-
lığın da b r meslek olduğunu b lmel y z. B zlere gerek
medya, gerekse Hollywood tarafından portre ed len
asosyal, ev n n bodrum katında yaşayan, yalnız ve “kay-
betm ş” b lg sayar korsanı prof l h çb r şek lde gerçeğ
yansıtmıyor. Öyle k ; s ber dünyanın yer altında bam-
başka b r “karanlık pazar" söz konusu.
Sırf ego ç n b lg s stemler ne g r p zaf yet arayan,
zarar veren veya b lg kaçıran k ş ler olduğu g b bunu
b r kazanç kapısı hal ne get renler de var k bu k ş ler
henüz y rm l yaşlarında m lyonlarca dolarlık servetler
kontrol ed yorlar. Üstel k sayıları, yüzler ve hatta b n-
ler le ölçülüyor. K m ler farklı f nans grupları, k m ler
farklı örgütler, devletler veya bas t şek lde “rak pler” ta-
rafından desteklenen bu k mseler n b lg düzey sanıla-
nın çok ötes nde. B rçoğu kr t k altyapının b r güvenl k
önlem olarak kurup bıraktığı güvenl k duvarlarını, An-
t V rus yazılımlarını gözler kapalı baypas edeb len bu
k ş ler, benzer ne az rastlanır saldırı senaryoları tasarla-
yarak uygulayab l yor.
Üstel k bahsedegeld ğ m z bu s ber yeraltında her-
hang b r et k çek nce de söz konusu değ l. Örneğ n b r
laç f rması, rak b n n gel şt rmekte olduğu lacın FDA
onayı ç n gerçekleşt rd ğ süreçlere l şk n raporları ele
geç rtmek üzere m lyonlarca dolar harcayarak bu k ş le-
r n h zmetler nden faydalanab l yor. Veya bas t şek lde
b r sağlık kuruluşu, rak b n n rezervasyon ve hasta b lg
portalının uzun b r sürel ğ ne er ş lmez hale gelmes n
sağlayab l yor ya da çok daha kötüsü, “akıllı” hastaneler-
dek “akıllı” odaların aklını karıştırarak hastanede nf al
ortaya koyab l yor.
Esp yonaj, sabotaj ve daha n celer . Endüstr yel es-
p yonaj veya sabotaj g b farklı tehd t türler nden bah-
setm ş ken b r de tehd tler n kaynağına l şk n akıl yü-
rütmekte fayda var. Örneğ n b zler, b r kurumun s ber
güvenl k sev yes n gerçekç saldırı s mülasyonları ve
tatb katları le test ett ğ m z durumlarda “ ç tehd tler” ve
“dış tehd tler” olmak üzere k farklı başlıkta değerlend -
r yoruz.
Aslen “penetrasyon test ” veya “sızma test ” ded ğ -
m z bu h zmetler n “ ç sızma test ” ded ğ m z fazında;
b r ş rket çalışanının b lg sayarından veya ş rket ağına
hal hazırda bağlı bulunan b r aygıttan hareketle kuru-
munuzda nelere er ş leb l r, neler dışarı çıkab l r, nasıl
casusluk senaryoları devreye sokulab l r veya steme-
den, ne tür saldırganların çer ye yerleşmes n n yolu açı-
lab l r g b vaka örnekler üzer nden g d l r. Bu noktada
ş rket çer s ndek y ve kötü n yetl k mseler sebeb yle
oluşab lecek r skler n neler olduğu anlaşılab l r.
D ğer yandan, organ ze hacker gruplarının dünyanın
ötek ucundan ağınıza sızdığı senaryoların r sk , tesp t
ve önlenmes hedef yle gerçekleşt rd ğ m z dış sızma
testler nde karşılaştığımız hmal ve know-how eks kl k-
ler b zler hayrete düşürüyor. Ne yazık k halen, b lg gü-
venl ğ “endüstr s n n” altın standart kabul ett ğ , ancak
hacker’lar arasında kom k ölçüde kolay baypaslanab len
metotlar le karşı karşıya kalıyor, çok kısa b r süre çer -
s nde test ett ğ m z yapının ana sunucularında yetk s z
şek lde tam yönet c yetk s ne yükseleb l yoruz. Pek
tab tüm bunları b r s mülasyon olarak koord nel b -
ç mde yürütüyor, tüm zaf yetler raporluyoruz. Bunun
ötes nde çoğu zaman, test ett ğ m z s stemlerde, b zden
önce aynı s steme sızmış kötü n yetl k ş ler n zler n ve
arka kapılarını yakalayab l yoruz.
Ters ne mühend sl k: Son yıllarda gözlemled ğ m z
“nesneler n nternet ” akımından belk de en çok fay-
dalanan endüstr lerden b r n n de b yomed kal sektörü
olduğunu söyleyeb l r z. Neyse k , özell kle ürett ğ çö-
zümler n k ş ler n hayatında doğrudan yer aldığı yen -
l kç c haz ve çözümler n üret c ler mümkün olan tüm
r skler n el m ne ed lmes konusunda hassas davranı-
yor. Özell kle hastanın f z k durumunun (şeker, nabız,
kalp sağlığı metr kler vb.) doğrudan nternet bağlantısı
le merkez b r yapıya beslend ğ geleceğ n hasta tak p
çözümler ne değ nmek gerek yor. Bu noktada b r çok
ürün, İsv çre veya Türk ye of s m zde “ters ne mühen-
d sl k” testler ne tab tutuluyor. Her ne kadar güvenl k
araştırmacısı olan b zler n alanından uzak g b görünse
de, bu tür çözümler n yolu doğrudan b zlerden geç yor.
Z ra yaptığımız testlerde bu ürünler n okuduğu, gönder-
d ğ ve aldığı ver ler n saldırganlarca değ şt r leb leceğ
b r çok zaf yet tesp t ed lerek, ürün henüz gel şt rme
aşamasında ken ortadan kaldırmak mümkün olab l -
yor.
Neler yapmalı? Özell kle s ber güvenl k önlemler ve
prosedürler açısından en başarılı kurumların, üst yö-

6. net c ler n bu konu le çok daha ç- çe olduğu kurumlar
olduğunu söylemek kes nl kle doğrudur. S ber saldırı,
endüstr yel esp yonaj, d j tal sabotaj g b öğeler b rer b -
l mkurgu senaryosu değ l, tüm kr t k altyapıların sık sık
yüzleşt ğ b rer kötü tecrübe olmaya devam ed yor.
Artık; hasta b lg ler ver tabanlarının satışa çıkarıla-
b ld ğ , randevu s stemler n n er ş lmez hale get r leb l-
d ğ , tetk k ve muayene kayıtlarının s l neb ld ğ , laç
formüller n n çalınab ld ğ , p yasaların d j tal mecralar
sayes nde man püle ed leb ld ğ yepyen b r dünyada
yaşıyoruz. Bu dünyada sess z, görmed ğ m z ve sayısı
yüzb nler aşan ler -düzey karşıt grup le mücadele et-
mek ç n artık bu dünyanın ç nden gelen k ş ler le, bu
yen dünyaya uygun çözümler üzer nde çalışmak gere-
k yor.
S ber güvenl ğ n, şaret konulup geç lmes gereken
b r d ğer prosedürel zorunluluk değ l, anlık olarak mü-
dahale ve tak p gerekt ren, y anlamak ve sürekl ken-
d m z güncellemek le yükümlü olduğumuz b r konu
başlığı olduğu asla unutulmamalı. Ne yazık k bu konu,
güvenl k ürünler koyup, takıp çalıştırarak önüne geçe-
b leceğ m z b r r sk değ l. Öyle k , kullandığımız güven-
l k ürünler n n, b zler korumaktan öte, ağımıza açılan
b r arka kapı olab leceğ ne l şk n onlarca makale ve kav-
ram-kanıtlama yazısını b zzat b zler yayımladık.
İlaç, tıp veya b yomed kal dah l, ancak bunlar le sınır-
lı olmamak üzere sağlık sektörünün bu yarışta kapatması
gereken açık düşündüğünden de fazla. Buradak en bü-
yük yardımcıları se, perspekt f ve know-how sah b “tek-
n k” uzmanlar. Öngörülemez hasarlara uğramamak adına
kr t k ver şleyen tüm kurumların, kend ler n , gerçek s -
ber dünyaya uygun senaryolar le test ett rmes , bunun
yanında kurum genel ndek s ber güvenl k farkındalığını
öneml ölçüde arttırması b r nc l öncel kler olarak kar-
şımıza çıkıyor. Tak ben bu testler n raporlarındak tüm
zaf yetler n g der lmes (k ş md ye kadar “Kr t k” zaf yet
barındırmayan h çb r sağlık altyapısı le karşılaşmadık)
ve her türlü d j tal yapılandırma ve gel şt rme sürec ne
güvenl ğ n dah l ed lmes gerek yor. Tüm bunların daha
kolay b r yolu ne yazık k mevcut değ l. Ve saldırganın
onlarca denemes nden yalnızca b r nde başarılı olması,
amacına ulaşması ç n yeterl olab l yor.