GİRİŞ
Standart kelimesinin zihinlerde ilk yaptığı çağrışım
tekilliktir. Standartlar, tek ve biri yani olması gerekeni
ilgilendiği konu için ortaya koymaya çalışırlar. Ancak
standart kelimesi için dahi kısa bir araştırma ile birçok
farklı tanım elde edebiliriz. İlk kaynak olarak Türk Dil
Kurumu standart kelimesini sıfat olarak [1] “belli bir tipe
göre yapılmış veya ayrılmış”, “belirli ölçülere, yasaya,
kullanıma uygun olan” ve “örnek veya temel olarak
alınabilen” şeklinde 3 farklı şekilde tanımlarken Türk
Standardları Enstitüsü (TSE)[2] “imalatta, anlayışta,
ölçme ve deneyde örnekliktir” şeklinde tanımlamaktadır.
Örnek verdiğimiz tanımları araştırmayı derinleştirerek
çoğaltabilir hatta bizlerde kendi tanımımızı ortaya
koyabiliriz. Bu durumda “insanlık için tekliğin ve
birliğin sembolü olan standardın nasıl olurda tek bir
tanımı olmaz?” sorusunu sormak kaçınılmaz hale
gelmektedir. Her ne kadar farklı şekillerde tanımlasak
dahi tanımlarımızın tamamı aynı hedefe ulaşmak için
kullandığımız farklı yollar olarak görülmelidir.
Standardizasyon faaliyetleri de bu anlamda standartları
temel alarak farklı yollardan aynı hedef ulaşma çabası
olarak görülmelidir. Standartlar ile hedeflenen
faydalar[3] herkes için güvenlik, güvenilirlik, koruma,
birlikte çalışabilirlik, ekonomik getiri ve yeni
seçeneklerin ortaya konulabilmesi olarak özetlenebilir.
Standartsız bir dünya hayal edildiğinde ürünlerin
istenildiği gibi çalışmadığı, kalitesinin beklentileri
yakalayamadığı, diğerleri ile uyumu sağlayamadığı, tek
bir üretici ile kısıtlı kalınması zorunluluğunun ortaya
çıktığı, üreticilerin en basit çözüm için dahi kendi
kapasiteleri ile kısıtlı kalması sebebiyle inovasyonun hız
kestiği ve daha kötüsü ürünlerin sağlığı ve yaşamı tehdit
ettiği görülecektir[
Bu çalışmada ülkemizde bilişim teknolojileri alanında gerçekleştirilen gönüllü ve zorunlu standardizasyon faaliyetleri ile bu faaliyetlerin konu edindiği bilişim teknolojileri standartları ilgili bilgiler sunulacaktır. TS EN ISO/IEC 27001 BİLGİ GÜVENLİĞİ YÖNETİM SİSTEMİ Bilgi taşıdığı değere nispetle varlık sınıflandırmamız arasında en önde gelmektedir. Bilginin taşıdığı değer nedeniyle onu korumak için elimizden geleni yaparız. Koruma çabasının boşa gitmemesi ve amacına ulaşabilmesi için teknolojik çözümlerle birlikte sağlam bir güvenlik yönetim sisteminin kurulması gerekmektedir. İhtiyaç duyduğumuz etkin bilgi güvenliği sisteminin oluşturulabilmesi için geliştirilen TS EN ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi[5] standardı bilgi güvenliğini 7 ana madde ve 14 kontrol başlığı altında ele almaktadır. Ele alınması gereken 14 kontrol başlığı şöyledir: 12. Bilgi Güvenliği Vaka Yönetimi 13. Bilgi Güvenliği
Yönetimi 14. Uyum
Açısından İş
Sürekliliği Akreditasyon kapsamında 27001 standardı bulunan 29 belgelendirme kuruluşu olduğu göz önüne alındığında ülkemizde yaygın olarak kullanılan bilişim teknolojileri standartlarının başında gelmektedir. İlgili alanındaki bazı konularda işletmelere 27001 belge alma zorunluluğu getiren kurumlar şöyledir:
Enerji Piyasası Düzenleme Kurumu Gümrük ve Ticaret Bakanlığı Maliye Bakanlığı Bilgi Teknolojileri ve İletişim Kurumu
Sivil Havacılık Genel Müdürlüğü TS ISO/IEC 15408 ORTAK KRİTERLER Bilişim teknolojileri ürünlerinin güvenliğine odaklanmış olan standart, Uluslararası Standardizasyon Organizasyonu (ISO) tarafından kabul edilerek yayınlanan bir standart olmakla birlikte bağımsız bir topluluk tarafından geliştirilerek güncellenmektedir[6]. Bağımsız topluluk üyesi olunabilmesi için “Ortak Kriterler Tanıma Anlaşması”na taraf olunması ve tanıma anlaşmasına taraf olacak belgelendirme makamının bulunduğu ülkenin kamu kuruluşu olması gerekmektedir. Her ülkede sadece bir adet belgelendirme makamı tanınmaktadır. Anlaşmaya taraf belgelendirme makamları “üretici üye” ve “tüketici üye” olarak ikiye ayrılmaktadır. Üretici üyeler tarafından verilen belgeler tüm üyeler tarafından kabul edilmekte iken tüketici üyelerin verdikleri belgeler sadece kendi ülkelerinde kabul görmektedir. 17 üretici ve 11 tüketici üyenin taraf olduğu anlaşmada ülkemiz TSE tarafından temsil edilmekte ve üretici üyeler arasında bulunmaktadır. Standart üç bölüm ve bir metodoloji dokümanından oluşmaktadır:
Giriş ve Genel Model (Bölüm 1) Güvenlik Fonksiyel Gereksinimleri (Bölüm 2) Güvenlik Garanti Gereksinimleri (Bölüm 3)
Ortak Kriterler Değerlendirme Metodolojisi Ortak Kriterler standardı içerisinde hedeflenebilecek 7 adet güvenlik seviyesi bulunmaktadır. Güvenlik seviyesi 1’den 7’ye doğru yükseldikçe daha detaylı tasarım dokümantasyonu ve daha derinlemesine güvenlik testleri ihtiyacı ortaya çıkmaktadır. BT ürününün yeterli bir geliştirme ortamında gerçeklenip gerçeklenmediği kontrol edilir, var olan tehditleri analiz edilir, Fonksiyonel ve bağımsız sızma testleri (açıklık analizi çalışması) yapılır ve ürüne uygun garanti seviyesinde belge verilir. Ürünün güvenlik değerlendirmesinin yapılması ve belgelendirme faaliyetleri birbirinden ayrılmış olup değerlendirme faaliyetleri belgelendirme makamları tarafından lisanslanmış olan laboratuvarlar aracılığı ile yapılmaktadır. Değerlendirme laboratuvarında aranan ön şart TS EN ISO/IEC 17025 Deney ve Kalibrasyon Laboratuvarlarının Yeterliliği için Genel Şartlar standardından akredite olunmasıdır. TSE belgelendirme makamının ikisi yerli olmak üzere beş adet lisanslı laboratuvarı bulunmaktadır[7]. Ayrıca TSE bünyesinde bir adet Ortak Kriterler Değerlendirme Laboratuvarı kurulması çalışmaları sürmekte olup laboratuvarın akreditasyon süreci tamamlanmıştır.
TSE belgelendirme makamı tarafından 50 adet ürüne belge verilmiş durumdadır. Ortak Kriterler ürün güvenliğini hedefleyen ve uluslararası kabul görmüş bir standart olması nedeniyle ülkemiz resmi makamları tarafından gerekli görüldüğü alanlar için zorunlu hale getirilmeye başlanmıştır. Ortak kriterler zorunluluğu olan ürünler;
Yönetim
Sistemleri (Sağlık 1.
Sağlık Bilgi Bakanlığı) Yeni Nesil Ödeme Kaydedici Cihazlar (Gelir İdaresi Başkanlığı) TS ISO/IEC 15504 YAZILIM OLGUNLUK (SPICE) SÜREÇ İYİLEŞTİRME SPICE (Software Process Improvement Capability dEtermination) modelinin amacı farklı yazılım süreç değerlendirme model ve yöntemleri için ortak bir ana prensip sağlamaktır[8]. Yazılım satın alma, tedarik, işletim, bakım ve destek için planlama, yönetim, icra, denetim, iyileşme, yeterlilik ve olgunluk düzeyi belirleme standardıdır. Standart içerisinde süreç setleri tanımlanmıştır. Süreç setleri 3 ana sınıf altında incelenmektedir:
Temel Süreçler a. b.
Satın Alma Süreç Grubu Tedarik Süreç Grubu 2.
Kurumsal Süreçler
Mühendislik Süreç Grubu İşletim Süreç Grubu Yönetim Süreç Grubu Süreç İyileştirme Süreç Grubu Kaynak ve Altyapı Süreç Grubu
Tekrar Kullanma Süreç Grubu 3.
Destek Süreçler
Destek Süreç Grubu Süreç setleri ile ilişkilendirilen temel pratiklerin yanı sıra genel pratiklerde tanımlanmış olup seviye belirleme kapsamına alınmış olan süreçlere uygulanmaktadır. SPICE standardı içerisinde beş seviye bulunmaktadır. Birinci seviyede temel pratikler değerlendirilirken diğer seviyelerde genel pratikler değerlendirilmektedir.
Seviye 1 Gerçekleştirilmiş Seviye 2 Yönetilen
Süreç Performansı Performans Yönetimi İş Ürünü Yönetimi Seviye 3 Kurulmuş Seviye 4 Tahmin Edilebilir Seviye 5 En İyileştirici
Süreç Tanımı Süreç Düzenleme Süreç Ölçümü Süreç Kontrolü Süreç Yenileme
Süreç Eniyleştirme SPICE denetimi yapılabilmesi için en az iki kişilik denetim ekibi oluşturulmalıdır. Denetim ekibinde olacak personeller International Assessor Certification Scheme (INTACS) tarafından yetkilendirilmektedir. Yetkinin alınabilmesi için lisanslı kuruluşlardan eğitim alınmalı ve sınavdan başarı sağlanmalıdır. Denetçiler için üç seviye bulunmakta olup denetçi, uzman denetçi ve baş denetçi unvanları bulunmaktadır. Denetim ekibi biri uzman denetçi olmak üzere en az iki denetçiden oluşmalıdır. Ülkemizde akredite olarak SPICE belgesi veren tek kuruluş TSE’dir. TSE tarafından belge verilen 44 kuruluş bulunmaktadır. SPICE belgesinin zorunlu olduğu alan:
Sağlık Bilgi Bakanlığı)
Yönetim
Sistemleri (Sağlık Ayrıca bir diğer yazılım yaşam döngüsü standardı olan TS ISO/IEC 12207 belgesi yerli malı belgesi almak isteyen yazılımlar için TOBB tarafından zorunlu hale getirilmiştir.
Sanayi
Müdürlüğü seviyeleri için firmaların TS EN belgesine sahip olunması zorunludur. SIZMA İÇİN
TESTİ YAPAN PERSONEL VE ŞARTLAR (BEYAZ ŞAPKALI TS 13298 ELEKTRONİK BELGE VE ARŞİV YÖNETİM SİSTEMİ TS 13638 standardı ulusal standartlarımız arasında olup ülkemizin siber güvenlik alanındaki yetkin personel ihtiyacının karşılanması ve sızma testleri gerçekleştiren kuruluşların bir disiplin altına alınması hedefi ile oluşturulmuştur.
Standart işlevsel olarak hem personel ve sistem belgelendirme hem de sızma testlerinde kullanılabilecek şekilde düzenlenmiştir. Personel belgelendirme ile ilgili olarak 2 alan ve 4 seviye belirlenmiştir. Bunlar: seviyeleridir.
Sızma testi uzmanlarının belge alabilmesi için stajyer sızma testi uzmanı seviyesi en alt seviye olarak belirlenmiş ve uygulama gerektirmeyen teorik bilgi ile alınabilmektedir. Ancak diğer üst seviyeler uygulama sınavından da belirli seviyede puan almak, akademik yayın yapmak, açıklık keşfinde bulunmak gibi uzmanlığı gösterebilecek farklı şartlarla donatılmıştır. Sızma testi uzmanı belgelendirmesi için eğitim ve sınavlar düzenlenerek belgelendirme işlemi yapılması faaliyetleri TSE bünyesinde yürütülmektedir.
Sızma testi yapan firmaların belgelendirilebilmesi için öncelikle aynı standarttan belge almış sızma testi uzmanı belgesine sahip uzmanlar bulunması gerekir. Bu kısımda 3 firma seviyesi belirlenmiştir. Bunlar:
A Seviye Sızma Testi Yapan Firma B Seviye Sızma Testi Yapan Firma
C Seviye Sızma Testi Yapan Firma C seviye sızma testi yapan firma belgesi bir kişinin çalıştığı firmalarında belgeyi alabilmesi ve sektörde önlerinin kapanmaması için oluşturulmuştur. Ayrıca bazı alanlarda TS EN ISO/IEC 27001 standardı temelli kısmi bilgi güvenliği denetimi yapılmaktadır.
B seviye ve A seviye firmalar içinse stajyer sızma testi belgesine sahip bir personelin bulunması zorunlu tutulmuştur. Böylelikle sızma testi yapan yetişmiş insan kaynağına ulaşılabilmesi hedeflenmiştir. Ayrıca B ve A EBYS standardı olarak bilinen TS 13298 standardı kurumlar tarafından kullanılan elektronik belge ve arşiv yönetim sistemlerinin sahip olması gereken özellikleri ortaya koyar. Resmi belgelerin elektronik ortama taşınarak iş ve işlemlerde zaman ve maliyet açısından tasarruf sağlanması bir yana ülke hafızamızı oluşturan belgelerin gelecek kuşaklara mümkün olan en iyi şekilde aktarılması hedefi de standartta yüklenen önemli bir sorumluluktur. Bu nedenle standart referans model olarak yayınlandığı ilk günden beri güncel teknolojik gelişmeler ve ülke ihtiyaçları takip edilerek güncellenmekte ve geliştirilmektedir. 2015 yılında yapılan revizyon ile içerikte geliştirme yapılarak arşiv sisteminin gerekleri tanımlanmış, birlikte çalışabilirlik için elektronik yazışma paketi ve kayıtlı elektronik posta kullanımı zorunlu hale gelmiş ve güvenlik testleri standarda eklenmiştir. Standart aşağıdaki bölümlerden oluşmaktadır:
Sistem Kriterleri
Dosya tasnif planları Saklama Planları Elektronik Belgelerin Kayıt İşlemleri Elektronik Belgelerin Paylaşımı EBYS Kullanım Özellikleri Erişim Kontrolü ve Güvenlik
Sistem Tasarımı ve Yönetimi
Belge Kriterleri o o o o o o o o o o o o o o o o Üst Veri Yönetimi
Üst Veri Elemanları 2015 yılında yapılan önemli bir yenilikte standardın yapısında olmuştur. 2015 yılına kadar sadece ürün Belge Özellikleri Doküman Yönetimi Elektronik Uyumluluk
Olmayan
Sistemlerle
Dijital Görüntüleme Sistemleri Elektronik Arşivleme Sistemi Referans Modeli (ELAS/RM)
Elektronik Arşivleme Sistemi Referans Modeli (ELAS/RM) Arşiv Sisteminin Güvenliği ELAS/RM Uygulama Kılavuzu Arşiv Malzemesinin Tanımlanması standardı olan TS 13298, Kurum Yeterlilik Sertifikasyonu maddeleri eklenerek belgeli elektronik belge yönetim sistemi kullanan kurumların elektronik belge ve arşiv süreçlerini nasıl yürütmesi gerektiğini ortaya koymuştur. Böylelikle kurumların elektronik belge ve arşiv yönetim süreçleri denetlenebilir hale gelmiştir.
TS 13298 standardı içerisinde test faaliyetleri de önemli bir yer tutmaktadır. Birer madde ile zorunlu hale getirilen testler kendilerini tanımlayan madde sayısından çok daha kritik muhtevaya sahiptir. Standart içerisinde performans, fonksiyonel ve güvenlik testleri yaptırılması istenilmektedir. Testlerin yapılabilmesi için TSE belgelendirme makamı lisanslı laboratuvarlar ile çalışır. Lisanslı laboratuvarlar farklı kapsamlara sahip olmakla birlikte standardın gerektirdiği testlerin tamamını veya belli bir bölümünü yapabilmektedirler. TÜBİTAK YTKDM, TSE BTTM ve özel sektörden bir laboratuvarda da testler yaptırılabilmektedir.
TS 13298 standardına uyumun zorunlu hale getirildiği mevzuat şöyledir:
Elektronik Belge ve Arşiv Yönetim Sistemleri (2008/16 sayılı Başbakanlık Genelgesi ile) DİĞER BİLİŞİM TEKNOLOJİLERİ STANDARTLARI TSE K 505 Temel Seviye Güvenlik Değerlendirme Kriteri Ortak kriterler gibi güvenlik standartlarının süreçlerinin uzun ve zahmetli olması nedeniyle hızlı ve temel güvenlik testlerinin yapılmasını hedefleyerek oluşturulmuş bir kriterdir. Belgelendirme faaliyetleri TSE Siber Güvenlik Belgelendirme Müdürlüğü tarafından yapılan kriterin gerektirdiği testler TÜBİTAK OKTEM, TSE BTTM ve özel sektörden bir laboratuvar tarafından yapılabilmektedir.
TS ISO/IEC 25051 Kullanıma Hazır Yazılım Ürünü (RUSP) Kalitesi İçin Gereksinimler ve Test Talimatları Standart kullanıma hazır yazılım ürünleri için kalite gereksinimlerini ortaya koymaktadır. Temelde üç gereksinimi vardır:
Ürün Açıklaması Dokümanı Kullanıcı Kılavuzu Dokümanı
Fonksiyonel Testler Gerekli belgelendirme sistemi TSE Bilişim Teknolojileri Belgelendirme Müdürlüğü tarafından kurulmuş olup testleri yapmaya yetkin 3 lisanslı laboratuvar bulunmaktadır. Bunlar TÜBİTAK YTKDM, TSE BTTM ve özel sektörden bir laboratuvar tarafından yapılabilmektedir.
TS EN ISO 9241-151 Web Kullanıcı Arayüzleri Kılavuzu Web kullanıcı arayüzü geliştirilmesinde en önemli hedef, arayüzünü, engelli kişilerde dâhil mümkün olan en geniş kullanıcı yelpazesinin erişimine açık hale getirmektir. Kılavuz üst düzey tasarım kararları ve tasarım stratejisi, içerik tasarımı, gezinme, arama ve içerik sunumuna odaklanmaktadır. Belgelendirmesi TSE tarafından yapılabilen standart için ihtiyaç duyulan testler ODTÜ İnsan-Bilgisayar Etkileşimi Araştırma ve Uygulama Laboratuvarı tarafından karşılanmaktadır.
TS ISO/IEC 19790-24759 Kriptografik Modül Doğrulama Bilgi teknolojisi sistemlerinde yer alan ve kritik verilerin güvenliğini sağlayan kripto modülleri için güvenlik gereklerini belirleyen bir standarttır. Kripto modüllerinin ISO/IEC 19790 standardına uygunluğunu test etmek için ISO/IEC 24759 standardı test metodolojisi olarak hazırlanmıştır.
SONUÇ Bilişim teknolojileri alanında üretilen ürün ve yürütülen süreçlerin hem kalite açısından hem de güvenlik açısından ele alınması gerekliliği bulunmaktadır. Süreç kalitesinin yükseltilebilmesi için SPICE, bilgi güvenliğinin sağlanabilmesi için Sızma Testi Firma belgelendirmesi ve 27001 ve elektronik belge ve arşiv süreçlerinin doğru çalıştırılabilmesi için TS 13298 Kurum Yeterlilik Sertifikasyonu standardizasyonun bilişim teknolojileri alanına önerdiği çözümlerdir. Ürün bakımından güvenlik için Ortak Kriterler, Temel Seviye ve Kripto, kalite için 25051 ve 9241 standartları sektöre sunulan çözümlerdir. Ayrıca yetişmiş insan kaynağı ihtiyacı bulunan[9] siber güvenlik alanında çözüm olarak sızma testi uzmanı belgelendirmesi standartlar ile temellendirilerek sunulmuş bulunmaktadır.
TÜBİTAK, TSE ve ODTÜ gibi ülkemizin değerli kurum ve üniversiteleri ile özel sektör tarafından kurulan laboratuvarlar ile desteklenen belgelendirme programları, bilişim sektörünün ihtiyaçlarına cevap verebilecek mekanizmaları oluşturmuş bulunmaktadır. Standardizasyonun faydalarına inanılarak düzenleyici kurumlar tarafından mevzuat içerisinde atıfta bulunularak ilgili belgelendirmeler zorunlu hale getirilmiştir.
Bilişim sektöründe ihtiyaçlara çözüm arayışı sürecinde ilk seçenek olarak standardizasyonun akla gelmesi ancak standardizasyonun faydaları kavrandığında gerçekleşecektir.
KAYNAKÇA [1]http://www.tdk.gov.tr/index.php?option=com_gts&ke lime=STANDART, son erişim tarihi 02.11.2017 [2]https://www.tse.org.tr/tr/icerikdetay/2249/4629/standa rd-hizmetleri.aspx, son erişim tarihi 02.11.2017 [3]http://www.etsi.org/standards/why-we-need-standards son erişim tarihi 02.11.2017 son