İnformasiya müasir dünyada ən vacib aktivlərdən biridir. Şəxsi məlumatlar, şirkət sənədləri, maliyyə məlumatları, müştəri bazaları, parollar və digər məlumatlar düzgün qorunmadıqda oğurlana, dəyişdirilə və ya məhv edilə bilər.
İnformasiya təhlükəsizliyi (Information Security və ya InfoSec) məlumatların icazəsiz əldə edilməsindən, dəyişdirilməsindən, açıqlanmasından, məhv edilməsindən və əlçatmaz vəziyyətə gətirilməsindən qorunmasını təmin edən prinsiplər, proseslər, qaydalar və texniki tədbirlər toplusudur.
İnformasiya təhlükəsizliyinin əsas xüsusiyyəti ondan ibarətdir ki, söhbət yalnız kompüterlərdən və internetdən getmir. Fiziki sənədlər, kağız üzərində olan məlumatlar, insan davranışı və təşkilati proseslər də informasiya təhlükəsizliyinin əhatəsinə daxildir.
İnformasiya təhlükəsizliyi nəyi qoruyur?
İnformasiya təhlükəsizliyi müxtəlif formalarda mövcud olan məlumatları qoruyur.
Məsələn:
- müştəri məlumatları;
- şəxsi məlumatlar;
- maliyyə məlumatları;
- şirkətin daxili sənədləri;
- müqavilələr;
- parollar və giriş məlumatları;
- tədqiqat və biznes məlumatları;
- elektron poçtlar;
- verilənlər bazaları;
- kağız sənədlər.
Bu məlumatların bir hissəsi rəqəmsal, bir hissəsi isə fiziki formada ola bilər. Məsələn, şirkətin müştəri məlumat bazasının serverdə saxlanılması rəqəmsal informasiya təhlükəsizliyi məsələsidir. Eyni müştəri məlumatlarının çap edilmiş siyahısının ofisdə saxlanılması isə fiziki informasiya təhlükəsizliyi məsələsinə çevrilir.
İnformasiya təhlükəsizliyinin əsas prinsipləri
İnformasiya təhlükəsizliyində ən fundamental model CIA Triad adlanır.
CIA burada bu deməkdir:
- Confidentiality — Məxfilik
- Integrity — Bütövlük
- Availability — Əlçatanlıq
Bu üç prinsip informasiya təhlükəsizliyinin əsasını təşkil edir. Onları növbəti məqalədə ayrıca və daha ətraflı araşdıracağıq.
Kibertəhlükəsizlik nədir?
Kibertəhlükəsizlik (Cybersecurity) rəqəmsal sistemlərin, şəbəkələrin, kompüterlərin, serverlərin, proqramların, cihazların və rəqəmsal məlumatların kiberhücumlardan və digər rəqəmsal təhlükələrdən qorunmasına yönəlmiş sahədir.
Burada əsas diqqət rəqəmsal mühitə yönəlir.
Məsələn:
- serverlərin qorunması;
- veb tətbiqlərin təhlükəsizliyi;
- şəbəkə təhlükəsizliyi;
- endpoint security;
- cloud security;
- malware müdafiəsi;
- hesab və identiklik təhlükəsizliyi;
- kiberhücumların aşkarlanması;
- incident response.
İnformasiya təhlükəsizliyi və kibertəhlükəsizlik eyni şeydirmi?
Xeyr, tam olaraq eyni anlayışlar deyil. Onlar bir-biri ilə çox sıx əlaqəli olsa da, əhatə dairələri fərqlidir. Sadə şəkildə belə düşünə bilərik:
- Information Security → məlumatın bütün formalarda qorunması
- Cybersecurity → rəqəmsal sistem və mühitin qorunması
Məsələn, şirkətin məxfi müqaviləsini qorumaq üçün sənədin fiziki seyfdə saxlanılması informasiya təhlükəsizliyinin bir hissəsidir.
Həmin müqavilənin elektron nüsxəsinin serverdə, verilənlər bazasında və ya bulud sistemində qorunması isə həm informasiya təhlükəsizliyi, həm də kibertəhlükəsizliklə əlaqəlidir.
Kibertəhlükəsizlik informasiya təhlükəsizliyinin bir hissəsidirmi?
Müxtəlif təşkilat və standartlarda bu terminlərin sərhədləri fərqli şəkildə təqdim oluna bilər. Praktik yanaşmada isə cybersecurity çox vaxt rəqəmsal mühitin qorunmasına fokuslanan, information security isə daha geniş informasiya mühafizəsi çərçivəsi kimi izah edilir. Başqa sözlə, informasiya təhlükəsizliyi məlumatın harada və hansı formada olmasından asılı olmayaraq onun qorunmasına diqqət edir. Kibertəhlükəsizlik isə xüsusilə kompüterlər, şəbəkələr, proqramlar, cihazlar və digər rəqəmsal sistemlərdə baş verən təhlükələrə fokuslanır.
Fiziki təhlükəsizlik də informasiya təhlükəsizliyinə daxildirmi?
Bəli. Bu çox vacib fərqlərdən biridir. Məsələn, şirkətin server otağına icazəsiz şəxsin daxil olmasının qarşısını almaq üçün:
- giriş kartları;
- biometrik sistemlər;
- təhlükəsizlik kameraları;
- qapı kilidləri;
- mühafizə;
- ziyarətçi nəzarəti
istifadə edilə bilər. Bunlar birbaşa “hacking” ilə əlaqəli görünməsə də, informasiya aktivlərinin qorunmasına xidmət edir. Çünki serverin fiziki olaraq oğurlanması və ya zədələnməsi nəticəsində informasiya təhlükəsizliyi pozula bilər.
İnsan faktoru və informasiya təhlükəsizliyi
İnformasiya təhlükəsizliyi yalnız texnologiyadan ibarət deyil. İnsan davranışı da təhlükəsizlikdə mühüm rol oynayır.
Məsələn, əməkdaş:
- parolunu başqa şəxslə paylaşa bilər;
- phishing mesajındakı linkə klikləyə bilər;
- məxfi sənədi yanlış ünvana göndərə bilər;
- kompüterini açıq vəziyyətdə qoya bilər;
- məxfi məlumatı ictimai yerdə müzakirə edə bilər.
Bu səbəbdən təşkilatlar texniki sistemlərlə yanaşı təhlükəsizlik siyasətləri, təlimlər, giriş qaydaları və istifadəçi maarifləndirilməsi də tətbiq edirlər.
İnformasiya təhlükəsizliyinin əsas istiqamətləri
İnformasiya təhlükəsizliyi çox geniş sahədir və bir neçə əsas istiqaməti əhatə edir.
Fiziki təhlükəsizlik
Məlumat və sistemlərin yerləşdiyi fiziki mühitin qorunması.
Texniki təhlükəsizlik
Firewall, encryption, authentication, access control və digər texnologiyalar vasitəsilə sistemlərin qorunması.
İnzibati təhlükəsizlik
Siyasətlər, prosedurlar, standartlar, risk idarəetməsi və işçi qaydaları vasitəsilə təhlükəsizliyin idarə olunması.
Məlumat təhlükəsizliyi
Məlumatın yaradılmasından silinməsinə qədər onun qorunması.
Identiklik və giriş təhlükəsizliyi
Kimlərin hansı sistemə və hansı məlumatlara giriş əldə edə biləcəyinin idarə edilməsi.
Hadisələrə cavab
Təhlükəsizlik hadisəsi baş verdikdə onun aşkarlanması, araşdırılması, məhdudlaşdırılması və aradan qaldırılması.
Sadə bir nümunə
Təsəvvür edək ki, bir şirkətdə müştərilərin məlumatları saxlanılır.
Bu məlumatları qorumaq üçün şirkət:
- server otağını fiziki şəkildə qoruyur;
- istifadəçilərə müxtəlif giriş hüquqları verir;
- məlumatları şifrələyir;
- güclü parol və MFA tətbiq edir;
- firewall istifadə edir;
- təhlükəsizlik loglarını saxlayır;
- işçilərə phishing barədə təlim keçir;
- məlumatların ehtiyat nüsxəsini yaradır;
- təhlükəsizlik hadisələri üçün incident response planı hazırlayır.
Bütün bu tədbirlər birlikdə informasiya təhlükəsizliyinin müxtəlif hissələrini təşkil edir.
Bunların böyük hissəsi rəqəmsal mühitdə həyata keçirildiyi üçün eyni zamanda kibertəhlükəsizliklə də əlaqəlidir.
Nəticə
- İnformasiya təhlükəsizliyi məlumatların hansı formada olmasından asılı olmayaraq qorunmasına yönəlmiş geniş bir anlayışdır.
- Kibertəhlükəsizlik isə kompüterlər, serverlər, şəbəkələr, proqram təminatı, cihazlar və digər rəqəmsal sistemlərin kiber təhdidlərdən qorunmasına fokuslanır.
Bu iki sahə bir-biri ilə sıx bağlıdır və bir çox hallarda eyni təhlükəsizlik tədbirlərini paylaşır. Lakin onların əhatə dairəsini düzgün başa düşmək kibertəhlükəsizliyi sistemli şəkildə öyrənmək üçün vacib başlanğıcdır.
Növbəti mövzuda kibertəhlükəsizlik və informasiya təhlükəsizliyinin ən fundamental modellərindən biri olan CIA Triad-ı — Confidentiality, Integrity və Availability prinsiplərini ətraflı şəkildə araşdıracağıq.
