Entegre güvenlik, farklı güvenlik alanlarının ortak riskler, açık sorumluluklar ve koordineli süreçlerle birlikte yönetilmesidir. Fiziksel erişim, dijital hesaplar, bağlı cihazlar ve elektronik gözetim değerlendirmesi arasındaki ilişkileri ele alır.
Fiziksel ve siber güvenlik arasındaki bu koordinasyon, bütünleşik güvenlik yaklaşımının temelidir. Bilgi güvenliği, fiziksel erişim ve teknik elektronik arama konuları aynı risk bağlamında değerlendirilebilir; her birinin yetki ve inceleme sınırı ayrı tanımlanır.
Entegrasyon, yalnızca kamera, alarm ve erişim sistemlerini aynı ekranda toplamakla sınırlı değildir. Hangi birimin neyi kontrol ettiği, bilgilerin nasıl paylaşıldığı ve bir olayda kimin karar verdiği de belirlenmelidir.
CISA, fiziksel güvenlik ile siber güvenlik arasındaki yakınsamayı, daha önce ayrı çalışan güvenlik işlevleri arasında resmî iş birliği kurulması olarak açıklar. Ortak hedefler ve bilgi paylaşımı bu yaklaşımın temel unsurlarıdır. CISA: Siber ve fiziksel güvenliğin birlikte ele alınması
Güvenlik alanları neden birlikte değerlendirilir?
Bir ortamın güvenliği, yalnızca tek bir sisteme bağlı olmayabilir.
Örneğin bir toplantı odasında:
Odaya kimlerin girebildiği fiziksel erişim konusudur.
Toplantı hesabına kimlerin bağlanabildiği dijital erişim konusudur.
Odadaki cihazların kaydı ve bakım geçmişi donanım yönetimiyle ilgilidir.
Açıklanamayan bir elektronik bulgunun araştırılması TSCM kapsamına girebilir.
Bu örnek, her alanda mutlaka sorun bulunduğunu göstermez. Amaç, bir kontrolün diğer bütün sorulara yanıt verdiği varsayımını önlemektir.
Entegre güvenlik hangi alanları bir araya getirir?
Kapsam, kurumun faaliyetlerine ve ihtiyaçlarına göre belirlenir. Aşağıdaki başlıklar ortak değerlendirmeye dahil edilebilir.
Bütün bu alanların aynı kişi veya hizmet sağlayıcı tarafından yürütülmesi gerekmez. Önemli olan görevlerin ve aralarındaki bağlantıların açık olmasıdır.
Fiziksel güvenlik: Mekâna ve donanıma kimler erişebiliyor? Erişim, cihaz ve sistem güvenliğini etkileyebilir.
Siber güvenlik: Hesaplar, ağlar ve uygulamalar nasıl korunuyor? Bağlı fiziksel sistemlerin yönetimiyle kesişebilir.
TSCM: Ortamda araştırılması gereken elektronik gözetim bulgusu var mı? Fiziksel inceleme ve bilinen donanım bilgilerine ihtiyaç duyabilir.
Cihaz ve tesis yönetimi: Hangi donanımlar mevcut, kim sorumlu? İncelemelerde karşılaştırma için bilgi sağlar.
Olay yönetimi: Bir bulgu fark edildiğinde kim, nasıl ilerleyecek? İlgili birimler arasında koordinasyon gerektirir.
Ofis ve toplantı alanlarında yetkilendirme, erişim ve teslim beklentisi için Kurumsal TSCM sayfasındaki başvuru çerçevesini inceleyebilirsiniz. Bu bağlantı, siber güvenlik veya bütün fiziksel güvenlik işlerinin aynı hizmet kapsamında sunulduğu anlamına gelmez.
Sistem entegrasyonu ile güvenlik yönetimi aynı şey mi?
Hayır. Sistem entegrasyonu, farklı teknolojilerin veri paylaşması veya birlikte çalışması anlamına gelebilir. Güvenlik yönetimi ise amaçları, yetkileri, kararları ve takip süreçlerini de kapsar.
Tek bir panelden yönetilen sistemlerde bile şu soruların yanıtı gerekir:
Yönetim hesabını kim kullanıyor?
Yetkiler nasıl veriliyor ve kaldırılıyor?
Bakım işlemleri nasıl kaydediliyor?
Bir uyarıyı kim değerlendirecek?
Sistemin çalışmadığı durumda nasıl ilerleniyor?
Teknik bağlantı kurulması, bu soruların kendiliğinden çözüldüğü anlamına gelmez.
Entegre güvenlik yaklaşımı nasıl oluşturulur?
1. Korunacak varlıkları ve işleri belirleyin
Önce hangi bilgilerin, alanların, cihazların ve iş süreçlerinin önemli olduğu tanımlanmalıdır.
Her varlık için aynı kontrol düzeyi gerekli olmayabilir. Öncelikler, kurumun ihtiyacına ve kabul ettiği risklere göre belirlenmelidir.
2. Mevcut durumu kaydedin
Bilinen sistemler, yetkili kullanıcılar, hizmet sağlayıcılar ve sorumlu birimler anlaşılır biçimde listelenmelidir.
Kayıtların amacı yalnız envanter oluşturmak değildir. Değişikliklerin ve açıklanamayan gözlemlerin karşılaştırılabileceği bir başlangıç noktası sağlamaktır.
3. Sorumlulukları netleştirin
Bir kontrolün yapılacağının belirtilmesi yeterli değildir. Kontrolü kimin yapacağı, sonucu kimin değerlendireceği ve aksiyonu kimin kapatacağı da belirlenmelidir.
4. Ortak olay süreci oluşturun
Bir erişim uyarısı, bilinmeyen cihaz veya açıklanamayan bağlantı fark edildiğinde izlenecek yol önceden tanımlanmalıdır.
5. Uygulamayı kontrol edin ve geliştirin
Tamamlanan işlemler yalnız “yapıldı” olarak işaretlenmemeli; beklenen sonucun elde edilip edilmediği de değerlendirilmelidir.
NIST’in Siber Güvenlik Çerçevesi 2.0; yönetişim, tanımlama, koruma, algılama, müdahale ve kurtarma olmak üzere altı işlevle siber risk yönetimini ele alır. Bu çerçeve burada yönetim yaklaşımına örnek olarak kullanılır; tek başına fiziksel güvenlik veya TSCM standardı değildir. NIST: CSF 2.0 çerçevesi
TSCM bu yapıda hangi görevi üstlenir?
TSCM, belirlenmiş bir fiziksel ortamda elektronik gözetim risklerinin değerlendirilmesi için kullanılan çerçevedir. Kapsam, yetkilendirme, yöntemler ve sonuçların sınırları önceden belirlenmelidir.
TSCM incelemesi, ağ güvenliği testinin veya bütün hesap erişimlerinin kontrol edildiği anlamına gelmez. Benzer şekilde siber güvenlik incelemesi de ortamda fiziksel kayıt cihazı bulunmadığını göstermez.
İhtiyaçlar kesiştiğinde ilgili uzmanlıkların koordinasyonu gerekir. Genel yaklaşımı Teknik Elektronik Arama ve TSCM rehberinde inceleyebilirsiniz.
Radyo frekansı ortamını ayrı ele almak için RF Güvenliği rehberini okuyabilirsiniz. Risk türlerini ayırmak için Elektronik Gözetim Tehditleri yazısına bakabilirsiniz.
Kurumsal bir örnek: toplantı odası değerlendirmesi
Aşağıdaki örnek, görev ayrımını göstermek için hazırlanmıştır; gerçekleşmiş bir olay anlatımı değildir.
Bir kurum, toplantı odasında kaynağı bilinmeyen bir cihaz fark ettiğinde şu süreç izlenebilir:
Gözlem kaydedilir: Cihazın yeri, fark edilme zamanı ve görülebilen bilgiler not edilir.
Bilinen donanım kontrol edilir: Tesis yönetimi ve bilgi işlem kayıtlarıyla karşılaştırılır.
Yetkili değerlendirme planlanır: Gerekli uzmanlık ve müdahale sınırları belirlenir.
Bulgu doğrulanır: Cihazın işlevi açıklanmadan tehdit sonucu çıkarılmaz.
Aksiyon takip edilir: Sonuç ve gerekiyorsa düzeltici işlem sorumlusuyla kaydedilir.
Bu yaklaşımın değeri, bütün birimlerin aynı işi yapmasında değil, bilgilerin birbirini tamamlamasındadır.
Bilgi paylaşımı nasıl sınırlandırılmalı?
Entegre güvenlik, bütün bilgilerin herkesle paylaşılması demek değildir. İlgili kişilerin görevleri için gerekli bilgilere erişmesi hedeflenmelidir.
Çalışma planında şu konular açıklığa kavuşturulabilir:
Hangi bilgiler toplanacak?
Kimler erişebilecek?
Bulgular kimlere iletilecek?
Hassas kayıtlar nasıl aktarılacak?
Saklama ve silme sorumluluğu kimde olacak?
Teknik inceleme çıktıları, kurum içi kayıtlar ve kişisel veriler aynı paylaşım grubuna otomatik olarak dahil edilmemelidir.
Kurumsal güvenlik yönetimi: başarı nasıl değerlendirilir?
Yalnız cihaz sayısı veya kurulan sistemlerin miktarı, güvenlik yönetiminin etkinliğini açıklamaz. Kurumun ihtiyacına göre izlenebilecek göstergeler şunlardır:
Sorumlusu belirlenmiş sistemlerin oranı.
Güncel kayıtla eşleşmeyen cihaz veya erişim sayısı.
Açık aksiyonların yaşı ve tamamlanma durumu.
Olaylarda doğru birime ulaşma süresi.
Tamamlanan düzeltmelerin doğrulanma durumu.
Planlı gözden geçirmelerin gerçekleştirilmesi.
Bunlar örnek yönetim göstergeleridir. Her kurum için aynı hedef değerler önerilmez.
Sık yapılan hatalar nelerdir?
Bütün kontrolleri tek incelemeye dahil saymak
Bir çalışmanın kapsamı açıklanmadan telefon, ağ, fiziksel ortam ve araç güvenliğinin tamamının değerlendirildiği varsayılmamalıdır.
Ürün sayısını güvenlik düzeyiyle eşitlemek
Yeni sistem eklemek, mevcut sorumluluk ve yapılandırma sorunlarını tek başına çözmez.
Bulguyu doğrulamadan sonuç vermek
Tanınmayan cihaz, açıklanamayan sinyal ve doğrulanmış yetkisiz kullanım farklı aşamalardır.
Raporu aksiyon planı olmadan bırakmak
Bir bulgunun kaydedilmesi kadar, kimin hangi işlemi yapacağının ve sonucun nasıl kontrol edileceğinin belirlenmesi de önemlidir.
Entegrasyonu sınırsız koruma olarak sunmak
Koordinasyon, riskleri anlamayı ve yönetmeyi destekler. Bütün olayların önleneceği veya bütün tehditlerin bulunacağı anlamına gelmez.
Sık sorulan sorular
Entegre güvenlik tek bir yazılım mıdır?
Hayır. Yazılımlar süreci destekleyebilir; ancak yaklaşım sorumluluk, yetkilendirme, koordinasyon ve takip gerektirir.
Küçük işletmeler için de uygulanabilir mi?
Yaklaşım işletmenin ölçeğine göre uyarlanabilir. Başlangıçta mevcut cihazları, erişimleri ve sorumluları belirlemek gibi sınırlı bir kapsam seçilebilir.
Fiziksel güvenlik ile siber güvenlik aynı ekipte mi olmalı?
Zorunlu değildir. İlgili birimler arasında açık görevler ve işleyen iletişim bulunması önemlidir.
TSCM her güvenlik programında otomatik olarak gerekli mi?
İhtiyaç, ortam ve risk değerlendirmesine göre belirlenmelidir. Her kurum için aynı inceleme sıklığı veya kapsamı varsayılmamalıdır.
Bir hizmet sağlayıcı bütün alanları kapsayabilir mi?
Hangi işlerin fiilen sunulduğu, hangi uzmanlıklarla yürütüldüğü ve nelerin kapsam dışında olduğu ayrıca doğrulanmalıdır.
Nereden başlanmalı?
Korunacak varlıkları, mevcut sistemleri ve sorumlu kişileri listeleyin. Ardından açıklanamayan konuları ve öncelikli değerlendirme sorularını belirleyin.
İlgili rehberler ve değerlendirme ihtiyacı
Güvenlik alanlarını daha ayrıntılı incelemek için TSCM ana rehberini okuyabilirsiniz. Kavram ve hazırlık bilgileri için böcek arama hizmetleri destek yazısını inceleyebilirsiniz. Ses kaydıyla ilgili hizmet kapsamı için dinleme cihazı tespiti sayfasına geçebilirsiniz.
Teknik değerlendirme ihtiyacınızı iletişim sayfasından paylaşabilirsiniz. Siber güvenlik, fiziksel güvenlik yönetimi veya diğer danışmanlık ihtiyaçlarının hizmet kapsamına uygunluğu ayrıca netleştirilmelidir.