Güvenlik kahvesinin bu haftaki konuğu Adli bilişim analiz çalışmalarından tanıdığımız Halil ÖZTÜRKCİ. Satır aralarında hem kendisiyle hem de güvenliğe bakış açısıyla ilgili önemli bilgiler yer almakta.
NGB: Kısaca kendinizden bahsedebilir misiniz?
Halil ÖZTÜRKCİ: Elektronik ve Haberleşme Mühendisiyim. Fakat üniversiteden mezun olduğum andan itibaren, yani yaklaşık 10 yılı aşkın bir süredir bilişim teknolojileri üzerine çalışıyorum. Sektöre ilk adımı sistem yöneticisi olarak attım ve sonrasında bir çok kurumda eğitmenlik ve danışmanlık yaptım. Şu an ortağı olduğum ADEO Bilişim Danışmanlık Hiz. Ltd. Şti.’de Güvenlik Çözümleri biriminin yöneticiliğini yapıyorum. Bu bağlamda şirketlerin ihtiyaç duydukları güvenlik hizmetlerini en iyi şekilde sunmaya yönelik çalışıyoruz. Sunduğumuz hizmetlerin başında penetrasyon testleri, adli bilişim incelemeleri, bilgisayar olaylarına acil müdahale gibi hizmetler geliyor.
NGB: Güvenlik işine nasil bulaştınız?
Halil ÖZTÜRKCİ: Tamamen bilinçli bir tercih benimkisi. 2000’li yılların başlarında firewall, IDS gibi güvenlik teknolojileriyle çok fazla uğraşmak zorunda kaldım ve bu uğraşıların sonunda nerede yetersiz kaldığımız sorusunu hep sordum.
Bu sorular çok daha derinlemesine inceleme yapmayi beraberinde getirdi, öyleki saatlerce siyah bir ekran karşısında paket analizi yaptığımı bilirim:). Bunun yanında güvenlik konusunda bana ön ayak olan, teşvik eden birisi de olmadı açıkcası. Gerçi sonradan tanıştığım ve tek işi bilişim güvenliği diyebileceğim arkadaşların da aynı durumda olduklarını bilmek beni şaşırtmadı. Çünkü konuşulan konular dünyada henüz yeniyken Türkiye’de bu konuların çok dikkat çekmesi beklenemezdi. Gerçi günümüzdeki durumunda çok farklı olduğu söylenemez.
Örneğin, günümüzde yurtdışında çok fazla alt alana dağılmış bir adli bilişim konusunu oturup konuşabileceğiniz, birlikte çalışma yapabileceğiniz kimseleri bulmak gerçekten çok zor.
NGB: Turkiye’de bilgi guvenligi konusunu degerlendirebilir misiniz
Halil ÖZTÜRKCİ: Maalesef Türkiye’de bilgi güvenliğine verilen önem istenen yada olması gereken düzeyde değil. Aslında IT’nin geneli için durum aynı. Bir çok şirket için sadece bir gider kalemi olarak görülüyor.Bunun içinde güvenlik diye ayrı bir başlık açmak ve bu başlığın gereksinimlerini karşılamak adına yatırım yapmak yada yatırım kararı aldırmak daha da zor.
Bunun da başlıca sebebi güvenlik yatırımlarının sizi ”olası” tehlikelere karşı koruyor olduğu algısı. Yani bir çok şirketin iş süreçlerine olumlu etki yapan diğer IT yatırımlarından farklı şekilde ele alınıyor.
Daha iyi olması için nelerin yapılması gerektiğine gelince; Öncelikle hem birey olarak, hem şirket olarak hem de ülke olarak belirli bir güvenlik bilinç seviyesine ulaşmamız gerekiyor. Ne yazık ki bir çok konuda olduğu gibi bilişim güvenliği konusunda da başımıza bir musibet gelmeden ders almıyoruz. Planlı hareket etmediğimiz için çok daha fazla zararla karşılaşıyoruz bu tarz olayların sonrasında.
Bilgi güvenliği konusunda daha hızlı adımların atılması için kanunların başımızda Demokles’in Kılıcı gibi durması lazım galiba. Bu sadece bizim ülkemiz için geçerli değil tabii ki ama diğer ülkelere oranla biraz daha kanun zoruyla iş yaptığımız için bu alanda da belirli adımların atılması için mutlaka devlet tarafından bazı şeylerin kanunla zorunlu hale gelmesi gerekiyor diye düşünüyorum.
Neden diğer ülkelerden gerideyiz sorusuna ise şöyle cevap vereyim. Teknolojiyi bu ülkelere göre çok daha geç kullanmaya başlayan bir ülkeyiz ve bu teknolojinin ürettiği bilgi’nin korunmaması durumunda neler ile karşılaşılabileceği konusunda diğer ülkelerden daha az tecrübe sahibiyiz. Ne zaman teknolojiyi diğer ülkeler gibi hayatımızın her alanında verimli ve bilinçli kullanmaya başlarsak, bilgi güvenliği konusundaki geri kalmışlığımızı da o zaman kapatacağız diye düşünüyorum.
NGB: Bu ise yeni baslayanlara neler onerirsiniz?
Halil ÖZTÜRKCİ: Bilişim güvenliği tarafında yoğunlaşmak isteyen arkadaşlara öncelikle iyi bir sistem ve network bilgisine sahip olmalarını tavsiye ederim. Bunun yanında programcılık bilgisinin de olması güvenlik tarafında eksik yanlarının kalmamasını sağlayacaktır. Bilişim güvenliği dediğimiz alan da aslında kendi içinde bir çok alt alana bölünmüş durumda. Uygulama güvenliği, network güvenliği, adli bilişim vb. gibi daha bir çok alt alan var ve her alt alan kendine has derin bir uzmanlık gerektiriyor. Bu konularda kendini geliştirecek arkadaşlara tavsiyem bir yol haritası çıkartıp daha yolun başında hangi alanla uğraşmak isteyeceklerine karar vermeleri ve verdikleri kararı uygulayacak şekilde çalışmalara başlamaları.
Ülkemizde son yıllarda bilişim güvenliği ile ilgili olarak çok sayıda eğitim verilmeye başlandı. Durumu uygun olan arkadaşların bu eğitimlere katılarak süreci hızlandırmaları mümkün ama eğer eğitimlere katılmaları mümkün değilse bu durumda kendi kendine hazırlık yollarını seçmeleri gerekiyor ki burada da kitaplar ve eğitim video’ları devreye giriyor.
Eğer iyi bir google kullanıcısıysanız bütün bu kaynaklara internetden ulaşmanız mümkün. Bununla beraber bu alanda uzmanlaşmak isteyen arkadaşlara kişisel olarak sürekli takip ettiğin bir kaç web sitesi ile webcast ve podcast serisininden bahsetmek isterim.
Öncelikle SANS’ın “InfoSec Reading Room”u yeni başlayanlar için oldukça faydalı olacağına inandığım kaynakların yer aldığı bir site (http://www.sans.org/reading_room/). Güncel güvenlik haberlerini takip edebilecekleri http://www.scmagazineus.com/ , http://news.cnet.com/security/ ve http://www.h-online.com/security/ adreslerini sık sık ziyaret etmeliler veya RSS feed’lerini almalılar diye düşünüyorum.
Bunun yanında bilişim güvenliğini ile ilgili güncel konuların ele alındığı ve oldukça geniş bir arşive sahip SANS’in webcast serisi mutlaka takip edilmeli. (http://www.sans.org/webcasts/) . Ayrıca http://pauldotcom.com, http://podcasts.scmagazine.com ve http://www.cigital.com/silverbullet/ adreslerindeki podcastleri de sürekli takip etmelerinde fayda var.
NGB: Sizce 2015 yilinda bilgi guvenligi dunyasi hangi konulari konusuyor olacak?
Halil ÖZTÜRKCİ:Aslında çok faklı konu başlıklarını konuşmayacağız fakat tehditlerimiz farklılık gösterecek. Örneğin yine virüslerle karşılaşacağız, yine kişisel bilgiler ele geçirilmek istenecek ve yine para, saldırganları en çok motive eden şey olacak. Bunun yanında günümüzden daha fazla oranda kanun/uyumluluk/standart odaklı yürüyecek bilgi güvenliği işleri diye düşünüyorum.
NGB: Zaman ayırarak sorularımıza cevap verdiğiniz için teşekkür ederiz.
