İNFRASİS SİBER MÜHENDİSLİK GENEL MÜDÜRÜ CAN SOBUTAY İLE SÖYLEŞİ

05/04/2021 tarihinde yayınlandı

İNFRASİS SİBER MÜHENDİSLİK GENEL MÜDÜRÜ CAN SOBUTAY İLE SÖYLEŞİ

Bilgi ve bilişim güvenliği alanında toplumun her kesiminde bilgi ve bilinç düzeyini artırmak, bu konu ile ilgili teknolojik gelişmeleri izlemek, milli teknolojilerin geliştirilmesine katkı sağlamak; bireysel, kurumsal ve ulusal düzeydeki riskler konusunda farkındalık oluşturmak amacı ile güvenilirlik, süreklilik ve gizlilik politikaları ile yoluna devam eden İnfrasis Genel Müdürü Can Sobutay ile Türkiye’de bilişim sektörünün durumu, devletimizin kalkınmasında IT ve Telekomünikasyon sektörünün yeri ve bilhassa bilgi güvenliği alanında bilinmesi gerekenler ve çözüm önerileri hususunda ülkemizin dünü, bugünü ve geleceği adına yapılması gerekenleri konuştuk.

CyberMag: Öncelikle dünyada ve Türkiye’de bilişim sektörünün bugünü ve geleceği hakkında neler söylemek istersiniz?

Can SOBUTAY: Bilişim sektörü, toplumlar arasında ekonomik, siyasi, askeri ve kültürel bağlar başta olmak üzere tüm toplumsal oluşumları doğrudan etkileyen ve ülkelerin kalkınmasında gerçek ve güçlü bir belirleyici olarak, gün be gün kritik önemini daha fazla hissettirmektedir.

Bilişim sektörü tüm ekonomiler için sürükleyici bir sektördür. Bugüne kadar mobil teknolojiler, internet ve bilgisayar sistemlerindeki yenilikler hayatımızı kökten değiştirdiyse de yeni gelen yapay zekâ, IoT – nesnelerin interneti, AR/VR Artırılmış/Sanal gerçeklik, 5G gibi teknolojilerin yaratacağı dönüşümü öngörmek, hazır olmak ve çeviklikle adapte olmak gerekiyor.

Bilgi ve iletişim teknoloji sektörünün ‘yeni normal’ dönemine yapacağı potansiyel katkılar ışığında, sektöre yönelik yatırımların hızlı ve verimli bir şekilde artmasının, ülke ekonomimizin sürdürülebilir büyümesi ve kalkınmasına her zamankinden daha yüksek bir katkı sunacağı öngörülebilen bir gerçektir.

CyberMag: Yıllarca bu sektörde görev almış birisi olarak; devletimizin kalkınmasında IT ve Telekomünikasyon sektörünün yeri ve önemi nedir?

Can SOBUTAY: İşletmelerin rekabet güçlerini geliştirmelerinin en önemli yolu ürünlerini, hizmetlerini, bunları ortaya çıkaran süreçleri ve para kazanma mekanizmaları olarak tanımlanabilecek iş modellerini yenilemesi ve eşzamanlı olarak da verimliliğin artırılmasından geçmektedir. Bilişim teknolojileri de sektör fark etmeksizin imalattan, hizmet sektörüne, tıptan, turizme, bilim-teknoloji adına yürütülen akademik faaliyetlerden, KOBİ’lerdeki süreç iyileştirmelerine kadar her alana etki eden ve yukarıda saydığımız inovasyon ve verimlilik geliştirme süreçlerini hızlandıran en önemli yapı taşıdır. TUBiSAD’ın açıkladığı 2019 yılı verilerine göre sektör, TL bazında bir önceki yıla oranla yüzde 14’lük büyüme ile 152,7 milyar TL’lik hacme ulaştı. İstihdamını 143 bin kişiye çıkaran sektörün ihracatı da 6,5 milyar TL olarak gerçekleşti.

Türkiye, genç nüfus yapısı ile jeopolitik konumunun sağladığı avantajla, bilişim ve özellikle de siber güvenlik sektöründe sıçrama yapmak için iyi bir iç potansiyele sahiptir.

5 trilyon dolara yaklaşan Küresel Bilgi ve İletişim Pazarı’nda özellikle istihdam ve katma değerin yüksek olduğu üretim ve hizmet alanlarında insan kaynağımızı rekabetçi hale getirdiğimizde ülkemiz için büyük fırsatlar olduğu düşüncesindeyim.

CyberMag: Türkiye’de ki Ar-Ge ve inovasyon yaklaşımları ve politikaları göz önünde bulundurulduğunda, bu konuda yapılan düzenlemeler nelerdir? Ar-Ge destekleri ve teşviklerini yeterli buluyor musunuz? Sizce yapılması gerekenler nelerdir?

Can SOBUTAY: Kurum ve şirketlerin bünyesinde gerçekleştirilen Ar-Ge faaliyetleri kısaca, ürün ve servislerin daha katma değerli, verimli ve rekabetçi olmasını sağlamaya yönelik sürekli yürütülen geliştirme ve yenileme çalışmaları olarak tanımlanabilir. Teknoloji ve bilişimin hemen her sektörde temel bileşen olmasıyla, şirket, sektör ve ülkelerin inovasyon ve gelişmişlik yarışında geride kalmamaları Ar-Ge yatırımlarının hacim ve kapsamına doğrudan bağlı hale geldi.

Birkaç yüz kişilik ekiplerle üretilen ancak piyasa değeri binlerce kişinin onlarca fabrikada çalıştığı reel sektör şirketlerinden daha fazla olan çok sayıda BT ve internet girişimi olduğunu biliyoruz. Bilişimin alt sektörlerinden siber güvenlik özellikle Türkiye gibi gelişmekte olan ülkeler için yatırım birim maliyetleri görece düşük, az sermayeyle yapılabilen ve küresel pazara daha hızlı açılmaya olanak veren bir sektördür.

İstatistikler dikkate alındığında, Türkiye’deki Ar-Ge destek ve teşviklerinin yıllar içerisinde iyileşme gösterdiği görülmektedir. Özellikle son yıllarda bu konuda devletin liderliğinde, kamu kurum ve kuruluşların, özel sektörün, üniversitelerin, STK’ların içinde bulunduğu bir seferberlik ortamı yaratıldı. Kaybedecek zamanımızın olmadığı gerçeğiyle, hedefe yönelik yapılan bütün teşviklerin, çalışmaların, programların ciddiyetle ele alınması, güncellenmesi, yaygınlaştırılması gerekmektedir. Bu noktada, her şeyi devletten beklemenin de doğru olmadığı kanaatindeyim. Genç iş gücümüz bizim için bir avantaj. Genç profesyonelleri korumalı, yetişmelerine yardımcı olmalı, sonuna kadar desteklemeliyiz.

Hata yapma ve bu hatalardan öğrenme lüksünü yaşatmak zorundayız. Artırılmış Gerçeklik (AR) ve Sanal Gerçeklik (VR) kullanımına önem vermek ve kaynak ayırmak zorundayız. Bu teknolojiler birkaç sene önceye kadar oyun dünyasıyla sınırlıydı, ancak artık kullanım alanları inanılmaz genişledi. Bu teknolojileri kullanarak çalışanların katılımı, eğitimi ve müşteri deneyimi açısından çığır açmak mümkün.

Bilgi teknolojilerinin çeviklik ihtiyacı her zamankinden daha fazla. Teknolojinin sürdürülebilirliği için birden fazla yola ihtiyacımız var; API'ler rekabette öne çıkmak için gizli bir silahtır. Bu teknolojileri önemli ölçüde kullanan E-Bay ve PayPal, inanılmaz derecede yüksek bir işlem hacmini yönetebiliyorlar. Daha fazla yeni nesil teknolojiyi birbirine bağlamaya çalıştığımız bu dönemde, API'lar bunun mümkün kılınmasında büyük rol oynayacaktır. Bazı yazılım ve teknoloji şirketleri, pastayı paylaşma anlamında bu değişime direnebilirler, ancak en iyi kullanıcı deneyimini oluşturan teknolojiyi kullanmaya çalışan şirketler için genellikle birden fazla sağlayıcıdan kaynak bulmak gerekmektedir.

Büyük verilerin iş dünyasındaki önemi inanılmaz derecede artmaktadır. Dünyada baş döndürücü miktarda değerli veri olduğunu biliyoruz, ancak az sayıdaki şirket bunu maksimum etki için kullanmaktadır. Analitik, müşterilerin nasıl düşündüklerini, istediklerini ve piyasanın markanızı nasıl gördüğünü göstererek işletmenizi yönlendirir. Dijital Dönüşüm çağında, neredeyse her şey ölçülebilir. Önümüzdeki dönemde bu işlerimizi yönetme usullerimizin temel taşı olacaktır. Her önemli karar veri ve analitik uygulama ile desteklenmelidir.

Büyük verilerin pazarlamacılar için ne kadar paha biçilmez olduğunu söylerken nesnelerin internetini de göz ardı etmememiz gerekmektedir. Daha yaşanabilir şehirlerden daha yalın işletmeler yaratmaya kadar hayatın her alanında günlük yaşamın işleyişi bu teknoloji sayesinde değişecek.

Bu sene dünya çapında çalışan tahmini 50 milyar IOT sensörü bulunacağını düşünürsek bu konuda çalışıyor olmamızı gerekli kılıyor. Sonuç olarak teknolojimizi, çalışma ve inovasyon kültürümüzü hızla değiştirebilen bir yapıya kavuşmak zorundayız. Çevik, uyarlanabilir ve değişimin tek sabit olduğu geleceğe doğru bu şekilde güvenle yol alabiliriz.

CyberMag: Son yıllarda internetin kullanımının artmasıyla birlikte ortaya çıkan IoT(Nesnelerin İnterneti) kavramı ve internete bağlı cihaz sayısının artışı; bir başka hayati husus olarak Bilgi Güvenliği konusunun önemini, yerel ve milli çözümlerin ülkemiz adına geliştirilmesi gerektiğini gösteriyor. Bu bilgiler ışığında, İnfrasis Siber Mühendislik olarak, Türkiye’deki Siber Güvenlik Sektörü’nün durumu hakkında ne düşünüyorsunuz?

Can SOBUTAY: Veri, kimilerine göre yeni bir petrol kaynağı gibi değerli bir avantaj iken, kimileri için de hava gibi temel bir ihtiyaç haline gelmiştir. Bilişim sektörü ve BT güvenliği, devam eden hızlı genişleme ve büyümeyle bir yandan yenilikleri bünyesine alırken, bir yandan da yeniliklerin getirdiği çeşitli risklere de maruz kalmaktadır. Sanal genişleme ile yenilikçi uygulamaların artmasıyla, siber bir ekonominin yükselişi, finansal işlemlerin, kilit kontrol sistemlerinin yaygın olarak düzenlemesi, bilgi paylaşımını ve büyük veri depolanmasını içeren bir sistemde nimetlerin yanında yeni risk ve tehditleri de getirmiştir.

Günümüzün bilgi savaşında bireylerin ve kurumların korunması büyük bir zorunluluk haline gelmiştir. Türkiye’de siber güvenlik, reel sektörün son dönemde daha fazla odaklandığı ve daha sık gündemlerine giren bir alan haline gelmiştir. Kurumların siber riskleri diğer risk başlıkları gibi önemsemeleri ve yönetmeleri gerektiğine yönelik farkındalık seviyesi artan bir trend göstermektedir. Bu farkındalık seviyesi global şirketlerin farkındalığı noktasında olmasa da, bizim için olumlu bir gelişme. Gartner’ın araştırmasına göre dünya genelinde siber güvenlik harcamalarının 2022'de 133,7 milyar dolara ulaşacağı tahmin edilmektedir.

Haziran 2020 de açıklanan verilere göre, 1,5 milyar dolarlık siber güvenliğin pazarına sahip olan Türkiye’nin küresel pazardaki yerini, farklı uzmanlık alanlarını, farklı birikimleri, farklı perspektifleri bir araya getirerek oluşturacağımız çevik bir yönetişim modeli ile güçlendirip, sürdürülebilir bir büyüme ile geliştirebiliriz.

Eş zamanlı olarak, teşviklerle projelerin desteklenmesi, üniversite ve sanayi iş birliğinin artırılması, Ar-Ge ve inovasyon alanında yeterince gelişmiş iş birliği kültürü oluşturulması, ürün ve markalaşma konusunda geniş bir vizyonun ortaya konulması ile küresel rekabette güçlü bir oyuncu haline gelebiliriz. Genç iş gücümüz, jeopolitik konumumuzun getirdiği büyük avantajları fırsata çevirebiliriz. Burada devletimiz dışında, büyük şirketlere, KOBİ’lere, üniversitelere ve STK’lara önemli sorumluluklar düşüyor.

CyberMag: İnternet kullanım oranlarındaki artışı neye bağlıyorsunuz? İnsanlar açık bilgi ortamlarına neden bu kadar istekli? Ülkemizde internet yoluyla işlenen suçlarda artış var. Bunu nasıl açıklayabiliriz? Yapılan saldırıların yol açtığı maddi zarar ne boyuttadır?

Can SOBUTAY: Özellikle 2020’nin getirdiği yeni normal düzende, ülkemizde internete erişim imkanına sahip hanelerin oranı %90’lardayken ve bütün yaşam alanlarımızdaki rutin günlük aktivitelerimizi internet üzerinden gerçekleştirirken, siber suçların artışı öngörülebilen bir sonuç. Sosyalleşme, eğitim, iş, alışveriş, eğlence vb. bütün ihtiyaçlarımızı karşıladığımız bir ortamda, bu artan insan trafiğini fırsata çevirmek isteyen saldırganların artışına sebep oluyor.

Bir siber saldırının maddi zararına yönelik genel algılar genellikle şirketlerin kamuya bildirmek zorunda olduğu bilgiler ile şekilleniyor; başlıca örnek kişisel kimlik bilgileri, ödeme verileri ve kişisel sağlık bilgilerinin çalınması. Tartışmalar genellikle müşteri bildirimi, kredi izleme ve muhtemel yasal kararların veya mevzuata ilişkin cezaların maliyetlerine odaklanıyor. Ancak, özellikle saldırganın amacı sadece kişisel kimlik bilgilerini çalmak değilse, saldırının etkileri çok daha geniş kapsamlı olabilir. Örneğin Dünya Ekonomik Forumu’nda açıklanan bilgilere göre, geçen yıl Rus ekonomisi siber saldırılardan dolayı yaklaşık 40,4 milyar dolar kaybetmiş. Türkiye’deki siber saldırı maliyetlerine ilişkin, birçok araştırma şirketinin açıkladığı rakamlara internetten erişebiliyoruz. Ama az önce belirttiğim gibi, bu rakamların hangi kriterler kapsamında hesaplandığı önem taşımaktadır. Çünkü bir siber saldırının etkileri yıllarca devam edebilir ve bunun sonucunda geniş bir yelpazede “gizli” maliyetler ortaya çıkabilir. Bu maliyetlerin çoğu itibar zedelenmesi, operasyonların aksaması özel verilerin veya diğer stratejik varlıkların kaybı gibi konularla alakalı soyut etkilerdir.

CyberMag: Siber güvenlik pazarının ve tehditlerin bugünkü durumu nedir? Bir siber savaşta neler tehdit altında?

Can SOBUTAY: Doğu ve Batı arasında yaşanan politik ve ekonomik kutuplaşmalar da siber güvenlik tehditlerinin trendlerini artırıyor. İnternetin bağımsız ve özgür bir ortam olarak ortaya çıkışından sonra her geçen gün artan siber saldırı olasılıkları ülkeleri bağımsız ve izole internet altyapıları kurmaya yöneltiyor. Rusya’nın 2020 yılı içinde test ettiğini açıkladığı bağlantısız internet sadece ülke içinde hiçbir dış kaynağa bağlanmadan çalışan bir ağ sistemi olarak bu duruma örnek gösterilebilir.

Hassas bilgilerin sanal ağlar üzerinde depolanması, hükümetlere karşı siber casusluğa ve işletmelere karşı siber ekonomik savaşa yol açmıştır. Endüstri 4.0, akıllı şehirler ve IoT uygulamalarının yaygınlaşmasıyla nesnelerin birbirileriyle internet üzerinden iletişimde bulunarak otomasyonun giderek artması iş süreçlerinde verimliliği getirmekle birlikte bu cihazların sabotaj için kullanılma riskini de artırmıştır.

Bu alanda elektronik uygulamaların suiistimal edilmesiyle trilyon dolarları geçen bir ekonomi oluşturduğundan siber güvenlik seviyesinin yükseltilmesi için harcanan bütçe miktarları da hızlı bir şekilde artmaktadır.

İnsan hayatı ve kurumsal kaynaklar siber korsanların sahip olacakları üstünlüklerden dolayı daha fazla tehlikeye girmiştir. Kriz veya çatışma dönemlerinde, savaşın hem taktik hem de operasyonel seviyelerinde çeşitli siber saldırı biçimlerine maruz kalındığına şahit olmaktayız.

CyberMag: Bilinen siber saldırı yöntemleri ve güvenlik çözümleri hakkında bilgi verebilir misiniz?

Can SOBUTAY: Gerçekleşme maliyetinin ucuz ancak etki alanının geniş olduğu DDoS saldırıları, hedeflenen internet hizmetine erişimleri etkisiz hale getirerek, kamu ve özel sektördeki birçok kuruluşa ciddi zararlar vermeye devam ediyor. Bunun dışında şirketlere, hükümetlere ve sağlık kuruluşlarına karşı yüksek oranda fidye yazılımı saldırıları gerçekleşiyor. Özellikle Covid 19 döneminde artan sosyal mühendislikle geliştirilen oltalama saldırıları, birçok kullanıcı için ciddi tehditler saçmaya devam ediyor.

Bunlarla birlikte, siber güvenlik pazarında yapay zekanın pazar payının 2026 yılına kadar 38,2 milyar doları bulacağı öngörülüyor. Pazarın büyümesinin temel itici gücü olarak ise IoT cihazlarının sayılarının artması ve siber güvenlikteki gelişmiş tehditleri öne çıkartıyor.

Yaşadığımız hızlı dijital dönüşüm sürecinde, altyapı olarak hazırlıksız olan kurum ve kuruluşlar, bilgi eksikliği olan kullanıcılar saldırganlara hedeflerine ulaşmada büyük fırsat sağlamış oldu. Güvenlik çözümlerine, kurumsal olarak baktığımızda; Şirketlerin veri izolasyonu için, bilişim altyapılarının iyi tasarlanmış olması gerekmektedir. Zafiyet noktalarının bilinmesi önemlidir. Siber güvenlik sadece bir takımın sorumluluğu değil tüm bilişim altyapısının bir bütün olarak ele alınması ve 360 derece tüm katmanlarda kontrol edilmesidir. Donanımlı ve tecrübeli BT uzmanları tarafından BT bileşenlerinin 7/24 izlenmesi gerekmektedir.

CyberMag: Siber saldırıların mağduru ya da bu saldırılara istemeden alet olmamak için vatandaşlarımızın alabileceği önlemler nelerdir?

Can SOBUTAY: Öncelikle kullandığınız bilişim cihazını iyi tanımanız gerekmektedir. Bu bir cep telefonu da olabilir, bir sunucu da olabilir veya bir siber güvenlik sistemi de olabilir. Parmaklarınızı dokunduğunuz “cihaz”a göre davranış modelini uygulamalısınız. Bir kişisel cihaz ise, kişisel bilgi güvenliğinizi sağlayan ayarlara dikkat etmelisiniz. Bir kurumsal sistem ise, kurumunuzun sizlere ilettiği kurumsal siber güvenlik politikasına riayet etmelisiniz. Bir bilişim personeli iseniz, sorumlu olduğunuz konuda güncel gelişmeleri takip etmeli ve bu doğrultuda önlem almalısınız.

Siber güvenliğin belki 0 noktası denilebilecek olan bireysel davranışımızı alışkanlık haline getirmeliyiz. Bu çerçevede dillere pelesenk olan açık kablosuz ağlara dahil olmama, güçlü şifre kullanma, e-posta ile gelen saldırılara karşı bilinçli olma, cihazlarınızın temel güvenliğini sağlama (güncelleme, antivirüs, güvenlik duvarı vb.), cihazlarınızın yanından ayrıldığınızda mutlaka ekranın kilitli olması, verilerin yedeklenmesi, ortak cihazların kullanılmaması gibi başlıca hususlar çok önemlidir.

Ortak kablosuz ağlar ve ortak bilgisayarlar ile ilgili çok önemli bir nokta da, sizleri kimin izlediğini bilmiyor oluşunuz. Bu noktada, bir sosyal medya gezintisi, fatura ödeme veya internet alışverişinin sebep olacağı zarar ve sıkıntıyı asla unutmayınız. Uzaktan çalışma modelleri uygulanırken oluşabilecek birçok dijital risk mevcuttur. Bu riskler, çalışan bireyleri dolayısıyla da bireyin çalıştığı şirketleri de tehdit etmektedir. Çalışanların güvenliğinden emin olmadığı ortak Wi-Fi alanlarında (kafe, restoran, park, avm vb.), şirket ağına dahil olarak çalışması, verilerin izolasyonu açısından büyük bir risk taşımaktadır. Çalışanların, ortak Wi-Fi ağlarına bağlanan saldırganların network ağını dinlemesi neticesinde, çalışanın ve şirketin bilgilerini saldırganın önüne sunması demektir. Sunulan bu bilgilerin içerisinde bulunan bilgisayarınızın IP adresi ‘basit gelebilecek bir bilgi olabilir; fakat bütün felaketin başlamasına atılan en büyük adımdır.

Kurumsal e-posta adreslerinin kullanımı iletişimin daha zor olduğu, özellikle uzaktan çalışmaların olduğu bir dönemde yoğun gelen e-posta ve içeriklerine daha dikkat edilmesini gerektirir. Saldırganlar, çeşitli sahte ve dikkat çekici içerikler hazırlayarak bağlantıyı indirmenizi veya verilen linke erişim sağlamanızı ister. Bilinmeyen içeriklerin indirilmesi zararlı yazılımların bilgisayarınızda bulunan bilgilere saldırganın erişmesini sağlayacaktır. Günümüzde Covid-19 virüsü ile alakalı ‘outbreak map’ (salgın haritası) içeren e-postalar ile kullanıcının kolaylıkla yönlendirilebildiğini söyleyebiliriz.

“Phishing” yani oltalama olarak bilinen saldırı türü hedefli veya hedefsiz olabilmektedir. Spear Phishing saldırıları, hedefli oltalama saldırıları olup, normal akış (şirket çalışanlarından birini taklit etmek) üzerinden gelen e-postalar gibi görünebilir. Vishing saldırısı telefonla gerçekleştirilen bir saldırı olup, ‘durumun acil’ olduğunu belirten iletiler ile süslenebilir. Oltalama saldırılarında parolalarınız, kredi kartı bilgileriniz gibi önemli bilgiler de saldırganların eline geçebilir. Kurumsal e-postalar kullanırken bilinmeyen kullanıcıdan gelen e-postalara kesinlikle dikkat edilmelidir.

Ayrıca cihazlarda ve hesaplarda kullanılan parolalarınız ‘güçlü’ değilse, saldırganların kütüphanelerinde olması muhtemeldir. Belirlenen parolaların çeşitli karakter ve uzunlukta olması gerektiğine dikkat edilmelidir.

CyberMag: Siber güvenlikte teknik tedbirleri destekleyecek diğer unsurlar nelerdir?

Can SOBUTAY: Siber güvenlikte teknoloji, eğitim, teknik kapasite gibi faktörler etkili bir güvenlik mimarisi için mutlaka olması gereken şartlar olarak kabul edilir. Fakat insan unsuru tüm diğer faktörlerin ne kadar etkili olacağını belirleyen ana bileşendir.

Uluslararası siber güvenlik raporlarına baktığımızda başarılı siber saldırıların, ortalama yüzde % 80’inde insan faktörünün dahil olduğu görülmektedir. Kullanıcıdaki bilgi ve yetkinliği artırdığımız her aşamada bu oran düşüş göstermektedir. Burada yine eğitimin zaruriyeti önümüze çıkıyor.

Güvenli bir sistem platformunu tasarlarken, teknik bilgiyi beşeri bilimlerle birleştirerek uygulamak gerekiyor. Bu bizi, olası güvenlik zaafiyetlerini tahmin etmede, önlemede ve analiz etmede daha etkili kılıyor.

CyberMag: Bu bilgiler ışığında, siber güvenlikle ilgili strateji ve politikalar nasıl oluşturulmalı? Türkiye’de siber güvenlikten kim sorumlu? Bugüne kadar bu konuda neler yapıldı?

Can SOBUTAY: Büyüyen bu tehdit evreninde, birçok ülkenin devlet tabanlı siber saldırılara uğradıklarını açıkladıkları ve hatta uğradıkları zarardan farklı ülkeleri sorumlu tuttuğu bu gündemde, Türkiye olarak, alınan tedbirlerle sağlam ve güçlü olduğumuz kanaatindeyim. Konunun ulusal güvenlik kapsamında değerlendirilmesi, kurumsal ve bireysel boyutta farkındalığın gelişmesini, savunmanın güçlenmesini pekiştiriyor. Bununla birlikte son yıllarda belirlenen stratejiler, uygulanmaya başlanan yönetmelikler ve düzenlemeler sonucu artan bir iyileşme ve gelişme sürecindeyiz.

TÜSİAD’ın 2020 araştırma raporuna göre; Türkiye’de değişen yönetmeliklerin, kurumları siber güvenlik konusunda yatırım yapmaya teşvik eden en önemli faktörlerden biri olduğunu gözler önüne seriyor. Yönetmeliklerin, yatırımı teşvik etme gücü diğer ülkelere göre daha yüksek. Türkiye’de kurumların %77’si yönetmeliklerin etkisi ile siber güvenlik alanına yatırım yaparken bu oran globalde %28 düzeyinde kalmaktadır.

Türkiye’nin siber güvenlik ekosistemini güçlendirmesi, yetişmiş insan gücü hayati önem taşımaktadır. Bu çerçevede, İnfrasis olarak en büyük yatırımımızı, en değerli varlığımız olan teknik bilgiye yapmaya devam edeceğiz. Bununla birlikte gençlerimizin de bu alanda kariyer sahibi olmaları, bilgi birikimlerini geliştirme yöntemlerine sahip olmaları konusunda çalışmaya devam edeceğiz.

CyberMag: Yerli ve milli çözümlerin üretilmesi adına, teknokentlerimize, yerli ve milli firmalarımıza düşen görevler nelerdir?

Can SOBUTAY: Sizin de bildiğiniz gibi teknoloji artık dünyadaki değişimin katalizörü haline geldi. 1900’lerin başında neredeyse x-eksenine paralel çizen teknoloji gelişim eğrisi artık neredeyse dikey ilerliyor. Dünya arenasında arzu ettiğimiz yeri hak etmek için yapmamız gerenler var ve kaybedecek zamanımız da yok. Bu hızlı ve acımasız rekabet ortamında göz önünde bulundurmamız gereken birçok önemli nokta var.

Örneğin uyumluluk; uyumluluk, başarı için her zamankinden daha önemli. Modern işletmeler, endüstri ve pazar değişimlerine uyum sağladıklarında ve şirket kültürüne, düzenli operasyonlara yeni teknoloji kattıklarında başarılı olurlar. Önemli olan teknolojiye sahip olmak değil, aynı zamanda teknolojinin gücünü, firmanın önünü açabilecek değişiklikleri benimseyen bir kültürle bir araya getirmektir.

Müşteri memnuniyetinin en üst seviye olması nihai hedefimiz olmalıdır. Çünkü müşteri değersiz ve ihtiyaçlarına uygun olmayan çözümlerden hızla uzaklaşır. Üst düzey bir kullanıcı deneyimi, müşterilerin sizi seçmesini ve sizinle kalmasını sağlamak ve etkileşimde bulunmak için mükemmel bir yoldur. Müşterilerin, sizinle etkileşime geçebilecekleri her alanda, deneyimin tutarlı ve olumlu olması gerekir.

Proaktif bir inovasyon yaklaşımı, gelişen bir pazarda rekabet gücünü korumanın en iyi yollarından biridir. Yeni teknolojinin değerlendirilmesi, test edilmesi, analiz edilmesi ve her zamankinden daha hızlı karar verilmesi gerekmektedir. Kurum ve kuruluşlar artık hiçbir zaman gerçek değer sunmayan yeni araçlar kullanıp zaman ve kaynakları harcamayı göze alamazlar. Bunu, “Daha başarılı olmak için hızla başarılı ol” gibi bir parolayla özetleyebiliriz. Bazı projeler hemen işe yarayacak, bazıları önemli öğrenme eğrilerine sahip olacaktır. Fikirden uygulamaya ne kadar hızlı geçebilirsek o kadar çok pazar ve iç iş modelimizi dönüştürmek ve hatta bozmak için fırsat yaratabiliriz. Bir şirketin, yeni teknolojinin kolayca entegre olabileceği veya en azından teşvik edildiği uyarlanabilir bir kültüre sahip olması durumunda, bu işletme uzun vadeli bir başarı için kurulmuş olur.

CyberMag: Ulusal güvenlik açısından siber güvenliğin önemi nedir?

Can SOBUTAY: Herhangi bir fiziksel sınır geçmeden, siber uzayın kara, hava, uzay ve deniz alanlarının yanında bağımsız bir alan haline geldiği siber çağda, devletler ve devlet dışı aktörler, kritik altyapıları, kurumları, e-devlet hizmet ağlarını ve her türlü insan iletişim biçimini görünmez bir şekilde etkileyebilir, aksatabilir veya işlemez hale getirebilirler.

İşin zor tarafı da bazen aktörleri tam olarak tespit etmek ve birilerine sorumluluk yükleyerek tazmin edilmesini sağlamak da giderek güçleşmektedir. Günümüzün bilgi savaşında bireylerin ve kurumların korunması büyük bir zorunluluk haline gelmiştir. Savaşın doğası değiştikçe, uluslararası toplumun yanı sıra devletlerin de hızlı bir şekilde adapte olması gerekmektedir. Kriz veya çatışma dönemlerinde savaşın hem taktik hem de operasyonel seviyelerinde çeşitli siber saldırı biçimlerine maruz kalındığına şahit olmaktayız.

Hassas bilgilerin sanal ağlar üzerinde depolanması, hükümetlere karşı siber casusluğa ve işletmelere karşı siber ekonomik savaşa yol açmıştır. İnsan hayatı ve kurumsal kaynaklar siber korsanların sahip olacakları üstünlüklerden dolayı daha fazla tehlikeye girmiştir.

CyberMag: Türkiye’nin siber savunma alanında, diğer ülkelere göre durumu hakkında ne söyleyebilirsiniz?

Can SOBUTAY: 2000’li yıllarda çıkartılan yasalar ve 2010 yılı sonrasında hazırlanan siber güvenlik strateji belgeleri ile birlikte Türkiye, siber ekosistemin geliştirilmesi gerektiği ve siber güvenliğin milli güvenliğe entegre edilmesinin şart olduğu gerçeğinden hareketle, siber savunma ve saldırı kapasitesini geliştirmek için planlamalarda bulunmaya başlamıştır. Dünyaya baktığımızda; her ülke kendi siyasi, askeri, ekonomik hedefleri ve politikaları kapsamında kendi siber güvenlik sistematiğini oluşturduğunu görüyoruz.

Böylece, Türkiye’de ulusal çıkarları ve hedefleri çerçevesinde, kendi milli siber güvenlik sistematiğini geliştirmek amacıyla kurumsal yapılanmalar oluşturmuştur. Türkiye’nin devlet yönetiminde ülkenin siber güvenlik stratejisini geliştirme, siber savunma ve saldırı kapasitesine yatırım yapma konusunda bir farkındalık olduğu açıktır. Eylem planları doğrultusunda, rol alan, destek olan, yol gösteren bütün kurum, kuruluş, akademisyen, STK’ların hep birlikte, etkin koordinasyon sağlanarak ilerlemesi büyük önem taşımaktadır.

CyberMag: Uluslararası bir şirketin yöneticisi olarak, diğer ülkelere kıyasla siber güvenlik sektörüne yönelik devlet desteğini yeterli görüyor musunuz? Bunun yanı sıra, geçtiğimiz günlerde kabul edilen “Kişisel Verilerin Korunması Kanunu” ve Ulaştırma, Denizcilik ve Haberleşme Bakanlığı tarafından hazırlanan 2016-2019 Ulusal Siber Güvenlik Stratejisi’ne yönelik değerlendirmeleriniz nelerdir?

Can SOBUTAY: Ülkemizde devletin yasayla çerçevesini çizdiği, takip ettiği konular firmalar tarafından hem daha çok dikkate alınıyor hem daha çabuk içselleştiriliyor ve prosedürlere geçiriliyor.

Bu bağlamda KVKK, GDPR gibi kanunlar; ISO, NIST gibi standartlar; EPDK, BDDK gibi sektör denetleme kurumları; halka açılma süreçlerinden geçen kurumlar için SPK tarafından belirlenen zorunluluklar şirketlerin siber risk konusunda harekete geçmesini etkiliyor ve yol gösterici oluyor.

Kişisel verilerin korunması kanunu bilişim alanını da hedefleyen bir yasal uygulamadır. Dolayısıyla bu konunun salt bilişim sektöründen ele alınmasından ziyade hukuk uzmanlarının da konuya dahil olması gerekmektedir. Bir idari uygulamanın teknolojik ürün ve terminolojilere indirgenmesi meselenin özünün gözden kaçmasına sebep olabilir. Yasanın yürütülmesinde bilişim ve hukuk gibi farklı disiplinlerin iş birliği gerekmektedir. Bu iş birliğinin, başarılı sonuçlar doğuracağına inanmakla birlikte sosyal ve mühendislik disiplinlerini bir teknik çalışma metodunda buluşturmak iki taraf için de bakış açısının zenginleştirmesine katkı sağlayacaktır.

“Siber Uzay” gibi geleceğin şekillendiği bu ortamda oluşturulan siber güvenlik stratejisinin ve bu kapsamda belirlenen hedeflerin; etkin bir biçimde gerçekleştirilmesi, uygulama aşamasında vatandaş, devlet, kamu kurum ve kuruluşları, özel sektör, üniversite ve sivil toplum kuruluşları gibi tüm paydaşların ciddi bir koordinasyon içinde olmasını şart koşmaktadır. Bununla birlikte, Türkiye’nin küresel ölçekte örgütlenmiş organizasyonlarla işbirliğini daha da güçlendirmesi, bu platformlarda devam eden siber güvenlik çalışmalarında aktif olarak olması, küresel ve bölgesel anlaşmalara taraf olması uluslararası düzeyde söz sahibi olmasını pekiştirecektir.

CyberMag: Yapılan araştırmalar sonucunda, dünyada 1,5 milyon siber güvenlik uzmanı açığı olduğu söyleniyor. Türkiye’nin dünya pazarından %1 pay aldığı göz önünde bulundurulursa, ülkemizde 15.000 siber güvenlik uzmanına ihtiyaç olduğu söylenebilir. Bu bilgiler ışığında, yeni nesil insan kaynaklarının eğitilmesi ve yetiştirilmesinde, Türkiye’deki üniversitelerin ve STK’ların yeri ve önemi hakkında kısaca bilgi verir misiniz? Genelde ne tür oluşumlar var ve ne tür faaliyetler yürütmektedirler?

Can SOBUTAY: Son dönemde yapılan araştırmalar sonucunda Türkiye’nin 15 bin siber güvenlik uzmanı açığı olduğu konuşuluyor. Siz bu durumu nasıl değerlendiriyorsunuz? Uzman açığının kapatılması için yapılması gerekenler sizce nelerdir? Üniversitelerin siber güvenlik noktasında üzerlerine düşen görevleri yaptığını düşünüyor musunuz? Lisans veya yüksek lisans programlarını içerik veya nicelik olarak yeterli midir?

Öncellikle geleceğe dair inancımı artırdığı için vurgulamak isterim; Cumhurbaşkanlığı Dijital Dönüşüm Ofisi himayesinde lise ve üniversite öğrencilerine ücretsiz sertifikalı siber güvenlik uzmanlığı eğitimi, BTK Akademi’nin 3 yılda 1 milyon yazılımcı yetiştirme amacı taşıyan projesi, genç işgücü potansiyelimizi ciddi bir istihdam kadrosuna dönüştürmesi hedefiyle, bilişim sektörünün geleceğini şekillendirecek adımlardır.

Ayrıca biz de dahil, bilişim sektöründe faaliyet gösteren şirketlerin büyük bir kısmı, düzenlediği projeler ile gençlerin eğitimi ve istihdamına yönelik çalışmalar yürütmekte, bilgi teknolojileri sektörü için uzman kadrolar yetiştirmek, yazılım inovasyonunu teşvik etmek, yurtdışında kariyer ve araştırma olanakları sunmak için çeşitli çalışmalar yapmaktadır.

Küresel rekabette, teknoloji kullanım kültürünü anahtar yetkinlik kabul eden bir eğitim modeli ile güç kazanacağımız düşüncesindeyim. Bu anlayış içinde sadece gençlerin değil, mevcut işgücünün de bilgi ve iletişim teknolojileri becerilerinin geliştirilmesi zaruridir. Kodlama, yazılım geliştirme eğitimlerinin üniversiteler yerine lise ve ortaokul düzeyinde başlaması, gençlere bu konuda imkan sunulması, bence son dönemde eğitime dair yapılan öngörülü ve sevindirici bir düzenleme. Eğitim içeriklerinin sektör ihtiyaçları dikkate alınarak değiştirilip güncellenmesi büyük önem taşımaktadır. Eğitimin sürekliliği ve iş hayatında devamı ile dijital yetkinliklere sahip bir topluma dönüşebiliriz. Bilgi ekonomilerinde istihdam edilenlerde problem çözme, iletişim becerisi, iş zekâsı, özgüven, sorumluluk alma, inisiyatif (karar verme yetkisi), esneklik, hayal gücü, keşfetmek, başarı, bilgi paylaşımı, verimlilik, hayat boyu öğrenme gibi özellikler aranmaktadır. Bu çerçevede, bilgi teknolojileri alanında eğitim sadece üniversite ile de sınırlı kalmıyor.

Ben yaklaşık 20 yıldır bu sektörde profesyonel olarak çalışıyorum. Ve halen, periyodik olarak kendi uzmanlık alanlarıma dair yeterliliğimi test eden sertifika sınavlarına giriyorum. Bilgi teknolojileri sektöründe istihdam edilen bir mühendisin, sürekli kendini geliştirmesi, araştırması, problem çözme yeteneğini geliştirmesi işin doğası gereğidir. Özellikle global sektörde, hizmet veren kişi yada şirket uzmanlık konularında sürekli gelişen bir bilgi birikimine sahip değilse, sürdürülebilir bir varlık göstermesi mümkün değildir. Şuan İnfrasis Türk siber mühendisleri olarak İngiltere, Norveç, Almanya, Katar, Fransa, İsrail gibi ülkelerde siber mühendislik hizmeti verebiliyorsak ve tamamladığımız projelerden aldığımız teşekkür belgelerinin haklı gururunu yaşıyorsak, bu başarıyı getiren, İnfrasis ekibinin teknik bilgi üstünlüğüdür. İnfrasis’i kurduğumuz 2012 yılından beri teknik bilgiye ve insana verdiğimiz öncelik ve önem sayesinde, kendi alanında teknik sertifikasyon açısından Türkiye’nin en güçlü şirketiyiz.

CyberMag: Can Bey, bildiğiniz üzere Türkiye’de siber güvenlik ile ilgili mevzuat çalışmaları 2012 yılında başladı ve bu konuya yönelik çalışmalar büyük bir hızla devam ediyor. Yapılan çalışmaları nasıl değerlendirirsiniz, önerileriniz nelerdir? Türkiye’deki çalışmaları gelişmiş ülkelerdeki çalışmalarla karşılaştırdığınızda ortaya nasıl bir tablo çıkıyor?

Konunun ulusal güvenlik kapsamında değerlendirilmesi, kurumsal ve bireysel boyutta farkındalığın gelişmesini, savunmanın güçlenmesini pekiştiriyor. Bununla birlikte son yıllarda belirlenen stratejiler, uygulanmaya başlanan yönetmelikler ve düzenlemeler sonucu artan bir iyileşme ve gelişme sürecindeyiz.

TÜSİAD’ın 2020 araştırma raporu; Türkiye’de değişen yönetmeliklerin, kurumları siber güvenlik konusunda yatırım yapmaya teşvik eden en önemli faktörlerden biri olduğunu gözler önüne seriyor. Yönetmeliklerin, yatırımı teşvik etme gücü diğer ülkelere göre daha yüksek. Türkiye’de kurumların %77’si yönetmeliklerin etkisi ile siber güvenlik alanına yatırım yaparken bu oran globalde %28 düzeyinde kalmaktadır.

CyberMag: Bununla birlikte İnfrasis şirketinin Genel Müdürü olarak bize şirketinizden bahsedebilir misiniz? Genel olarak çözüm ve hizmet alanındaki platformlarınız/çalışmalarınız nelerdir?

Can SOBUTAY: İnfrasis olarak 2012 yılından beri, ağ ve bilgi güvenliği, iş sürekliliği, sanallaştırma, ağ altyapısı ve bütünleşik veri sistemleri, felaket kurtarma merkezleri uygulamaları ve tasarımları alanında çalışmalar yürütmekteyiz. Bilgi kaynaklarının güvenliği, verimliliği, etkin kullanımı, iyileştirilmesi ve düzenlenmesi için üst seviyede mühendislik çözümleri sunuyoruz. İnfrasis siber mühendisleri olarak, müşterilerin ihtiyaçlarına göre, güvenli bir siber ortamın tesis edilmesi amacıyla müşterilerimizin kullandığı BT çözümlerinin global standartlar göz önünde tutularak, müşterinin her bir servisinin, ihtiyacına göre özelleştirilmesini hedefliyoruz.

Bu özelleştirmenin içinde, güvenlik ilke ve uygulamalar çerçevesinde gerekli olan yapıların geliştirilmesi, siber sistemlerin fiziksel, yazılım ve insani faktörlerinin düzenlenmesi, tasarım, uygulama ve operasyonlarının yürütülmesi bulunmaktadır.

CyberMag: “Bilgi varlıklarını yönetmek, varlıkların güvenlik değerlerini, ihtiyaçlarını ve risklerini belirlemek, güvenlik risklerine yönelik kontrolleri geliştirmek ve uygulamak” mottosu ile yoluna devam eden İnfrasis, veri sızıntısı engelleme ve mobil cihaz güvenliği hakkında okurlarımızın ne gibi tedbir ve önlem almasını tavsiye ediyor?

Can SOBUTAY: Uzaktan çalışma süreci ve zaten bir zamandır gündemde olan çalışanların kendi cihazlarını iş süreçlerinde kullanması (BYOD) prensibi kurumların elindeki bilişim varlıklarında yeni bir kategori oluşturmakta. Kullanıcıların iş ve kişisel amaçlı olarak kullandıkları mobil cihazlar veri sızıntıları için biçilmiş kaftan. Hesaplara erişim istekleri kurumsal olmayan bulut veya kişisel depolama çözümlerine yedeklenen veriler ile özellikle Android cihazları hedef alan zararlı yazılımlar başlıca tehdit olarak sayılabilir. Bir diğer önemli husus ise çalınan/kaybolan cihazların oluşturduğu büyük sorunlardır.

Bu noktadan hareketle öncelikle bir cihaz politikasının belirlenmesi gerekir. Kurumsal veriye ve uygulamalara erişecek cihazlar için cihaz politikalarının oluşturulması ve cihazların merkezi olarak politikalara dahil edilmesi gerekir. Çalınan cihazların silinebilmesi veya hesaplara / verilere erişimlerinin kesilebilmesi, uzaktan takip mekanizmalarının çalıştırılabilmesi hem çalışanlar hem de kurum ve kuruluşlar için önlem olmaktadır.

İkinci olarak verinin sızıntısını önlemek için önce verinin ne olduğunu belirlemek ve kurumsal verinin tasnifi gerekmektedir. Bu sadece IT birimlerinin değil birçok birimin yetki ve sorumluluğuna giren bir alandır. İlk adım, her zaman verinin sınıflandırması olmalıdır. Burada en kritik kural, kurum ve kuruluşlar içindeki diğer paydaşların sürece etkin bir biçimde katılmasıdır.

CyberMag: Bilindiği üzere DOS ve DDOS saldırıları çoğu zaman kurum ve kuruluşların hizmetlerinin kısmen veya tamamen durmasına ya da hizmet kesintilerine yol açmaktadır. İnfrasis olarak bu ataklara karşı geliştirdiğiniz sistemlerinizden bahsedebilir misiniz?

Can SOBUTAY: DoS ve DDoS belki de ülke olarak en sık rastladığımız saldırı tiplerinden biri Anonymous ve Redhack gruplarının geçtiğimiz yıllarda aktif ve yoğun olarak gerçekleştirdiği bu saldırı tipleri kamuoyunda bilinir olmalarını sağladı. Her iki saldırı tipi de bildiğiniz üzere bir bilişim sistemlerinin hizmet vermez hale gelmesini hedeflemektedir. Bu noktada tek bir hizmetin hedef alınması sadece o hizmeti kesintiye uğratırken DNS gibi tüm hizmetlerin altyapısını oluşturan servislerin hedef alınması ise bir anda tüm hizmetlerde kesintiye sebep olmaktadır. İnfrasis olarak biz DoS ve DDoS’un sadece bir ağ katmanı saldırısı olmadığının yüksek bilincindeyiz. Ağ katmanı L3/L4 ve uygulama katmanı L7 saldırılarını hem her bir katman hem de her bir protokol için ayrı ayrı ele alarak çözüm üretmekteyiz. Web uygulaması, DNS, TCP, UDP ve benzeri birçok protokol için özel çözümlerimiz mevcut. Hali hazırda ülkemizin birçok kurumunda bu çözümlerin mühendislik odaklı tasarımlarını yapmakta ve operasyonlarını yürütmekteyiz.

CyberMag: Bu hizmetlerin dışında siber güvenlik alanında farklı danışmanlık hizmetleri ve çözümleri sunuyor musunuz?

Can SOBUTAY: Günümüzde kullanılan uygulamaların neredeyse tamamı web tabanlı uygulamalar olmakta veya http protokolünü kullanarak haberleşmektedir. İnfrasis bu tip uygulamalarla alakalı 10 seneye yakın olan deneyimini bu uygulamaların güvenliğini sağlamak veya denetlemek için müşterilerimizin kullanımına sunmaktadır.

Bu sebeple bu sene başlattığımız ve şimdilik Türkiye’de en çok kullanılan F5 Networks üreticisinin kurumlarda kurulu WAF politikalarını düzenli olarak denetlediğimiz ve derecelendirdiğimiz bir “WAF Denetleme” hizmetini devreye aldık. Bunun yanı sıra giderek karmaşıklaşan kurumsal ağları ve bu ağlardaki güvenlik politikaları değişimini izleyen ve bu konuda risk analizi ve çözüm önceliklendirme yapan bir “Ağ ve Güvenlik Denetleme” hizmetimizi de yine bu sene müşterilerimize sunmaya başladık.

Her iki hizmetimiz de kurumlarda kullanılması zaruri olan ama işletmesi her geçen gün zorlaşan kritik siber güvenlik bileşen ve politikalarını İnfrasis’in deneyimiyle harmanlayıp raporlayan ve çözüm önerileri getirerek müşterilerimizin operasyonel zorluklarını kolaylaştırmayı hedefliyor.

Bunların yanı sıra İnfrasis kurulduğu zamandan bu yana müşterilerimizin ihtiyaçlarına özel olarak tanımlanan “terzi” tipi danışmanlık hizmetlerini de sunmakta.

CyberMag: “İnsan Faktörü: Davranışlar, Amaçlar ve Kırık Şirket Verileri Kavşağı” adlı araştırma sonucuna göre; siber güvenlik profesyonellerinin sadece %13’ü daha fazla siber güvenlik aracına ihtiyaç duyduklarını belirtirken, %80’i etkili bir siber güvenlik için kritik verinin kullanımında kişilerin davranışları ve amaçlarının anlaşılmasının önemli olduğunu vurguluyor. Kullanıcı davranışı ve amacı odaklı strateji geliştirmek için ne yapmak gerekiyor? İnsan psikolojisini anlamlandırmak mümkün değilse, kişilerin sosyal medyadaki ve internetteki hareketlerini mi izlemek gerekiyor? Araştırmanın sonucu olarak, büyük veriyi doğru okumak ve anlamlandırmak gerekiyor diyebilir miyiz?

Can SOBUTAY: Sadece satın alma yapılarak sorunların çözülmesi imkansızdır. İyi yönetilen, iyi kurgulanan, üzerinde katma değer geliştirilen, özelliklerinden tam anlamıyla istifade eden bir çözüm, birçok ürünün satın alınmasını gereksiz kılabilir. Bilişim sistemlerinin salt siber güvenlik sistemleri dışında kalan unsurları üzerinde yapılması gereken yapılandırmalar ile süreç ve değişim yönetimi uygulanarak ciddi başarılar elde edilebilir.

İnsan faktörünün sürece dahil olması işte tam bu noktada başlamaktadır. Bir çözümün veri merkezine yerleştirilip “fişinin takılmasından” itibaren insan faktörü devrededir.

Bundan sonra “insanın” niyet bağımsız atacağı her adımda ister kullanıcı ister bilişim personeli olsun çorbada iyi kötü bir tuzu olacaktır. Kurum veya kuruluşun paydaşı olmayan insanlar için “niyet okuması” yapmak için büyük verinin kullanılması olası saldırı gruplarının eğilimlerinin anlaşılması için önemli bir nokta. Paydaşlar için ise bu durum daha çok bir motivasyon veya motivasyonsuzluk durumu. Kurumsal aidiyet ve mutluluk, örgüt kültürü ile bunların sürdürülebilmesi en önemli önleyici faaliyettir. Bu iki ana başlık altında yer alan eğitim ve bilinçlendirme faaliyetleri çalışanın mutlu olması durumunda başarıya ulaşır ve etkinliğini sürdürür. Böylece başka mecralarda davranış analizi yapmaya çalışmak verimli olmayacaktır.

Paydaşların çok değişkenlik gösterdiği ve/veya tüm vatandaşların paydaşı olduğu durumlarda ise, ilk söylediğim geçerli olamayacağından ortak paydanın belirlenerek hareket edilmesi önem arz etmekle beraber, tabii ki gelebilecek beklenmedik hareketlere karşı kemerlerimizi sıkı bağlamalıyız.

Organize davranışların belirlenmesi, siber istihbarat ile 0. vakayı belirlemek için yapay zekanın sürece dahil edilmesi günümüzde standart bir uygulama olmalıdır.

Özetlersek moda terminolojileri takip etmek yerine öncelikle insana yatırım ve değer verilmesi, paydaşların istek, talep ve mutluluklarının hedeflenmesi, eğitim ve şeffaf süreç yönetimi ile insan faktörü doğru yönlendirilirken yardımcı teknolojiler ile bu çalışmalarının sonuçlarının gözetimi ve önlem alınması sağlanmalıdır.

CyberMag: Özellikle sormak istediğimiz bir başka çözüm olarak, basında da geniş yer bulan “WannaCry” fidye yazılımı saldırısı için değerlendirmeniz nedir?

Can SOBUTAY: Mayıs 2017’de büyük gündem işgal eden WannaCry özetle, Amerikan Ulusal Güvenlik ajansından sızdırıldığı iddia edilen bir zafiyet kullanılarak Microsoft Windows kullanıcılardan bitcoin çalınmasını hedefleyen bir saldırı yöntemiydi.

Bu noktada birçok kurum ciddi sorun ve kayıplarla karşılaştı. Üç noktanın altı çizildi. Bunlardan ilki, her konunun başında söylediğimiz kullanıcı bilinci idi. Bilişim farkındalığı yeterli seviyede olmayan özel ve tüzel kişilikler yüksek düzeyde etkilendiler.

İkinci nokta planlı hareket etmekti. Saldırının hedef aldığı zafiyet için Microsoft saldırıdan haftalar önce bir güvenlik yaması yayınlamıştı. Yamaların uygulanması ve sistemlerin düzenli yedeklenmesi bir planlama çerçevesinde düzenli uygulanması ve takip edilmesi gereken bir husustur. Üçüncü nokta ise, bilişim sistemlerinde, siber güvenliğin çok yönlü değerlendirmesiydi. Bilişim sistemleri ağ, uygulama, kullanıcı, sistem, IoTvb birçok bileşenden oluşur. Bunların herhangi birinde oluşan bir zayıflık diğerlerini dolaylı değil direkt olarak etkiler. Sektörümüz tarafından sıkça anlatılan, örnek olan klima sisteminden sızılan lojistik firması “felaketi” ikinci bir örnek olabilir.

Bunları göz önüne alan kurum ve kuruluşlar örneğin DNS güvenliği hizmeti sunduğumuz müşterilerimiz WannaCry’ın barındırdığı DNS adreslerini saldırıdan önce zararlı olarak tanımladığından hiçbir sorun yaşamadan süreci atlattılar.

CyberMag: İnfrasis gelecekte ne gibi organizasyonlar planlıyor? Genel olarak düzenlenen organizasyonların siber güvenlik sektörü açısından önemi hakkında ne düşünüyorsunuz?

Can SOBUTAY: Organizasyonlar sadece sektörel gelişmelerin duyurulduğu bir yer olmaktan ziyade bir toplu iletişim ve bilgi paylaşım yeri olarak değerlendirilmelidir. Katılımcıların birbirleriyle tanışma/sohbet etme imkânı önemli paylaşımlara kapı açmaktadır. Şirketlerin birbirlerini rakip görmektense birbirleriyle diyalog geliştirmesi için de önem arz etmektedir.

Siber güvenlik sektörü her ne kadar çok önem verilen, toplum tarafından ilgi duyulan bir sektör olsa da sektörümüzdeki insan sayısı diğer sektörlere nazaran az sayılabilecek olduğundan zaman içerisinde sektördeki insanlar birbirlerine aşina olurlar. Günlük koşturmalarımızın yarattığı yoğunluk nedeniyle azalan etkileşimler bu düzenli etkinlikler vesilesiyle düzenli olarak tazelenir.

Bilgi güçtür. Bu noktadan hareketle paylaşılması tüm sektörü güçlü kılmakla birlikte siber güvenlik olgunluğunu artırır. Biz İnfrasis olarak; pandemi öncesi dönemde etkinliklere düzenli olarak her kademeden çalışma arkadaşlarımızla katılmaya büyük önem vermekle beraber düzenli müşteri sunumlarıyla hem onların deneyimlerini paylaşmalarını hem de ortak sorunlara ortak çözümler üretmeyi sürdürmekteydik. Pandemi süreciyle beraber başlattığımız “dijital dönüşümümüzle” birlikte online organizasyonlara katılımı sürdürürken müşterilerimizle de dijital dünyada bir araya gelmeye devam ettik. Gelecekte de bu etkinlikleri artırarak sürdüreceğiz. Bir anlamda pandemi dijital dönüşümüyle sınırların kalkması da yurtdışındaki iletişimimizi artırdı. Bu sayede daha çok etkinliğe katılabiliyor ve paydaşlarımızla daha sık bir araya gelme imkanını yakalamış bulunuyoruz.

CyberMag: Yürüttüğünüz çalışmalar neticesinde ülkemizin gelecek yılları adına belirlemiş olduğunuz hedef nedir?

Can SOBUTAY: Siber tehditlerin sıklığı ve teknik kapasitesi artıkça hem dünyada hem ülkemizde siber güvenlikte sektörel bir büyüme yaşanmaktadır. 2020 yılında servis ihracatımızı Orta Doğu ve Avrupa’da daha da yaygınlaştırmayı hedefliyoruz. Müşterilerimiz için yüksek kalitede, sürdürülebilir, güvenilir hizmetler ve doğru çözümler üretmek amacıyla vites yükselterek yola devam ediyoruz. Her zamanki gibi beklentileri hep en üst seviyede karşılamak için çalışmaya devam edeceğiz. İnsan kaynaklarına, etik ilkelere, ahlaki değerlere ve sürekli gelişime önem vererek, hizmetlerimiz ve mühendislik çözümlerimizle sürekli fark ve değer yaratan, saygın bir firma olma çabamızı bir üst seviyeye taşıyacağız. Ülkemizin kendi alanında teknik sertifikasyon açısından en kuvvetli firması olarak yurtiçinde ve yurtdışında güvenilir bir danışman olmaya devam ediyoruz. Gençliğimizi ve bu durumun getirdiği heyecan, başarma isteği ve yeniliklere açıklığı; avantaja çevirdiğimiz bir dönemdeyiz. Bundan sonra da bu özelliklerimizin yanına giderek kazandığımız tecrübeyi ve oturan kurum kültürünü de ekleyerek başarılarımızı sürdüreceğimize inancım tam.

CyberMag: Son olarak, yeni projelerinizden, çalışma ve faaliyetlerinizden bahseder misiniz?

Can SOBUTAY: Eylül 2020’de, İnfrasis olarak 2012 yılından bu yana hem ülkemizde hem yurtdışında gerçekleştirdiğimiz örnek projeler ve teknik kapasitemizle F5’in GUARDIAN Profesyonel Hizmetler Programı’na dahil olan ilk ve tek Türk firması olmaktan gurur duyuyoruz. Böylelikle bir Türk siber mühendislik firması olarak, dünyada bu yeterliliğe sahip 49 firmadan biri olduk. Bu işbirliği, F5 teknolojisinin sağladığı tüm imkanlardan müşterilerimizin yararlanmasına yardımcı olmak için ihtiyacımız olan erken eğitim ve en iyi uygulama kaynaklarına erişimimizi sağlıyor. Bu ayrıcalığımızla birlikte, ülkemizin kendi alanında teknik sertifikasyon açısından en kuvvetli firması olarak yurtiçinde ve yurtdışında güvenilir bir danışman olmaya devam ediyoruz.

CyberMag: CyberMag, siber dünyadaki riskler ve siber güvenlik konusuna odaklanmış Türkiye’nin ilk basılı ve elektronik dergisi olarak farkındalığı artırmayı ve insanları bilgilendirmeyi amaç edinmektedir. Bu amaçla yola çıkan ve yayın hayatında 5 seneyi geride bırakmış CyberMag hakkında düşünceleriniz nelerdir?

Can SOBUTAY: CyberMag olarak yayın hayatında sürdürdüğünüz istikrarlı başarı için öncelikle bir okuyucu ve bir sektör mensubu olarak teşekkür ediyorum ve başarınızın devamını diliyorum. Siber güvenlik sektörüne dair hem kamu hem özel sektör temsilcileri hem de STK yöneticilerinin görüşlerini paylaşabildiği bir platform olarak; Türkiye’nin dijital dönüşümü için önemli bir misyon üstlenmiş durumdasınız.