Veri Güvenliği Nedir?
Veri güvenliği, verileri onaylanmamış erişime karşı ve veri gizliliğini, bütünlüğünü ve erişilebilirliğini korumak için kullanılan koruyucu önlemleri ifade eder. Veri güvenliği en iyi uygulamaları arasında veri şifreleme, anahtar yönetimi, veri düzeltme, veri alt kümeleme ve veri maskeleme gibi veri koruma tekniklerinin yanı sıra ayrıcalıklı kullanıcı erişim kontrolleri ve denetleme ile izleme yer alır.
Veri güvenliği en iyi uygulamaları
Veri güvenliği ile ilgili en iyi uygulamalar, veri ihlali riskini azaltmak ve yasal uyumluluğun sağlanmasına yardımcı olmak için hem şirket içinde hem de bulutta kullanılmalıdır. Belirli öneriler değişebilir, ancak genellikle derinlemesine savunma yaklaşımı uygulamak için tasarlanmış katmanlı bir veri güvenliği stratejisi gerektirir. Farklı kontroller, farklı tehdit vektörlerini azaltır. Farklı çözüm alanları, veritabanı etkinliğini ve tehditleri değerlendirme, algılama ve izleme yeteneklerini içerir.
Veri güvenliğinin önemi
Veriler, herhangi bir kurum için en önemli varlıklardan biridir. Bu nedenle, verileri her türlü yetkisiz erişime karşı korumak çok önemlidir. Veri ihlalleri, başarısız denetimler ve yasal gerekliliklere uyulmaması, itibarın zarar görmesine, marka değerinin kaybına, fikri mülkiyetin ihlal edilmesine ve uyumsuzluk nedeniyle para cezalarına neden olabilir. Veri ihlalini önlemek ve uyumluluğun sağlanmasına yardımcı olmak için veriler korunmalıdır.
Veri Güvenliği ve GDPR
Veri maskeleme, veri alt kümeleme ve veri düzeltme, uygulama yazılımlarında bulunan hassas verilerin açığa çıkmasını azaltmaya yönelik tekniklerdir. Bu teknolojiler, AB GDPR gibi düzenlemelerle ilişkili anonimleştirme ve takma adlandırma gereksinimlerinin ele alınmasında önemli bir rol oynar. Avrupa Birliği GDPR’si amaç sınırlaması, yasallık, şeffaflık, bütünlük ve gizlilik gibi yerleşik ve yaygın olarak kabul edilen gizlilik ilkeleri üzerine inşa edilmiştir. Bildirim ve izin gereksinimleri, teknik ve operasyonel güvenlik önlemleri ve sınır ötesi veri akışı mekanizmaları dahil olmak üzere mevcut gizlilik ve güvenlik gereksinimlerini güçlendirir. Yeni dijital, küresel ve veri odaklı ekonomiye uyum sağlamak için GDPR, hesap verebilirlik ve veri minimizasyonu gibi yeni gizlilik ilkelerini de resmileştirir.
Genel Veri Koruma Yönetmeliği (GDPR) uyarınca, veri ihlalleri, bir şirketin küresel yıllık cirosunun yüzde dördüne veya 20 milyon Euro’ya kadar (hangisi daha büyükse) cezalara neden olabilir. AB’de veri toplayan ve işleyen şirketlerin, aşağıdaki gereksinimler dahil olmak üzere veri işleme uygulamalarını dikkate alması ve yönetmesi gerekecektir:
- Veri Güvenliği. Şirketler veri kaybını, bilgi sızıntılarını veya diğer yetkisiz veri işleme işlemlerini önlemek için hem teknik hem de organizasyonel güvenlik kontrollerini kapsayan uygun bir güvenlik seviyesi uygulamalıdır. GDPR şirketleri şifreleme, olay yönetimi ve ağ ve sistem bütünlüğü, erişilebilirlik ve esneklik gereksinimlerini güvenlik programlarına dahil etmeye teşvik eder.
- Bireylerin genişletilmiş hakları. Bireyler daha fazla kontrole ve nihayetinde kendi verileri üzerinde daha fazla sahiplik seviyesine sahiptir. Ayrıca, veri taşınabilirliği ve unutulma hakkı da dahil olmak üzere genişletilmiş bir dizi veri koruma haklarına sahiptirler.
- Veri ihlali bildirimi. Şirketler, verilerinin bir veri ihlaline maruz kaldığının farkına vardıktan sonra, düzenleyicilerini ve/veya etkilenen kişileri gecikmeden bilgilendirmek zorundadır.
- Güvenlik denetimleri. Şirketlerden, güvenlik uygulamalarının kayıtlarını belgelemeleri ve tutmaları, güvenlik programlarının etkinliğini denetlemeleri ve uygun yerlerde düzeltici önlemler almaları beklenecektir.
Veritabanı güvenliğinin zorlukları nelerdir?
Veritabanları, hassas bilgilerin değerli depolarıdır ve bu da onları veri hırsızlarının birincil hedefi yapar. Tipik olarak, veri korsanları iki gruba ayrılabilir: yabancılar ve içerdekiler. Yabancılar arasında, iş aksaklığı veya finansal kazanç arayan bireysel bilgisayar korsanlarından ve siber suçlulardan veya ulusal ya da küresel ölçekte kesinti yaratmak için dolandırıcılık yapmak isteyen suç grupları ve ulus devlet destekli kuruluşlardan herhangi biri yer alır. İçeriden kişiler, mevcut veya eski çalışanlar, merak arayanlar ve verileri çalmak için güven veren konumlarından yararlanan veya istenmeyen bir güvenlik olayıyla sonuçlanan bir hata yapan müşteriler veya ortaklardan oluşabilir. Hem dışarıdan hem de içeriden kişiler kişisel verilerin, finansal verilerin, ticari sırların ve düzenlenmiş verilerin güvenliği için risk oluşturur.
Siber suçlular, veritabanlarından veri çalmaya çalışırken kullandıkları çeşitli yaklaşımlara sahiptir:
- Ayrıcalıklı bir yöneticinin veya uygulama yazılımının kimlik bilgilerini tehlikeye atmak veya çalmak. Bu genellikle e-posta tabanlı kimlik avı, diğer sosyal mühendislik biçimleri veya kimlik bilgilerini ve nihayetinde verileri ortaya çıkarmak için kötü amaçlı yazılım kullanmaktır.
- SQL enjeksiyonu gibi tekniklerle uygulama yazılımlarındaki zayıflıkları kullanmak veya SQL kodunu görünüşte zararsız bir son kullanıcı tarafından sağlanan girdiye gömerek uygulama yazılımı katmanı güvenliğini atlamak.
- Savunmasız uygulama yazılımlarından yararlanarak çalışma zamanı ayrıcalıklarını artırmak.
- Diskte şifrelenmemiş veritabanı dosyalarına erişmek.
- Erişim kontrollerini atlamak için yamalanmamış sistemleri veya yanlış yapılandırılmış veritabanlarını kullanmak.
- Veritabanı yedeklerini içeren arşiv bantlarını ve medyayı çalmak.
- Verilerin üretim ortamları kadar iyi korunamayabileceği DevTest gibi üretim dışı ortamlardan veri çalmak.
- Hassas verileri, o uygulama yazılımının veya kullanıcının erişebilmesi gerekenleri aşan hassas verileri yanlışlıkla açığa çıkaran uygulama yazılımları aracılığıyla görüntülemek.
Veritabanı güvenliği en iyi uygulamaları
İyi yapılandırılmış bir veritabanı güvenlik stratejisi, çeşitli tehdit vektörlerini azaltmak için kontroller içermelidir. En iyi yaklaşım, uygun güvenlik düzeylerini uygulamak için kolayca dağıtılabilen yerleşik bir güvenlik denetimleri çerçevesidir. Veritabanlarının güvenliğini sağlamak için daha sık kullanılan kontrollerden bazıları şunlardır:
- Değerlendirme kontrolleri bir veritabanının güvenlik durumunu değerlendirmeye yardımcı olur ve ayrıca yapılandırma değişikliklerini tanımlama yeteneği sunmalıdır. Kurumlar bir temel belirleyebilir ve ardından sapmayı belirleyebilir. Değerlendirme kontrolleri ayrıca kurumların, veri türü ve nerede bulunduğu dahil olmak üzere sistemdeki hassas verileri tanımlamasına yardımcı olur. Değerlendirme kontrolleri aşağıdaki soruları cevaplamaya çalışır:
- Veritabanı sistemi doğru yapılandırılmış mı?
- Yamalar güncel mi ve düzenli olarak uygulanıyor mu?
- Kullanıcı ayrıcalıkları nasıl yönetilir?
- Veritabanı sisteminde hangi hassas veriler var? Ne kadar? Nerede bulunuyor?
- Dedektif kontrolleri kullanıcı ve uygulama yazılımının verilere erişimini izler, anormal davranışları tanımlar, tehditleri algılar ve engeller ve uyumluluk raporu sağlamak için veritabanı etkinliğini denetler.
- Önleyici kontroller amaçlanan kullanım durumuna göre verileri şifreleyerek, düzenleyerek, maskeleyerek ve alt kümeler oluşturarak verilere yetkisiz erişimi engeller. Önleyici kontrollerin nihai amacı, verilere yetkisiz erişimi durdurmaktır.
- Veriye özel kontroller birden çok uygulama yazılımı genelinde tutarlı bir yetkilendirme modeli sağlayarak, veritabanı içinde uygulama düzeyinde erişim ilkelerini uygular.
- Kullanıcıya özel kontroller yalnızca kimliği doğrulanmış ve yetkili kullanıcıların verilere erişebilmesini sağlayarak uygun kullanıcı kimlik doğrulama ve yetkilendirme ilkelerini uygular.
Veri güvenliği çözümleri
Şifreleme, anahtar yönetimi, veri maskeleme, ayrıcalıklı kullanıcı erişim kontrolleri, etkinlik izleme ile denetim dahil veri güvenliği çözümleriyle veri ihlali riskini azaltın ve uyumu kolaylaştırın.
- Veri koruması: Şifreleme, anahtar yönetimi, düzeltme ve maskeleme gibi çok çeşitli kullanım durumlarını karşılamak için veri ihlali ve çözümlere uyumsuzluk riskini azaltın.
- Veri erişim kontrolü: Bir veritabanı sisteminin güvenliğini sağlamanın temel adımı, veritabanına erişen (kimlik doğrulama) ve hangi işlemleri gerçekleştirebileceklerini kontrol eden (yetkilendirme) kullanıcının kimliğini doğrulamaktır. Güçlü kimlik doğrulama ve yetkilendirme kontrolleri, verilerin saldırganlardan korunmasına yardımcı olur. Ek olarak, görevlerin ayrılmasını zorunlu kılmak, ayrıcalıklı kullanıcıların hassas verilere erişmek için sistem ayrıcalıklarını kötüye kullanmalarını önlemeye yardımcı olur ve ayrıca veritabanında yanlışlıkla yapılan veya kötü niyetli değişiklikleri önlemeye yardımcı olur.
- Denetim ve izleme: Tüm veritabanı aktivitesi, denetim amacıyla kaydedilmelidir; buna, ağ üzerinden gerçekleşen aktivitenin yanı sıra herhangi bir ağ izlemesini atlayan veritabanı içinde (tipik olarak doğrudan oturum açma yoluyla) tetiklenen aktiviteyi içerir. Ağ şifrelenmiş olsa bile denetim çalışmalıdır. Veritabanları, verilerle ilgili bilgileri, talepte bulunulan istemciyi, işlemin ayrıntılarını ve SQL ifadesinin kendisini içeren sağlam ve kapsamlı bir denetim sağlamalıdır.
- Bulutta veritabanlarının güvenliğini sağlama: Bulut veritabanı dağıtımları maliyetleri azaltabilir, personeli daha önemli işler için serbest bırakabilir ve daha çevik ve duyarlı bir BT organizasyonunu destekleyebilir. Ancak bu avantajlar, genişletilmiş bir ağ çevresi, bilinmeyen bir yönetim grubuyla genişletilmiş tehdit yüzeyi ve paylaşılan altyapı gibi ek risklerle birlikte gelebilir. Bununla birlikte, uygun veritabanı güvenliği en iyi uygulamalarını kullanarak, bulut, çoğu kurumun şirket içinde sahip olduğundan daha iyi güvenlik sağlarken maliyetleri azaltıp çevikliği artırır.