Yetmiş İki Saatin Nereye Gittiğini Saat Saat Anlatıyorum

Bir kuruma pazartesi sabahı bir uyarı düşüyor. Bir sunucuda olağandışı erişim tespit edilmiş. Bu andan itibaren yetmiş iki saat işlemeye başlıyor.

Kulağa geniş bir süre gibi geliyor. Aşağıda o sürenin gerçekte nasıl harcandığını anlatıyorum, çünkü bu tabloyu görmeden ihlal hazırlığının neden ihlalden aylar önce yapılması gerektiği anlaşılmıyor.

İlk sekiz saat: olay gerçekten ihlal mi

İlk yapılan şey uyarının doğru olup olmadığını anlamak. Yanlış alarm olabilir, bir bakım işlemi olabilir, bir yetkilendirme hatası olabilir.

Bu aşamada teknik ekip günlükleri inceliyor. Günlükler yeterli değilse, ki çoğu kurumda değil, tespit uzuyor. Erişimin hangi hesapla, hangi adresten ve hangi tabloya yapıldığı bilinmiyorsa, sonraki hiçbir adım atılamıyor.

Buradaki ilk kritik nokta şu. Günlük tutmuyorsanız süre burada tükenmeye başlıyor ve geri kazanılmıyor.

Sonraki yirmi dört saat: hangi veri etkilendi

Olayın ihlal olduğu anlaşıldıktan sonra tek bir soru geliyor. O sunucuda hangi kişisel veri vardı?

Envanteri güncel olan kurum bu soruyu on dakikada cevaplıyor. Olmayan kurum, veritabanı şemasını inceleyerek tespit etmeye çalışıyor. Tablo adlarına bakıyor, örnek kayıtlar açıyor, geliştiricilere soruyor. Bu iş bir günü rahatça alıyor.

Sorunun ikinci yarısı daha da zor. Yedeklerde ne var? Bir rapor için dışarı alınmış bir kopya var mı? Test ortamına aktarılmış bir örnek var mı? Bu soruların cevabı hiçbir yerde yazılı değilse, cevap tahmine dayanıyor ve tahmine dayanan bir bildirim, sonradan düzeltilmek zorunda kalıyor.

Sonraki on iki saat: kaç kişi etkilendi

Kapsam belirlendikten sonra sayı çıkarılması gerekiyor. Kaç ilgili kişi, hangi veri kategorileri, hangi coğrafyalar.

Burada sık yapılan hata, sayının yuvarlanması. "Yaklaşık on bin kişi" demek bildirimin kabul edilmemesine yol açmasa da, sonradan gerçek sayının farklı çıkması kurumun beyanının güvenilirliğini zedeliyor. Sayı çıkarılamıyorsa, çıkarılamadığının ve neden çıkarılamadığının yazılması daha doğru.

Kalan süre: bildirimin hazırlanması ve iletilmesi

Kurul'a yapılacak bildirimde ihlalin ne zaman ve nasıl gerçekleştiği, hangi veri kategorilerinin etkilendiği, olası sonuçları ve alınan ile alınacak tedbirler yer alıyor.

Bu metni boş sayfadan yazmak, kalan süreyi tüketiyor. Şablonu önceden hazır olan kurum yarım saatte dolduruyor. Ayrıca metni kimin imzalayacağı önceden belli olmalı, çünkü imza yetkisi tartışması bu aşamada başlarsa süre yetmiyor.

İlgili kişilere bildirim ayrı bir iş. Etkilenen kişilerin belirlenmesini müteakip makul olan en kısa sürede yapılıyor. Doğrudan iletişim mümkün değilse uygun başka yöntemler kullanılıyor. Bu iletişimin dili önemli. Teknik ayrıntıya boğulmuş bir metin, kişinin ne yapması gerektiğini anlamasını engelliyor.

Planda gerçekten ne olmalı

Yukarıdaki tablodan çıkan sonuç şu. Müdahale planının değeri, olay anında düşünülmesi gerekenleri önceden düşünmüş olmasında.

Planda rol dağılımı bulunmalı. Kim tespit yapar, kim ihlal olduğuna karar verir, kim imzalar. Tek kişiye bağlı bir plan, o kişi izinliyken çöküyor.

Eşik tanımı bulunmalı. Hangi olayın ihlal sayılacağı önceden yazılmalı, aksi hâlde bu tartışma süre içinde yapılıyor.

Kanıt koruma kuralı bulunmalı. İlk refleks sistemleri temizlemek oluyor ve bu, tespiti imkânsız hâle getiriyor. Günlüklerin dokunulmadan saklanması planda açıkça yazılmalı.

İletişim şablonu bulunmalı. Hem Kurul'a hem ilgili kişilere yapılacak bildirimin taslağı hazır durmalı.

Bildirimden sonra biten bir şey yok

Bildirim yükümlülüğün sonu değil. Kurul, alınan teknik ve idari tedbirlerin yeterliliğini değerlendiriyor.

Aynı kurumda tekrarlayan ihlal, tedbirlerin yetersiz kaldığının göstergesi olarak okunuyor. Bu nedenle ihlal sonrası yapılan düzeltici faaliyetin kayda geçirilmesi ve etkisinin ölçülmesi gerekiyor. "Gerekli önlemler alınmıştır" cümlesi bir kanıt değil.

Bugün yapılabilecek tek şey

Bir ihlal yaşamadan önce yapabileceğiniz en yüksek getirili iş, envanteri fiziksel yerleşim bilgisiyle birlikte çıkarmak. Hangi veri hangi veritabanında, hangi tabloda, hangi alanda ve hangi yedekte.

Bu tablo hazırsa yetmiş iki saatin ilk otuz saati geri kazanılmış olur. Hazır değilse, plan ne kadar iyi yazılmış olursa olsun süre yetmez.