Akademik Bilişim '10 10 - 12 Şubat 2010 Muğla

Yazılım Geliştirme Süreçleri ve ISO 27001 Bilgi Güvenliği Yönetim Sistemiİzzet Gökhan Özbilgin, Mustafa Özlükadar çıkış verisi de önemlidir. Yazılımda çıkışverisi sistemimiz hakkında bilgi vermemeliveri sızıntısına açıklık bırakmamalıdır. Bir uygulamadangerçekleşecek veri çıktısı, depolananbilginin işlenmesinin koşullara göre doğruluğununve uygunluğunun sağlanması içingeçerlenmelidir. (A.12.2.4 - Çıkış verisi geçerleme)Veri işleme hataları veya kasıtlı eylemlernedeniyle herhangi bir bilgi bozulmasını saptamakiçin geçerleme kontrolleri uygulamalariçine dâhil edilmelidir. (A.12.2.2 - İç işlemekontrolü) Uygulamalarda verinin kimliğinindoğruluğunu sağlama ve mesaj bütünlüğünükoruma gereksinimleri tanımlanmalı bunlarlailgili uygun kontroller tanımlanmalı ve gerçekleştirilmelidir.(A.12.2.3 - Mesaj bütünlüğü)Kötü niyetli koda karşı korunmak için saptama,önleme ve kurtarma kontrolleri ve uygunkullanıcı farkındalığı prosedürleri gerçekleştirilmeli,elektronik mesajlaşmadaki bilgi uygunşekilde korunmalıdır. Benzer bir biçimdemobil kod kullanımı yetkilendirildiğinde,konfigürasyon yetkilendirilmiş mobil kodunaçıkça tanımlanmış bir güvenlik politikasınagöre işletilmesini sağlamalı ve yetkilendirilmemişmobil kodun yürütülmesi önlenmelidir.(A.10.4.1 - Kötü niyetli koda karşı kontroller,A.10.8.4 - Elektronik mesajlaşma, A.10.4.2 -Mobil koda karşı kontroller)Kriptografi teknikleri yazılımlarda güvenliğisağlamada faydalanılan önemli tekniklerdir.Bilginin korunması için kriptografik kontrollerinkullanımına ilişkin bir politika geliştirilmelive gerçekleştirilmelidir. (A.12.3.1 - Kriptografikkontrollerin kullanımına ilişkin politika)Kriptografi için yeterli rastgeleliği sağlayankriptografik tekniklerin kullanım desteklenmelive anahtar yönetimi bulunmalıdır. (A.12.3.2- Anahtar yönetimi)184Yazılım geliştirme hizmetinin kuruluş dışındansağlanması durumunda, hizmeti sunan şirketinhareketleri ve yaptığı işler denetlenmeli veizlenmelidir. (A.12.5.5 - Dışarıdan sağlananyazılım geliştirme) Yazılım geliştiricilerce gerçekleştirilenve revizyon kontrolü yapılmayanyazılım değişiklikleri karmaşaya ve çeşitli sorunlaraneden olabilmektedir. Yazılım değişiklikleringerçekleştirilmesinde resmi değişimkontrol prosedürlerinin kullanılması bu karmaşayıortadan kaldıracaktır.(A.12.5.1 - Değişimkontrol prosedürleri)5.4 Test Aşamasına İlişkin KontrollerKodlama aşamasından sonra gerçekleştirilecektest aşamasında yazılım uygulaması modüllerininnitelik ve nicelik testleri yapılır. Geliştirme,test ve işletim olanakları, işletilen sisteme yetkisizerişim veya değişiklik risklerini azaltmakiçin ayrılmalıdır. (A.10.1.4 - Geliştirme, test veişletim olanaklarının ayrımı)Bu aşamada bir test planı oluşturulmalı buplanda; test senaryoları, veri çeşitleri ve veriörnekleri ve test tasarım tanımlamaları ayrıntılıolarak belirtilmelidir. Veri tabanının büyüklüğüve listelenen, sorgulanan kayıt sayısı ile sisteminperformans ilişkisi kontrol edilmelidir.(A.12.2.1 - Giriş verisi geçerleme, A.12.2.4- Çıkış verisi geçerleme, A.12.2.2 - İç işlemekontrolü) Test verisi dikkatlice seçilmeli, korunmalıve kontrol edilmelidir. (A.12.4.2 - Sistemtest verisinin korunması) Yazılım ürünlerinin,sistemin ve alt sistemlerin modül, fonksiyon,entegrasyon ve performans testlerindensonra testlerde ortaya çıkan değerlere uygunolarak gerçek bilgi ve verilerle, gerçek kullanıcıdonanım ve işletim ortamında tüm ihtiyaçlarınkarşılandığı kontrol edilmelidir.Test aşaması bitip uygulama devreye alınırkentüm çalışanlar, yükleniciler ve üçüncü tarafkullanıcıların bilgi ve bilgi işleme olanaklarınaolan erişim hakları, istihdam, sözleşmeveya anlaşmalarının sonlandırılmasıyla birliktekaldırılmalı ya da değiştirilmesiyle birlikteayarlanmalıdır. (A.8.3.3 - Erişim haklarınınkaldırılması)5.5 Bakım Aşamasına İlişkin KontrollerYazılım geliştirme sürencin son aşaması, bakımaşamasında da alınması gereken bir takımgüvenlik önlemlerinden söz etmek mümkündür.Yazılım paketlerine yapılacak değişiklikler,belirli bir incelemeden geçirilmeli, gerekduyulanlar gerçekleştirilmeli, bunun dışındakilerönlenmelidir. Tüm değişiklikler sıkı bir biçimdekontrol edilmelidir. (A.12.5.3 - Yazılımpaketlerindeki değişikliklerdeki kısıtlamalar)Benzer bir biçimde kullanıcıların erişim haklarıda resmi bir proses kullanarak düzenli aralıklardagözden geçirmelidir. (A.11.2.4 - Kullanıcıerişim haklarının gözden geçirilmesi)Yazılım Kaynak kodlarının bozulma riskiniazaltmak ve bilgi kaybından korumak amacıile kaynak kodları yazılım uzmanlarının işletimsistemleri içinde değil sunucu terminalüzerinde bulunmalıdır. Program kaynak kodunaerişim kısıtlı olmalıdır. (A.12.4.3 - Programkaynak koduna erişim kontrolü) Söz konusuortama erişim yalnızca ilgili yazılım uzmanıtarafından sağlanmalıdır.Donanım arızaları, yazılım hataları, insandankaynaklanan nedenler ve doğal afetler yazılımlardabilgi kayıplarının ana sebepleridir. Sebepher ne olursa yedekleme yazılımlarda hatalardanve problemlerden geri dönüş için son dereceönemlidir. Yedekleme için kurtarılabilir verisaklama yöntemleri uygulanmalı, bilgi ve yazılımlaraait yedekleme kopyaları düzenli olarakalınmalı ve alınan yedekler belirlenecek bir politikayagöre uygun şekilde düzenli olarak testedilmelidir. (A.10.5.1 - Bilgi yedekleme)Belirlenmiş bir ön yetkilendirme olmaksızınteçhizat, bilgi veya yazılım bulunduğu yerdençıkarılmamalıdır. (A.9.2.7 - Mülkiyet çıkarımı)Eğer yetkilendirme varsa ve bilgi içeren ortamın,kuruluşun fiziksel sınırları ötesinde taşınmasısöz konusu ise taşıma esnasında, bilgileryetkisiz erişime, kötüye kullanıma ya da bozulmalarakarşı korunmalıdır. (A.10.8.3 - Aktarılanfiziksel ortam)Akademik Bilişim’10 - XII. Akademik Bilişim Konferansı Bildirileri10 - 12 Şubat 2010 Muğla Üniversitesi185Bilgisayar donanımlarının depolama ortamıiçeren tüm parçaları, elden çıkarılmadan önce,herhangi bir hassas veri ve lisanslı yazılım varsakaldırılmasını veya güvenli şekilde üzerineyazılmasını sağlanmalıdır. (A.9.2.6 - Teçhizatıngüvenli olarak elden çıkarılması ya da tekrarkullanımı) Kurumların ve şirketlerin operasyonelsistemlerindeki yazılımların kurulmasınıkontrol etmek için prosedürler bulunmalıdır.(A.12.4.1 - Operasyonel yazılımın kontrolü)Zayıf parolalar ve şifreler bilişim sistemleri açısındanönemli açıklıklar ortaya çıkarmaktadır.Kullanıcılardan, parolaların seçiminde ve kullanımındaiyi güvenlik uygulamalarını izlemeleriistenmelidir. Bu ve bunun gibi hususlar içinbilinçlendirme çalışmaları yapılmalı eğitimlerverilmelidir.(A.11.3.1 - Parola kullanımı)İşletim sistemleri değiştirildiğinde, kurumsalişlemlere ya da güvenliğe hiçbir kötü etkisiolmamasını sağlamak amacıyla iş için kritikuygulamalar gözden geçirilmeli ve test edilmelidir.(A.12.5.2 - İşletim sistemindeki değişikliklerdensonra teknik gözden geçirme)6. SonuçKurumların güvenli bir ortamda faaliyet gösterebilmeleriiçin dokümante edilmiş birBGYS’yi hayata geçirmeleri gerekmektedir.Bu kapsamda ISO 27001 standardı tüm dünyadakabul görmüş ve en iyi uygulamaları biraraya getiren bir modeldir. Standart bu yönetimsistemini oluştururken ele aldığı önemli alanlardanbiri de yazılım geliştirme süreçlerindegüvenliğinin sağlanması ve buna ilişkin olarakyazılım geliştirme politikasının oluşturulmasıdır.Yazılım geliştirme süreçlerinde standardınbelirttiği gizlilik, bütünlük ve erişebilirlik kavramlarımutlaka dikkate alınmalıdır. Bu kapsamda,yazılım geliştirmenin her aşamasındabelirli bir güvenlik politikasının uygulanmasıkritik önem taşımaktadır. Kurumsal güvenlikiçin öncelikle yazılı olarak kurallar belirlenmelidir.Etkin bir BGYS kurmaya çalışan vebunu ISO 27001 standardına uyumlu yapmakisteyen tüm kurumların oluşturacağı bu politikadabelli kontrol maddeleri asgari olarak yeralmalıdır.