BULUT BİLİŞİM GÜVENLİK VE KULLANIM STANDARDI M. Raşit ÖZDAŞ Huzeyfe ÖNAL Zümrüt MÜFTÜOĞLU Ekim 2013

DEĞİNİLECEK KONULAR Amaç ve Kapsam Hedef Kitle İdeal Bir Bulut Bilişim Sisteminin Özellikleri Müteakip Çalışmalar Standart Taslağının Sunumu Detaylı Teknik Çalışma Page 2

AMAÇ VE KAPSAM Amaç Bulut bilişim alanında, güvenlik ağırlıklı olmak üzere kullanıma yönelik hususları da kapsayan bir standardın hazırlanması Kapsam İlk etapta rehber niteliğinde bilgilerin de yer aldığı, başta bulut bilişim hizmet sağlayıcıları olmak üzere konunun ilgili taraflarına hitap eden bir kontrol listesinin oluşturulması. Page 3

HEDEF KİTLE Bulut Bilişim Hizmet Sağlayıcıları Kamu Kurum ve Kuruluşları Sistem yöneticileri, çalıştırıcıları ile bulut bilişimle ilgili kararlar veren BT çalışanları Güvenlik Uzmanları, yöneticileri, denetçileri ve güvenlikle ilgili sorumluluğu bulunan BT çalışanları Bulutta güvenlik ve gizlilik endişesi taşıyan BT yöneticileri. Sistem ve ağ yöneticileri Bulut hizmetlerinin kullanıcıları Page 4

BULUT BİLİŞİM NEDİR? İşlemci gücü ve depolama alanı gibi bilişim kaynaklarının ihtiyaç duyulan anda, ihtiyaç duyulduğu kadar kullanılması esasına dayanan, uygulamalar ile altyapının birbirinden bağımsız olduğu ve veriye izin verilen her yerden kontrollü erişimin mümkün olduğu, gerektiğinde kapasitenin hızlı bir şekilde arttırılıp azaltılabildiği, kaynakların kullanımının kolaylıkla kontrol altında tutulabildiği ve raporlanabildiği bir bilişim türüdür. Page 5

İDEAL BİR BULUT BİLİŞİM SİSTEMİNİN ÖZELLİKLERİ NIST tarafından belirlenen ideal bulut bilişim sistemi özellikleri: Kaynakların ihtiyaca göre belirlenebilmesi: Müşteri tek taraflı olarak sunucu zamanı ve depolama alanı gibi bilişim kapasitelerini, ihtiyaç duyduğu anda hizmet sağlayıcısıyla iletişime geçmeden otomatik olarak artırıp azaltabilir. Bu sayede müşterilerin uygulamaları için ne kadar güçlü bir altyapıya ihtiyaç duyacaklarını önceden analiz etmeleri gerekmez. Geniş ağ erişimi: Bilişim kapasitesi ağ üzerinden, mobil telefonlar, tabletler ve dizüstü bilgisayarlar gibi farklı platformlardan standart mekanizmalarla erişilebilecek şekilde sunulur. Ölçülebilir hizmet: Bulut bilişim sistemleri otomatik bir şekilde, hizmetin türüne uygun bir soyutlama katmanında (depolama alanı, işlemci gücü, bant genişliği ve aktif kullanıcı hesabı sayısı gibi) bir ölçümleme mekanizması yardımıyla kaynak kullanımını kontrol altında tutarak optimize edebilir. Kaynak kullanımı hem hizmet sağlayıcısı, hem de müşteri açısından şeffaflık sağlayacak şekilde gözlenebilir, kontrol edilebilir ve raporlanabilir. Page 6

İDEAL BİR BULUT BİLİŞİM SİSTEMİNİN ÖZELLİKLERİ Kaynak havuzu oluşturma: Hizmet sağlayıcısının bilişim kaynaklarından bir havuz oluşturularak çoklu kiralama mimarisi ile çok sayıda müşteriye sunulur ve bu yapıda farklı fiziksel ve sanal kaynaklar dinamik bir şekilde müşteri ihtiyacına göre kullanılır. Çoklu kiralama mimarisi, aynı altyapının çok sayıda müşteri tarafından kullanılabilmesine imkan tanıyan mimaridir. Müşterinin genel itibarıyla kendisine sağlanan kaynakların tam olarak nerede olduğuna ilişkin bilgisi ve kontrolü olmamakla beraber ülke, bölge veya veri merkezi bazında tercih yapabilmektedir. Bilişim kaynaklarına örnek olarak depolama alanı, işlemci gücü, RAM ve ağ bant genişliği verilebilir. Anlık esneklik: İhtiyaçla orantılı olarak anında genişleme ve daralma sağlanabilmesi için, bazı durumlarda insan müdahalesi gerekmeksizin, kapasite esnek bir şekilde artırılabilir veya artırılan kapasite iade edilebilir. Page 7

MÜTEAKİP ÇALIŞMALAR Müteakip çalışmalar konusunda fikirler İkinci çalıştay Page 8

STANDART TASLAĞI Standart taslağı iki bölümden oluşuyor;  Rehber niteliğinde bilgiler  Kontrol Listesi Faydalanılan Kaynaklar  Cloud Security Alliance (CSA) ¬Özellikle bulut bilişim güvenliği alanında bilinen bütün öncü kuruluşların çalışmalarının derlenmesinden oluşan bir çalışma.  Hollanda Bulut Bilişim Sertifikasyon Programı Çıktıları ¬Müşteri ilişkileri konusuna odaklanmış, yine benzer şekilde öncü kuruluşların çalışmalarını derleyen bir çalışma. Page 9

STANDART TASLAĞI Rehber Niteliğinde Bilgiler – Konu Başlıkları  Veri Yönetimi  Uyumluluk  Güven  Mimari  Kimlik ve Erişim Yönetimi  Yazılım İzolasyonu  Veri Koruması  Kullanılabilirlik  Olay Müdahale Page 10

STANDART TASLAĞI Kontrol Listesi Konu Başlıkları  Uyumluluk  Veri Yönetimi  Tesis Güvenliği  İnsan Kaynakları Güvenliği  Bilgi Güvenliği  Yasal Yükümlülükler  Operasyon Yönetimi  Risk Yönetimi  Sürüm Yönetimi  Dayanıklılık  Güvenlik Mimarisi  Müşteri İlişkileri Page 11

SORULAR? Page 12