Dijital Dönüşümde Siber Güvenlik (*)

• 14 Ağustos 2022

Analog verinin adım adım dijitalleştiği kitlesel kişiselleştirme çağını yaşamaya başladık. Dijitalleşmenin önemli iki yapı taşı bulunmaktadır, bunlardan ilki ortamda süreklilik arz ederek gözlemlenen tüm verilerin gelişmiş örnekleme adımlarıyla sayısallaştırılması ve dijital verinin işlenebilir ortamlara aktarılması iken, ikincisi ise üretim/hizmet alanlarında sayısal veriden beslenip sayısal verilerle hareket eden mekanizmalar veya robotlardır. Bu temel bileşenlerle dijital dönüşümü nesnelerin interneti ve hizmet/üretimde robotların kullanılması şeklinde iki ana grupta inceleyebiliriz. Her iki grubun da kesişim noktasında internet aracılığıyla günlük nesnelere entegre edilmiş bilgisayar cihazlarını birbirine bağlayarak veri gönderip almalarına olanak tanıyan sistemlerdir.

Dijitalleşme bu kapsamda iki yönlü avantaj sağlar, 1. insanlara bağımlı olmadan toplanan bilgileri işleyerek çevre güçlü algoritmalarla karar alabilme, 2. savurganlığı, kayıpları ve maliyetleri azaltabilme. Böylece fiziksel dünya ile dijital dünya arasında  etkileşimi yönetme imkanına sahip olunur. Bu etkileşimde dijital dünya, sensörler ve aktüatörler aracılığıyla fiziksel dünyaya dokunur, bu sensörler, saklanması ve işlenmesi gereken bilgileri toplarken veri işleme, ağın ucunda veya uzak bir sunucuda veya bulutta gerçekleşebilir.

Bu ortamlar kimi zaman fiziksel yaşam kimi zaman da çalışma alanlarımıza girdiğinden dolayı kişisel yaşamların bir parçası haline gelmektedir ve toplanan veriler oldukça hassas ve bireylere veya şirketlere özel hale gelmektedir. Bu nedenle gizlilik ve güvenlik sorunları tüm bu ortamlarda ele alınmalıdır. Örnek vermek gerekirse, sağlık verileri kişisel gizlilik için son derece kritiktir, bu nedenle yetkisiz bir kuruluş tarafından erişilmemelidir. Veri güvenliğine genel yaklaşım olarak, dijital dönüşümde kullanılan sistemin tüm temel bileşenleri, yani cihazlar, kullanıcılar, middleware (orta-katman yazılımı), ağ geçidi, iletişim kanalı ve bulut uygulamaları için güvenlik gereksinimleri hakkında bilgi sahibi olunması gerekmektedir.

Dijitalleşen dünyada veri toplayan uç cihazların kaynakları kısıtlıdır. Şifrelemede kullanılan büyük anahtar boyutları nedeniyle şifreli metni hesaplamak açısından bu cihazlar uygun değildir. Tümleşik sistemin güvenliği bir kez ihlal edildiğinde, uç cihazlar dahil tüm sistem birimlerinin güncellenmesi yine kaynak kısıtlarından ötürü zordur. Ayrıca, güvenliği ihlal edilmiş bir sistemi kapatmak, yazılımı yeniden yüklemek veya yeniden başlatmak ya da bileşenleri veya alt sistemleri değiştirmek birden fazla birbirleriyle de ilişikli çalışan sistem için uygun değildir. Bu kapsamda dijitalleşmede kullanılan tüm cihazlar için cihazların kimliğinin doğrulanabilmesi ve veri paylaşma yetkisinin verilebilmesi için cihazlarla bir güven ilişkisinin yönetilmesi gerekmektedir.

Bu sistemlerde verilerin kaynağının kanıtlanmasını sağlamak amacıyla, herhangi bir cihazla iletişim kurmadan önce kimlik doğrulamasının zorlanması gerekmektedir. Cihazlara, diğer cihazlarla gerçekleştirecekleri iletişimler esnasında kimlik bilgilerinin yeniden kullanılmasına izin vermeyen benzersiz kimlik bilgisi atanması gerekmektedir. Veri bütünlüğünü sağlamak için sadece durağan sistemler için değil aynı zamanda hareket halindeyken de güvenliğinin sağlanması gerekmektedir. Güvenlik çözümleri, istenmeyen izinsiz girişleri tespit etmeli ve iletişim katmanına yönelik kötü niyetli saldırıları önleyecek şekilde uygulanmalıdır. Ayrıca çevrimdışı kimlik tahmini saldırıları, yetkisiz oturum açma, kullanıcı anonimliği ve sensör düğümü anonimliği gibi saldırılara karşı güvenlik sağlanmalıdır.

Kimlik doğrulama protokolünü koruyan sağlam anonimlik sağlayacak şekilde Eliptik Eğri Şifreleme (ECC) kullanılabilir, ECC tabanlı kriptografik algoritmaların güvenli olduğu belirlenmiştir. Kullanıcıya sensör veya sensör verilerine erişim sağlama yöntemi olarak, kimliğin genellikle ağ geçidi aracılığıyla doğrulanması sağlanır. Bu doğrulamada esas olarak üç taraf bulunmaktadır: kullanıcı, ağ geçidi ve sensör. Doğrulama adımlarında ve güvenlik duvarı oluşturulurken insider saldırısı, çevrimdışı parola tahmin etme saldırısı, kullanıcı sahteciliği saldırısı ve sensör yakalama saldırısı gibi çeşitli güvenlik kriterlerinin dikkate alınması gerekmektedir. Güvenliği arttırabilmek için yetkilendirme, gizlilik ve bütünlük özelliği yanı sıra kullanıcı kimlik doğrulaması için farklı çok faktörlü kimlik doğrulama şemalarını da kullanılması önerilmektedir. Kimlik doğrulama mekanizması için şifreler, biyometri ve akıllı kartlar gibi farklı faktörler bir arada kullanılabilmektedir. Sayısallaşmada gateway’in güvenilir bir katılımcı ve kullanıcı ile sensör arasında köprü olması gerekmektedir. Araştırmalar ayrıca, veriler üzerinde yalnızca basit bit bazında işlemleri (XOR, AND, OR, vb. gibi) içeren bazı ultra hafif kimlik doğrulama şemaları da önermektedir, bu da depolama ve iletişim maliyeti açısından oldukça verim sağlamaktadır.

Bu çağda işbirlikçi robotlar veya kısaca dünya da anılan kısaltmasıyla COBOT’lar artık insanların yakınında güvenli bir şekilde çalışabilmekte, bu robotlar sayesinde de esnek üretim/hizmet sağlamanın yanı sıra iş sağlığı sorunları vakalarının üstesinden gelme olasılığının da önünü açan avantajlar sunmaktadır. İşbirlikçi robotik imalatın avantajları büyük ölçüde övülse de, güvenlik kriterlerine uygun, firma verilerini korur biçimde robot teknolojisini entegre edecek şekilde iş istasyonlarına uyarlamak, doğrusal olmayan ve karmaşık bir süreçtir. Bu ve benzeri süreçleri de ihtiva eden dijitalleşme ile herhangi bir fiziksel nesne, insan ve hayvanın internet, Lora, UWB, ZigBee, Wi-Fi vb. aracılığıyla ağa bağlanması  anlamına gelmektedir bu da tüm cihazların her yerde ve her koşulda internete bağlı olması demektir, bu cihazlar aynı zamanda uzaktan izlenebilir ve kontrol edilmesi de gerekmektedir. Bu sistemler, ev otomasyonunda, giyilebilir cihazlarda, akıllı şebekede, tıbbi ve sağlıkta, ulaşımda vb. kullanılmaktadır, endüstri 4.0’ın evrimi ile endüstride otomasyon ve veri alışverişi için de kullanılmaktadır.
Dijitalleşmeye yönelik güvenlik ve gizlilik tehditleri, sayısal veri işleyen sistemlerin sektördeki pratik uygulamalarını sınırlandırmaktadır, bu sistemlere yapılacak saldırıların tahmini ve önlenmesi için farklı güvenlik ve gizlilik yaklaşımları uygulanmalı ve bu yaklaşımlar sürekli güncel tutulmalıdır.

* Bu yazı için KAREL firmasına katkılarından dolayı teşekkür ederiz.