İstenmeyen türden olabilecek uygulamalar, zararlı olmayan fakat özellikle iş ortamında kullanılması uygun olmayan, güvenlik kaygısı oluşturabilecek yazılımlardır.
Doğru amaçlar için kullanıldığında faydalı olan fakat şirket ağları içerisinde kullanımı uygun olmayan uygulamalara örnek olarak, adware’ler (Reklam destekli yazılımlar), bilgisayarları uzaktan kontrol etmek için kullanılan araçlar ve sistem açıklıklarını taramak için kullanılan araçlar verilebilir.
Antivirüs programlar ve uç nokta güvenlik programları kullanıcı bilgisayarındaki istenmeyen türden olabilecek bu tip yazılımları (PUAs) tespit ederek, raporlama yapabilmektedir.
Etiketler: Bilgi Güvenliği, Potentially Unwanted Applications, PUA
Dosya virüsleri olarak bilinen bu virüsler kendilerini programlara ekleyerek yayılırlar. Parazit virüslerden etkilenmiş bir programı çalıştırdığınızda, çalıştırılan programla birlikte aktive olurlar ve çalışmaya başlarlar. İşletim sistemi ise virüsü programın bir parçası olarak algılar ve programdan ayırt edemez. Programın işletim sisteminde sahip olduğu tüm haklara virüs yazılımı da sahip olur. Böylelikle kendini kopyalama şansı bulur ve bilgisayar belleğine kendini yükler yada bilgisayarda izinsiz değişiklikler yapar.
Parazit virüsler, virüs tarihine göre oldukça eski virüslerdir. Yaygınlık oranları ise giderek azalmıştır. Buna rağmen yeni türleri ile tekrar yaygınlaşmaya başladıkları gözlemlenmektedir.
Etiketler: Bilgi Güvenliği, dosya virüsleri, Parasitic Virus, parazit virüs
Kurumsal verilere zarar gelmemesi adına, mobil cihazlar kullanılırken özen gösterilmesi faydalı olacaktır. Mobil cihaz politikası, mobil cihazların korunmasız ortamlarda kullanıldığı riskini her zaman göz önünde bulundurmalıdır.
Kontrol: Bilgi güvenliği, projenin türü ne olursa olsun proje yönetimi içerisinde adreslenmelidir.
Bilgi güvenliği risklerinin tanımlanması ve adreslenmesi için bilgi güvenliği; kuruluşun proje yönetim süreçlerine dahil edilmelidir. Kuruluş projelerin türünden bağımsız olarak örneğin IT projeleri, iş geliştirme projeleri, fiziksel ve çevresel proje süreçlerinde bilgi güvenliği risklerini adreslemelidir.
Hali hazırda kullanılan proje yönetim metotları aşağıdakilere gereksinim duyacaktır;
-Proje hedeflerinin bilgi güvenliği hedeflerini içermesi
-Proje’nin ilk aşamalarında gerekli kontrollerin tespiti için bilgi güvenliği risk değerlendirme çalışmasının yapılması
-Uygulanan proje metodolojisinde bilgi güvenliğinin tüm proje evrelerine dahil edilmesi
ISO 27001:2013 EK-A 6.1.4 Özel İlgi Grupları ile İletişim
Kontrol: Özel ilgi grupları veya diğer uzman güvenlik forumları ve profesyonel dernekler ile uygun iletişim kurulmalıdır.
Kuruluşların bilgi güvenliği yönetim sisteminin sürekli iyileştirilmesi adına özel ilgili grupları ile iletişim halinde olması fayda sağlar. Bu özel ilgi gruplarına örnek olarak, e-posta listeleri, e-posta grupları, sosyal paylaşım platformlarındaki gruplar, üretici bilgilendirme forumları, açıklık bildirim platformları verilebilir.
Özel ilgi grupları ve prosfesyonel gruplarla aşağıdaki konular için iletişim kurma gereksinimi vardır.
- Bilgi Güvenliği ile ilgili konularda güncel bilgilerden haberdar olmak ve en iyi çözüm önerilerini takip etmek
- Üreticilerin yayımladığı güvenlik bildirimlerini takip etmek,
- Bilgi güvenliği ihlal olayları ile ilgili çözüm önerileri paylaşmak ve takip etmek,
- Bilgi güvenliği ile ilgili fikir paylaşımında bulunmak.
Kontrol: İlgili otoritelerle uygun iletişim kurulmalıdır.
Kuruluşlar, otorotilerle ne zaman ve kim tarafından iletişime geçileceğine dair prosedürleri geliştirmelidir. Bu prosedürler yaşanan bilgi güvenliği ihlal olaylarının nasıl raporlanacağını içermelidir. Bu konuda acil durum iletişim prosedürü hazırlanabileceği gibi, bilgi güvenliği ihlal olayları ile entegre bir süreç de oluşturulabilir.
Daha detaylı bakmak gerekirse, otoritelerle iletişim, bilgi güvenliği ihlal olaylarında veya iş sürekliliğini tehlikeye atan durumlarda ihtiyaç olacaktır. Örneğin, internet üzerinden karşılaşılan bir servis sonlandırma saldırısında servis sağlayacılarla çözüm üretmek için görüşme gereksinimi doğabilir. Öte yandan, otoritelerle iletişim halinde olmak yasal ve düzenleyici gereksinimlerde doğacak olası değişikliklerde sürekli iletişim halinde kalınarak, kuruluşun değişiklikleri uygun şekilde yönetmesini sağlayacaktır. (Ör: BDDK, BTK bünyesinde veya 5651 gibi yasal değişimler).
Bir diğer dikkat edilmesi gereken konu ise, yangın, sel, büyük çaplı elektrik kesintileri, büyük çaplı su kesintileri, acil durumları(ambulans, polis, jandarma) yönetmek için otoritelerle iletişim kurmak gereksinimdir.