Pentest Projelerinde Sosyal Mühendislik

Kurumların sistemleri uyumlu hale getirmesi ve geçiş sürecini iyi yönetebilmesi için uygulanması gereken en önemli kontroller yönetsel kontrollerdir. Teknik ve diğer detaylı kontroller yönetsel kontrol şemsiyesi altında yer alacak, ve geçişle ilgili konular tam olarak netlik kazandığında son halini alacaktır. Konuya genel olarak bakıldığında yönetsel kontrollerin en başında düzenleyici kurumların ülkede paradan sıfır atılmasından etkilenecek kesimleri iyi yönlendirmesi, konuyu tüm boyutları ile önceden kurgulaması ve risk analizi yapması, uygulamaya geçiş öncesi uyum zorunluluğu gereken aşamaları ve zaman sınırlarını belirlemesi sayılabilir. Geçişten etkilenecek her kurumun, ilgili iş birimleri ve teknoloji yöneticilerinin katılımı ile sadece bu konuya adanmış olacak bir yönlendirme ve proje takip ofisini oluşturması gerektiği gibi, devlet tarafından böyle bir organizasyonun oluşturulması da hem kamu hem de özel sektör çalışmalarının etkin biçimde ve doğru bilgilere dayanarak yapılmasına olanak sağlayacaktır. Devlet tarafından organize edilebilecek yönlendirme komitesine özel sektör temsilcilerinin katılması veya görüşlerini bildirmeleri sağlanabilir.

Paradan sıfır atılması gibi uygulamalarda önemli değişiklik gerektiren projelerde sorumluluğun sadece Bilgi Teknolojileri organizasyonlarına ait olduğu ve yapılması gereken işlerin tümünün onlar tarafından halledileceği yanılgısının doğması olasıdır. Oysa iş süreçlerinden sorumlu kişilerin uyum çalışmaları sırasında bilgi teknolojileri organizasyonları ile birlikte proje sorumluluğunu paylaşmaları; gerekli kontroller konusunda bilgi teknolojileri organizasyonlarının doğru yönlendirilmesi, değiştirilen uygulamaların testlerine aktif katılımları ile sonucun olması gereken hedeflere uygun ve doğru olma güvencesine katkıda bulunulması, bilgi sistemleri kontrolleri ve zayıflıklarını kavrayarak iş süreçleri kontrollerini daha etkili tasarlayabilmeleri için çok önemlidir. Bununla paradan 6 sıfır atılması ile birlikte uygulamalarda ve iş süreçlerinde yapılacak değişiklikler konusunda kullanıcı bilinci oluşturulmalı, kullanıcılar tarafından kestirilmesi zor ancak bilgi teknolojileri organizasyonu tarafından öngörülebilen riskler konusunda iş birimleri eğitilmelidir. Dolayısı ile kurumun iş birimleri ve bilgi teknolojileri organizasyonu arasındaki iletişim büyük önem kazanmakta, yönlendirme komiteleri ve merkezi proje yönetim ofislerinin en büyük faydası da bu noktada ortaya çıkmaktadır. Yönlendirme komitelerinin konunun hukuki boyutları ile ilgili bilgileri edinmeleri ve bu konudaki gerekli önlemleri de almaları gerekmektedir.

Uygulamaların değişimi ve veri aktarımı ile ilgili uygulanması gereken kontrollerin büyük çoğunluğunu genel bilgisayar kontrolleri oluşturacaktır. Elbette bu kontroller özel durumlara göre uyarlanmalı ve gerekli ek önlemler alınmalıdır. Paradan 6 sıfır atılmasına yönelik en önemli teknik kontroller veritabanlarında bulunan Türk Lirası cinsinden tutarların aktarım kontrolleri ve kuruşun tekrar kullanıma geçişine imkan sağlayacak Türk Lirası cinsinden değişkenlerin düzenlenmesidir. Bir diğer önemli kontrol de kullanıcıların hatalı tutar girişi riskine karşı belli bir süre için uygulamalarda ek onay katmanlarının oluşturulması olabilir. Uygulamalar ile ilgili uygulanabilecek teknik ve organizasyonel kontroller arasında aşağıdakiler sayılabilir:

Düzenleyici kurumlar, değişimden etkilenecek kurumların geçiş kontrollerini tamamlamaları için gerekli süreyi tanıyacak bir geçiş planı yapabilir. Düzenleyici kurumlar tarafından alınabilecek bir diğer önlem de temel uygulamalarda çıkabilecek problemlerin giderilmesi ve kurumların rekabet endişesi ile riske girmelerinin önlenmesine olanak sağlanması için verdiği hizmet finansal hizmetleri içeren tüm kurumların dağıtım kanallarını (ya da çok riskli görülen kanallarını) bir süre için hizmete kapatmalarının istenmesi olabilir. Bilindiği üzere dağıtım kanalları fonksiyonları çeşitli arayüzler üzerinden çok katmanlı yapılar halinde hizmet vermekte, bu nedenle daha karmaşık bir yapıya sahip durumdadırlar. Ayrıca bu tür hizmetlerde otomasyon oranı yüksek ve hizmet ucu kurum dışında olduğundan çok miktarda işlem kurum kullanıcılarının gözetimi dışında yapılmaktadır.

Yoğun çalışma gerektirecek bu değişim eğer gerekli proje yönetimi ve kontrol disiplini uygulanırsa en az sorunla ve düşük maliyetli biçimde gerçekleştirilebilecektir.

Bu Yazıyı Beğendinizmi?