kamuda bulut bilişim kullanımına yönelik risk analizi ve yönetimi

326 Pages·2017·13.45 MB·Turkish

KAMUDA BULUT BİLİŞİM KULLANIMINA YÖNELİK
RİSK ANALİZİ VE YÖNETİMİ

– UZMANLIK TEZİ –

HAZIRLAYAN: HAKAN KILIÇ

ANKARA – 2017
KAMUDA BULUT BİLİŞİM KULLANIMINA YÖNELİK
RİSK ANALİZİ VE YÖNETİMİ

Tezi Hazırlayan: Hakan KILIÇ
Tez Danışmanı : Ahmet DAŞKIN
Birim Amiri : Ömer ALAN

İÇİNDEKİLER
DIŞ KAPAK .................................................................................................................
İÇ KAPAK.................................................................................................................... i
KABUL VE ONAY SAYFASI ................................................................................... ii
İÇİNDEKİLER ........................................................................................................... iii
ÖZET ..........................................................................................................................vii
ABSTRACT ............................................................................................................... ix
TEŞEKKÜR ............................................................................................................... xi
TABLO LİSTESİ ...................................................................................................... xii
ŞEKİL LİSTESİ ........................................................................................................ xv
RESİM LİSTESİ ...................................................................................................... xvi
KISALTMALAR .................................................................................................... xvii
TANIMLAR ............................................................................................................. xix
GİRİŞ ........................................................................................................................... 1
BÖLÜM 1
BULUT BİLİŞİMİN TEMELLERİ
1.1. Bulut Bilişim Nedir?................................................................................... 8
1.2. Bulut Bilişim İle İlgili Temel Kavramlar.................................................... 9
1.2.1. Bulut bilişimin temel özellikleri....................................................9
1.2.2. Bulut bilişim benzeri teknoloji ve kavramlar...............................13
1.3. Bulut Bilişimin Gelişimi ve Tarihçesi....................................................... 20
1.4. Bulut Bilişim Servis Modelleri.................................................................. 24
1.4.1. Servis olarak Yazılım (SaaS)....................................................... 25
1.4.2. Servis olarak Yazılım Geliştirme Platformu (PaaS).................... 27
1.4.3. Servis olarak Altyapı (IaaS)......................................................... 29
1.4.4. Diğer Bulut Bilişim Servis Modelleri.......................................... 30
1.5. Bulut Bilişim Mimari Çeşitleri.................................................................. 31
1.5.1. Açık (Public) Bulut...................................................................... 32
1.5.2. Özel (Private) Bulut..................................................................... 33
1.5.3. Hibrit (Hybrid) Bulut................................................................... 34
1.5.4. Topluluk (Community) Bulutu.................................................... 36
1.6. Bulut Bilişim Donanım ve Yazılım Katmanları ...................................... 36
1.6.1. Bulut Bilişim Donanım Katmanı................................................. 37
1.6.2. Bulut Bilişim Yazılım Katmanı................................................... 38
1.7. Bulut Bilişim Kullanım Metotları............................................................. 44
1.8. Bulut Bilişimin Getirdiği Avantajlar ve Riskler........................................ 50
1.8.1. Avantajlar..................................................................................... 50
1.8.2. Riskler.......................................................................................... 54
1.9. Bulut Bilişim SWOT Analizi.................................................................... 58
BÖLÜM 2
BULUT BİLİŞİM İLE KAMU HİZMETLERİNİN ENTEGRASYONU
2.1. Bulut Bilişim İle İlgili Dünya Örnekleri................................................... 67
2.2. Ülkemizde Bulut Bilişim........................................................................... 80
2.3. Entegre Kamu Hizmetleri İçin Gereksinimler ve Bulut Çözümleri.......... 95
2.3.1. Entegre Kamu Hizmetleri İçin Gereksinimler............................. 96
2.3.2. Entegre Kamu Hizmetleri İçin Bulut Çözümleri........................ 101
2.4. Kamu Bulutu İşletme Modelleri...............................................................107
2.5. E-Devlet Hizmet ve Uygulamalarının Buluta Aktarılması.......................112
2.5.1. Strateji Tanımlama..................................................................... 114
2.5.2. Mevcut Mimariyi Belirleme ve Anlama.................................... 115
2.5.3. Buluta Aktarım Planı Hazırlama................................................ 117
2.5.4. Sağlayıcı Seçimi......................................................................... 120
2.5.5. Analiz ve Test............................................................................. 121
2.5.6. Haritalama.................................................................................. 126
2.5.7. Aktarma ve Yönetim.................................................................. 126
2.6. Kamuda Bulut Bilişim Kullanımının Faydaları ve Sorunlar................... 126
2.6.1. Kamuda Bulut Bilişim Kullanımının Faydaları......................... 126
2.6.2. Kamuda Bulut Bilişim Kullanımına Yönelik Sorunlar.............. 132
2.7. Kamuda Bulut Kullanımı İle İlgili Modeller ve Çözüm Önerileri......... 136
2.7.1. Kamuda Bulut Kullanımı İle İlgili Modeller............................. 136
2.7.2. Kamuda Bulut Kullanımı İle İlgili Çözüm Önerileri................. 141
BÖLÜM 3
BULUT BİLİŞİM RİSK ANALİZİ
3.1. Risk, Risk Analizi ve Risk Yönetimi...................................................... 156
3.2. Bulut Bilişimde Varlıkların Belirlenmesi ve Modellenmesi................... 157
3.2.1. Bulut Bilişimde Varlıkların Belirlenmesi................................... 157
3.2.2. Bulut Bilişimde Varlıkların Modellenmesi................................ 159
3.3. Bulut Bilişimde Tehdit ve Zafiyetler...................................................... 163
3.3.1. Bulut Bilişime Özel Tehditler.................................................... 163
3.3.2. Bulut Bilişime Özel Olmayan Tehditler..................................... 171
3.4. Bulut Bilişimde Riskler........................................................................... 178
3.4.1. Kurumsal ve Stratejik Riskler.................................................... 179
3.4.2. Teknik Riskler ve Güvenlik Riskleri.......................................... 185
3.4.3. Hukuksal Riskler........................................................................ 191
3.4.4. Buluta Özgü Olmayan Diğer Riskler......................................... 193
3.5. Bulut Bilişimde Risk Olasılık Değerlendirmesi...................................... 196
3.6. Bulut Bilişimde Risk Etki Analizi........................................................... 202
3.7. Bulut Bilişimde Risk Değerlerinin Bulunması........................................ 210
BÖLÜM 4
BULUT BİLİŞİM RİSK YÖNETİMİ
4.1. Bulut Bilişim Risk İşleme....................................................................... 215
4.1.1. Uygun Kontrollerin Belirlenmesi............................................... 216
4.1.1.1. Teknik Güvenlik Kontrolleri........................................ 216
4.1.1.2. Yönetimsel Kontroller.................................................. 219
4.1.1.3. Operasyonel Kontroller................................................ 220
4.2. Bulut Bilişim Risklerinin Kabul Edilebilirlikleri.................................... 221
4.3. Bulut Bilişim Risklerinin Değerlerinin Azaltılması, Transferi veya
Risklerden Kaçınılması................................................................................... 228
4.4. Bulut Bilişim Risk İşleme Maliyet Analizi............................................. 261
4.5. Bulut Bilişimde Risk İzleme ve Değerlendirme..................................... 264
4.6. Bulut Bilişim Risklerinin Profilleri......................................................... 266
KAYNAKLAR........................................................................................................ 294
ETİK KURALLARA YGUNLUK BEYANI.......................................................... 305
ÖZGEÇMİŞ............................................................................................................. 306
vii

ÖZET
ÇEVRE VE ŞEHİRCİLİK BAKANLIĞI
Tezin Adı Kamuda Bulut Bilişim Kullanımına Yönelik Risk Analizi ve Yönetimi
Türü Uzmanlık Tezi
Yazar Hakan KILIÇ
Teslim Tarihi 17.01.2017
Anahtar Kelimeler Bulut bilişim, risk yönetimi, kamu bulutu, risk işleme, veri merkezi
Tez Danışmanı Ahmet DAŞKIN
Sayfa Adedi 306

20. yüzyılın ikinci yarısında belli bir ölçekte gerçekleşen bilişim sistemlerindeki gelişim,
21. yüzyılın ilk çeyreğinde önemli ölçüde hız kazanmış; yazılım ve donanım bileşenlerinde
sağlanan teknolojik yenilik ve değişimler ile birlikte kullanıcı taleplerinin yoğunluğunda ve
çeşitliliğinde yaşanan hızlı artış, bilişim mimarilerinde yeni metodolojilerin kullanılmasını zorunlu
hale getirmiştir. Sanallaştırma, servis odaklı mimari, sunucu-istemci modeli, dağıtımlı hesaplama
vb. öncül teknoloji ve kavramların gelişimi ve bütünleşmesiyle ortaya çıkan bir hizmet modeli olan
bulut bilişim; kullanıcılarına düşük maliyetli, esnek, ölçülebilir, ölçeklendirilebilir, platform
bağımsız erişilebilir ve yüksek performansa sahip mimariler sunar.
Eş zamanlı olarak çok sayıda kullanıcıya aynı platform üzerinden hizmet sunma imkânı
sağlayan bulut bilişim mimarileri önce büyük çaplı özel sektör kuruluşlarının ve hemen ardından
kamu kurum ve kuruluşlarının dikkatini çekmiş ve ilgili kamu kuruluşları vatandaşlara daha kolay
erişilebilir, güvenli ve kullanılabilir bir şekilde hizmetlerini sunmak için bulut servis modellerini
kullanma yoluna gitmişlerdir. Kamu kurum ve kuruluşlarının veri gizliliği içeren belli veri ve
uygulamalarını kurum dışına aktaramaması kısıtlaması, birçok kuruluşun kullanımı için hem özel
hem de açık bulut mimarisinin bir bileşkesi olan hibrit bulut mimarisini öne çıkarmaktadır. Yine
birçok kamu kuruluşunun sunduğu hizmetlerin diğer kuruluşların servis edecekleri verilere ihtiyaç
duyması geniş çaplı kamu bulutlarını kurmayı; pahalı yatırım ve işletme maliyetleri ile uzman
bilişim personeli istihdamında yaşanan sorunlar her kamu kuruluşunun kendi veri merkezini
kurması yerine entegre kamu veri merkezleri oluşturmayı zorunlu kılmaktadır. Bu doğrultuda gerek
ülkemizde gerekse de dünyanın çeşitli ülkelerinde merkezi ve yerel yönetimler bazında ortak kamu
viii

bulutları oluşturma ve entegre veri merkezleri kurma çalışmaları devam etmektedir.
Sağladığı birçok faydanın yanında bulut bilişim gerek sağlayıcı ve gerekse de müşterileri
açısından birçok risk barındırmaktadır. Bu risklerin kuruluşlara verebileceği zararların minimize
edilmesi veya ortadan kaldırılması için her kuruluşun kendine özgü bir risk yönetim modeli
oluşturması hayati önem taşımaktadır. Bu doğrultuda kuruluşlar bulut bilişim mimarisindeki
varlıklarını, bu varlıkların maruz kaldığı tehdit ve açıkları ve bunların sebep olduğu riskleri
belirlemelidir. Belirlenen risklerin olasılık ve etki değerlerinin bulunarak, ilgili risk değerinin
hesaplanmasının ardından; risk derecesine göre sırlanan risklerin risk işleme sürecine tabi tutulması
gerekmektedir. Bu süreçte risk derecesi düşük riskler sürekli izlenmek ve varsa gerekli risk azaltıcı
önlem ve kontrolleri uygulamak suretiyle kabul edilebilirken; göreceli olarak risk derecesi yüksek
riskler için gerekli azaltıcı önlem ve kontrollerin uygulanması ve eğer varsa farklı kuruluşlara risk
transferi yapılması veya ilgili riskten kaçınmak için riski oluşturan hizmetin hepsinin veya belli
kısmının devre dışı bırakılması yöntemlerinin uygulanması zorunludur. İlgili risk azaltıcı
kontrollerin uygulanabilirliğinin kontrolü açısından risk işleme maliyet analizleri ve ayrıca değişen
teknolojilere, kuruluşların yeni operasyonlarına ve dolayısıyla yeni risklerine göre risk yönetim
sürecinin güncellenebilmesi için risk izleme ve değerlendirme çalışmaları periyodik olarak
gerçekleştirilmelidir.
ix

ABSTRACT
MINISTRY OF ENVIRONMENT AND URBANIZATION
Risk Analysis and Management for the Use of Cloud Computing in the
Thesis
Public
Type Expertise Thesis
Author Hakan KILIÇ
Submission Date 17.01.2017
Cloud computing, risk management, public cloud, risk mitigating, data
Key Words
center
Advisor Ahmet DAŞKIN
Total Page 306

The development of information systems in a certain scale in the second half of the 20th
century, have gained significant acceleration in the first quarter of the 21st century; technological
innovation and changes in software and hardware components with the the rapid increase in the
intensity and variety of user requests, has made the use new methodologies in information system
architectures. Cloud computing, which is a service model that emerges with the development and
integration of preliminary technologies and concepts such as virtualization, service-oriented
architecture, server-client model, grid computing; provides low cost, flexible, scalable, platform
independent accessible, and high-performance architectures to its users.
Cloud computing architectures that enable simultaneous service provision to multiple users
across the same platform, firstly attracted the attention of large private sector organizations and
then public institutions and organizations and related government agencies have begun to the use of
cloud service models to provide their services to citizens more easily accessible, secure and usable.
The restriction that public institutions and organizations can not transfer certain data and
applications containing confidential data outside the institution, puts forward the hybrid cloud
architecture for the use of many organizations, which is a combination of both private and public
cloud architectures. Also, the need of data to be provided by other institutions to the services
provided by many public institutions requires to build large scaled public clouds; expensive
investment and operating costs and problems experienced in the employment of expert personnel
necessitates to create integrated public data centers instead of each public entity to establish its own