Yeni Sürüm ISO/IEC 20000-1 yayınlandı. ISO/IEC 20000-1:2011 ve ISO/IEC 20000-1:2018 standardı karşılaştırması aşağıdadır.

En son 2011 yılında yayınlanan ISO/IEC 20000-1 Bilgi Teknolojileri Servis Yönetim Sistemi gereklilikler standardının yeni sürümü Eylül 2018 ayında yayınlandı. Ülkemizde 23 kuruluşun¹ akredite olarak sahip olduğu bilgi teknolojileri servis yönetim sistemi standardı ile ilgili ana değişiklikler aşağıda özetlemiştir.

• ISO tarafından tüm yönetim sistemleri için kullanılan üst seviye yapıya (Annex SL) uyumlu hale getirilmiştir. Bu güncelleme organizasyonun içeriği, hedefleri gerçekleştirmek için planlama, risk ve fırsatları belirlemek için faaliyetler gibi yeni zorunluluklar getirmiştir.
• Servis yönetimi alanındaki trendleri dikkate alarak güncellemeler gerçekleştirilmiştir. Örneğin bir çok tedarikçinin yönetilerek tek elden servis entegratörü olarak hizmet verme yaklaşımı, servislerin tercih edilmesinde tek kriterin fiyat olması (emtialaşma) yaklaşımı, sunulan servislerin değerinin belirlenmesi vb.
• Bazı bağlayıcı gereklilikler (örneğin kapasite planı) standarttan çıkarılmıştır. Bu sayede işletmelere gereklilikleri sağlamak için esneklik sağlanmıştır. İşletmeler gereklilikleri sağlamak için ne yapılması gerektiği konusunda özgür bırakılmıştır.
• Bilgi birikimi (knowlegde) ve servislerin planlanmasına yönelik yeni gereklilikler tanımlanmıştır.
• Daha önce bir arada ele alınan bazı konular parçalanmıştır.
• Olay ve istek yönetimi, olay yönetimi ve istek yönetimi olarak,
• Servis sürekliliği ve erişebilirlik yönetimi, servis sürekliliği ve servis erişebilirliği olarak,
• Servis seviyesi yönetimi, servis seviyesi ve katalog yönetimi olarak,
• Kapasite yönetimi, kapasite yönetimi ve talep yönetimi olarak ikiye bölünmüştür.
• “Diğer taraflarca işletilen süreçlerin yönetişimi” maddesi “Servis yaşam döngüsünde yer alan tarafların kontrol edilmesi” olarak yeniden adlandırılmıştır.
• Standartta yer alan tüm servislerin veya süreçlerin bir başka kuruluş tarafından gerçekleştirilmesi halinde standarda uyumluluk iddia edilemeyeceği eklenmiştir.
• Terim ve tarifler kısmı yönetim sistemi terimleri ve servis yönetimi terimleri olarak ikiye ayrılmıştır.
• Üst seviye yapıya uyumlu olmak için yeni terimler eklenmiştir.
• Servis sağlayıcı terimi kuruluş olarak yeniden adlandırılmıştır.
• İç grup terimi iç tedarikçi, tedarikçi terimi dış tedarikçi olarak yeniden adlandırılmıştır.
• Bilgi güvenliği tanımı ISO/IEC 27000 ile uyumlu olmak için tekrar tanımlanmıştır. Erişebilirlik kavramı bilgi güvenliğinde yer alan erişebilirlik ile karışmaması için servis erişebilirliği olarak yeniden düzenlenmiştir.
• Dokümante edilmiş bilgi gereksinimleri azaltılmıştır.
• Kapasite planı oluşturma zorunluluğu kaldırılmıştır ve kapasite planlama faaliyeti olarak tanımlanmıştır.
• Erişebilirlik planı oluşturma zorunluluğu kaldırılmış ve servis erişebilirlik ihtiyaçları ve hedeflerinin dokümante edilmesi zorunluluğuna indirgenmiştir.
• Konfigürasyon yönetimi veritabanı zorunluluğu kaldırılmış ve onun yerine konfigürasyon bilgilerinin tanımlanmasına yönelik ihtiyaçlar tanımlanmıştır.
• Sürüm politikası gereksinimi kaldırılmıştır. Onun yerine sürüm türleri ve sıklığının tanımlanması gereksinimi gelmiştir.
• Sürekli iyileştirme politikası gereksinimi kaldırılmıştır. Onun yerine iyileştirme fırsatlarını belirleme kriterlerini oluşturma zorunluluğu gelmiştir.
• Servis raporlamaları ile ilgili detaylı raporlama gereksinimleri azaltılmıştır. Kuruluşun kendi ihtiyaçlarına göre oluşturmasına yönelik maddeler eklenmiştir.

Özet olarak ISO/IEC 20000-1 standardı servis yönetimi alanında gerçekleşen yenilikleri dikkate alarak güncellenmiş ve her boyutta firmada daha kolay uygulanabilir hale getirilmiştir. Dokümantasyon yükünün azaltılması ve konun özü olan işin yapılmasına odaklanılması standartta yer alan en önemli değişikliklerdendir. Yeni sürüm ISO/IEC 20000-1 standardının ISO tarafından tanımlanan üst seviye yapı ile uyumlu olması diğer yönetim sistemi ile entegre işetilmesini daha kolay hale getirmektedir.

Kaynaklar

1)      https://apmg-international.com/product/isoiec-20000 (aktedite belge sahibi firmalar.)

2)      ISO/IEC 20000-1 2018 BT Servis Yönetimi Gereklilikler Standardı

Nesnelerin İnterneti'nin Güvenliği

Giriş, Teknoloji ve İnternet

“Citius, Altius, Fortius” Latince “Daha hızlı, daha yüksek, daha güçlü” anlamına gelen bu kelimeler, Olimpiyat Oyunlarının sloganıdır. Olimpiyatlar üzerinden bir benzetimde bulunacak olursak bu ilkelere dayalı yarışın sadece spor alanında gerçekleşmediğini söyleyebiliriz. Teknoloji alanındaki gelişmeleri göz önünde bulundurursak tıpkı atletler arasında daha iyiye varmak için bir yarış oluyormuşçasına hayatımızı daha etkili ve etkin kılmaya yarayan ilerlemelere sahne olduğunu görebiliriz.

Belki de içinde bulunduğumuz döneme Bilgi Çağı adını vermemize sebep olan ilerlemelerden biri olan İnternet, ağların belirli protokoller üzerinden birbirine bağlanarak diğer cihazlarla haberleşmesini sağlayan teknoloji, 1960’larda ABD’de Savunma Bakanlığı’nın projesi olarak ilk ortaya çıktığında Dünya üzerindeki nüfusun birkaç katı civarında cihazın bağlantılı olabileceği öngörülebilmiş midir, bilmiyoruz.

Cisco’nun araştırmalarına göre İnternete bağlanan cihaz cihaz sayısı World Wide Web’in (“www”) kullanıma sunulduğu 1991’de 100 milyon, 2003 yılında 500 milyon civarındaydı. Ancak mobil cihazların piyasaya sürülmesinin ardından 2010 yılında ise 12,5 milyara ulaştı. Bu dönemde Dünya nüfusu ise 6,8 milyar insandan oluşmaktaydı. Kısacası, bu araştırmaya göre bağlantılı cihaz sayısının belirtilen dönemde insan nüfusunu geçtiği sonucuna varılabilmektedir. 2020 yılında ise bağlantılı cihaz sayısının 50 milyara ulaşacağı öngörülmektedir.

Nesnelerin İnterneti

Internet of Things (“Nesnelerin İnterneti”) terimi ilk defa 1999 yılında Kevin Ashton tarafından ortaya atıldı. Ashton, bu kavramı fiziksel dünyada birçok yerde bulunan sensörler aracılığıyla sistemlerin İnternet üzerinden bağlantılı olabilmesi durumu için ifade etmiştir. 2000’lerde kullanılan mobil cihaz (dizüstü bilgisayar, akıllı telefon, tablet vb.) sayısındaki artış bu terimin içi dolu, anlamlı hale gelmesini sağladı. Bağlantılı cihaz sayısının ulaştığı seviye ve cihazların kabiliyetleri sebebiyle 2009 yılı Nesnelerin İnterneti teriminin doğduğu yıl olarak kabul görmektedir. Günümüzde Nesnelerin İnterneti çözümleri birçok kişinin hayatını, davranış ve karar alma biçimlerini, sektörlerin ise iş yapış biçimlerini yeniden şekillendirmektedir. Bu çözümler enerji, veri iletim altyapısı ve trafik sistemleriyle akıllı şehirleri, güvenlik, sağlık, iklimlendirme sistemleri vasıtasıyla özel hayatımıza yönelik olabilmektedir. Nesnelerin İnterneti çözümleri yaygın olarak bulunan kablosuz bağlantılar, anlık veri aktarımı üzerinden gerçek zamanlı veri işleme, gömülü sistemlerin ve sensörlerin gelişimi sayesinde evrim geçirerek günümüzdeki halini almıştır.

Nesnelerin İnterneti Üzerine Kaygılar

Gün içinde attığımız adım sayımızı veya gece uyku kalitemizi takip eden bir bileklik, rotamızı optimize etmeye yarayan bir trafik uygulaması ya da çeşitli medyaları izleyebilmek, dinleyebilmek amacıyla kullandığımız akıllı televizyonlar, yani Nesnelerin İnterneti çözümleri etrafımızı çevreleyen her yerdeler, bize kalp atışlarımız kadar yakın konumdalar.

Yarattığı fırsatlar ve kolaylıkların nimetlerinden faydalanıyor olsak da, insanlar Nesnelerin İnterneti’nin oluşturduğu güvenlik ve mahremiyet risklerinden kaygı duymaktadır. İlk Nesnelerin İnterneti çözümleri kameralar kullanılarak halka açık ortamların gözetimini, daha sonra konum tabanlı sistemler sebebiyle dolaylı da olsa gezdiğimiz lokasyonları takip eden ve son olarak evimizin içine kadar giren çözümler aracılığıyla özel hayatımızı dahi izleyebilecek hale gelmiştir. Yaşadığımız zaman diliminde bir diğer teknoloji olan Yapay Zeka’nın da ilerlemesiyle insanların “Biri Bizi Gözetliyor” tarzı bir distopyanın içinde hissedebilmeleri mümkün görünüyor. Kısacası, kaygılar insanların takip edildiği ve gözetlendiği düşüncesine sahip olmalarından, kişisel verilerinin yetkisiz kişiler tarafından amacı dışında kullanılabileceğini düşünmelerinden kaynaklanmaktadır. Bununla birlikte akıllı sistemler ve altyapıların (enerji vb.) bağlantılı olması nedeniyle oluşabilecek kesintilerde hayatımızın orta yerine konumlanmış temel hizmetlere erişememek ve faydalanamamakta bir diğer endişedir.

Uzmanlar, insanların kaygılanmalarına sebep olan bu risklerin Nesnelerin İnterneti’nin gelişim sürecinin yeterli güvenlik standartları ve regülasyonları olmadan yaşanmasına borçlu olduğunu ifade etmektedir. İlke olarak “Secure by Design”, “Privacy by Design” bir ürünün tasarlanması sırasında güvenlik ve mahremiyetin özellik olarak ele alınması gerektiğini anlamına gelir. Birçok Nesnelerin İnterneti çözümünün ortaya çıkış serüvenlerinde bu ilkelerin gözetilmediği yaşanan ihlal olaylarından anlaşılmaktadır.

Nesnelerin İnterneti Zafiyetleri

Nesnelerin İnterneti’ne her geçen gün dâhil olan cihaz sayısının arttığına dayanarak saldırı yüzeyinin de genişlediğini belirtebiliriz. 2014 yılında Nesnelerin İnterneti cihazlarında bulunan en kritik 10 zafiyeti, web uygulamaları güvenliğinde kar amacı gütmeyen bir kuruluş olarak hizmet veren OWASP aşağıdaki şekilde tanımlamıştır.

• I1 Insecure Web Interface (Güvenli olmayan Web Arayüzü)
• Kullanıcı arayüzünün kolaylıkla keşfedilebilir olması
• Ürün kurulumunda kullanılan varsayılan parolaların değiştirilmemesi
• Arayüzün Cross-Site Scripting ve SQL Injection zafiyetleri barındırması

• I2 Insufficient Authentication/Authorization (Yetkisiz Kimliklendirme ve Yetkilendirme)
• Kompleks parola politikasının uygulanmaması
• Kullanıcı hesap bilgilerinin açık metin olarak aktarılması
• Zayıf parola resetleme seçeneklerinin bulunması

• I3 Insecure Network Services (Güvenli olmayan Ağ Servisleri)
• Cihaz üzerinde ihtiyaç duyulmayan açık portların bulunması
• Servis dışı bırakma (DoS) saldırılarına açık olması

• I4 Lack of Transport Encryption (İletimde Şifreleme Eksikliği)
• Verilerin açık metin olarak aktarılması
• Kabul görmüş şifreleme ayarlarının kurulu olması

• I5 Privacy Concerns (Mahremiyet Endişeleri)
• Gereğinden fazla veri toplanması
• Kişisel verilerin saklanması ve iletiminde şifrelemenin kullanılmaması
• Veri saklama politikasının bulunmaması

• I6 Insecure Cloud Interface (Yetersiz Bulut Arayüzü)
• Bulut sistemlerin kolay, tahmin edilebilir parolalara sahip olması
• Bulut sistemlerin arayüzlerinin kolaylıkla keşfedilebilir olması
• Bulut sistemlerin Cross-Site Scripting ve SQL Injection zafiyetleri barındırması

• I7 Insecure Mobile Interface (Yetersiz Mobil Arayüzü)
• Mobil sistemlerin kolay, tahmin edilebilir parolalara sahip olması
• Mobil sistemlerin arayüzlerinin kolaylıkla keşfedilebilir olması
• Mobil sistemlerin Cross-Site Scripting ve SQL Injection zafiyetleri barındırması

• I8 Insufficient Security Configurability (Yetersiz Güvenlik Yapılandırılabilirliği)
• Yönetici ve kullanıcı yetkilendirmelerinin farklı olarak yapılamaması
• Güvenlik kontrollerinin sınırlı olarak değiştirilebilirliği

• I9 Insecure Software/Firmware (Yetersiz Yazılım/Aygıt Yazılımı)
• Güvenlik açıklıkları bulunduğunda güncellenememesi
• Gömülü kullanıcı giriş bilgilerinin bulunması

• I10 Poor Physical Security (Zayıf Fiziksel Güvenlik)
• Cihazların kurcalamaya karşı savunmasız olması
• Portlarının (USB vb.) cihaza kurulum arayüzlerine erişebilmek için kullanılabilmesi

Bir Saldırının Anatomisi

İnternet’e açık bir bilgisayarın saldırganlar tarafından ele geçirildikten sonra uzaktan komutlarla çalıştırılabilmesi sebebiyle bunlara zombi bilgisayar denilmektedir. Zombi bilgisayarların çoğunlukla bir saldırgan ağına bağlı olarak koordineli olarak hareket ettirilerek saldırılarda kullanılması söz konusudur. Bilgisayarların bulunduğu bu ağ, botnet olarak adlandırılmaktadır. Günümüze kadar bilinen en büyük Dağıtık Servis Dışı Bırakma (DDoS) saldırısı bir Nesnelerin İnterneti botnet grubu (“Mirai Botnet”) tarafından 21 Ekim 2016 tarihinde gerçekleşmiştir. Bu botnet grubu, 25 binin üzerinde IP kamera içermekteydi. Saldırganlar kameralara, kurulumdan sonra değiştirilmemiş varsayılan giriş bilgilerini kaba kuvvet (“brute force attack”) saldırısıyla istismar ederek ulaşmışlar ve kontrollerini ele geçirmişlerdir. Dyn adındaki DNS Sunucusuna yapılan kötü niyeti on milyonlarca istek sebebiyle sunucu gelen normal kullanıcılara ait taleplere cevap veremez hale gelmiş ve bir süreliğine servis dışı kalmıştır. ABD’de gerçekleşen bu saldırı sonucunda kullanıcılar birçok Internet devi şirketlerin çevrimiçi hizmetlerine erişememiştir.

Sonuç

İnternet’in ortaya çıkışından itibaren insanlığın bağlantılı olma eğilimi yükselen bir hızla günümüze ulaşmıştır ve önümüzdeki dönemde ivmelenerek devam edeceği öngörülmektedir. Giderek artan bir hızla büyüyen ve hayatımızı şekillendiren teknolojilerden Nesnelerin İnterneti yarattığı faydalarla birlikte risklere de sahiptir. Bu durum madalyonun iki yüzü gibi hem olumlu hem de olumsuz durumların doğmasına sebep olabilir. Nesnelerin İnterneti çözümleri, yaşam döngülerini düzenleyen regülasyonların ve standartların olmaması nedeniyle birçok zafiyete barındırmaktadır. Bu açıklıklar kullanılarak hem özel hem de toplumsal hayatlarımızı ilgilendiren saldırılarla karşılaşılmaktadır.  Nazım Hikmet’ten bir alıntıyla bitirecek olursak, büyük şair 24 Eylül 1945’te yazdığı şiirde “En güzel günlerimiz henüz yaşamadıklarımız” diyordu. Nesnelerin İnterneti hayatımıza getirdiği ve getireceği rahatlıkla en güzel günlerimizi vadediyor. Ancak, diğer taraftan bağlantılı sistemler barındırdıkları zafiyetlerle daha önce görmediğimiz kadar kötü, kâbus dolu günlere de gebe olabilir.

Güvenlik Ekonomisinin Kinetiği

Rehin alınan bilgisayarlar nedeniyle hizmet dışı kalan üretim bantları, kişisel verilerin çalınması sebebiyle kimlik hırsızlığı/sahtecilikler ve hatta hackerların (saldırganlar) ekonomik ve teknolojik olarak dünyanın en gelişmiş ülkesinin seçim sonuçlarını etkilediği şüphesi son dönemlerin en bilinen siber olayları arasında yer almaktadır. World Economic Forum (Dünya Ekonomik Forumu) şirketlerin üst düzey yöneticileriyle gerçekleştirdiği 2018 yılı Global Risk Raporu’na göre Siber Saldırılar ankete katılanların en çok endişe duyduğu risk olarak değerlendirilmiştir.[1] Gemisini tehlikeli ve dalgalı sularda yüzdüren kaptan edasıyla korsanlar tarafından hedef alınan şirketlerin üst düzey yöneticileri siber güvenlik tehditlerini ve önlemlerini yönetim kurullarının gündemlerine taşımaktadırlar. Bu yazımızda tavşana kaç, tazıya tut diyen siber güvenlik ekonomisinin ana hatlarıyla oluşum ve gelişim eğilimlerini konu alacağız.  

Saldırganların Motivasyonu

Siber olayların anatomisi incelendiğinde, döneminin teknolojik imkânları ve özelliklerinden bağımsız olarak değerlendirilemeyeceği çıkarımında bulunabiliriz. Bilgi Teknolojilerinin deneysellikten kurtulup, pratik olarak da hayatımıza girdiği 1980’lerde imkânlar çoğunlukla akademik amaçlarla kullanılmaktaydı. Bu akademik kullanıcılar teknik olarak bilinçli bireyler olmalarının yanı sıra eğlence amacıyla sistemlerin zayıflıklarını istismar edebilmekteydi. 2000’li yıllara gelindiğinde “.com” furyasının yaşandığı, web sitelerin revaçta olduğu bir dönemde saldırganlar, çoğunlukla kamuya açık bu siteleri hackleyip geride izlerini bırakmaya çalışan yani şöhret amacıyla saldırı gerçekleştirenlerdi. Devamında, 2000’lerin ilk döneminde saldırganlar sadece geride iz bırakmayı değil sistemleri de ele geçirerek verileri çalma ve değiştirme yoluyla maddi kazançlar sağlamak amacıyla saldırılarda bulunmuşlardır. Devletlerin ve özel sektörün teknoloji kullanımı ve bağımlılığının artmasının ardından saldırganlar, politik ve hacktivist amaçlarla saldırılar gerçekleştirmeye başlamışlardır. Bu saldırılar devlet destekli olarak enerji ve kritik altyapılara zarar vermek, ticari veya devlet sırlarını çalmak üzerine olduğu kadar toplumsal olarak şeffaflık ve hesap verilebilirliği sağlamak amacıyla politikacıları hedef alan örneklerine rastlanmaktadır.

Saldırı Yüzeyi

Bu konu başlığını bağlantılılık ve veri hacminin genişlemesi olarak da isimlendirebilmek mümkün olmakla birlikte, bağlantının saldırgan tarafından bilgi barındıran, işleyen, ileten ortamlara erişme ve istismar etmesini sağladığı gerekçesiyle saldırı yüzeyi olarak adlandırılmıştır. Bilgisayar ağlarının kurulması ve yaygınlaşmasıyla bu bilgisayar ağlarının bağlantılı olduğu sistemlere de saldırı gerçekleştirilmeye başlanmıştır. Dolayısıyla, bağlantılılık hareketiyle saldırı hareketinin eş güdümlü ilerlediği ifade edilebilir. Örneğin, günümüzün trendi olan Nesnelerin Internetini değerlendirecek olursak bağlantılı cihaz sayısının giderek arttığını, bu cihazların akıllı sistemler, kritik altyapılar ve kişisel veriler içeren uygulamalar olarak birçok siber saldırının hedefi olduğunu belirtebiliriz. Saldırı yüzeyi vasıtasıyla istismar edilen kaynaklar hedef olduğu kadar, “enfekte sistemler” üzerinden yeni saldırıların gerçekleştirilebilmesi sebebiyle tehdit de olabilmektedir.

Savunmanın Maliyeti ile Saldırının Maliyeti Arasındaki Farklılıklar

Bir siber olayın taraflarını saldırganlar ve savunanlar olarak ele alabiliriz. Bilgi ve İletişim Teknolojilerinin ortaya çıkmasından itibaren bu iki taraf arasında yaşanan üstünlük mücadelesini “Hırsıza kilit dayanmaz” atasözümüzle açıklamak doğru olacaktır. Savunan taraf kendisini güvende hissetmek için birçok önleyici, caydırıcı, tespit edici adımlar atsa da saldıranlar bu önlemleri ekarte edecek veya etrafından dolaşacak yolları bulmaktadır.

Taraflar arasındaki mücadele tarihsel olarak incelendiğinde, saldırıların gerçekleştirilmesi için gerekli olan yetenek kümesinin ve özelliklerinin teknolojilerin ortaya çıktığı dönem ile yaygınlaştığı dönem arasında ciddi farklılıklara sahne olduğunu görebilmekteyiz. Başlangıç döneminde teknolojik özelliklerin anlaşılması ve istismar edilebilmesi yerleşik bir kültür olmaması sebebiyle saldırganlar tarafından nadiren ve zorlukla gerçekleştirilebilmekteydi. Gelişme döneminde, teknolojileri anlayan ve kendi amaçları uğruna kullanabilen bireyler ve gruplar ortaya çıktı ve istismarı gerçekleştirebilmek için kendileri için gerekli olan araçları/scriptleri yazabilmekteydiler. Teknolojik olarak kültürün oluştuğu ve olgunlaştığı dönemde ise topluluklar (community) ortaya çıktı ve bunlar otomatize araçlar ve uygulamaları oluşturarak güvenlik dünyasının çehresini değiştirdiler. Otomatize araçlar bazı örneklerinde ara yüzlere de sahip ve kolaylıkla erişilebilir olarak, bir tuşla hedef sistemi tarayıp zafiyetlerini raporlar hale geldi. Bu durum sonuç olarak aracı kullanan kişilerin gereksinim duyduğu yetenek kümesini daraltmakta ve doğal olarak sıradan kişiler tarafından saldırı gerçekleştirilebilmesine imkân tanımaktadır.   

Siber olayı savunanlar tarafından ele aldığımızda yani işletmeler, sivil toplum, kamu kuruluşları vb. doğaları gereği var olma amaçlarının kârlılık, pazar payı, sosyal fayda olduğunu, kaynaklarını fırsatları kovalamaya yönelik olarak kullandıklarını görebilmekteyiz. Bu durumda kurum içinde savunma amacıyla yeterli kaynakların tahsis edilmediği, sorumluların atanmadığı, paydaşlarda bilincin oluşturulmadığı örneklerle karşılaşılabilmektedir. İyimser bir varsayımda bulunarak risk odaklı yönetilen kurumları ele alırsak, onların da yatırım yapacak birçok güvenlik çözümü ve hizmeti olduğunu, bu çözümlerin sadece satın alınmalarının yeterli olmadığını, bu nedenle konfigürasyonlarının da doğru yapılmasının gerektiğini ve birçok güvenlik süreçlerini ve uygulamalarını işleten kişilerin gerekli yetkinlik düzeyini sağlayabilmeleri gibi zorluklarla yüzleşeceklerini ifade edebiliriz.

Sonuç olarak, günümüzde saldırı gerçekleştirebilmek için saldırı yüzeyi genişleyip kişilerin sahip olması gereken kabiliyetler gittikçe azalmakta ve maddi gereksinimler düşük düzeyde iken, savunanlar için güvenlik önlemlerini alabilmek için yüksek bütçe kalemleri ve yüksek nitelikli personele ihtiyaç artmaktadır. Saldırganlar ve savunanlar arasındaki bu mücadele tarihsel olarak günümüze kadar evrilerek gelmiştir ve gelecekte de devam edecektir.

---

[1] https://www.weforum.org/agenda/2018/01/our-exposure-to-cyberattacks-is-growing-we-need-to-become-cyber-risk-ready