Bilişim Güvenliği Teknolojisi

Bilişim Güvenliği Teknolojisi, bilgisayar sistemlerinin, ağların, sunucuların ve bunların üzerinde tutulan verinin izinsiz erişime, bozulmaya ve kayba karşı korunmasını öğreten iki yıllık bir ön lisans programıdır. Programın adındaki iki sözcük işin iki katmanını verir: "bilişim" verinin üretildiği, taşındığı ve saklandığı teknik ortamı, "güvenlik" ise bu ortamın savunulmasını anlatır.

Bu alanı doğru anlamanın yolu, güvenliğin bir ürün değil bir süreç olduğunu görmektir. Bir kurum güvenlik yazılımı satın almakla güvenli hâle gelmez; sistemin nasıl kurulduğu, kimin hangi yetkiyle eriştiği, kayıtların tutulup tutulduğu, açıklıkların düzenli olarak tarandığı ve bir olay olduğunda kimin ne yapacağı belirlenmiş olmalıdır. Bu programın mezunu tam olarak bu sürecin teknik uygulayıcısıdır: kural koyan değil, kuralı işleten kişidir.

Programın gündelik pratiği dört iş türüne dağılır. Birincisi sistem ve ağ tarafıdır: işletim sistemi kurmak ve sertleştirmek, kullanıcı ve yetki yönetimi yapmak, ağ bileşenlerini yapılandırmak. İkincisi savunma tarafıdır: güvenlik duvarı, saldırı tespit ve engelleme çözümleri, uç nokta koruması ve günlük kayıtlarının izlenmesi. Üçüncüsü test tarafıdır: bir sistemin açıklıklarını, o açıklıkları kötüye kullanacak kişinin yöntemleriyle ama izinli biçimde aramak. Dördüncüsü veri tarafıdır: veri tabanı erişimini sınırlamak, yedeklemek ve şifrelemek.

Programın ayırt edici tarafı, tekniğin yanında hukukun da müfredatta yer almasıdır. Bunun sebebi basittir: bu alanda çalışan kişinin yaptığı işlemler doğrudan hukuki sonuç doğurur. Bir kişisel veriyi korumak bir kanun yükümlülüğüdür; bir elektronik imzayı doğru üretmek bir işlemi geçerli kılar; izinsiz bir sistem testi ise suç oluşturabilir. Bu yüzden aşağıda mevzuat tarafını ayrı bir başlıkta ele alıyoruz.

Programa ÖSYM'de TYT puan türüyle öğrenci alınır ve öğretim düzeyi ön lisanstır. Aynı adın dört yıllık bir lisans varyantı bulunmaz. Üniversitelerde bilgi güvenliği ve siber güvenlik alanında dört yıllık programlar açılabilir, ancak bunlar farklı adlarla ve farklı puan türleriyle yer alır; bu ayrımı aşağıda ayrı bir başlıkta açıyoruz.

Tercih listelerinde bu iki ad sıkça birbirinin yerine yazılır; ikisi farklı işi öğretir.

[Bilgisayar programcılığı](/bolum/bilgisayar-programciligi) yazılım üretmeyi merkeze alır: algoritma, programlama dili, veri yapıları ve uygulama geliştirme. Bilişim Güvenliği Teknolojisi ise yazılımın ve sistemin savunulmasını merkeze alır; programlama bu programda bir amaç değil, araçtır. İki program da iki yıllık ön lisans düzeyindedir ve TYT puanıyla öğrenci alır, ancak mezunun çalıştığı masa farklıdır.

[Web tasarımı ve kodlama](/bolum/web-tasarimi-ve-kodlama) programı arayüz ve web uygulaması üretimine odaklanır; güvenlik orada bir konu başlığıdır, bu programda ise ana konudur. [Elektronik teknolojisi](/bolum/elektronik-teknolojisi) donanım ve devre tarafını çalışır; bilişim güvenliğinde donanım bilgisi yararlıdır ama işin merkezi değildir.

Dört yıllık taraf da netleştirilmelidir. [Bilgisayar mühendisliği](/bolum/bilgisayar-muhendisligi) ve [yazılım mühendisliği](/bolum/yazilim-muhendisligi) dört yıllık lisans programlarıdır, sayısal puan türüyle öğrenci alır ve mezunu mühendis unvanı alır; güvenlik bu programlarda derin teorik altyapıyla çalışılan bir uzmanlık alanıdır. [Yönetim bilişim sistemleri](/bolum/yonetim-bilisim-sistemleri) ise bilişimi işletme süreçleriyle birlikte okur. Bu programın mezunu iki yıllık ön lisans mezunudur ve tekniker unvanı alır; bu rehber bu iki düzey arasında bir denklik iddia etmiyor.

Bir başka karıştırma da fiziki güvenlikle olur. [Özel güvenlik ve koruma](/bolum/ozel-guvenlik-ve-koruma) programı kişi ve tesis güvenliğiyle ilgilenir; bilişim güvenliği ise verinin ve sistemin güvenliğiyle. İki alan aynı sözcüğü paylaşır, aynı işi yapmaz.

İki yıllık programı bitirdikten sonra dört yıllık bir programa geçmek isteyen öğrenciler için dikey geçiş yolu vardır. Hangi ön lisans programından hangi lisans programlarına başvurulabileceği ÖSYM'nin o yıla ait dikey geçiş kılavuzunda tablo hâlinde yayımlanır. Bu rehberde bu eşleştirmenin ne olduğu yazılmıyor; liste yıllara göre değişiyor ve tek geçerli kaynağı ilgili yılın kılavuzudur.

Ders planı üniversiteden üniversiteye değişir. Aşağıdaki plan İstanbul Esenyurt Üniversitesi'nin Bilişim Güvenliği Teknolojisi ön lisans programına aittir ve dört yarıyıl üzerinden kuruludur. Kaynak sayfada seçmeli ders havuzları yalnızca başlık olarak gösterilmiştir; seçmeli ders adları bu rehberde bilerek yazılmadı, çünkü havuzlar her yıl ve her üniversitede değişiyor.

Birinci yarıyıl temeli kurar ve daha ilk dönemde alanın adını taşıyan bir ders içerir: Bilgisayar Donanımı, Temel Programlama, Siber Güvenlik, Entegre Ofis Uygulamaları, Atatürk İlkeleri ve İnkılap Tarihi I, Türk Dili I ve Yabancı Dil I. Donanım dersinin programlama ile aynı dönemde verilmesi tesadüf değildir: neyi koruduğunu bilmeyen kişi korumayı kuramaz.

İkinci yarıyıl sistem ve veri tarafını açar: Açık Kaynak İşletim Sistemleri, Veri Tabanı Yönetim Sistemleri, Teknolojinin Bilimsel İlkeleri, Girişimcilik ve Kariyer Planlama, Atatürk İlkeleri ve İnkılap Tarihi II, Türk Dili II, Yabancı Dil II ile birer seçmeli. Açık kaynak işletim sistemleri dersinin erken verilmesi mesleğin pratiğine uygundur; sunucu tarafındaki iş büyük ölçüde bu ortamda yapılır.

Üçüncü yarıyıl programın omurgasıdır ve saldırı ile savunmayı yan yana koyar: Siber Saldırı ve Savunma Yöntemleri, Bilgisayar Ağ Sistemleri, Python Programlama, Bulut Bilişim Sistemleri, Web Teknolojileri ile seçmeliler. Saldırı yöntemlerinin ağ dersiyle aynı yarıyılda okutulması bu alanın öğretim mantığını gösterir: savunma, saldırının nasıl işlediğini bilmeden öğrenilmez. Bu dersin izinli ve laboratuvar ortamında yapıldığını, gerçek sistemler üzerinde izinsiz uygulamanın hukuka aykırı olduğunu programın kendisi de öğretir.

Dördüncü yarıyıl uzmanlaşmayı ve bitirme çalışmasını getirir: Veritabanı Güvenliği ve Savunma Algoritmaları, Sunucu İşletim Sistemleri, Kriptografi, Güvenli Web Yazılımı Geliştirme ve Mesleki Proje ile seçmeliler. Kaynak ders planında kriptografi dersinin adının yanında parantez içinde bir programlama dili belirtilmiştir; burada ders adı sadeleştirilerek aktarılmıştır. Kriptografi dersinin son yarıyıla yerleştirilmiş olması anlamlıdır: yukarıda aktarılan 5070 sayılı Kanunun imza oluşturma verisi ve nitelikli sertifika kavramları tam olarak bu dersin konusudur.

Bazı üniversitelerin ders planında iş sağlığı ve güvenliği, hukukun temelleri ve staj dersleri de zorunlu olarak yer alır. Bu rehberde tek bir üniversitenin planı örnek olarak verildi; tercih edeceğiniz okulun kendi bilgi paketini ayrıca incelemeniz gerekir.

Mezunların çalıştığı alanlar bilgi teknolojileri hizmet şirketlerinin güvenlik ekipleri, kurumsal bilgi işlem birimlerinin sistem ve ağ masaları, veri merkezi ve barındırma hizmeti sağlayıcıları, güvenlik operasyon merkezlerinin izleme birimleri, bankacılık ve finans kuruluşlarının bilgi güvenliği birimleri, elektronik ticaret şirketlerinin altyapı ekipleri ve kamu kurumlarının bilgi işlem daireleridir.

Bu istihdamın bir kısmı doğrudan mevzuattan doğar. 6698 sayılı Kanunun on ikinci maddesi veri sorumlusuna teknik ve idari tedbir alma zorunluluğu, kendi bünyesinde denetim yapma ya da yaptırma zorunluluğu ve ihlal hâlinde bildirim zorunluluğu yükler. Bu üç zorunluluk birlikte, kişisel veri işleyen her kurumda sürekli bir teknik iş üretir. 5070 sayılı Kanunun kurduğu güvenli elektronik imza düzeni ise sertifika, anahtar ve zaman damgası altyapısını işletecek personel ihtiyacı doğurur.

Buna karşılık bir gerçeği açıkça yazmak gerekiyor: bu alanda ilerlemenin yolu büyük ölçüde diplomanın ötesindedir. Sektör, laboratuvar ortamında yapılmış pratik çalışmaya, uluslararası ölçekte kabul görmüş sertifikalara ve kanıtlanabilir deneyime bakar. Bu rehber hangi sertifikanın hangi kapıyı açtığını yazmıyor; bu bilgi hızlı değişiyor ve doğru kaynağı ilgili sertifika kuruluşunun kendi sayfasıdır.

Kamuda bilişim personeli kadrolarına atanma şartları bu rehberde bilerek yazılmadı. Bu kadrolara giriş şartları ilgili kurumun kendi ilanında belirlenir ve programa göre değişebilir. Doğru kaynak o ilanın kendisidir, internette dolaşan özet listeler değil.

Bu rehberde bilerek hiçbir maaş rakamı yok. Kazanç kurum ölçeğine, çalışma biçimine, deneyime ve sertifika düzeyine göre çok geniş bir aralıkta değişiyor; buraya bir sayı yazmak bilgi vermek değil, yanlış beklenti üretmek olurdu.

Bu programı, öğrenmenin okul saatleriyle bitmediğini kabul eden öğrenciler için düşünmek doğru olur. Bu alan hızlı değişir: bugün geçerli bir yapılandırma bir yıl sonra yetersiz kalabilir. Kendi kendine okumaya, deneme ortamı kurmaya ve yeni araç öğrenmeye isteksiz bir öğrenci bu bölümde diploma alabilir, ama mesleğin gerisinde kalır.

İkinci belirleyici özellik sabırdır. Güvenlik işinin büyük bölümü heyecanlı bir saldırı sahnesi değil, kayıt okumak, yapılandırma dosyası karşılaştırmak ve yama listesi takip etmektir. Ayrıntıya tahammülü olmayan bir öğrenci için bu iş sıkıcı olabilir.

Üçüncü özellik dürüstlüktür ve bu alanda teknik bir yetenek kadar belirleyicidir. Bu meslek, insana ait veriye ve kurumun en hassas sistemlerine erişim ister. Yukarıda aktarılan 6698 sayılı Kanunun on ikinci maddesinin dördüncü fıkrası, öğrenilen kişisel verinin açıklanmasını ve amaç dışı kullanılmasını yasaklar ve bu yükümlülüğü görevden ayrıldıktan sonra da sürdürür. Bu sınırı kendi başına koyamayacak bir kişi için alan uygun değildir.

Dördüncü özellik hukuki metne tahammüldür. Bu meslekte teknik doğru ile hukuki doğru her zaman aynı kapıya çıkmaz; bir testin teknik olarak mümkün olması onu yapmaya izin vermez. Sadece teknikle ilgilenip mevzuatı görmezden gelmek isteyen bir öğrenci bu alanda risk üretir.

Yazılım üretmeye daha yakın duranların [bilgisayar programcılığı](/bolum/bilgisayar-programciligi), arayüz ve web tarafına ilgi duyanların [web tasarımı ve kodlama](/bolum/web-tasarimi-ve-kodlama), bilişimi işletme süreçleriyle birlikte okumak isteyenlerin [yönetim bilişim sistemleri](/bolum/yonetim-bilisim-sistemleri) programlarına ayrıca bakması yerinde olur.

Birinci not: bu rehberde hiçbir taban puan, başarı sıralaması ya da kontenjan sayısı yok. Bu üç veri her yıl değişir ve tek geçerli kaynağı ÖSYM tercih kılavuzu ile YÖK Atlas'tır. Kontenjan ve puan bilgisini oradan, tercih dönemi içinde kontrol etmeniz gerekir.

İkinci not: bu program ön lisans düzeyindedir ve TYT puanıyla öğrenci alır. Tercih listesine kod yazarken programın Tablo-3'te, yani ön lisans tablosunda yer aldığını kılavuzdan doğrulayın. Dört yıllık bilgisayar ve yazılım mühendisliği programları farklı tabloda ve farklı puan türüyle yer alır.

Üçüncü not: bu programda laboratuvar altyapısı ders planından daha belirleyici olabilir. Okulun sanallaştırma imkânı, ağ laboratuvarı, sunucu donanımı ve staj bağlantıları mezuniyet sonrası el becerisini doğrudan etkiler. Bu bilgiyi ilgili yüksekokulun kendi sayfasından araştırmanız gerekir.

Dördüncü not: mevzuat tarafındaki durumu doğru anlayın. Bu alanda kanunlar kuruma yükümlülük yükler, kişiye korumalı unvan vermez. 6698 sayılı Kanun teknik ve idari tedbiri zorunlu tutar, 5070 sayılı Kanun güvenli elektronik imzayı elle atılan imzayla eş tutar; ama ikisinde de bu program adına bağlı bir unvan ya da ruhsat sistemi yoktur. Bilişim suçlarının cezai karşılığı 5237 sayılı Türk Ceza Kanununda düzenlenmiştir; bu rehber o maddelerin tam metnini doğrulayamadığı için madde numarası vermiyor.

Beşinci not: Bu rehber bölümün ne olduğunu anlatır; hangi üniversiteye hangi puanla girileceğini anlatmaz. Taban puan, başarı sıralaması ve kontenjan her yıl değişir ve tek geçerli kaynağı ÖSYM tercih kılavuzu ile YÖK Atlas'tır. Bu sayfada bilerek puan, sıralama ya da maaş rakamı verilmiyor: eksik bilgi, yanlış bilgiden iyidir.