ISO/IEC 27001 bilgi güvenliği yönetim sistemi açısından türkiye' de hukuk bürolarında bilgi güvenliği yönetimi
Information security management in law offices in turkey in terms ISO/IEC 27001 information security management system
Yazar: BERKER KILIÇ
Danışman: YRD. DOÇ. DR. NURSEL YALÇIN
Gazi Üniversitesi / Bilişim Enstitüsü / Adli Bilişim Ana Bilim Dalı
Derece: Yüksek Lisans, 2019
Konu: Mühendislik Bilimleri = Engineering Sciences
Dizin: Adli bilişim = Computer forensics ; ISO 27001 = ISO 27001

Özet:
Bilgi güvenliği açısından haberleşme, enerji, bankacılık/finans, kritik kamu hizmetleri, ulaştırma ve su yönetimi alanları kritik alt yapılar olarak görülmektedir. Ancak, özel nitelikli kişisel verilerin işlenmesi ve veri sorumlusu sıfatı ile avukatların müvekkillerine karşı, kişisel verilerinin gizliliğinden sorumlu olmaları nedeni ile günümüzde hukuk alanının da kritik bir alan olarak değerlendirilmesi mümkündür. Bu çalışmada, hukuk bürolarının İnsan Kaynakları, Bilişim Teknolojileri Ekipman ve Bilişim Teknolojileri İletişim altyapıları ile ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi alt amaçları arasındaki anlamsal farklılıkları belirlenmiş, 0-100 aralığında genellenebilir bir eşitlik geliştirilerek, hukuk bürolarının ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi ile uyum seviyeleri ölçülmüştür. Çalışmada, ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi amaç ve alt amaçları paralelinde geliştirilen öz değerlendirme anketi kullanılmıştır. Farklı şehirlerden 452 hukuk bürosuna uygulanmış, elde edilen sonuçlar, hukuk bürolarının İnsan Kaynakları, Bilişim Teknolojileri Ekipmanları ve Bilişim Teknolojileri İletişimi özellikleri açılarından değerlendirilmiştir. Değerlendirme sürecinde iki farklı yöntem izlenmiştir. Hukuk bürosunun İnsan Kaynakları, Bilişim Teknolojileri Ekipman ve Bilişim Teknolojileri İletişim özellikleri ile ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi 35 alt amacı arasındaki anlamsal farklılıklar analiz edilmiştir. Veriler Kolmogorov-Smirnov ve Shapiro-Wilk normallik testleri ile normal dağılım göstermedikleri görülmüştür. alt grup sayısı ikiden fazla olan özellikler için Kruskal Wallis, iki olan alt gruplar için Mann Whitney U testleri uygulanarak anlamsal farklılıklar analiz edilmiştir. Diğer taraftan, hukuk bürolarının ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi 14 amacı ile regresyon analizi yapılmış ve hukuk bürolarının Bilgi Güvenliği Yönetim Sistemi puanlarını elde edebilmek için bir eşitlik geliştirilmiştir. Elde edilen anlamsal farklılıklar ve bilgi güvenliği puanları kullanılarak, hukuk büroları için ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi kriterlerine uyumluluklarını arttırabilmeleri için güçlendirici ve tamamlayıcı model adı verilen iki model geliştirilmiştir. Katılımcı 452 hukuk bürosunun 0-100 aralığında yalnızca 10,381 puan alarak ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi' ne uyumluluklarının oldukça düşük olduğu görülmüştür. Ancak, hukuk bürolarının İnsan Kaynakları, Bilişim Teknolojileri Ekipman ve Bilişim Teknolojileri İletişim özellikleri ile anlamsal farklılıkların tespit edildiği ISO/IEC Bilgi Güvenliği Yönetim Sistemi alt amaçlarına odaklanan güçlendirici model ve tamamlayıcı modellerin uygulanması ile bu puanın artırılabileceği görülmüştür.

Abstract:
In terms of information security, the fields of communication, energy, banking/finance, critical public services, transportation and water management are regarded as critical infrastructures. However, due to the fact that lawyers have a resposibility for the secrecy of personal data in the capacity of being resposible for processing of private qualified personal data and in charge of the data, today it is possible to be considered the field of law as a critical one as well. In this study, the semantic differences between Human Resources of Law Offices, the Equipment of Information Technologies and the infrastructures of Information Technologies Communication and the sub objectives of ISO/IEC 27001 Information Security Management System are determined, the adjustment levels related to ISO/IEC 27001 Information Security Management System with law offices  are measured by developing a generalizable equality in range of 0-100. In the study, the self evaluation survey which is developed in paralel with the objective and sub objectives of ISO/IEC 27001 Information Security Management System is used. It is applied to 452 law offices from different cities, the obtained results are evaluated in terms of the features of Human Resources of Law Offices, the Equipment of Information Technologies and Information Technologies Communication. Two different methods are followed in the evaluation process. The semantic differences between Human Resources of the Law Office, the Equipment of Information Technologies and the feautures of Information Technologies Communication and 35 sub objectives of ISO/IEC 27001 Information Security Management System are analyzed. It is seen that the datas don't indicate a normal dispersion with Kolmogorov-Smirnov ve Shapiro-Wilk normality tests. The semantic differences are analyzed by applying Kruskal Wallis test for the feautures having sub groups more than two and Mann Whitney test for the ones having two sub groups. On the other hand, a regression analysis is performed with the 14 objectives of ISO/IEC 27001 Information Security Management System of law offices and an equality is developed for obtaining the points of Information Security Management System of law offices. By using obtained semantic differences and the points of Information Security, two models named as strengthening and supplementary model are developed for increasing the adjustments to the criteria of ISO/IEC 27001 Information Security Management System for law offices. It is seen that the adjustments of 452 participant law offices to ISO/IEC 27001 Information Security Management System are rather low by taking only 10,381 points in range of 0-100. Nevertheless, it is seen that these points can be increased by applying strengthening and supplementary model focused on the sub objectives of ISO/IEC Information Security Management System, by which the semantic differences between Human Resources of the Law Offices, the Equipment of Information Technologies and the feautures of Information Technologies Communication are detected.