Bulanık FMEA yöntemini kullanarak bilgi güvenliğinde risk analizi
Risk analysis in information security using fuzzy FMEA method
Yazar: YILDIZ MERVE YEŞİLÇİMEN
Danışman: PROF. DR. ÖZLEM MÜGE TESTİK
Hacettepe Üniversitesi / Fen Bilimleri Enstitüsü / Endüstri Mühendisliği Ana Bilim Dalı
Derece: Yüksek Lisans, 2024
Konu: Endüstri ve Endüstri Mühendisliği = Industrial and Industrial Engineering

Özet:
İnternet ve bilişim teknolojilerinin hızlı evrimi ve yaygın kullanımı, kurumların iş süreçlerini desteklemek amacıyla bilişim sistemlerine olan bağımlılıklarını artırmıştır. Bu bağımlılık, çeşitli sektörlerde faaliyet gösteren kurumların günlük operasyonlarını sürdürebilme ve rekabet avantajı elde etme noktasında kritik bir unsurdur. Ancak, aynı zamanda da kurumları, bilgi teknolojisi sistemlerine yönelik potansiyel tehditlere karşı daha savunmasız hale getirmektedir. Bu tehditler, veri kaybına neden olarak iş sürekliliğini olumsuz etkileyebilmektedir. Kurumların, bilgi varlıklarını etkili bir şekilde korumak için güvenlik önlemleri ve risk yönetimi stratejileri geliştirmeleri gerekmektedir. Alınan önlemler, bilgi güvenliği açıklıklarından kaynaklanan potansiyel kayıpları minimize ederek kurumların maliyetlerine olumlu bir etki sağlamakta, böylece şeffaf ve güvenilir kurum imajı desteklenmiş olmaktadır. 
Bilgi güvenliği risk yönetiminde, potansiyel başarısızlıkları en aza indirmek için bu tez çalışması Hata Modu ve Etkileri Analizi (Failure Mode and Effect Analysis-FMEA) yöntemini bulanık yaklaşımla birlikte sunmaktadır. Bulanık FMEA yöntemi, klasik FMEA'nın kapsam ve esnekliğini artırdığından riskleri değerlendirmede daha pratik, etkili ve kullanışlı olması nedeniyle tercih edilmiştir.
Çalışma kapsamında, bir kurumda taşınabilir ortam ve cihazlara ait bilgi güvenliğinin; gizlilik, bütünlük ve erişilebilirlik olarak tanımlanan üç temel unsurundan herhangi birinde veya birkaçında oluşabilecek risklerin belirlenmesi ve bu risklerin önlenmesi için öneriler getirilmesi amaçlanmaktadır. Risklerinin mümkünse ortadan kaldırılması, değilse etkisinin düşürülmesini hedeflenmektedir.
Bulanık FMEA yöntemi için yedi kişilik bilgi güvenliği alanında uzman bir ekiple çalışılmıştır. Uzmanlar, ISO/IEC 27001 BGYS ekibinde de aktif görev almaktadır. Çalışmada belirlenen hata modları için Türkiye Cumhuriyeti Cumhurbaşkanlığı Dijital Dönüşüm Ofisi tarafından hazırlanmış olan Bilgi ve İletişim Güvenliği Rehberi'nde 6 ana varlık grubundan biri olarak yer alan 'Taşınabilir Cihaz ve Ortam Güvenliği' başlığındaki tedbir maddelerinden yararlanılmıştır. Çalışma yapılan kurumda yer alan taşınabilir cihaz ve ortamlara ilişkin 21 adet hata modu belirlenmiş ve uzmanlardan bu hata modlarının; olasılık, şiddet ve tespit edilebilirliklerinin 10 farklı dilsel değişken yardımıyla değerlendirilmeleri istenmiştir. Aykırı değerlerin değerlendirmeye alınmaması için her bir parametre için medyan üzerinden hesaplamalar yapılmıştır. Elde edilen verilerle klasik ve bulanık FMEA karşılaştırılması yapılmış, iki yöntem arasında güçlü bir ilişki olduğu sonucuna varılmıştır. 


Anahtar Kelimeler: Bilgi Güvenliği, Risk Analizi, FMEA, Bulanık FMEA

Abstract:
The rapid development and widespread use of the Internet and information technologies have increased the dependence of organizations on information systems to support their business processes. This dependency is a critical element for organizations in various industries to sustain their daily operations and gain competitive advantage. However, it also makes organizations more vulnerable to potential threats to their information technology systems. These threats can cause data loss and negatively impact business continuity. Organizations must develop security measures and risk management strategies to effectively protect their information assets. The measures taken will have a positive impact on the cost of the organization by minimizing potential losses due to information security vulnerabilities, thus supporting the image of a transparent and reliable organization. 
In order to minimize potential failures in information security risk management, this thesis presents the Failure Mode and Effect Analysis (FMEA) method with a fuzzy approach. The fuzzy FMEA method is preferred because it is more practical, effective and useful in assessing risks, as it increases the scope and flexibility of the classical FMEA.
This study analyzes the information security of portable media and devices in an organization in terms of one or more of the three basic elements defined as confidentiality, integrity and availability with the goal of eliminating the risks if possible and reducing their impact if not. 
The Fuzzy FMEA method was developed with a team of seven information security experts. The experts are also actively involved in the ISO/IEC 27001 ISMS team. For the failure modes identified in the study, the precautionary items under the title of Mobile Device and Environment Security, which is one of the 6 main asset groups in the Digital Transformation Office of the Presidency of the Republic of Turkey Information and Communication Security Guide, were used. The experts were asked to rate the occurence, severity and detectability of these failure modes using 10 different linguistic variables. The median was calculated for each parameter to exclude outliers from the evaluation. A comparison of traditional and fuzzy FMEA was made with the resulting data and it was concluded that there was a strong relationship between the two methods.


Keywords: Information Security, Risk Analyses, FMEA, Fuzzy FMEA