Soru 1 · Bilgi Sistemleri Güvenliği
Yönetici kullanıcıları veya şirket açısından değerli çalışanları hedef alan oltalama saldırısı türü aşağıdakilerden hangisidir?
- A)Yeniden oynatma saldırısı (Replay attack)
- B)Balina avcılığı (Whaling)
- C)Sms oltalama (Smishing)
- D)Kötü ikiz (Evil twin)
- E)Sesli oltalama (Vishing)
Çözümü göster — doğru cevap B
Metin, Balina avcılığının yönetici veya değerli çalışanların hedeflendiği özel bir oltalama saldırısı olduğunu tanımlamaktadır.
Dayanak: “Balina avcılığı (Whaling): Yönetici kullanıcıları veya şirket açısından değerli çalışanların hedef alındığı oltalama saldırısı.”
Soru 2 · Bilgi Sistemleri Güvenliği
Kablosuz ağlarda, şifreli IP paketlerinin ilklendirme vektörünü değiştirerek ortak şifreleme anahtarını zamanla çözmeyi amaçlayan saldırı hangisidir?
- A)Kötü ikiz (Evil twin)
- B)IV saldırısı (IV attack)
- C)Bellek taşması (Buffer overflow)
- D)Dinleme (Sniffing)
- E)Savaş tebeşiri (War chalking)
Çözümü göster — doğru cevap B
Metin, IV saldırısının şifreli paketlerin ilklendirme vektörünü değiştirerek şifreleme anahtarını çözme amacını taşıdığını belirtmektedir.
Dayanak: “IV saldırısı (IV attack): Ortak bir şifreleme anahtarını zamanla çözmek amacıyla transfer edilen şifreli bir IP paketinin ilklendirme vektörünü (Initialization Vector) değiştirme.”
Soru 3 · Bilgi Sistemleri Güvenliği
Aşağıdakilerden hangisi, bir kablosuz ağ üzerinden geçen paketlerin yakalanması ve farklı araçlarla analiz edilmesi işlemidir?
- A)Savaş sürüşü (War driving)
- B)Güven (Trust)
- C)Yakın alan iletişim saldırısı (Near field communication attack)
- D)Sms oltalama (Smishing)
- E)Dinleme (Sniffing)
Çözümü göster — doğru cevap E
Metin, Dinleme (Sniffing) saldırısının kablosuz ağ trafiğindeki paketlerin yakalanıp analiz edilmesi olarak tanımlandığını açıkça ifade etmektedir.
Dayanak: “Dinleme (Sniffing): Bir kablosuz ağ üzerinden geçen paketlerin yakalanması ve farklı araçlarla analiz edilmesi.”
Soru 4 · Bilgi Sistemleri Güvenliği
Bilgi güvenliği politikası ile ilgili olarak metinde belirtilen aşağıdaki ifadelerden hangisi doğrudur?
- A)Politika, dış paydaşların etkilenmesi dikkate alınmadan hazırlanmalıdır.
- B)Politika, sadece üst yönetimce onaylanmalı ve çalışanlara duyurulmalıdır.
- C)Politika, sadece kurumun çalışanlarını etkileyen bir doküman olarak hazırlanmalıdır.
- D)Politika, kurumun büyüklüğüne bakılmaksızın tek bir yapıda düzenlenmelidir.
- E)Politika, belirli periyotlarda ve gerektiğinde periyot dışında gözden geçirilmelidir.
Çözümü göster — doğru cevap E
Metin, politikanın belirli periyotlarda ve gerektiğinde periyot dışında gözden geçirilmesi gerektiğini açıkça belirtmektedir. Diğer şıklar metindeki dış paydaşların dikkate alınması veya tek bir yapı zorunluluğu gibi ifadelerle çelişmektedir.
Dayanak: “Belirli periyotlarda ve gerektiğinde periyot dışında gözden geçirilmeli ve tekrar onaylanıp duyurulmalıdır.”
Soru 5 · Bilgi Sistemleri Güvenliği
Bilgi güvenliği politikasının ele alması gereken hususlar arasında aşağıdakilerden hangisi metinde yer almamaktadır?
- A)Bilgi güvenliğinin tanımı ve kurumsal hedefleri
- B)Üst yönetimin bağlılığı ve bakışı
- C)Bilgi güvenliği ile ilgili teknik altyapı maliyetleri
- D)Bilgi güvenliği farkındalığı ve eğitimi
- E)Bilgi güvenliği ile ilgili kurumsal roller ve sorumluluklar
Çözümü göster — doğru cevap C
Metinde yer alan madde listesi teknik altyapı maliyetlerini içermemektedir; bunun yerine tanım, roller, risk yönetimi, düzenlemeler, eğitim ve üst yönetimin bakışı gibi konular listelenmiştir.
Dayanak: “Bilgi güvenliği politikası aşağıdaki hususları ele almalıdır: • Bilgi güvenliğinin tanımı, kapsamı, kurumsal bilgi güvenliği hedefleri • Bilgi güvenliği ile ilgili kurumsal roller ve sorumluluklar • Risk yönetimi • Tabii olunan diğer düzenlemeler • Bilgi güvenliği farkındalığı ve eğitimi • Üst yönetimin bağlılığı/bakışı • Bilgi güvenliği politika ve süreçlerine aykırı davranmanın olası sonuçları”
Soru 6 · Bilgi Sistemleri Güvenliği
Risk belirleme süreci (risk identification) ile ilgili olarak metinde verilen tanıma göre aşağıdakilerden hangisi doğru bir ifadedir?
- A)Süreç, istismar noktalarının (exploit) doğrudan kapatılmasını gerektirir.
- B)Süreç, zafiyetlerin tespit edilmesini ve tehditlerin belirlenmesini içerir.
- C)Süreç, iş süreçlerinin sürekliliğini sağlamak için maliyet analizi yapar.
- D)Süreç, veri korumasını amaçlayan tek bir varlık listesini oluşturur.
- E)Süreç, sadece varlıkların tespit edilmesiyle tamamlanır.
Çözümü göster — doğru cevap B
Metin, risk belirleme sürecinin varlıkların tespiti, zafiyetlerin belirlenmesi ve bu zafiyetlerden yararlanabilecek tehditlerin belirlenmesi aşamalarını içerdiğini belirtmektedir.
Dayanak: “Bu şekilde, bilgi güvenliği riskinin üç temel noktası tespit edilmiş olur ki bu risk belirleme süreci (risk identification) olarak tanımlanmaktadır.”
Soru 7 · Bilgi Sistemleri Güvenliği
Üçüncü taraflarla kurulan ilişkilerin yaşam döngüsü hangi aşamalardan oluşmaktadır?
- A)Planlama, uygulama, denetim ve iyileştirme aşamaları
- B)Gizlilik, bütünlük, erişilebilirlik ve doğrulama aşamaları
- C)Üretim, saklama, taşıma ve değiştirme aşamaları
- D)Analiz, tasarım, geliştirme ve test aşamaları
- E)Başlama, sürdürme ve sonlandırma aşamaları
Çözümü göster — doğru cevap E
Metin, üçüncü taraf ilişkilerinin yaşam döngüsünü açıkça başlama, sürdürme ve sonlandırma olarak belirtmektedir. Diğer şıklar veri yaşam döngüsü veya genel proje yönetimi aşamalarına aittir.
Dayanak: “Üçüncü taraflarla kurulan ilişkiler, bir yaşam döngüsü olarak değerlendirilip, başlama, sürdürme ve sonlandırma aşamaları olarak incelenebilir.”
Soru 8 · Bilgi Sistemleri Güvenliği
BSY Tebliği kapsamında üçüncü taraf verilerinin saklanması ile ilgili hangi zorunluluk getirilmiştir?
- A)Birincil ve ikincil sistemlerin yurt içerisinde barındırılması zorunludur
- B)Verilerin sadece bulut tabanlı sistemlerde saklanabilmesi şartı
- C)Üçüncü tarafların veri saklama yerlerini serbestçe seçebilmesi
- D)Verilerin yurt dışındaki sunucularda şifrelenerek saklanması gereklidir
- E)Üçüncü tarafların yedeklerini kendi ülkelerinde tutma zorunluluğu
Çözümü göster — doğru cevap A
Metin, üçüncü taraf verilerinin konumu konusunda birincil ve ikincil sistemlerin yurt içinde barındırılmasını zorunlu kılmaktadır. Diğer şıklar metindeki bu zorunluluğa aykırıdır.
Dayanak: “BSY Tebliği kapsamında birincil ve ikincil sistemlerin yurt içerisinde barındırılması zorunludur.”