Ağ veri etiketi tanımlama teknik gereksinimleri: HTTPS gibi güvenli aktarım protokolleri ile şifreli iletim kullanılmalıdır
《Siber Güvenlik Standartları Uygulama Kılavuzu——Ağ Veri Etiketi Tanımlama Teknik Gereksinimleri》 yayımlandı; veri gönderen tarafın HTTPS gibi güvenli aktarım protokolleri ile şifreli iletim kullanmasını ve verinin tüm yaşam döngüsü boyunca izlenebilirlik yönetimini güçlendirmesini zorunlu kılıyor.
“Siber Güvenlik Standartları Uygulama Rehberi – Ağ Verisi Etiketleme ve İşaretleme Teknik Gereksinimleri”, ağ verisi etiketleme ve işaretleme teknolojisinin terim ve tanımlarını, öznitelik biçimini, oluşturma kurallarını, işaretleme kurallarını, doğrulama kurallarını, günlük saklama gereksinimlerini ve güvenlik koruma gereksinimlerini ortaya koymakta olup, veri gönderen tarafın HTTPS gibi güvenli aktarım protokollerini kullanarak şifreli iletim yapmasını şart koşmaktadır.
Ulusal Siber Güvenlik Standardizasyon Teknik Komitesi Sekretaryası tarafından derlenen “Siber Güvenlik Standartları Uygulama Rehberi – Ağ Verisi Etiketleme ve İşaretleme Teknik Gereksinimleri” (bundan böyle “Uygulama Rehberi” olarak anılacaktır) yakın zamanda resmî olarak yayımlandı. Bu Uygulama Rehberi, “Siber Güvenlik Kanunu”, “Veri Güvenliği Kanunu”, “Kişisel Bilgilerin Korunması Kanunu” ve “Ağ Verisi Güvenliği Yönetimi Yönetmeliği” gibi yasal düzenlemelerin gereklilikleri doğrultusunda, ağ verisi işleyicilerinin ağ verisi etiketleme ve işaretleme teknolojisini kullanarak ağ verisi güvenliği yönetim düzeylerini artırmalarına rehberlik etmek amacıyla hazırlanmıştır.
Uygulama Rehberi, ağ verisi etiketleme ve işaretleme teknolojisinin terim ve tanımlarını, öznitelik biçimini, oluşturma kurallarını, işaretleme kurallarını, doğrulama kurallarını, günlük saklama gereksinimlerini ve güvenlik koruma gereksinimlerini ortaya koymaktadır. Bu sayede ağ verisi işleyicilerinin verileri etiketlemesine ve işaretlemesine yardımcı olmayı, bu temelde önemli veriler ile kişisel bilgilerin sınıflandırılarak kademeli korunmasına öncelik vermeyi ve verinin tüm yaşam döngüsü boyunca izlenebilirlik yönetimini güçlendirmeyi amaçlamaktadır. Rehberin güvenlik koruma gereksinimleri kısmında, veri gönderen tarafın HTTPS gibi güvenli aktarım protokollerini kullanarak şifreli iletim yapması gerektiği belirtilmektedir. İlgili içerik şöyledir:
7.2.2 Yapılandırılmış veri: Eşzamanlı model
Ağ verisi işleyenlerin, dinamik senaryolarda yapılandırılmış veriyi eşzamanlı modelle etiketlemesi şu gerekliliklere uygun olmalıdır:
- a) Veri gönderen taraf, üretilen dinamik etiket tanımlayıcısını otomatik olarak uygulama katmanı protokol başlığına yerleştirip veri nesnesiyle ilişkilendirmeli ve veri nesnesiyle birlikte eşzamanlı olarak iletmelidir.
- b) Veri alan taraf, dinamik etiket tanımlayıcısını otomatik olarak ayrıştırıp çıkarmalı ve tanımalıdır.
Örnek: Yapılandırılmış veriler genellikle API arayüzleri üzerinden taşınır ve uygulama katmanı protokolü olarak çoğunlukla HTTPS protokolü kullanılır. Somut uygulama yöntemi, sistemin birleşik HTTP çağrı modülüne etiket bağlama mantığını eklemektir; program, veri gönderilmeden önce dinamik etiket tanımlayıcısını otomatik olarak üretir ve HTTP protokol başlığında yeni oluşturulan dinamik etiket tanımlayıcı özniteliğine yazar; veri nesnesi TLS şifreli iletimle taşınır. Ayrıntılar için Ek B.4'e bakılabilir.
Veri alan tarafın sisteminde, HTTPS protokol işleme sürecine dinamik etiket tanımlayıcı işleme işlevinin eklenmesi gerekir; bu işlev, istek başlığındaki dinamik etiket tanımlayıcısını otomatik olarak tanımak ve ayrıştırmak için kullanılır. Somut uygulama yöntemi için Ek C'ye bakılabilir.
7.2.3 Yapılandırılmış veri: Eşzamansız model
Ağ veri işleyicisi, dinamik senaryolarda yapılandırılmış veri etiketlemeyi asenkron yöntemle gerçekleştirir ve aşağıdaki gereksinimleri karşılar:
- Veri gönderen taraf, veri nesnesi iletilmeden önce dinamik etiket tanımlayıcısını oluşturmalı ve dinamik etiket tanımlayıcısı ile veri nesnesi arasındaki mantıksal bağlamayı tamamlamalıdır.
- Veri gönderen taraf, veri nesnesi ile dinamik etiket tanımlayıcısını, veri alıcı tarafla mutabık kalınan yönteme göre ayrı ayrı iletmelidir; bunlara farklı API arayüzleri üzerinden iletim, farklı sıralamayla iletim vb. dahildir ancak bunlarla sınırlı değildir.
Örnek: Asenkron veri etiketlemede, veri gönderen taraf ile veri alıcı taraf, veri nesnesi iletim API arayüzünün ve dinamik etiket tanımlayıcı iletim arayüzünün her ikisinin de HTTPS protokolünü kullanmasını kararlaştırır; örneğin: veri nesnesi iletim arayüzü https://xxx/data, dinamik etiket tanımlayıcı iletim arayüzü ise https://xxx/label.
10.1 Şifreli İletim
Veri gönderen taraf, ağ verisi etiket tanımlayıcısını şifreli iletim için HTTPS gibi güvenli iletim protokollerini kullanmalıdır; GB/T 38636 vb. referans alınabilir.
Kaynak: Ulusal Siber Güvenlik Standardizasyon Teknik Komitesi