Sıfır güven mimarisi nedir ve kurumda adım adım nasıl uygulanır?

Sıfır güven nedir ve neyi değiştirir?

Sıfır güven (zero trust), ağın içinde olmanın güvenilir olmak anlamına gelmediği varsayımına dayanan bir güvenlik yaklaşımıdır. NIST'in sıfır güven mimarisi yayınına göre bu yaklaşımda savunma, statik ve ağ tabanlı çevreden kullanıcılara, varlıklara ve kaynaklara kayar; ağ konumu ya da cihazın kurumun olması tek başına örtük güven sağlamaz. Kullanıcı ve cihaz için kimlik doğrulama ile yetkilendirme, kurumsal bir kaynakla oturum kurulmadan önce yürütülen ayrı işlevler olarak ele alınır.

Geleneksel modelde şirket ağına girdikten sonra hareket serbesttir; kale ve hendek benzetmesi buradan gelir. Uzaktan çalışma, bulut hizmetleri ve kişisel cihazlar çevreyi bulanıklaştırdığında bu model zayıflar: ele geçirilen tek bir hesap ağ içinde yatay hareket için yeterli olabilir. Sıfır güven, her erişim talebini bağlamıyla değerlendirerek bu etkiyi sınırlar.

Sıfır güven bir ürün değil, bir mimari ve işletme yaklaşımıdır. Tek bir yazılım satın alarak sıfır güvene geçilmez; kimlik, cihaz, ağ, uygulama ve veri alanlarında birbirini tamamlayan kontroller kurularak geçilir. Bu nedenle bir yol haritası ve aşamalı uygulama gerekir.

Başlamadan önce: hedefi ve mevcut durumu netleştirin

Geçişe başlamadan önce neyi korumak istediğinizi belirleyin. En kritik veriler, uygulamalar ve hizmetler hangileri? Kimler bunlara, hangi cihazlardan ve hangi koşullarda erişiyor? Bu envanter olmadan politika yazmak tahmine dayanır. Erişim akışlarını gözlemlemek de gereklidir: hangi iş akışı hangi sisteme bağlanıyor, hangi servisler birbirleriyle konuşuyor.

Mevcut durum değerlendirmesi, zayıf noktaları gösterir. Kimlik tarafında çok faktörlü doğrulamanın kapsamı, ortak ve yönetici hesapların durumu; cihaz tarafında envanterin güncelliği ve yönetilen cihaz oranı; ağ tarafında segmentasyon düzeyi; uygulama tarafında eski protokollerin kullanımı sorulur.

Hedef durumu şu soruyla tanımlayın: bir hesap ya da cihaz ele geçirildiğinde saldırgan ne yapabilir ve bu etkiyi nasıl sınırlarız? Bu soru, sıfır güven yatırımlarını soyut bir hedefe değil somut bir riske bağlar.

Aşamalı geçiş: kimlikten veriye

Genellikle mantıklı başlangıç noktası kimliktir; çünkü kimlik, tüm erişim kararlarının temelidir. Çok faktörlü doğrulamanın yaygınlaştırılması, yönetici hesapların ayrıştırılması ve merkezi kimlik yönetiminin güçlendirilmesi ilk adımlardır. Ardından cihaz durumu erişim kararına katılır: yönetilen, güncel ve politikaya uygun cihazlar daha geniş erişim alır.

İkinci aşamada ağ ve uygulama erişimi dönüştürülür. Geniş ağ erişimi veren geleneksel VPN yerine, kullanıcıyı yalnızca yetkili olduğu uygulamaya bağlayan erişim modelleri (ZTNA) devreye alınır. Ağ segmentasyonu ile sistemler arası yatay hareket sınırlanır; öncelik kritik sistemlerdir.

Üçüncü aşamada veri odaklı kontroller gelir: veri sınıflandırma, hassas veriye erişimin kayıt altına alınması ve gerektiğinde şifreleme. Son aşama sürekli izleme ve otomasyondur: şüpheli davranış tespit edilince erişimin dinamik olarak daraltılması. Her aşama pilot bir grupla denenir, sonuçlara göre genişletilir.

VPN'den uygulama bazlı erişime geçiş

VPN kullanıcıyı ağa bağlar; ağa girildikten sonra kullanıcı genellikle çok sayıda sisteme ulaşabilir. Uygulama bazlı erişimde ise kullanıcı yalnızca yetkili olduğu uygulama ya da servise bağlanır, ağın geri kalanı görünmez. Böylece ele geçirilmiş bir hesabın erişebildiği alan daralır.

Geçişte tüm kullanıcıları bir anda taşımak yerine pilot grup seçilir, örneğin uzaktan çalışan ve belirli bir uygulamaya bağlanan ekip. Uygulamalar önem ve karmaşıklığa göre sıralanır; eski ve özel protokol kullananlar son aşamaya bırakılır. VPN bir süre paralel çalışabilir ve kullanım azaldıkça kapatılır.

Önemli bir ayrıntı kullanıcı deneyimidir. Sıfır güven kontrolleri iş akışını sıkça kesiyorsa kullanıcılar kısayol arar. Güçlü kimlik doğrulama sürtünmesini, tek oturum açma ve risk bazlı adım yükseltme ile dengelemek gerekir.

Sürdürmek: politika, izleme ve sahiplik

Sıfır güven bir proje değil sürekli bir işletme modelidir. Erişim politikalarının sahibi belli olmalı, politikalar yaşayan belgeler olarak gözden geçirilmelidir. Yeni bir uygulama eklendiğinde, bir birim yeniden yapılandığında ya da bir tedarikçi erişim istediğinde politika yeniden değerlendirilir.

İzleme, kararların kalitesini gösterir. Reddedilen erişim denemeleri, yetkisiz kaynak istekleri ve cihaz uyumsuzlukları, politikanın ya sıkı ya gevşek olduğunu söyler. Bu verilerden öğrenmek, politikayı iyileştirir.

Kurumsal sahiplik de önemlidir. Kimlik, ağ, uç nokta ve uygulama ekipleri ayrı çalışırsa kontroller çelişir. Ortak bir yönlendirme grubu, yol haritasını ve önceliği birlikte yönetmelidir. Üst yönetimin sponsorluğu, kullanıcı alışkanlıklarında gerekli değişikliği mümkün kılar.

Sık yapılan hatalar

İlk hata, sıfır güveni bir ürün alımı olarak ele almaktır. Araç, mimarinin yalnızca bir parçasıdır; envanter, politika ve işletme olmadan sınırlı fayda sağlar.

İkinci hata, her şeyi bir anda değiştirmeye çalışmaktır. Büyük patlama yaklaşımı iş akışlarını bozar ve geri çekilmeye yol açar. Kritik varlıklarla ve pilot gruplarla başlamak daha güvenlidir.

Üçüncü hata, kimliği zayıf bırakmaktır. Güçlü doğrulama olmadan diğer kontroller zayıf bir temel üzerine kurulur.

Son hata, kullanıcı deneyimini göz ardı etmektir. Aşırı sürtünme gölge BT ve kontrolleri dolaşan alışkanlıklar doğurur. Güvenlik ve kullanılabilirlik birlikte tasarlanmalıdır.

Bu beceriyi Mindset programlarında nerede çalışırsınız?

Siber Güvenlik Bootcamp Programı'nın Güvenlik Mimarisi ve Mühendislik ile Modern Güvenlik Konuları ve Geleceğin Tehditleri bölümleri, mimari ilkeleri ve güncel yaklaşımları ele alır. Güvenlik mimarları, ağ ve kimlik ekipleri için geçiş planının mantığını kurmaya yardımcı olur.