Zero Trust — не только для крупных корпораций: реализуемая дорожная карта для МСБ

Geleneksel güvenlik modeli bir kaleye benzer: dış duvar (güvenlik duvarı) sağlamsa içerisi güvenli sayılır. Oysa bugün çalışanlar evden bağlanıyor, uygulamalar bulutta çalışıyor ve saldırıların önemli bir kısmı ele geçirilmiş bir kullanıcı hesabıyla "içeriden" başlıyor. Zero Trust (sıfır güven) yaklaşımı bu varsayımı tersine çevirir: hiçbir kullanıcıya, cihaza veya ağa konumundan dolayı güvenilmez; her erişim isteği doğrulanır ve en az yetkiyle sınırlandırılır.

Kaynak: NIST SP 800-207

ABD Ulusal Standartlar ve Teknoloji Enstitüsü'nün SP 800-207 dokümanı, Zero Trust mimarisinin temel ilkelerini tanımlar: tüm veri kaynakları ve hizmetler birer kaynak olarak ele alınır, tüm iletişim ağ konumundan bağımsız olarak güvence altına alınır, erişim oturum bazında ve dinamik politikayla verilir, varlıkların durumu sürekli izlenir. Bu ilkeler ürün bağımsızdır; KOBİ'lerin elindeki araçlarla da uygulanabilir.

Adım 1: Kimlik merkeze

Zero Trust'ın temeli güçlü kimlik doğrulamadır. Uygulanabilir asgari set:

• Tüm kurumsal hesaplarda çok faktörlü kimlik doğrulama (MFA); SMS yerine uygulama tabanlı veya donanım anahtarı tercih edilir.
• Tek oturum açma (SSO) ile hesap sayısını azaltmak; işten ayrılan bir kişinin erişimi tek yerden kapatılabilmelidir.
• Paylaşılan hesapların kaldırılması; "ortak admin şifresi" Zero Trust ile bağdaşmaz.

Adım 2: Cihaz durumu

Bir hesabın doğru olması yetmez; bağlanan cihazın da bilinen ve güncel olması gerekir. Küçük ekipler için pratik yol, kurumsal cihazların envanterinin tutulması, disk şifrelemenin ve otomatik güncellemelerin zorunlu olması ve kişisel cihazlardan erişimin yalnızca belirli uygulamalarla sınırlandırılmasıdır.

Adım 3: Ağ segmentasyonu

Tek bir düz ağ, bir cihazın ele geçirilmesiyle tüm ağın ele geçirilmesi demektir. Sunucular, kullanıcı cihazları, misafir ağı ve IoT cihazları (kameralar, yazıcılar, oda içi televizyonlar) ayrı segmentlerde olmalı; segmentler arası trafik yalnızca gerekli portlarla sınırlanmalıdır. Örnek: oda içi IPTV cihazları yalnızca yayın sunucusuna erişir, muhasebe sunucusuna asla.

# Örnek (kavramsal) segment kuralı — yalnızca gerekli trafik
# kaynak segment      hedef segment     port     karar
kullanici_lan      -> uygulama_sunucu   443      izin
kullanici_lan      -> veritabani        5432     red
uygulama_sunucu    -> veritabani        5432     izin
misafir_wifi       -> *                 *        red (yalnızca internet)

Adım 4: En az yetki ve uygulama katmanı

Zero Trust yalnızca ağ meselesi değildir; uygulamanın içinde de geçerlidir. Her kullanıcı yalnızca işinin gerektirdiği veriyi görmeli ve bu kural veritabanı seviyesinde (PostgreSQL Row Level Security gibi) uygulanmalıdır. Yönetici yetkileri sürekli değil, ihtiyaç anında ve süreli verilmelidir.

Zero Trust bir ürün değil, bir karar alışkanlığıdır: her yeni erişim isteğinde "bu kişinin, bu cihazdan, bu veriye, şu an erişmesi gerçekten gerekli mi?" sorusunu sistemin sormasını sağlamak.

Adım 5: Görünürlük ve kayıt

Kimlik sağlayıcı, sunucu ve uygulama kayıtlarının merkezi bir yerde toplanması, olağandışı davranışın (gece yarısı farklı ülkeden giriş, toplu veri indirme) fark edilmesini sağlar. Kayıtların saklama süresi ve erişim yetkisi tanımlanmalıdır; kayıtlar da birer veridir.

Adım 6: Uzaktan erişimi yeniden düşünün

Klasik VPN, kullanıcıyı ağın içine alır; Zero Trust yaklaşımında kullanıcı yalnızca ihtiyaç duyduğu uygulamaya, kimlik ve cihaz doğrulamasından sonra ulaşır. Küçük ekipler için uygulama bazlı erişim ara katmanları (identity-aware proxy) bu geçişi mümkün kılar.

Uygulama sırası önerisi

1. MFA ve paylaşılan hesapların kaldırılması (en düşük maliyet, en yüksek etki).
2. Cihaz envanteri ve zorunlu güncelleme.
3. Misafir ve IoT ağlarının ayrılması.
4. Uygulama içi en az yetki ve denetim kaydı.
5. Uzaktan erişimin uygulama bazlı hâle getirilmesi.

Uygulama içi Zero Trust: PostgreSQL ile örnek

Ağ seviyesinde segmentasyon kadar önemli olan, uygulamanın her isteğini kullanıcının kimliği ve kapsamıyla değerlendirmesidir. PostgreSQL Row Level Security, bu ilkeyi veri katmanına taşır: istemci hangi sorguyu gönderirse göndersin, politika koşulu uygulanır.

-- Örnek: şube bazlı erişim (kavramsal)
alter table orders enable row level security;

create policy orders_by_branch on orders
  for select using (branch_id = any (current_user_branches()));

-- Yönetici bile her şeyi görmez; "tüm şubeler" yetkisi ayrı bir rolle ve süreli verilir.

Bu yaklaşımın güzelliği, uygulama kodundaki bir hatanın (unutulan where koşulu) veri sızıntısına dönüşmemesidir.

Süreli yönetici yetkisi

Sürekli yönetici hakkı, Zero Trust'ın en çok ihlal edilen ilkesidir. Pratik model: yönetici işlemleri için ayrı bir hesap, bu hesabın yetkisi ihtiyaç anında ve belirli süreyle (örneğin bir saat) açılır, açılış gerekçesi kayıt altına alınır, süre sonunda otomatik kapanır. Küçük ekiplerde bu, basit bir onay akışı ve zamanlanmış görevle kurulabilir; karmaşık bir ayrıcalıklı erişim yönetimi ürünü gerektirmez.

Tedarikçi ve dış destek erişimi

Yazılım tedarikçileri, muhasebe danışmanları ve dış destek ekipleri sistemlere erişir; bu erişimler çoğu zaman en zayıf halkadır. Kurallar: her dış kişi için ayrı hesap (paylaşımlı "destek" hesabı yok), MFA zorunlu, erişim yalnızca ilgili uygulamaya ve süreli, tüm oturumlar kayıtlı. Sözleşme bittiğinde erişimin kapatılması, bir kontrol listesi maddesi olmalıdır.

Kademeli uygulama: örnek bir 90 günlük plan (kurgusal)

DönemAdımÇıktı İlk ayMFA, paylaşılan hesapların kapatılması, cihaz envanteriHesap listesi, cihaz listesi İkinci ayMisafir ve IoT ağlarının ayrılması, dışa açık servis envanteriSegment şeması, kapatılan servisler Üçüncü ayUygulama içi RLS, merkezi kayıt, süreli yönetici yetkisiPolitika testleri, uyarı kuralları

Bu takvim örnektir; işletmenin boyutuna ve mevcut durumuna göre değişir. Önemli olan sıradır: önce kimlik, sonra ağ, sonra uygulama.

Yaygın yanlış anlamalar

• "Zero Trust bir ürün satın almaktır." Hayır; mevcut araçlarla başlayan bir ilkeler bütünüdür. Ürünler bazı adımları kolaylaştırır, ilkeyi yerine koymaz.
• "VPN varsa güvendeyiz." VPN, kullanıcıyı ağın içine alır; Zero Trust tam olarak bunun tersini ister.
• "Küçüğüz, hedef olmayız." Otomatik saldırılar hedef seçmez; açık port ve zayıf parola bulur.
• "Bir kez kurulur, biter." Zero Trust, her yeni uygulama ve her yeni çalışanla yeniden uygulanan bir süreçtir.

ISO/IEC 27001:2022 kontrol setindeki erişim kontrolü, ağ güvenliği ve kayıt yönetimi başlıkları bu adımlarla büyük ölçüde örtüşür; yani Zero Trust yolculuğu, ileride bir sertifikasyon hedefi varsa onun da zeminini hazırlar. Cy Logic'in siber güvenlik hizmeti, yazılım ve altyapı projelerinde bu yaklaşımı tasarım aşamasından itibaren uygular.