Pınar Güneş, SearchInform Bilgi Güvenliği Uzmanı
Erişim yönetimine dair pek çok yaklaşım var: isteğe bağlı (DAC), zorunlu (MAC), rol tabanlı (RBAC), öznitelik tabanlı (ABAC). Hangisini uygularsanız uygulayın, bilgi güvenliği ekipleri aynı sorunla karşılaşıyor: Kurallar kâğıt üzerinde kusursuz görünürken, sahada riskler beliriyor. Peki, kullanıcıların yanlışlıkla yol açabileceği ihlaller ve yetki suistimallerine karşı nasıl önlem alırız? Yanıt: DLP ve DCAP’i birlikte devreye alarak.
Sorunun Özü
Yetki matrisinin asıl amacı, altyapı bileşenlerini ve veri depolarını yetkisiz kullanımdan korumaktır. Ancak bunu “bir kere kur, sonsuza dek çalışsın” mantığıyla çözmek mümkün değil. Çünkü erişim haklarının dağıtıldığı şirket ve BT sistemleri baştan aşağı dinamiktir: iş süreçleri, altyapı, çalışanların görev ve yetkileri değişir. İşin akışını bozmamak için erişim haklarını sürekli ayarlamak, sistemler arası uyumu sağlamak ve gerektiğinde istisnalar tanımlamak gerekir.
Bir diğer neden de klasik yetkilendirme modellerinin insan faktörünü hesaba katmamasıdır. Etki alanı (domain) yöneticileri rol atarken hata yapabilir ya da kötü niyetli davranabilir. Yetkisi olan bir kullanıcı, korumalı bir depodaki veriyi tamamen “meşru” biçimde herkesin görebildiği bir klasöre taşıyabilir. Bu yüzden çalışanların kendilerine verilen yetkileri nasıl kullandığını sürekli izlemek şart.
Bu süreçleri ek araçlarla otomatikleştirmek mümkün. Örneğin DCAP, kullanıcı haklarının ve işlemlerinin denetimini üstlenir. DLP, etki alanı ve dosya sistemi dışında kalan yetki ihlallerine karşı korumayı güçlendirir.
Şimdi yetki matrisinin güncellenme sürecini ele alalım ve doğru revizyon için atılması gereken adımları inceleyelim.
Adım 1. Matrisle Gerçek Durumu Karşılaştırın
Önce mevcut kullanıcıların gerçekten nelere erişebildiğini netleştirin. Sonra “olması gereken” ideal matrisle fiili durumu karşılaştırın. Burada DCAP gerekir; standart domain yönetim araçlarının aksine statik değil, dinamik bir tablo sunar.
Örneğin, bir modern DCAP sistemi şunları gösterir:
- Kullanıcıların yerel ve ağ kaynaklarına güncel erişim hakları (kaliteli sistem, özet verileri seçilen dönem için; tüm ya da belirli dizinlere ve tüm kullanıcılar veya belirli kullanıcı/gruplara göre filtreleyerek ayrı raporlarda sunar),
- Ortak ve yerel klasörlerde kullanıcıların dosyalarla yaptığı işlemler (her dosya için loglar kaydedilmeli; kayıtlar istenen dönem aralığında incelenebilmelidir),
- Kullanılmayan erişimler (sistem, altyapıda erişilmeyen ve işlem görmeyen tüm dosya ve klasörleri raporlamalıdır).
Buna ek olarak DCAP, verinin depolanmasını analiz eder; çalışanların PC’lerinde ve ağ klasörlerinde hangi tür dosyalardan ne miktarda bulunduğuna ilişkin istatistikler toplar. Sistem, depolardaki dosyaları içeriğe göre sınıflandırdığından bilgi güvenliği uzmanı, korunması gereken veriyi “dosya çöpü”nden ve gereksiz kopyalardan ayırt edebilir.
Kısacası DCAP, verinin yaşam döngüsünü ve iş süreçlerindeki rolünü görünür kılar; böylece direktif niteliğindeki erişim kurallarını şirketin gerçek ihtiyaçlarına yaklaştırmak kolaylaşır.
Adım 2. Düzen kurun
Denetim sonuçlarına göre yapılması gerekenler:
- Aşırı erişimleri kaldırın (örneğin bir çalışan, kendisine açık olan klasöre bir yıldır hiç girmediyse ya da “Yönetim İçin” klasörü yanlışlıkla çağrı merkezi stajyerlerine açıksa),
- “Ölü canları” temizleyin (işten ayrılan çalışanların hâlâ aktif durumdaki hesaplarını silin),
- Disk alanını toparlayın (şişen yedekleri ve gereksiz ağır dosyaları arşivleyin veya silin).
Adım 3. Riskleri bertaraf edin
Yetkiler etki alanında doğru dağıtılmış olsa bile yine de açıklar kalabilir. Bunun başlıca nedenleri şöyledir.
- Standart yetki yönetim araçları, erişim türlerini (okuma, yazma, çalıştırma vb.) ayrı ayrı tanımlamaya imkân verir. Örneğin çalıştırma ve okuma izni verip yazma/kaydetmeyi yasaklayabilirsiniz. Ancak dosyaya doğrudan erişim kısıtlı olsa bile, kullanıcı ilgili klasöre erişebiliyorsa dosyayı başka bir konuma taşıyarak kısıtları dolanabilir; yeni konumda önceki yasaklar geçersiz kalabilir. Benzer şekilde, düzenleme yetkisi olmayan bir kullanıcı dosyayı açıp içeriğini kopyalayabilir.
- Erişimi sahibi kullanıcılar yetkilerini hatalı ya da kötüye kullanabilir. Standart araçlar, çalışanın dosyayla çalışabildiği ama dosyayı iş arkadaşlarıyla paylaşmasının veya şirket dışına göndermesinin yasak olduğu senaryoları kapsamaz. Bu yüzden verilerle çalışmanın denetlenebilir senaryolarına ihtiyaç vardır. Bunları DCAP ve DLP’deki engellemelerle kurabilirsiniz.
Bu konuda içerik tabanlı sınıflandırma gerçekleştirebilen bir DCAP sistemi yardımcı olur. Böyle bir çözüm, dizinlerdeki tek tek nesneleri değil, seçilen içeriğe sahip tüm belgeleri engeller.
İleri düzey bir sistem, kullanıcıların dosyalarla hangi uygulamalarda çalışabileceğini de belirler. Böylelikle örneğin müşteri verileri, konumdan bağımsız olarak yalnızca “Satış Yöneticileri” grubundaki kullanıcılar tarafından açılabilir. Diğer herkes için dosyalar hiç açılmaz. Satış ekibi dahi müşteri veritabanını e-postaya, mesajlaşma uygulamalarına veya buluta ekleyemez; böylece sızıntı riski düşer.
DLP ise riskleri daha da en aza indirir. Bu sistemler, kurum içindeki iletişim kanalları dâhil bilgi iletimini denetler. Böylece hem rakiplere sızdırmalar hem de “kapalı” klasörlerden erişimi olmayan meslektaşlara veri gönderimleri engellenir. Ayrıca yeni nesil DLP, etki alanı tabanlı yetki yönetiminin yetersiz kaldığı yerlerde devreye girer. Örneğin bu sistemleri; belgelerin yazdırılmasını, USB belleklere kaydedilmesini ve panoya kopyalanmasını yasaklayabilir. Aynı anda kurumsal depolardaki kötüye kullanımlara karşı ek güvence sağlar: gizli içerikli dosyaların ortak klasörlere yazılmasını engellemek; yerel PC’deki bir klasörü, seçilen kullanıcı dışında herkese – sınırsız yetkili yöneticiler dâhil – kapatmak; hatta ağ klasörlerine harici aygıt muamelesi yaparak erişimi tamamen devre dışı bırakmak gibi.
Adım 4. İhtiyaçları gözetin
Kurulmuş erişim sisteminin esnek kalması için bilgi güvenliği ekibinin şirketteki değişimlere hızla uyum sağlaması gerekir. Hangi durumlarda bir kullanıcıya ek yetki gerekeceğini önceden kestirmek zor. Ancak istisnalarla çalışmayı kolaylaştırabilirsiniz. Örneğin, ihtiyaç doğar doğmaz çalışanların doğrudan bilgi güvenliğinden belirli bir istisnanın gerçekleştirilmesini talep etmesine izin vererek.
Modern güvenlik çözümlerinde, çalışanların yürürlükteki yasaklar ve tetiklenen engellemeler hakkında bildirim aldığı bir kullanıcı arayüzü bulunur. Biri “kapalı” bir dosyaya, klasöre veya aygıta erişmek isterse, gerekçesiyle birlikte – örneğin yöneticiden gelen bir görev – sistem içinde talep oluşturabilir. Güvenlik uzmanı talebi anında alır ve karar verir: Çalışan hangi işlemleri ne süreyle yapabilecek? Ayrıca bu tür ileri düzey çözümlerde verilen izinlerle kullanıcının çalışması denetlenebilir; çalışanın ekranında olup bitenleri gerçek zamanlı izleme olanağı sağlanır.
Bu yaklaşım, Active Directory’de bitmeyen istisnalarla uğraşmamak için pratiktir; belirlenen süre dolduğunda tüm yasaklar kendiliğinden geri alınır. Çalışanlar da işlerini aksatmadan sürdürebilir. Bir sorun çıkarsa erişim anında geri çekilebilir.
Sonuç
Kullanıcı erişimlerini ideal matrise daima yüzde yüz uyacak biçimde dağıtmak ütopik bir hedeftir. Ancak klasik araçların yanı sıra DLP ve DCAP’i birlikte kullanarak güvenlikle işin akıcılığı arasında dengeli ve mümkün olan en iyi sonuca ulaşmak mümkündür.
DCAP, kurumsal depolarda düzen sağlar; yetki dağıtımındaki aksaklıkları bulup düzeltmenize yardımcı olur. DLP ise sistemin işleyişini denetler ve ihlallere karşı korur. Bu iki çözüm birlikte, çalışanların gerçek ihtiyaç ve yetkilerini dikkate alan güvenli veri işleme senaryolarını kurum genelinde hayata geçirir.
