Modern kurumsal ağlar, yüzlerce uygulama ve altyapı hizmetine bağlı, son derece karmaşık ortamlardır. Bu sistemlerin güvenli ve verimli bir şekilde birbirleriyle etkileşimde bulunabilmesi, sürekli insan denetimine ihtiyaç duymadan gerçekleşmelidir. İşte bu noktada non-human identity (NHI) — yani insan dışı kimlikler devreye giriyor.
Uygulama gizli anahtarları, API anahtarları, servis hesapları ve OAuth token’ları gibi NHİ’ler, son yıllarda hızla artış gösterdi. Çünkü artık daha fazla uygulama ve hizmet birbiriyle otomatik olarak kimlik doğrulaması yaparak entegre olmak zorunda. Bazı kurumsal yapılarda, NHI sayısı insan kimliklerinden 50 kat fazla hale gelmiş durumda.
Ancak bu hızlı yükseliş, güvenlik liderleri için ciddi riskler ve yönetim zorluklarını da beraberinde getirdi. Enterprise Strategy Group’un yakın tarihli bir raporuna göre, kurumların %46’sı geçen yıl en az bir kez NHI hesaplarının ya da kimlik bilgilerinin sızdırıldığını bildirdi. %26’sı ise böyle bir sızıntıdan şüphelendiğini ifade etti.
Bu nedenle, NHI konusu Okta’nın CISO Forum etkinliğinde tekrar tekrar gündeme geliyor. Bu yazıda, insan dışı kimliklerin yükselişini, oluşturdukları riskleri ve CISO’ların bu risklerle nasıl mücadele ettiğini ele alıyoruz.
🚀 İnsan Dışı Kimliklerin Yükselişi
NHİ’lerin yükselişi, bulut servisleri, yapay zeka, otomasyon ve dijital iş akışlarının yaygınlaşmasına paralel gelişti. İnsan müdahalesine gerek kalmadan işleyen bu sistemler için uygulamalar arası güvenli iletişim, makine kimlikleri üzerinden sağlanıyor.
Bu tür kimliklerin taşıdığı token, API anahtarı ve diğer gizli bilgiler, insan kullanıcıların parolaları kadar hassas. Hatta bazı durumlarda daha da tehlikeli, çünkü sızmaları durumunda çok daha geniş erişim imkânı sunabilirler.
Bu nedenle, artık birçok kurum NHI güvenliği için bütçesini artırmayı planlıyor. Bain Capital CISO’su Mark Sutton’a göre:
“İnsan kimliklerinin güvenliği büyük ölçüde çözüldü. Şimdi sırada servis hesapları ve uygulamalar arası kimlikler var. Bu konular artık güvenlik ekiplerinin bir sonraki önceliği.”
⚠️ NHI’lerin Riskleri Nelerdir?
İnsan dışı kimliklerin güvenliği zor çünkü:
Genellikle sabit (statik) parolalar kullanırlar
Çok faktörlü kimlik doğrulama (MFA) gibi korumalar uygulanmaz
Aşırı ayrıcalıklı olarak tanımlanırlar
Uzun süre fark edilmeden aktif kalabilirler
En büyük tehlike ise gizli bilgilerin (secret/token) sızdırılması. Bu bilgiler bazen uygulama kaynak kodlarına hard-code edilir, bazen bir dokümana yapıştırılır ya da yanlışlıkla GitHub gibi açık platformlara yüklenir.
GitGuardian’a göre yalnızca geçen yıl, 27 milyondan fazla gizli anahtar herkese açık GitHub depolarında tespit edildi. Dahası, bu anahtarlar genellikle nadiren değiştirilir. Bu da sızan bir bilginin uzun süre kötü niyetli kişilerce kullanılabilmesi anlamına gelir.
🧩 CISO’ların Karşılaştığı 3 Ana Zorluk
1. Görünürlük Eksikliği
Birçok kurum, ortamında kaç tane NHI olduğunu bilmiyor. Bu hesapları bulmak, envantere almak ve izlemek oldukça zor. Kimlik güvenliği duruşu yönetimi (identity security posture management) araçları bu konuda önemli fayda sağlayabilir.
2. Risk Önceliklendirme
Tüm NHİ’ler eşit risk taşımaz. Bazıları daha geniş yetkilere sahip olabilir. Bu nedenle, hangi kimliğin ne kadar tehlike barındırdığını tespit edip, gereksiz ayrıcalıkları kaldırmak gerekir. “Blast radius” yani etkilenme alanı analizi bu noktada önem kazanır.
3. Yetersiz Yönetişim
NHI’lerin çoğu, geliştiriciler tarafından geçici ihtiyaçlar için oluşturuluyor ancak sonrasında takip edilmeden bırakılıyor. Kim tarafından, ne zaman ve neden oluşturulduğu bilinmeyen bu kimlikler büyük risk teşkil ediyor.
Bu nedenle:
Oluşturma politikaları net olmalı
Parola ve token rotasyonu düzenli yapılmalı
Kimlikler yaşam döngüsüne göre otomatik olarak devre dışı bırakılmalı
🔒 Sonuç: NHI Güvenliği Lüks Değil, Zorunluluk
İnsan dışı kimlikler, otomasyonun, entegrasyonun ve dijitalleşmenin temel yapı taşları haline geldi. Ancak bunları korumak kolay değil. Statik, federasyonsuz ve geniş erişimli bu hesaplar, saldırganların radarında.
Bugün, insan ya da makine fark etmeksizin her kimlik, uçtan uca güvenlik yaklaşımı ile korunmalıdır. NHİ’ler insan değil, ancak sistemlerimizdeki en güçlü varlıklardan biri haline geliyorlar.
Bu yüzden onları korumak bir seçenek değil, bir zorunluluktur.
){kind=link}