Zero Trust nedir ve hangi kurumlarda anlamlıdır?

Zero Trust, ağ çevresini değil erişim kararını merkeze alır

Geleneksel yaklaşımda kurum ağına bağlanan kullanıcı veya cihaz belirli ölçüde güvenilir kabul edilir. Bulut hizmetleri, uzaktan çalışma, mobil cihazlar, tedarikçiler ve API bağlantıları bu varsayımı zayıflatır. NIST SP 800-207, Zero Trust’ı ağ konumuna dayalı örtük güveni kaldıran ve kaynak bazlı erişim kararlarını sürekli değerlendiren bir güvenlik modeli olarak tanımlar. Bu nedenle Zero Trust, “VPN’i kaldırmak”, “her şeyi engellemek” veya yalnız çok faktörlü kimlik doğrulama kurmak değildir.

Zero Trust en çok karmaşık ve sınırları belirsiz ortamlarda değer üretir

Her kurumun aynı kapsamda Zero Trust programına ihtiyacı yoktur. Küçük ve tek lokasyonlu bir yapı da temel ilkelerden yararlanabilir; ancak dönüşüm önceliği, erişim karmaşıklığı ve iş riskiyle belirlenmelidir. Çoklu bulut, SaaS, uzaktan çalışan, dış hizmet sağlayıcı, birleşme–satın alma, hassas müşteri verisi veya kritik operasyon taşıyan kurumlarda fayda daha belirgindir.

• Yetkiler işten ayrılan veya rol değiştiren kişilerde uzun süre kalıyor mu?
• Tedarikçi erişimleri ayrı kimlik ve süre sınırı olmadan mı veriliyor?
• Yönetilmeyen cihazlar kritik uygulamalara erişebiliyor mu?
• Bir hesabın ele geçirilmesi çok sayıda sisteme geçiş sağlıyor mu?
• Bulut ve şirket içi erişim politikaları birbirinden kopuk mu?
• Hangi kullanıcının hangi veriye eriştiği kanıtlanamıyor mu?

Program beş temel karar ilkesine dayanmalıdır

1. Açık doğrulama: Kimlik, cihaz, konum, davranış, kaynak hassasiyeti ve tehdit sinyalleri birlikte değerlendirilir.
2. En az yetki: Kullanıcıya yalnız gerekli kaynak, işlem ve süre kadar erişim verilir.
3. İhlal varsayımı: Sistem tasarımı, bir hesabın veya cihazın ele geçirilebileceğini kabul ederek yayılmayı sınırlar.
4. Kaynak bazlı koruma: Politika ağ bölgesine değil uygulama, veri ve hizmete bağlanır.
5. Sürekli ölçüm: Politikanın gerçekten uygulanıp uygulanmadığı log, olay, yetki ve kullanıcı deneyimiyle izlenir.

Bu ilkeler yalnız güvenlik ekibinin sorumluluğu değildir. İnsan kaynakları rol değişikliklerini, satın alma üçüncü taraf erişimini, uygulama sahipleri iş gereksinimini, veri sahipleri hassasiyet sınıfını ve teknik ekip politika uygulamasını yönetir.

Kimlik, cihaz, ağ, uygulama, veri ve görünürlük birlikte çalışmalıdır

CISA Zero Trust Maturity Model, olgunluğu kimlik, cihaz, ağ/ortam, uygulama/iş yükü ve veri sütunlarıyla; görünürlük–analitik, otomasyon–orkestrasyon ve yönetişim çapraz yetenekleriyle ele alır. Yalnız kimlik sağlayıcı veya mikro segmentasyon yatırımı, diğer sütunlar zayıfsa bütüncül sonuç üretmez.

Uygulama, kritik iş akışından başlayan aşamalı bir yol haritası olmalıdır

“Tüm kurumu Zero Trust’a geçirmek” ölçülemeyen ve bitmeyen bir hedefe dönüşebilir. Daha iyi yaklaşım, belirli bir iş akışını seçmek ve kimlikten veriye kadar uçtan uca kontrol zinciri kurmaktır.

1. Kritik varlık, kullanıcı, servis ve veri akışını envanterleyin.
2. İş etkisi yüksek, erişim karmaşıklığı yönetilebilir bir pilot seçin.
3. Mevcut güven varsayımlarını ve geniş yetkileri belgeleyin.
4. Kimlik, cihaz ve kaynak bazlı politika tasarlayın.
5. Gölge modda karar üretip yanlış engelleme oranını ölçün.
6. Kademeli uygulama, istisna ve geri alma mekanizması kurun.
7. Olay, kullanıcı deneyimi ve erişim verisiyle politikayı iyileştirin.
8. Başarılı kontrol setini diğer iş akışlarına taşıyın.

İlk fazda bütün eski sistemleri değiştirmek yerine, kritik erişimlerin güçlü kimlik, cihaz kontrolü, zaman sınırı ve ayrıcalıklı oturum kaydıyla iyileştirilmesi daha gerçekçi olabilir.

Senaryo: dış yazılım ekibinin üretim veritabanına erişimi

Geleneksel modelde tedarikçiye VPN hesabı ve geniş ağ erişimi verilebilir. Zero Trust modelinde erişim; kurumsal olarak doğrulanmış tedarikçi kimliği, yönetilen cihaz, belirli bakım penceresi, yalnız ilgili veritabanı servisi, salt okunur veya sınırlı komut yetkisi, onaylı iş kaydı ve oturum kaydıyla sınırlandırılır. Risk sinyali yükselirse oturum yeniden doğrulanır veya kesilir.

Başarı ürün sayısıyla değil risk ve operasyon göstergeleriyle ölçülmelidir

• Geniş ve kalıcı yetkilerin oranı
• MFA ve cihaz uyumluluğu kapsamı
• Rol değişikliği sonrası yetki kaldırma süresi
• Tedarikçi erişimlerinin süreli ve kayıtlı olma oranı
• Ele geçirilmiş kimlikle yanal hareket test sonuçları
• Yanlış engelleme ve kullanıcı destek talebi oranı
• Politika istisnalarının sayısı, yaşı ve sahibi
• Kritik kaynaklar için erişim kararının açıklanabilirliği

Olgunluk puanı tek başına yeterli değildir. Ölçüm, iş akışı ve risk azaltımıyla ilişkilendirilmelidir.

En yaygın hata, Zero Trust’ı ürün listesine dönüştürmektir

• Tek bir üreticinin lisans paketini Zero Trust programı sanmak
• Varlık ve veri envanteri olmadan politika yazmak
• Her erişimi aynı risk düzeyinde değerlendirmek
• Servis hesapları ve makine kimliklerini kapsam dışında bırakmak
• Eski sistemlerin istisnalarını süresiz açık tutmak
• Kullanıcı deneyimini ölçmeden aşırı engelleme uygulamak
• Log üretmek fakat karar ve olay incelemesinde kullanmamak
• Programı yalnız güvenlik ekibine bırakmak

Yönetim, mimari hedefi ve risk iştahını; ekipler kontrol kanıtını sahiplenmelidir

Yönetim kurulu veya üst yönetim kritik varlıklar, kabul edilmeyen erişim riskleri ve yatırım önceliklerini belirler. Güvenlik mimarisi politika modelini; kimlik ekibi yaşam döngüsünü; uygulama ve veri sahipleri gerekli erişimi; BT cihaz ve ağ kontrollerini; iç denetim ise kanıt ve istisnaları değerlendirir. Her pilot için sorumlu, başarı ölçütü, istisna süresi ve geri alma planı atanmalıdır.