Güvenlik Sınırı Artık Nerede? | RSA Identity Security #16

Identity-First Security: Modern Siber Güvenliğin Yeni Başlangıç Noktası

Kurumsal güvenliğin başlangıç noktası uzun yıllar boyunca network'tü. Önce kurumun sınırları korunuyordu. Firewall'lar, segmentasyon, VPN'ler ve diğer güvenlik kontrolleri bu sınırın etrafında konumlandırılıyordu. İçeride olan kullanıcı ve sistemler belirli ölçüde güvenilir kabul ediliyordu.

Ancak bugün bu sınır giderek belirsizleşiyor.

Kullanıcılar her yerden çalışıyor. Uygulamalar cloud ortamlarına taşınıyor. SaaS servisleri kurum altyapısının parçası hâline geliyor. Cihazlar sürekli değişiyor. API'ler ve workload'lar birbirleriyle iletişim kuruyor. AI agent'ları kurum adına işlem yapmaya başlıyor.

Bütün bu değişimin ortasında değişmeyen bir şey var:

Her erişimin arkasında bir kimlik bulunuyor.

Bu nedenle modern siber güvenliğin yeni başlangıç noktası giderek Identity-First Security yaklaşımına dönüşüyor.

Güvenlik Sınırı Artık Nerede?

Bir çalışan İstanbul'daki ofisten kurumsal uygulamaya bağlanabilir. Aynı çalışan birkaç saat sonra evinden bir SaaS uygulamasına erişebilir. Ertesi gün başka bir ülkeden cloud ortamındaki bir kaynağa bağlanabilir.

Bu erişimlerin hiçbirinde geleneksel network sınırı aynı değildir. Ancak güvenlik sisteminin her seferinde cevaplaması gereken sorular aynıdır:

• Kim erişiyor?

• Neye erişiyor?

• Bu erişime ihtiyacı var mı?

• Hangi cihazdan erişiyor?

• Erişim koşulları normal mi?

• Bu kimliğe şu anda ne kadar güvenebiliriz?

Identity-First Security tam olarak bu soruların etrafında şekillenir.

Authentication Başlangıçtır, Sonuç Değil

Bu seri boyunca gördüğümüz en önemli noktalardan biri, kimlik doğrulamanın tek başına yeterli olmadığıdır.

Parola doğru olabilir. MFA başarıyla tamamlanabilir. Kullanıcı doğru cihazdan geliyor olabilir. Ancak bunların hiçbiri erişimin oturum boyunca güvenli kalacağını garanti etmez.

Modern Identity Security bu nedenle yalnızca giriş anına odaklanmaz. Kimlik doğrulandıktan sonra da davranış, cihaz, lokasyon, erişilen kaynak, yetki kullanımı ve risk sinyalleri değerlendirilmeye devam eder.

Güvenlik kararı artık tek seferlik değil, sürekli bir güven değerlendirmesidir.

Doğru Kimlik, Doğru Erişim, Doğru Koşullar

Identity-First Security yalnızca güçlü authentication kullanmak anlamına gelmez. Üç temel sorunun birlikte cevaplanması gerekir:

Doğru kimlik mi?

Kimliğin gerçekten iddia ettiği kişi veya sistem olduğundan emin olunmalıdır.

Doğru erişim mi?

Kimlik yalnızca görevini gerçekleştirmek için ihtiyaç duyduğu kaynaklara erişebilmelidir.

Doğru koşullar mı?

Erişim sırasında cihaz, lokasyon, davranış ve risk seviyesi değerlendirilmelidir.

Bu üç unsurdan biri eksik olduğunda güvenlik modeli zayıflar. Bu nedenle güçlü kimlik güvenliği;

Authentication + Authorization + Governance + Risk + Continuous Assurance

yaklaşımını birlikte ele almalıdır.

Least Privilege Bir Politika Değil, Sürekli Bir Süreçtir

Bir kullanıcıya bugün verilen erişimin altı ay sonra hâlâ gerekli olacağının garantisi yoktur.

Çalışanlar görev değiştirir. Projeler sona erer. Yeni uygulamalar devreye girer. Eski sistemler kaldırılır. Ancak erişimler aynı hızla temizlenmezse zaman içerisinde yetki birikimi oluşur.

Bu nedenle Identity Governance, modern kimlik güvenliğinin temel parçalarından biridir. Kurumlar yalnızca “Kim neye erişebiliyor?” sorusunu değil, “Bu erişime hâlâ ihtiyacı var mı?” sorusunu da düzenli olarak sormalıdır.

Least Privilege böylece bir defalık yapılandırma olmaktan çıkar ve sürekli yönetilen bir güvenlik prensibine dönüşür.

İnsan Olmayan Kimlikler de Güvenlik Modelinin İçinde

Identity-First Security yalnızca çalışan hesaplarını kapsamaz. Modern kurumlarda service account'lar, uygulamalar, API'ler, workload'lar, botlar, otomasyon sistemleri ve AI agent'ları da kurumsal kaynaklara erişiyor.

Bu kimliklerin bazıları insan kullanıcılarından daha yüksek yetkilere sahip olabilir ve yıllarca aktif kalabilir. Dolayısıyla güvenlik stratejisinin;

Human Identities + Non-Human Identities

birlikte ele alınarak tasarlanması gerekir. Çünkü saldırgan açısından erişim sağlayan kimliğin insan veya makine olması önemli değildir.

Önemli olan o kimliğin hangi kaynaklara ulaşabildiğidir.

Zero Trust Kimlikle Başlar

Zero Trust'ın temel prensibi basittir:

Güveni varsayma. Sürekli doğrula.

Ancak bunu uygulayabilmek için güvenlik sisteminin kimliği anlayabilmesi gerekir. Kullanıcının veya sistemin kim olduğunu, hangi erişim haklarına sahip olduğunu, hangi cihazdan geldiğini ve davranışının beklenen modelle uyumlu olup olmadığını bilmeden dinamik bir güven kararı vermek mümkün değildir.

Bu nedenle Identity Security, Zero Trust mimarisinin en kritik yapı taşlarından biridir. Network, endpoint ve cloud güvenliği ortadan kalkmaz; ancak bu güvenlik katmanlarının merkezinde kimlik bağlamı giderek daha önemli hâle gelir.

Identity Security SOC ile Birleşiyor

Kimlik güvenliği geçmişte çoğunlukla erişim yönetiminin konusu olarak görülüyordu. Bugün ise kimlik sinyalleri tehdit tespitinin de önemli bir parçasıdır.

Bir güvenlik olayı değerlendirilirken hangi kimliğin, hangi cihazdan, hangi yetkiyle, hangi kaynağa ve hangi koşullarda eriştiği bilindiğinde olayın bağlamı çok daha doğru anlaşılabilir.

Identity Threat Detection ve davranış analizi sayesinde kimlik sistemleri yalnızca erişim veren altyapılar olmaktan çıkar. Aynı zamanda saldırının erken sinyallerini üreten güvenlik kaynaklarına dönüşür. Bu da Identity Security ile SOC arasındaki sınırı giderek azaltır.

AI Çağında Güven Daha Dinamik Olacak

AI destekli saldırılar phishing ve sosyal mühendisliği daha inandırıcı ve ölçeklenebilir hâle getirirken, savunma tarafında da çok daha fazla kimlik sinyalinin analiz edilmesini mümkün kılıyor.

Aynı zamanda AI agent'larının kurumsal sistemlere erişmeye başlaması yeni kimlik ve yetki modellerini gerekli hâle getiriyor.

Bu nedenle geleceğin Identity Security yaklaşımı daha dinamik olacaktır. Statik erişim kararlarının yerini giderek;

kimlik + cihaz + davranış + erişim + risk + bağlam

üzerinden yapılan sürekli değerlendirmeler alacaktır. Amaç her kullanıcıyı şüpheli kabul etmek değildir.

Amaç güveni varsaymak yerine doğrulayabilmektir.

Identity-First Security Bir Ürün Değil, Güvenlik Stratejisidir

Identity-First Security tek bir teknoloji satın almakla kurulmaz. MFA, Passwordless, Identity Governance, Adaptive Authentication veya Identity Threat Detection tek başına bütün problemi çözmez.

Asıl değer bu yeteneklerin ortak bir güvenlik stratejisinin parçaları olarak birlikte çalışmasından gelir. Modern yaklaşım;

Discover → Authenticate → Authorize → Govern → Monitor → Evaluate → Respond

döngüsü içerisinde kimliği erişimin tamamı boyunca yönetir.

Böylece Identity Security yalnızca login ekranında çalışan bir kontrol değil, kurumun siber güvenlik mimarisinin tamamına yayılan bir güven katmanına dönüşür.

Güvenliğin Yeni Başlangıç Noktası

Bu seriye şu soruyla başlamıştık:

Yeni güvenlik sınırı kimlik olabilir mi?

16 hafta boyunca IAM'den Identity Lifecycle'a, Joiner-Mover-Leaver süreçlerinden Passwordless ve MFA'ya, Adaptive Authentication'dan Zero Trust'a, ayrıcalıklı erişimlerden Identity Governance'a, Cloud Identity'den Identity Threat Detection'a, Non-Human Identity'lerden Account Takeover ve AI'a kadar farklı katmanları ele aldık.

Bütün bu başlıklar aynı noktada birleşiyor:

Her erişim bir kimlikle başlar.

Ve modern siber güvenlik açısından artık kritik olan yalnızca o kimliğin kim olduğunu bilmek değildir. O kimliğin neye eriştiğini, neden eriştiğini, hangi koşullarda eriştiğini ve hâlâ güvenilir olup olmadığını sürekli anlayabilmektir.

Key Takeaway

Modern kurumlarda güvenlik sınırı artık tek bir network, cihaz veya lokasyon değildir.

İnsanlar, uygulamalar, cloud servisleri, workload'lar ve AI agent'ları farklı ortamlardan kritik kaynaklara erişirken güvenliğin ortak noktası kimliktir.

Identity-First Security'nin temel amacı yalnızca kullanıcıyı doğrulamak değil; doğru kimliğin, doğru kaynağa, doğru yetkiyle, doğru koşullarda eriştiğini sürekli doğrulayabilmektir.

Çünkü modern siber güvenlikte her şey erişimle başlar.

Ve her erişim bir kimlikle başlar.

RSA Thursday | Identity Security Series #16

Prepared by Zero Second

Helping organizations make identity the trusted starting point of modern security