Sıfır güvene dayalı güvenlik modeli
Sıfır güven, yeni gizlilik düzenlemeleriyle uyumlu kalırken gizli verileri güvende tutmaya yönelik bir BT güvenlik yaklaşımıdır. Bulut hizmetlerinin kullanımı hızla genişledikçe, ayrıcalıklı bir yönetici veya uygulama yazılımının güvenliği ihlal edilmiş veya çalınmış kimlik bilgileri için de yeni bir potansiyel yaratır. Bunlara ek olarak, etkili güvenlik kontrolleri genellikle sonradan düşünüldüğü için veri hırsızlığı ve siber suçluların siber dolandırıcılık yapma potansiyelini ortaya çıkarabilir. Sıfır güven, organizasyonların sistemlere, ağlara ve verilere erişimi kontrolden vazgeçmeden düzenlemesine olanak tanır. Bu nedenle, organizasyonların verileri belirli bir ilkeye göre verilere erişimi kısıtlayan güvenlik kontrolleriyle koruyabilmeleri için sıfır güvene dayalı güvenlik modeline (hiç kimseye güvenmemek anlamına gelir) geçiş yapan organizasyonların sayısı artmaktadır.
Sıfır güven yaklaşımı nedir?
Standart bir ağ güvenliği durumu, ağ çevresinin dışından gelen tehditleri durdurmaya odaklanır, ancak verileri ağ içinde hırsızlığa karşı savunmasız bırakabilir. Bu yaklaşım, güvenlik duvarlarını, VPN'leri, erişim denetimlerini, IDS, IPS, SIEM'leri ve siber suçluların artık nasıl ihlal edeceklerini bildiği çevre güvenliği olan e-posta ağ geçitlerini kullanır. Bu, doğru kimlik bilgilerine sahip birinin herhangi bir ağın sitelerine, uygulama yazılımlarına veya cihazlarına kabul edilebileceği anlamına gelir. Sıfır güvene dayalı güvenlik ile, ağın içinde veya dışındaki hiç kimseye varsayılan olarak güvenilmez. Sıfır güven, kaynaklara erişmeye çalışan her kullanıcının doğrulamasını gerektirerek, böylece kullanıcıların kimliğini doğrulayarak ve sistemlere, ağlara ve verilere erişimi düzenleyerek sürecin en başından itibaren çalışır. Bu süreç, kullanıcı kimliklerinin, belirli bir sisteme ilgili erişim haklarının doğrulanmasını içerir ve organizasyonların, uygun erişimi sağlayarak kullanıcıların dijital kimliklerini yönetmesini sağlar. Sıfır güven, kimlik doğrulamayı güçlendirmek amacıyla ağ cihazlarına ve kaynakları destekleyen sunuculara erişim için birkaç gelişmiş erişim denetimi katmanı da kullanır. Bu yaklaşım aynı zamanda kullanıcı etkinliklerini izleme, bu etkinlikler hakkında raporlar oluşturma ve uyumluluğu sağlamak için ilkeleri uygulama kabiliyetini de sağlar.
Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) tarafından belirlenen sıfır güven mimarisi ilkeleri şunlardır:
- Tüm veri kaynakları ve hesaplama hizmetleri kaynak olarak kabul edilir.
- Ağ konumuna bakılmaksızın tüm iletişim güvenlidir, ağ konumu güven teşkil etmez.
- Bireysel kurumsal kaynaklara erişim, bağlantı bazında sağlanır, istekte bulunan kişiye yönelik güven, erişim verilmeden önce değerlendirilir.
- Kaynaklara erişim, kullanıcı kimliğinin ve istenen sistemin gözlemlenebilir durumu dahil olmak üzere ilkeye göre belirlenir ve diğer davranışsal öznitelikleri içerebilir.
- Şirket, tüm sahip olunan ve ilişkili sistemlerin mümkün olan en güvenli durumda olmasını sağlar ve sistemlerin mümkün olan en güvenli durumda kalmasını sağlar.
- Kullanıcı kimlik doğrulaması dinamiktir ve erişime izin verilmeden önce kesinlikle uygulanır. Bu, sürekli bir erişim , tehditleri tarama ve değerlendirme, uyarlama ve sürekli kimlik doğrulama döngüsüdür.
Sıfır güvene dayalı güvenlik avantajları nelerdir?
Riski azaltma
Güvenlik öncelikli tasarım ilkeleri ile sabit tehditlere karşı riskleri azaltın. Yerleşik geçici kullanıcı yalıtımı ve uyumluluk ve gizlilik düzenlemelerinde yardımcı olan en az ayrıcalık erişimi gibi teknolojileri kullanın. İyi yönetilen kimlikler sayesinde organizasyonlar, kullanıcı erişimi üzerinde daha fazla kontrol sağlar, bu da dahili ve harici ihlal riskinin azaltılmasına yol açar.
Erişim denetimi
Sıfır güvene dayalı güvenlik yaklaşımı, bir organizasyondaki bireysel kullanıcılar için sistemlere veya ağlara erişimin düzenlenmesine yardımcı olmak amacıyla kullanıcı bilgilerinin yakalanmasını, kullanıcı kimliklerinin yönetilmesini ve erişim ayrıcalıklarının düzenlenmesini içerir.
Organizasyonların güvenlik durumunu güçlendirme
- Erişim/izin kontrollerinin kötüye kullanımından kaynaklanan veri açıklaması
- Yerine getirilmeyen bulut hizmetlerinin kullanımından veri kaybı
- Ağ çevresi ve bulut hizmetleri arasındaki veri hareketine ilişkin görünürlük eksikliği
- Bulut hizmeti aracılığıyla gizli verileri harici bir üçüncü taraf kullanıcıyla paylaşan kullanıcılar
- Uzak kullanıcılardan ve kişisel cihazlardan veri açıklaması
- Aktif hesapları/izinleri olan eski çalışanlar da dahil olmak üzere içeriden kötü niyetli faaliyetler
- Onaylanmış bulut hizmetlerinin uygunsuz kullanımından kaynaklanan veri kaybı
- Şifrelenmemiş veriler
- Çalınan kimlik bilgileri aracılığıyla çalışanı taklit eden bir saldırgan
- Yanlış konfigüre edilmiş nesne depolama hesapları
Rekabet Avantajını Artırın
Standart çevre güvenliği yaklaşımından sıfır güven modeline geçiş yapan organizasyonlar, genel rekabet avantajlarını ve iş çevikliklerini artıran otomasyon, güvenlik ve yönetişimin avantajlarından yararlanır.
Sıfır güvene dayalı güvenlik için en iyi uygulamalar nelerdir?
Sıfır güvene dayalı güvenlik modelini benimseyen organizasyonlar şunları yapmalıdır:
- Mevcut durumunu belirlemek ve bir telafi planı geliştirmek için geçerli sistemi değerlendirme. Organizasyon, erişimi nerede düzenleyeceğini anlamak için önce verilerini tanımlamalı ve önceliklendirmelidir. Sıfır güvene dayalı güvenlik yaklaşımı, fikri mülkiyet, finansal veriler, müşteriler veya personel hakkındaki kişisel veriler ya da (büyük olasılıkla) bu üçünün bir kombinasyonu olabilecek verilerin korunmasını gerektirir.
- İlke dışındaki verilere erişme denemelerini ve veri erişimindeki anormallikleri algılama. Hemen hemen tüm faaliyetler yinelenir, bu nedenle anormallikler genellikle veri hırsızlığı girişiminin öncü göstergesidir. Sıfır güven modeline geçiş, kullanıcı bilgilerinin yakalanmasını, kullanıcı kimliklerinin yönetilmesini ve erişim ayrıcalıklarının düzenlenmesini gerektirir.
- Verilere erişimi engelleme. Kaynakları ve aktiviteyi otomatik olarak izlemeyen organizasyonlar, güvenliği tehlikede olan kullanıcılara ve veri ihlallerine karşı savunmasız hale gelir. Sıfır güven, organizasyonun kullanıcıları ve etkinliklere yönelik daha iyi görünürlük sağlar.
Etkili bir sıfır güvene dayalı güvenlik modeli şunları sağlayacaktır:
- Riskleri azaltmak için yerleşik güvenlik ile güvenlik öncelikli tasarım ilkeleri
- Yalıtılmış ağ sanallaştırma
- Görevlerin ayrıntılı olarak ayrılması
- En az öncelikli erişim
- karmaşıklığı azaltmak ve insan hatasını önlemek için otomatikleştirilmiş güvenlik.
- Otomatikleştirilmiş tehdit azaltma ve telafisi
- Sorunsuz koruma için sürekli, her zaman etkin güvenlik.
- Varsayılan olarak etkin her yerde şifreleme
- Kullanıcı davranışlarının sürekli olarak izlenmesi
- Bağlama duyarlı uyarlanabilir kimlik doğrulama