Kimlik ve Erişim Yönetimi (IAM)

Kimlik ve erişim yönetimi (IAM – Identity and Access Management), bir kurumdaki her kullanıcının, cihazın ve hizmet hesabının kim olduğunu doğrulayan, hangi uygulama ve verilere hangi koşullarda erişebileceğini belirleyen ve bu erişimleri yaşam döngüsü boyunca denetleyen güvenlik disiplinidir. Basit bir ifadeyle IAM, “doğru kişi, doğru kaynağa, doğru zamanda, doğru yetkiyle” erişsin diye kurulan kurallar, süreçler ve teknolojiler bütünüdür. Racoun’un teknoloji birimi Pedante Bilişim, bu hizmeti siber güvenlik markası Racurity ile; uzman çözüm ortaklarımızın altyapısını Racurity güvencesiyle, tek muhatapla sunar.

IAM kimler için gerekli?

Kimlik yönetimi yalnızca büyük holdinglerin konusu değildir. Bulut uygulamaları, uzaktan çalışma ve mobil cihazlar yaygınlaştıkça kurumların güvenlik çevresi artık ofis duvarları değil, kullanıcı kimliğidir. Aşağıdaki durumlardan biri sizin için geçerliyse IAM yatırımı öncelikli olmalıdır:

• Çalışanlarınız Microsoft 365, CRM, ERP, muhasebe ve sektörel SaaS uygulamaları gibi çok sayıda sisteme ayrı ayrı parolalarla giriyorsa
• İşe giriş ve ayrılışlarda hesap açma ve kapatma işlemleri e-posta ve hatırlatmalarla yürüyorsa
• Sunucu, güvenlik duvarı ve veri tabanı gibi kritik sistemlerde ortak yönetici hesapları kullanılıyorsa
• Tedarikçi, danışman veya bayi gibi üçüncü taraflar iç sistemlerinize erişiyorsa
• KVKK, ISO/IEC 27001 ya da BDDK ve SPK gibi düzenleyicilerin beklentileri nedeniyle erişimlerinizi kanıtlamanız gerekiyorsa

Riskler: neden kimlik, saldırganların ilk hedefi?

Güncel saldırıların büyük bölümü bir sistem açığıyla değil, ele geçirilmiş bir kullanıcı hesabıyla başlar. Oltalama e-postasıyla çalınan bir parola, birden fazla sitede tekrar kullanılan bir şifre ya da işten ayrılmış bir çalışanın kapatılmamış hesabı, saldırgana “meşru kullanıcı” kılığında içeri girme imkânı verir. Bu noktadan sonra saldırgan genellikle yetki yükseltmeye ve yatay hareketle daha değerli sistemlere ulaşmaya çalışır. Gereğinden geniş yetkiler, birikmiş eski hesaplar ve denetlenmeyen yönetici erişimleri bu ilerlemeyi kolaylaştırır. IAM, bu zinciri her halkada kırmayı hedefler: girişi zorlaştırır, yetkiyi daraltır, anormal davranışı görünür kılar.

Hizmet kapsamı

Tek oturum açma (SSO)

SSO ile kullanıcı tek bir kurumsal kimlikle doğrulanır ve yetkili olduğu tüm uygulamalara ayrı parola girmeden erişir. Uygulamalar SAML 2.0 veya OpenID Connect gibi standart protokollerle merkezi kimlik sağlayıcısına bağlanır. Böylece parola sayısı azalır, oltalama yüzeyi daralır ve bir hesabın kapatılması tüm uygulamalarda aynı anda etkili olur.

Çok faktörlü doğrulama (MFA)

MFA, parolanın yanına sahip olunan bir unsur (telefon uygulaması, donanım anahtarı) veya biyometrik bir unsur ekler. Tüm doğrulama yöntemleri eşit değildir: SMS ile gelen kodlar SIM kopyalama ve oltalama saldırılarına karşı daha zayıftır; uygulama tabanlı bildirimlerde “MFA yorgunluğu” saldırılarına karşı numara eşleştirme kullanılmalıdır. Yönetici hesapları için FIDO2 donanım anahtarları veya passkey gibi oltalamaya dayanıklı yöntemleri öneriyoruz.

Koşullu erişim

Koşullu erişim politikaları, erişim kararını yalnızca parolaya değil bağlama göre verir: kullanıcının rolü, cihazın kurum tarafından yönetilip yönetilmediği ve güncel olup olmadığı, bağlantının konumu ve oturumun risk seviyesi. Örneğin muhasebe uygulamasına yalnızca yönetilen cihazlardan erişim, yurt dışından gelen girişlerde ek doğrulama veya eski kimlik doğrulama protokollerinin tamamen engellenmesi bu katmanda tanımlanır. Bu yaklaşım, Zero Trust’ın “asla varsayma, her zaman doğrula” ilkesinin uygulamadaki karşılığıdır.

En az yetki ve rol tabanlı erişim

En az yetki ilkesi, her hesabın işini yapmaya yetecek kadar, daha fazla olmayan yetkiye sahip olmasını öngörür. Bunu sürdürülebilir kılmak için rol tabanlı erişim (RBAC) modeli kurar, departman ve unvanlara göre yetki paketleri tanımlar ve istisnaları kayıt altına alırız.

Ayrıcalıklı erişim yönetimi (PAM)

Yönetici hesapları en değerli hedeflerdir. PAM ile ayrıcalıklı hesaplar günlük hesaplardan ayrılır, ortak parolalar kasaya alınır ve düzenli döndürülür, yetkiler ihtiyaç anında ve süreli olarak (just-in-time) verilir, kritik oturumlar kayıt altına alınır. Hizmet hesapları ve “acil durum” hesapları da envantere alınarak sahiplendirilir.

Kullanıcı yaşam döngüsü

İşe giriş, departman değişikliği ve ayrılış süreçleri (joiner–mover–leaver) İK kaydıyla ilişkilendirilir; mümkün olan yerlerde SCIM gibi standartlarla hesap açma ve kapatma otomatikleştirilir. Böylece ayrılan bir çalışanın erişimi gecikmeden sonlandırılır, görev değiştiren kullanıcıda eski yetkiler birikmez.

Erişim denetimi ve raporlama

Periyodik erişim gözden geçirmeleriyle yöneticiler ekiplerinin yetkilerini onaylar veya kaldırır. Oturum açma kayıtları ve riskli giriş uyarıları merkezi olarak toplanır; dilerseniz SIEM ve SOC hizmetimize aktarılarak korelasyonla izlenir. Bu kayıtlar, denetim ve uyum süreçlerinde erişimlerin kanıtlanmasını da kolaylaştırır.

Teknik detaylar: hibrit dizinler, cihazlar ve makine kimlikleri

Pek çok kurumda kimlikler hem yerel Active Directory’de hem de bulut dizininde yaşar. Bu karma yapıda hangi kaynağın “asıl kaynak” olduğu, parola karmalarının mı yoksa doğrudan doğrulamanın mı kullanılacağı ve senkronizasyonun nasıl izleneceği baştan netleştirilmelidir. Yanlış kurgulanan senkronizasyon, bulutta silinen bir hesabın yerelde yaşamaya devam etmesine yol açabilir.

Cihaz kimliği de en az kullanıcı kimliği kadar önemlidir. Koşullu erişimin “yalnızca yönetilen ve uyumlu cihazlar” kuralını uygulayabilmesi için cihazların merkezi yönetime kayıtlı olması, şifreleme ve güncelleme durumlarının raporlanması gerekir. Son olarak, uygulamaların birbirine bağlanmasında kullanılan hizmet hesapları, API anahtarları ve uygulama sırları çoğu zaman en az izlenen kimliklerdir. Bunları envantere alıyor, sahiplendiriyor, mümkün olan yerde parolasız yönetilen kimliklere taşıyor ve sırları kod içinde değil güvenli kasalarda saklıyoruz.

Süreç: nasıl çalışıyoruz?

1. Keşif ve envanter: Kullanıcılar, gruplar, uygulamalar, ayrıcalıklı ve hizmet hesapları çıkarılır; mevcut kimlik dizini ve parola politikaları incelenir.
2. Risk ve boşluk analizi: MFA kapsamı, eski protokoller, yetim hesaplar ve aşırı yetkiler raporlanır.
3. Tasarım: Rol modeli, koşullu erişim politikaları, MFA yöntemleri ve PAM yaklaşımı kurumunuza göre tasarlanır.
4. Aşamalı uygulama: Önce pilot grup, ardından departman bazında yaygınlaştırma yapılır; politikalar önce raporlama modunda denenir, iş sürekliliği korunur.
5. Eğitim ve iletişim: Kullanıcılara yeni giriş deneyimi, BT ekibine yönetim süreçleri anlatılır.
6. İşletme ve iyileştirme: Erişim gözden geçirmeleri, riskli giriş takibi ve politika güncellemeleri düzenli yürütülür.

Neden Pedante Bilişim ve Racurity?

Kimlik projeleri teknik olduğu kadar organizasyoneldir; İK, BT ve iş birimleri arasında köprü kurmayı gerektirir. Racurity ile kimlik altyapısını uzman çözüm ortaklarımız aracılığıyla kurar, tasarımdan işletmeye kadar tek muhatap olarak sorumluluk alırız. Microsoft 365 ve Azure ortamlarında Microsoft Entra ID gibi teknolojilerle çalışabildiğimiz gibi karma ve yerel dizin yapılarına da uyum sağlarız. Pazarlama ve teknoloji aynı çatı altında olduğu için web sitesi yönetim paneli, CRM ve kampanya araçlarına erişimi de aynı politikalarla yönetebiliriz.

Sık yapılan hatalar

• MFA’yı yalnızca e-postaya uygulayıp VPN, uzak masaüstü ve yönetici portallarını dışarıda bırakmak
• Eski kimlik doğrulama protokollerini açık bırakarak MFA’nın atlanmasına izin vermek
• Yöneticilerin günlük işlerini ayrıcalıklı hesaplarla yapması
• Ayrılan çalışanların hesaplarını yalnızca e-postada kapatıp SaaS uygulamalarını unutmak
• Acil durum hesabı tanımlamadan sıkı politikalar uygulayıp kendini sistem dışında bırakmak
• Erişim gözden geçirmesini yılda bir kez yapılan formalite olarak görmek

İlgili hizmetler

IAM, katmanlı bir güvenlik mimarisinin temelidir. Cihaz tarafını uç nokta güvenliği (EDR/XDR), ağ tarafını NAC ağ erişim kontrolü ile tamamlayabilir; oltalamaya karşı e-posta güvenliği ve hassas veriler için DLP ve şifreleme çözümleriyle bütünleştirebilirsiniz. Microsoft ortamındaki kurumlar için Microsoft 365 kurumsal ve Microsoft Defender güvenliği sayfalarımıza, tüm başlıklar için siber güvenlik hizmetlerimize göz atabilirsiniz. Uyum boyutu için ISO 27001 danışmanlığı ve KVKK uyum danışmanlığı sunuyoruz. Mevcut durumunuzu birlikte değerlendirmek için bir toplantı planlayabilirsiniz; ilk görüşme ücretsizdir.

Tüm bilişim hizmetlerimizi görmek için kurumsal BT çözümleri sayfamıza göz atabilirsiniz.

Sık sorulan sorular

IAM ile Active Directory aynı şey mi?

Hayır. Active Directory veya Microsoft Entra ID gibi dizin hizmetleri kimliklerin tutulduğu altyapıdır. IAM ise bu altyapının üzerine kurulan politikalar, süreçler ve denetimlerin tamamıdır: kimin hangi role sahip olduğu, hangi koşullarda erişebileceği, yetkilerin nasıl onaylandığı ve kaldırıldığı.

SMS ile gelen doğrulama kodu yeterli mi?

SMS kodu hiç MFA olmamasından çok daha iyidir, ancak SIM kopyalama ve gerçek zamanlı oltalama saldırılarına karşı görece zayıftır. Genel kullanıcılar için numara eşleştirmeli uygulama doğrulamasını, yönetici hesapları için FIDO2 donanım anahtarı veya passkey gibi oltalamaya dayanıklı yöntemleri öneriyoruz.

SSO tüm uygulamalarla çalışır mı?

Günümüz SaaS uygulamalarının çoğu SAML veya OpenID Connect desteği sunar. Bu standartları desteklemeyen eski veya kuruma özel uygulamalar için uygulama proxy’leri, parola kasası tabanlı çözümler ya da yazılım tarafında entegrasyon geliştirme gibi seçenekleri değerlendiriyoruz.

PAM küçük ve orta ölçekli şirketler için gerekli mi?

Ayrıcalıklı hesaplar her ölçekte en kritik hedeftir. Küçük yapılarda tam kapsamlı bir PAM ürünü yerine ayrı yönetici hesapları, parola kasası, süreli yetki verme ve yönetici oturumlarında güçlü MFA gibi orantılı önlemlerle başlamak çoğu zaman yeterli ve etkilidir.

IAM projesi çalışanların günlük işini zorlaştırır mı?

Doğru tasarlandığında tam tersi olur. SSO ile parola sayısı azalır, koşullu erişim sayesinde güvenilir cihaz ve konumlardan gelen kullanıcılardan gereksiz ek doğrulama istenmez. Politikaları önce raporlama modunda deneyip pilot grupla başladığımız için geçiş kontrollü ilerler.

IAM, KVKK ve ISO 27001 uyumuna nasıl katkı sağlar?

KVKK kişisel verilere yetkisiz erişimi önlemek için teknik ve idari tedbirler bekler; ISO/IEC 27001 de erişim kontrolünü temel kontrol alanlarından biri olarak ele alır. IAM, erişimlerin tanımlanmasını, onaylanmasını ve kayıt altına alınmasını sağlayarak bu süreçleri destekler. Uyum değerlendirmesi için hukuki ve uyum danışmanlığıyla birlikte çalışmanızı öneriyoruz.

İletişim

Merkez ofisimiz: Atatürk Mah., Sait Cordan Sk. No:10, 34758 Ataşehir / İstanbul. İstanbul’daki firmalarla yüz yüze, Türkiye genelindeki markalarla online toplantı ve planlı ziyaretlerle çalışıyoruz. 0551 044 08 69 numaralı WhatsApp hattımızdan yazabilir, toplantı planlayabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.