Erişim Kontrolü Neden Önemlidir?

Dijital dönüşümün günlük yaşam pratiklerinin ve iş dünyasının bir parçası haline geldiği günümüzde siber tehditlerin yarattığı tahribatın oranı da her geçen gün artıyor. Siber saldırganlar veri ihlali vakaları yaratmak ve hassas veriler üzerinde tam denetim sahibi olmak için yeni yöntemlere başvururken kuruluşların da alması gereken bir dizi önlem bulunuyor. Peki siber saldırganlar bu ihlal girişimlerini nasıl gerçekleştiriyor, en çok hangi BT altyapısı bileşenlerini hedef alıyor?

Erişim güvenliği sorunu yaratan veri ihlalleri çoğunlukla insan kaynaklı hatalar ve gerek iç gerekse dış müdahaleler sonucu ayrıcalıklı hesap bilgilerinin ele geçirilmesi sonucunda ortaya çıkıyor. Veri güvenliği protokollerinin ihlal edilmesi durumlarını kapsayan söz konusu sızıntılar, siber saldırganların kritik sistemlere, şirket veri tabanlarına ve hassas veri alanlarına erişimini kolaylaştırıyor. Bu nedenle kuruluşların gelişmiş bir erişim kontrolü sistemine sahip olması gerekiyor.

Erişim Kontrolü Neden Önemlidir?

Erişim kontrolü, access control, bilgi, veri ve ağ güvenliği açısından son derece önemlidir. BT altyapısı içindeki üç bileşenin de bir parçasını oluşturan erişim kontrolü, cihazlara ve sunuculara yetkili erişimlerden kaynaklanabilecek siber saldırı riskini en aza indiriyor. Ağ içindeki herhangi bir veriyi kimin görüntülediğini ya da kimin kullanabileceğini düzenlemenizi ve denetlemenizi sağlayan erişim kontrolünün temel amacı kritik veri yığınlarını güvende tutmaktır.

Bunlara ek olarak erişim kontrolünün kuruluşunuzun yapısına bağlı olarak yasal uyumluluk ile ilgili yükümlülükleri de var. Söz konusu yükümlülükler şu şekildedir:

• PCI DSS: Bu veri güvenliği standardının 9. maddesi kuruluş içi fiziksel erişimi sınırlandırırken siber güvenlik riskini azaltmak amacıyla siber saldırganların yeterli erişim kontrollerine sahip olmasını zorunlu kılıyor. 10. madde ise kuruluşların BT altyapılarını izlemek için gelişmiş bir denetleme sistemine sahip olmalarını içeriyor.
• HIPAA: Kuruluşların ve paydaşlarının sağlık verilerinin ifşasının önlenmesi ile ilgilidir. Fiziksel ve elektronik erişimi sınırlandırmayı amaçlar.
• SOC 2: İlgili denetim prosedürü, üçüncü tarafları, servis sağlayıcıları ve müşterileri veri ihlallerinden korumaya yöneliktir. Hassas kişisel verileri kullanan şirketler için önemli olan SOC 2 protokolü, iki faktörlü kimlik doğrulama ve veri şifrelemeye sahip bir erişim kontrolü sisteminin kullanılmasını gerekli kılıyor.
• ISO 27001: Veri güvenliğini sürdürülebilir şekilde sağlamak ve iş akışının aksamasına neden olabilecek sorunları ortadan kaldırmak için geliştirilen bir protokoldür. Siber tehditlerin ve güvenlik açıklarının denetlenmesine yardım etmektedir.

Erişim Kontrolü Bileşenleri Nelerdir?

Fiziksel ve mantıksal erişim kontrolü, kuruluşunuza ait kritik veri yığınlarına erişimi sınırlandıran beş ana bileşene sahiptir:

• Kimlik doğrulama: Bir kişinin, bilgisayar kullanıcısının ya da bilgisayar sisteminin kimliğini doğrulamaya yardımcı oluyor. Kimlik bilgilerinin doğrulanması, bir web sitesinin dijital sertifikalarının teyit edilmesi ve oturum açma bilgilerinin onaylanması bu bileşenin kapsamında yer alıyor.
• Yetkilendirme: Bu bileşen, kaynaklara erişim hakkını ve yetkili erişimlerle ilgili işlemleri denetlemeye imkân tanıyor. Yetkilendirme işlemi sayesinde ağınızda ayrıcalıklı hesaplar tanımlayabilir ve başta veri tabanı erişimi olmak üzere farklı alanlarda üst düzey denetim sağlayabilirsiniz.
• Erişim: Kimliği ve ayrıcalıklı hesap erişimi doğrulandıktan sonra kullanıcının ilgili kaynaklara erişmesini içeriyor.
• Yönetim: Bir erişim kontrol sistemini kapsamlı şekilde yönetmeye yardım ediyor. Ayrıcalıklı hesap ekleyip çıkarmayı içerdiği gibi, kritik veri tabanları üzerindeki veri tabanı yöneticisi erişimlerini kontrol etmeyi de mümkün kılıyor.
• Denetim: En az ayrıcalık ilkesinin (Least Privilege) uygulanması ile ilgilidir. Mantıksal erişim kontrolü (logical access control) sürecinin bir parçasıdır. Düzenli denetim mekanizması sayesinde kullanıcıların süreç içinde yetkili olmadıkları görevleri üstlenmelerinin önüne geçiliyor. Bu da siber güvenlik riskini en aza indiriyor.

Erişim Kontrolü Nasıl Çalışır?

Erişim kontrolü, fiziksel güvenliği ve siber güvenliği sağlamak açısından iki ana başlıkta ele alınabilir:

• Fiziksel erişim kontrolü: Kuruluşunuzun fiziki varlıklarına erişimi sınırlandırmayı içeriyor. Bina, kampüs, yemekhane, laboratuvar gibi alanlara giriş için güvenlik kartı kullanımı, fiziksel erişim kontrolüne örnek verilebilir.
• Mantıksal erişim kontrolü: Kuruluşunuzun BT altyapısında yer alan bilgisayar, sunucu, dosya ve çeşitli kritik verilere erişimi sınırlandırıyor. Ayrıcalıklı hesap erişimi için belirlenen kullanıcı adı ve şifrelerin yanı sıra OTP (One-Time Password) uygulaması da mantıksal erişim kontrolü unsurları içinde yer alıyor.

Bir kuruluş hem fiziksel hem de mantıksal erişim kontrolünü aynı anda kullanmalıdır. Çalışanların hangi binada, hangi alana erişimi olduğunu ve bu alanların kullanım süresini fiziksel erişim kontrolü ile denetlemek mümkün olduğu gibi ağ içindeki hareketler, kritik veri alanlarına erişim ve ayrıcalıklı hesap girişleri de mantıksal erişim kontrolü ile denetim altına alınabilir.

Çalışma şekli açısından ise erişim kontrolü sistemlerinde biyometrik verinin önemli rol oynadığını vurgulamakta yarar var. Söz konusu sistemlerde doğrulama işlemi kullanıcıdan biyometrik veri talep edilerek yapılabilir. Ayrıca kullanıcıdan şifre ya da kişisel kimlik numarası da istenebilir. Öte yandan iki faktörlü kimlik doğrulama da erişim kontrolü sistemlerinin işleyişinde önemli rol oynamaktadır. Bu sistemlerde kullanıcıya ait bir veri, akıllı telefona gönderilen bir OTP ile entegre ediliyor. Ayrıcalıklı erişim için kullanıcıdan eş zamanlı olarak hem kendisine ait veriyi (örneğin biyometrik veri) hem de kısa süreli güvenlik kodunu doğrulaması isteniyor. Doğrulama işleminin iki adımı da tamamlandıktan sonra erişim izni veriliyor.

Mantıksal Erişim Kontrolü İçin En Uygun Çözüm: PAM

Ayrıcalıklı Erişim Yönetimi çözümleri logical access management sürecinde denetlenmesi gereken ayrıcalıklı hesapları, yetkili erişimleri, parolaları, kullanıcı adlarını, kritik verileri ve dijital iş süreçlerini verimli şekilde yönetmenizi sağlıyor. 7/24 izleme ve ihtiyaç duyulduğunda müdahale etme şansı veren Privileged Access Management (PAM) sistemleri, veri ve erişim güvenliği açısından çok önemli bir noktada duran ayrıcalıklı hesapların koruma altına alınması konusunda kritik bir öneme sahip.

Ayrıcalıklı Erişim Yönetimi ürünümüz olan Single Connect de bünyesinde barındırdığı modüller sayesinde mantıksal erişimi kontrolü açısından kuruluşların gereksinimlerine tam anlamıyla cevap veriyor.

Single Connect’in Yetkili Oturum Yöneticisi modülü ağdaki tüm yetkili oturumları kontrol etmenize olanak tanıyor. İki Faktörlü Kimlik Doğrulama ise ayrıcalıklı erişim talebinde bulunan kullanıcılardan eş zamanlı olarak yer ve zaman doğrulaması istiyor. Yer ve zaman doğrulamasını eş zamanlı olarak yapamayan kullanıcılara erişim izni verilmiyor. Veri Tabanı Erişim Yönetimi, kritik veri tabanları üzerindeki yönetici hareketlerini denetlemenizi sağlarken Dinamik Veri Maskeleme de ağ üzerindeki tüm hareketleri maskeleme olanağı yaratıyor. Son olarak Ayrıcalıklı Görev Otomasyonu rutin görevleri otomatize hale getirerek iş akışının verimliliğini artırıyor. Böylece iş daha sürdürülebilir hale geliyor.

Siz de bir PAM ürünü kullanarak erişim kontrolü sağlamak ve BT altyapınızdaki kritik verileri yetkisiz erişimlere karşı uçtan uca en iyi şekilde korumak istiyorsanız dünyanın en kapsamlı PAM çözümleri arasında yer alan Single Connect’ten yararlanabilir, siber güvenlik tehditlerini en aza indirmede önemli rol oynayan erişim kontrolü sistemine sahip olmak ve ayrıcalıklı erişimleri 7/24 denetlemek için Single Connect’in üstün özelliklerinden faydalanabilirsiniz.

Single Connect hakkında daha detaylı bilgi edinmek ve Ayrıcalıklı Erişim Yönetimi ile ilgili aklınıza takılan tüm soruları çalışma arkadaşlarımıza sormak için bizimle iletişim kurabilirsiniz.