Erişim borcu nasıl birikir?
Yeni proje başlarken hız önemlidir; geçici yetki birkaç dakikada verilir. Proje bittiğinde aynı aciliyet bulunmadığı için erişim kapanmaz. Aylar sonra kimse kişinin neden yönetici rolünde olduğunu hatırlamaz ve geçici çözüm kalıcı altyapının parçası hâline gelir.
Paylaşılan hesaplar borcu büyütür. Tek kullanıcı adıyla çalışan ekipte kimin ne yaptığı izlenemez, ayrılan kişinin erişimini tek başına kaldırmak zorlaşır ve parola değişikliği gecikir. Rahat görünen paylaşım, olay anında sorumluluk ve müdahale hızını ciddi biçimde azaltır.
Araç sayısı arttıkça merkezi listenin önemi büyür. İnsan kaynakları işten ayrılışı bilir, yönetici gerçek görevleri bilir, teknoloji ekibi sistem erişimini görür. Bu üç bilgi aynı kapanışta birleşmezse herkes diğerinin işlemi tamamladığını varsayar ve boşluk aylarca fark edilmez.
Erişim borcu satın alma sürecinde de doğar. Bir ekip yeni aracı hızla kurarken kimlik yönetimi, günlük kaydı ve kapatma yöntemi değerlendirilmezse sonradan görünmez hesaplar oluşur. Güvenlik koşulları sözleşme ve kurulum kontrolüne girdiğinde temizlik maliyeti baştan azaltılır.
En az yetkiyi işe göre kurmak
En az yetki, çalışanın işini zorlaştırmak değildir. Kişiye göre geniş paket vermek yerine görevin gerektirdiği veri, işlem ve süre kadar erişim tanımlar. Böylece günlük iş akışı korunur, ancak ele geçirilen veya yanlış kullanılan bir hesabın etkileyebileceği alan sınırlı kalır.
Rol adları tek başına yeterli değildir. Aynı unvandaki iki kişi farklı müşteri, bölge veya proje kapsamına sahip olabilir. Yetki talebinde iş amacı, veri kapsamı, onaylayan sahip ve bitiş tarihi birlikte yazıldığında erişim teknik seçenekten hesap verilebilir bir iş kararına dönüşür.
Yüksek riskli işlem için kalıcı yönetici yetkisi yerine zaman sınırlı yükseltme kullanılabilir. Kişi bakım veya kriz anında gereken izni alır, iş bitince erişim sona erer. Bu yöntem kontrolü artırırken operasyonu yavaşlatmaz; olağanüstü yetkinin gündelik rahatlığa dönüşmesini önler.
En az yetki düzenli işi engelliyorsa çalışanlar kestirme yol arar. Bu nedenle talep ve onay süresi de ölçülmelidir. Gereken erişim makul zamanda verildiğinde paylaşılan parola veya kişisel hesaba yönelme azalır; güvenlik ile kullanılabilirlik birbirinin rakibi olmaktan çıkar.
Rol değişiminde kapanış
Terfi veya ekip değişikliği yalnız yeni erişim eklemek değildir. Eski rolün klasörleri, müşteri kayıtları ve onay yetkileri aynı anda gözden geçirilmelidir. Aksi hâlde kişi yıllar içinde bütün önceki görevlerinin dijital anahtarlarını biriktirir; kurum fark etmeden gereğinden geniş bir yetki alanı yaratır.
Kapanış kontrolü son iş gününe bırakılmamalıdır. Kritik sistem sahibi, veri aktarımı, açık görevler ve erişim sonlandırma zamanı önceden belirlenir. Ani ayrılık için de hazır akış bulunmalıdır; tek kişinin bildiği parola veya süreç, güvenlik ile iş sürekliliğini aynı anda riske atmamalıdır.
Ajans ve yüklenici erişimleri özellikle unutulur. Sözleşme sona erse bile proje klasörü ve yönetim paneli açık kalabilir. Dış kullanıcı için şirket içi sahip, kapsam ve otomatik bitiş tarihi zorunlu olduğunda ilişki bittiğinde sorumluluğun kime döneceği belirsiz kalmaz.
Kapanış yalnız erişimi silmek değildir. Otomasyon hesapları, API anahtarları veya kişinin sahip olduğu dosyalar yeni sorumluya devredilmelidir. Aksi hâlde güvenli kapatma iş akışını durdurabilir; ekip paniğe kapılıp eski hesabı yeniden açmak zorunda kalabilir.
Düzenli denetimi iş ritmine bağlamak
Yılda bir yapılan geniş denetim aradaki değişiklikleri uzun süre taşıyabilir. Kritik araçlar için üç aylık, yüksek riskli roller için daha sık gözden geçirme gerekebilir. Liste yalnız kullanıcı adını değil son kullanım, rol, iş sahibi ve bitiş bilgisini göstermelidir; böylece gereksiz yetki kanıtla bulunur.
Denetim otomatik raporla başlayabilir, fakat iş bağlamı olmadan tamamlanamaz. Teknoloji ekibi bir hesabın aktif olduğunu görür; yöneticisi bu erişimin hâlâ gerekli olup olmadığını bilir. Onay düğmesine düşünmeden basmayı önlemek için sahip, erişimin amacını yeniden doğrulamalıdır.
NIST’in sıfır güven yaklaşımı, kişilere kişisel olarak güvenmemek anlamına gelmez; erişimi kimlik, cihaz, bağlam ve güncel ihtiyaçla sürekli doğrulama disiplinidir. Sağlıklı yetki hijyeni korku yaratmaz. İnsanların işini yapabildiği, fakat geçmiş sorumlulukların görünmez anahtarlar olarak birikmediği açık bir düzen kurar.
Denetim bulgusu kişileri utandırmak için kullanılmamalıdır. Gereksiz erişim çoğu zaman eski süreç kararlarının sonucudur. Sistem, çalışanların ihtiyaç kalmayan yetkiyi kolayca bildirebildiği bir kanal kurarsa temizlik yalnız dönemsel denetime değil gündelik sorumluluğa da yayılır.
Eski ajansın açık kalan paneli
Bir şirket, altı ay önce çalışmayı bıraktığı ajansın analiz ve içerik paneline hâlâ erişebildiğini denetimde fark ediyor. Ekip bütün araçlar için iş sahibi ve rol envanteri çıkarıyor, paylaşılan hesapları kaldırıyor ve dış erişimlere otomatik bitiş tarihi koyuyor. İnsan kaynakları, yönetici ve teknoloji ekibi rol değişimi kontrolünü aynı iş akışında tamamlıyor; denetim çeyreklik ritme bağlanıyor.
- Her erişime iş amacı, kurum içi sahip ve bitiş tarihi ekleyin.
- Rol değişiminde yeni yetki kadar eski sorumluluğun erişimini de kaldırın.
- Teknik raporu yöneticinin güncel iş ihtiyacı doğrulamasıyla tamamlayın.
Yirmi dakikalık yetki taraması
- Kritik beş uygulamanın iş sahibini ve dış kullanıcılarını yazın.
- Rolü değişmiş veya son kullanımı eski erişimleri işaretleyin.
- Bir geçici yetkiye bugün bitiş tarihi ve yeniden onay sahibi ekleyin.
Kurumunuzda bugün kimin artık ihtiyaç duymadığı hangi dijital anahtar hâlâ açık olabilir ve bunun iş sahibi kim?
/ YAYINLANAN YORUMLAR · 0
Henüz yayınlanmış yorum yok. İlk fikri siz paylaşın.