Eskiyen kavram ve yöntemleri içeren standart güvenlik modelleri, siber saldırganları artık eskisi kadar zorlamıyor. Saldırganların içeriden yarattığı tehditler konusunda daha gelişmiş hale gelmesiyle birlikte ağlara bir kez yayılmalarını engellemek için yeni güvenlik uygulamaları gerektiğini belirten Komtera Teknoloji Kanal Satış Direktörü Gürsel Tursun, şirket ağlarının güvenliği için sıfır güven yaklaşımını öneriyor.
VPN’ler Eskidi, Peki Ya Şimdi Ne Yapmalı?
Dış tehditlere karşı geliştirilen güvenlik çözümlerine çalışanların kolay ve güvenli şekilde ulaşma isteği VPN teknolojisini doğurmuştu. Dahili sistemlere erişmesi gereken çalışanların VPN’ye bağlanarak ve internette güvenli bir tünel oluşturmak için şifreleri kullanarak, şirket içi ağlarda güvenilir bir şekilde gezinmesine imkan tanıyan VPN’nin artık eskidiğini belirten Tursun, dijital çalışma şeklinin daha da gelişmesi ve devreye farklı faktörlerin girmesiyle çevre güvenliği modelinin şirketlerin ağ güvenliği için artık verimli olmadığına dikkat çekiyor. Bulut bilişimin ortaya çıkışı, hareketliliğin yaygınlaşması ve uzaktan çalışmanın artış göstermesinin yeni yaklaşımlara geçişi hızlandırdığını aktaran Tursun, siber güvenlik dünyasının eski kapalı çevre sistemlerden uzaklaştığını, çağa uygun yeni ve daha sağlam güvenlik modellerinin şirketlerde uygulanması gerektiğini ifade ediyor.
Sıfır Güven Daha Güçlü Savunma
Sıfır güven modeli, ağ çevre yaklaşımına bir alternatif olarak ağ konumlarına göre aygıtlara ya hep ya hiç güvenini koymak yerine yalnızca IP adresine dayanarak hiçbir şeye güvenilmediği varsayımı ile davranılmasını ve her eylem için yetkilendirmenin gerekliliğini savunuyor. Sıfır güven yaklaşımının amacının ağları, bulut ortamlarını veya uç noktaları daha güvenilir hale getirmek olmadığını ve güven kavramını tamamen dijital sistemlerden kaldırmak olduğunu belirten Gürsel Tursun, bu fikrin temelinde, çalışan ve diğer iş ortaklarında görülen güven anlayışı farklılığının yattığını dile getiriyor. Tursun, şirketlerde ağ güvenliği için güven seviyesinin kişi, durum, yönetim gibi kaynaklara karşı sıfıra getirilmesinin sağladığı faydaları ise 3 temel noktada ele alıyor.
1. Sıfır güven, stratejik bir güvenlik girişimidir. İhlallerin, çoğu zaman kötü niyetli veya kazayla ortaya çıkan iç nedenlere bağlı olduğunu hatırlatan Gürsel Tursun, sıfır güven anlayışı ile hassas işlerin ve müşteri verilerinin, kullanıcılara işlerini yapmaları için gereken en az erişimi sağlayarak korunması gerektiği anlamına geldiğini ifade ediyor.
2. Sıfır güven, şirketlere bir metodoloji sunar. Etkili ve güvenli bir ağ kurmanın yolu, ilk önce neyin korunması gerektiği ve sistemlerin nasıl çalıştığını anlamaktan geçiyor. Sıfır güven anlayışının benimsenmesi, iş bölümlemenin kullanımını tanımlarken şirketlere de bölümlere ayrılmış bir ağ oluşturmak için gerekli bir metodoloji sunuyor. Sıfır güven anlayışının bir takım elbise dikmek gibi olduğunu belirten Tursun, özel giysilerin dikimi gibi sıfır güvenin de benzer bir işlemle şirketleri ölçüp, biçimlendirip belirli bir plan içerisinde hareket ettirdiğini açıklıyor.
3. Sıfır güven, güçlü bir önleme stratejisidir. Sıfır güven, tüm şirket genelinde uygulandığında, şirket ağlarından uç noktaya ve buluta kadar güçlü bir önleme stratejisini içerisinde barındırıyor.
Çok faktörlü kimlik doğrulamanın, sıfır güven modelinin uygulanması için oldukça gerekli olduğunu da aktaran Gürsel Tursun, bir şirketin erişim kararları verirken bir kullanıcının kimliğine bağlılık yaratacaksa, kullanıcılarının iddia ettikleri kişi olduğuna dair güven duyma ihtiyacı hissedeceğini belirtiyor. Eski bilgi tabanlı şifre kimlik doğrulama modelinin bu kararları güvene almak için gereken güvence düzeyini maalesef sağlayamayacağını belirten Tursun, tam MFA dağıtımlarına geçmemiş olan şirketlerin, bu güvenlik projesini öncelik listelerinin en üstüne koyması gerektiğini dile getiriyor.