Siber Güvenlik Mimarisi

Güvenlik mimarisi, satın alınmış ürünlerin kutularla gösterildiği bir ağ şeması değildir. Gerçek bir operasyonu ayakta tutan güven kabullerinin, sınırların, kontrollerin, sorumlulukların ve kurtarma kararlarının bütünüdür. Çalışmaya sipariş alma, hizmet sunma, ödeme yapma, üretimi sürdürme, müşteriye erişim verme ya da kurumsal kimlikleri yönetme gibi yükümlülük doğuran iş hizmetlerinden başlarız. Her hizmet için bağımlı olduğu bilgi ve teknolojiyi, etkilediği kişileri, kurumun yönetemediği dış bağımlılıkları ve gizlilik, bütünlük, erişilebilirlik veya hesap verebilirlik kaybının sonucunu yazarız.

Mevcut durum haritası organizasyon şemasını değil, veri ile yetkinin izlediği yolu takip eder. Kullanıcılar, yöneticiler, iş yükleri, servis hesapları, cihazlar, uygulamalar, API'ler, ağlar, bulut kiracıları, tedarikçiler, depolar, yedekler ve yönetim düzlemleri aynı görüşte ele alınır. İnternete açık varlıklar önemlidir; fakat iç ağdaki kalıtsal güven, uzaktan destek kanalları, ortak hesaplar, kontrolsüz dışa aktarımlar ve ortamlar arasında dolaşan anahtarlar da en az onlar kadar önem taşır. Bilinmeyen varlık, bağlantı veya sahiplik varsa bu belirsizlik açıkça kayda geçer; raporu tamamlanmış göstermek için güvenli kabul edilmez.

Tehdit modellemesi işi orantılı tutar. Belirlenen kapsam için makul tehdit aktörlerini, amaçlarını, olası giriş noktalarını, yetki yükseltme yollarını, hassas işlemleri ve kötüye kullanım senaryolarını çıkarırız. Tanıtım sitesi ile ödeme akışı ya da endüstriyel kontrol sistemi aynı varsayımlarla değerlendirilmez. Bir güvenlik açığını, kullanılabilir saldırı yolunu ve işletme açısından ağır sonucu olan senaryoyu birbirinden ayırırız. Öncelik yalnız tarama puanına göre değil; sonuç, erişilebilirlik, gerekli ön koşullar, mevcut önlemler ve geri dönme zorluğu birlikte düşünülerek verilir.

Tasarımın dayanağına, müşteri tarafından bildirilen mevzuat, sözleşme, sigorta ve müşteri güvence şartları da girer. Bir çerçeve kararları düzenleyebilir; ancak raporda NIST, ISO, CIS, PCI DSS ya da başka bir standardın adının geçmesi uyum kanıtı değildir. Teklifte çalışmanın mimari inceleme mi, hedef tasarım mı, uygulama desteği mi, kontrol değerlendirmesi mi yoksa bağımsız denetime hazırlık mı olduğu yazılır. Belgelendirme, resmî görüş, hukuki yorum ve sızma testi “güvenlik” kelimesinin içinde kendiliğinden var sayılmaz.

Fiyat da bu delil sınırına göre oluşur. Ortamın büyüklüğü, kiracı ve lokasyon sayısı, bulut-yerel altyapı dengesi, OT veya düzenlemeye tabi veri, mevcut dokümanların durumu, mimari erişim, görüşmeler, senaryo sayısı, istenecek çıktılar, uygulamaya katılım ve doğrulama seviyesi iş yükünü değiştirir. Bir mimarinin bütün olayları önleyeceğini, her denetçiyi ikna edeceğini veya bütün riski ortadan kaldıracağını söylemeyiz. Kabul, yalnız kararlaştırılan çıktıların üretildiğini ve belirtilen ölçüde sınandığını gösterir; risk kararı ve işletim sonucu zaman içinde kurumun sahipliğinde kalır.

Bugünün iş hizmetleri tek ve anlamlı bir ağ çevresinin arkasında yaşamıyor. Çalışan uzaktan bağlanıyor, tedarikçi sistemi yönetiyor, müşteri portal kullanıyor, uygulamalar API çağırıyor ve otomasyonlar servis kimliğiyle işlem yapıyor. Bu yüzden mimari; erişimi isteyenin kim veya ne olduğunu, hangi kaynak üzerinde hangi eylemi istediğini, hangi cihaz ve koşuldan geldiğini, hangi kurala tabi olduğunu, yetkinin ne kadar süreceğini ve kararın hangi delile dayandığını sorar. Ağ içinden gelmek bir sinyal olabilir; tek başına güven kanıtı değildir.

Kimlik modeli çalışan, müşteri, iş ortağı, yönetici, uygulama, iş yükü, cihaz ve kurtarma hesaplarını kapsar. Asıl kimlik kaynağı, federasyon, kayıt, doğrulama, yetkilendirme, oturum süresi, cihaz durumu, parola ve sır saklama, işe giriş-rol değişimi-ayrılış olayları, devredilmiş yönetim ve acil erişim yolu belgelendirilir. Birden fazla dizin, yerel hesap ve sahibi bilinmeyen servis anahtarı hedef şemanın dışında bırakılmaz; sorumlusu ve kapanış tarihi olan istisnaya dönüşür.

En az ayrıcalık bir slogan değil, işletim kuralıdır. Rol ve politikalar belirli kaynak üzerinde, belirli süre için işe yarayan en dar eylemi verir. Yönetici işlemleri daha güçlü kimlik doğrulama, yönetilen cihaz, onay, süreli yetki yükseltme, kayıtlı oturum veya ayrı yönetim yolu gerektirebilir. Bir kimliğin aynı kritik işlemi hem başlatıp hem onaylamasının sakıncalı olduğu yerde görevler ayrılır. Acil durum hesabı dar kapsamlıdır; kullanımı izlenir, düzenli sınanır, ardından parola veya anahtar yenilenip olay gözden geçirilir.

Kimlik doğrulamanın gücü tehdide ve hesabın yetkisine uygun olmalıdır. Çok faktörlü doğrulama bazı kimlik bilgisi risklerini azaltır; fakat fazla yetkiyi, zayıf hesap kurtarmayı, çalınmış oturumu, kötü niyetli OAuth iznini ya da aşırı yetkili bir iş yükünü düzeltmez. Risk gerektiriyorsa oltalamaya dayanıklı yöntem, belirteç hedefi ve ömrü, koşullu erişim, cihaz kaydı, eski protokoller, parola sıfırlama, destek masası doğrulaması ve oturum iptali birlikte incelenir. Yalnız normal giriş ekranı değil, atlatma ve kurtarma yolları da sınanır.

Sıfır Güven yaklaşımını ürün etiketi veya bir gecede biten dönüşüm gibi kullanmayız. Kaynaklara, kimliklere, cihazlara, uygulamalara ve veri akışlarına açık politika ile anlamlı telemetri bağlanır; platform elverdiği ölçüde her oturum veya hassas eylem yeniden değerlendirilir; içeride olmak kendiliğinden güven doğurmaz. Yol haritası mevcut kabiliyetleri kullanabilir ve hizmet hizmet ilerleyebilir. Tek bir özellik açıldığı için ortam “Sıfır Güven’e geçti” diye sunulmaz.

Hedef mimari güvenin değiştiği noktaları ve kötüye kullanımı önleyecek, sınırlayacak, fark ettirecek ya da onarmaya yardım edecek kontrolleri gösterir. Dışarıdan içeri ve sistemler arası trafik, yönetici erişimi, uygulama çağrıları, veri hareketi, yazılım teslimi, tedarikçi bağlantıları ve yedek yolları birlikte izlenir. Bölümlendirme, rastgele ağ kutuları üretmek için değil korunacak yüzeyi ve olası yatay ilerlemeyi daraltmak için yapılır. Her sınırın amacı, uygulama noktası, politika sahibi, arıza hâli, kayıt kaynağı ve doğrulama yöntemi bulunur.

Bulut ve SaaS kullanımı, seçilen sağlayıcı ve hizmet modeline özgü bir paylaşılan sorumluluk haritası gerektirir. Sağlayıcının altyapı güvenliği; müşterinin kimliklerini, veri izinlerini, kiracı ayarlarını, anahtarlarını, uygulamalarını ve kurtarma kararlarını otomatik olarak doğru yapmaz. Kurum ve hesap yapısı, açılış bölgesi, ağ açıklığı, federasyon, ayrıcalıklı roller, kayıtlar, şifreleme ve anahtar sahipliği, iş yükü kimlikleri, sır yönetimi, duruş kontrolleri, veri konumu ve sağlayıcı bağımlılıkları kayda alınır. Gerçek ortam ve işletme gücü gerektirmiyorsa “çoklu bulut” söylemi eklenmez.

Uygulama ve API güvenliği mimari ile yazılım teslimine bağlanır. Güven sınırları, girdi işleme, kimlik doğrulama ve yetki, nesne erişimi, sırlar, bağımlılık kaynağı, derleme izinleri, çıktı bütünlüğü, yayın onayı, çalışma zamanı yalıtımı ve denetim olayları riske göre ele alınır. OWASP ASVS doğrulanabilir şartlar yazmakta yararlı olabilir; yalnız referans verilmesi bir ürünün belirli seviyeyi karşıladığı anlamına gelmez. Kabul ölçütü olacaksa sürüm, seçilen maddeler, delil ve doğrulayan taraf açıkça yazılır.

Veri koruması yaşam döngüsünü ve gerçek kullanımı izler. Kapsamdaki hizmet için gerekli bilgi sınıflandırılır; toplama, aktarım, işleme, saklama, dışa çıkarma, süre ve silme yolları sahipleriyle eşleştirilir. Şifreleme kararı uç nokta, protokol, anahtar saklama, yenileme, yedek ve kurtarma sonuçlarıyla birlikte tanımlanır; yalnız “şifreli” demek yeterli kabul edilmez. Tokenleştirme, veri azaltma, alan düzeyinde yetki ve kontrollü dışa aktarım bazı riskleri yeni bir ağ cihazından daha doğrudan azaltabilir.

Uç nokta, e-posta, ağ, uygulama, kimlik ve veri kontrolleri tek sistem gibi tasarlanır. Derinlemesine savunma, karar modeli olmadan üst üste ürün almak değildir. Kontrollerin aynı güvenilir kimliği kullanıp kullanmadığı, politikaların çelişip çelişmediği, telemetrinin nerede kaybolduğu, sağlayıcı kesintisinde ne olduğu ve hangi el adımının kritik yetki taşıdığı incelenir. Gereksiz tekrarlar kaldırılabilir; değiştirmek daha büyük risk yaratacaksa sade bir telafi kontrolü korunabilir. Her öneri bağımlılık, sahip, hedeflenen risk azaltımı ve tamamlanma deliliyle sunulur.

Bir önleyici kontrol, arızası anlaşılmıyorsa eksiktir. Kötüye kullanımı, politika atlatmayı, yetki değişimini, yapılandırma kaymasını, şüpheli veri hareketini, kontrol kesintisini veya kurtarma faaliyetini gösterecek olayları belirleriz. Kayıtların kaynağı, saati, kimliği, saklama süresi, bütünlük sınırı, erişim modeli ve sahibi olmalıdır. Her şeyi sonsuza kadar toplamak ne stratejidir ne de kendiliğinden hukuka uygundur. Telemetri; bir tespit, soruşturma, yükümlülük veya kontrol doğrulaması için seçilir ve onu işleten biri bulunur.

Tespit kapsamı ağır sonuçlu senaryolara bağlanır. Her kural veya analiz; gözlenecek davranışı, gerekli alanları, değerlendirme noktasını, eşik veya mantığı, önemi, muhtemel yanlış alarmları, ilk inceleme sahibini, tepki süresini ve korunacak delili tanımlar. Gelmeyen kayıt ve devre dışı ajan, sessiz ve güvenli sistem diye yorumlanmaz; kontrol arızası olarak izlenir. Alarmı gösterip vaka sahipliği, aktarma ve kapanış delili üretmeyen bir ekran işletilebilir tespit kabiliyeti değildir.

Sınırlandırma kararı iş ve emniyet şartlarını korumalıdır. Hangi hesap, cihaz, belirteç, ağ yolu, iş yükü veya bağlantının yalıtılabileceği; kimin buna yetkili olduğu; hangi bağımlılıkların kesilebileceği ve erişimin nasıl geri verileceği tasarlanır. Otomatik yalıtım yalnız güveni sınanmış ve sonucu kısıtlı senaryolarda kullanılır. Hemen kesmek insan güvenliğini, delili veya kritik hizmeti tehlikeye atacaksa doğru insan yetkisi ve alternatif önlemler devreye girer.

Kurtarma, olay yaşanmadan önce kurulur. Kritik hizmet bağımlılıkları, geri dönüş önceliği, müşteri tarafından belirlenen kabul edilebilir veri kaybı ve kesinti hedefleri, yedek ve kopyaların ayrılığı, yönetim bağımsızlığı, kurtarma kimlikleri, temiz ortam ihtiyacı ve doğrulama adımları kayda alınır. Başarılı yedek işi, kurtarılabilirlik kanıtı değildir. Temsili geri yükleme ve devralma çalışmaları kullanılabilir veri, uygulama, kimlik, ayar ve operasyon devrini birlikte sınamalıdır. Tüm bağımlılıklar desteklemiyor ve sözleşmede yazmıyorsa RPO, RTO veya erişilebilirlik taahhüdü verilmez.

Olaya hazırlık teknik ve kurumsal yolları birleştirir. İletişim zinciri, sağlayıcıya aktarma, delil koruma, iletişim, hukuk ve mevzuat kararları, müşteri yükleri ve olay sonrası değişiklik sahipliği kapsam dâhilinde belirlenir. Mimari çalışma müdahale planına girdi ve tatbikat senaryosu üretebilir; fakat gizli bir 7/24 müdahale sözleşmesi değildir. Sürekli izleme, adli inceleme, kriz yönetimi veya acil müdahale gerekiyorsa saatleri, yetkisi, kanalları ve ticari şartları ayrıca yazılı olarak satın alınır.

Boşluk kaydı her bulguyu bir iş hizmetine, tehdit senaryosuna, etkilenen varlığa, mevcut önleme, hedef duruma, önerilen işleme, bağımlılığa, sorumluya ve kapanış deliline bağlar. Sahte kesinlikten kaçınırız: bir puan, tanımlı gözlemleri karşılaştırabilir ama bilinmeyen bütün açıklıkları göstermez. Bulgular doğrulanmış, güçlü emareye dayanan ve henüz sınanamayan olarak ayrılır. Delil yetersizse sıradaki adım hemen ürün almak değil, keşif veya kontrollü doğrulama olabilir.

Yol haritası hem önemli riski hem teslim gerçeğini dikkate alır. Kimlik sahipliği, varlık keşfi, yönetici ayrımı, yedek yalıtımı ve merkezî kayıt gibi temeller daha sonraki birçok kontrolü mümkün kılabilir. Hızlı iş yalnız gerçek bir yolu azaltıyorsa değerlidir. Büyük değişiklikler karar kapılarına, pilotlara, geçişlere ve geri alma noktalarına bölünür. Bütçe, beceri, bakım yükü, sağlayıcı bağımlılığı, kullanıcı sürtünmesi ve işletme kapasitesi hesaba katılır; kurumun işletemeyeceği gösterişli bir hedef şema teslim edilmez.

Kabul, senaryo ve delile dayanır. Kapsama göre onaylı şemalar ve karar kayıtları, politika dışa aktarımları, ayar görüntüleri, kimlik ve rol denemeleri, erişim reddi, sır yenileme, kayıt gelişi, alarm inceleme, yalıtım, geri yükleme, uygulama güvenliği kontrolleri ve istisna yönetimi delil olabilir. Her vakada başlangıç şartı, aktör, eylem, beklenen sonuç ve saklanacak çıktı bulunur. Hangi kuralın, kimliğin, saatin ve kaynağın sınandığı tekrarlanamıyorsa yeşil ekran görüntüsü yeterli sayılmaz.

Sızma testi, açıklık taraması, kod inceleme ve yapılandırma değerlendirmesi farklı sorulara cevap verir. Mimarinin bazı parçalarını doğrulayabilirler; tek başlarına tüm iş hizmetinin güvenli olduğunu kanıtlamazlar. Teklifte hangi yöntemin dâhil olduğu, izinli hedef ve zaman, veri işleme, test emniyeti, önem modeli, yeniden test ve raporlama yazılır. Zorlayıcı test açık yazılı yetki olmadan yapılmaz. Tasarlayan ile doğrulayan tarafın ayrılması değerli veya zorunluysa bağımsız güvence önerilir.

Mimari yaşayan bir karar kaydıdır. Yeni tedarikçi, satın alma, uzaktan çalışma, uygulama, yapay zekâ ajanı, mevzuat, olay veya önemli ayar değişikliği güven modelini değiştirebilir. Bu yüzden gözden geçirme tetikleri, istisna bitişi, erişim yeniden onayı, temel göstergeler, test sıklığı ve doküman sahibi devir paketine girer. Sürekli yönetişim veya işletim yalnız satın alınmışsa vardır. Risk bir şemaya ya da danışmana devredilemez; hesaplar, veriler ve sorumlu karar sahipleri kurumda kalır.