4. Yazı: Siber Güvenlikte Yeni Standart: Ofis İçinde Bile Kimseye Güvenmeme (Zero Trust) Politikası

Eski nesil siber güvenlik anlayışı tıpkı bir ortaçağ kalesine benzerdi: Kalenin etrafına devasa surlar örülür, hendekler kazılır (firewall, anti-virüs yazılımları) ve dışarıdan gelen tehditler engellenmeye çalışılırdı. Kapıdaki muhafızı geçip kalenin içine giren herkes ise tamamen güvenilir kabul edilirdi.

Ancak günümüzde, özellikle uzaktan çalışma modellerinin kalıcı hale gelmesiyle birlikte bu "kale ve hendek" modeli tamamen çöktü. Siber saldırganlar artık şirketin dış kapısını zorlamak yerine, oltalama (phishing) yöntemleriyle içerideki bir personelin bilgisayarına sızıp kaleyi içeriden fethedebiliyor. İşte bu yüzden modern kurumsal BT dünyasında yeni bir siber güvenlik felsefesi standart haline geldi: Zero Trust (Sıfır Güven).

Bu felsefenin temel kuralı çok basit: "Asla güvenme, her zaman doğrula." Kullanıcı genel müdür bile olsa, ofis içindeki kablolu ağa bağlı olsa bile sistem her an, her hareketi şüpheli kabul eder.

1. Ağ Mikro-Segmentasyonu: Şirket İçinde Görünmez Duvarlar Örmek

Geleneksel bir şirket ağında (Local Area Network), aynı Wi-Fi ya da kablo altyapısına bağlı olan tüm bilgisayarlar genellikle birbirini görebilir ve konuşabilir. Bu durum, siber saldırganlar için büyük bir avantajdır; tek bir personelin bilgisayarını ele geçiren saldırgan, ağ üzerinden rahatça yan masadaki bilgisayara veya muhasebe sunucusuna sızabilir (Yanal Hareket - Lateral Movement).

Teknik Çözüm: Zero Trust mimarisinde kurumsal ağ, mikro-segmentasyon adı verilen yöntemle binlerce küçük, izole parçaya bölünür.

Uygulama: İnsan Kaynakları departmanındaki bir bilgisayar ile Muhasebe sunucusu arasına görünmez mantıksal duvarlar örülür. İK personelinin bilgisayarı sadece kendi işini yapacağı sunuculara erişebilir; şirket ağında olsa bile teknik olarak Muhasebe veya AR-GE sunucularının varlığından bile haberdar olamaz. Böylece olası bir sızma vakası sadece tek bir cihazla sınırlı kalır, tüm şirkete yayılmaz.

2. Güvenli Uzaktan Erişim: VPN Devrinin Kapanışı ve ZTNA

Pandemi döneminden beri kurtarıcımız olan geleneksel VPN (Sanal Özel Ağ) teknolojileri artık siber güvenlik ekipleri için büyük bir risk odağı. Çünkü bir kullanıcı kullanıcı adı ve şifresiyle VPN bağlantısı sağladığında, evindeki kişisel ve belki de virüslü bilgisayarı doğrudan şirketin ana sunucu odasına bağlamış oluyordu.

ZTNA (Zero Trust Network Access): Yeni nesil uzaktan erişim mimarilerinde kullanıcıları doğrudan ağa bağlamak yerine, sadece izinli oldukları tek bir uygulamaya (örneğin sadece şirket içi CRM yazılımına) tünel açılır.

Cihaz Sağlık Kontrolü (Device Compliance): ZTNA sistemleri bağlantı isteği geldiğinde sadece şifreye bakmaz. Cihazı anlık olarak tarar: "Bu bilgisayarda en son Windows güncellemeleri yüklü mü? Anti-virüs yazılımı aktif mi? Cihaz şirkete ait güvenli bir cihaz mı?" Eğer bilgisayar bu testlerden geçemezse, şifre doğru olsa bile şirkete erişim engellenir.

3. Kimlik Doğrulama ve Davranışsal Analiz

Sıfır Güven politikasında kimlik doğrulaması tek seferlik bir işlem değildir. Sabah bilgisayarı açarken şifre girmek gün boyu güvende olduğunuz anlamına gelmez.

Sürekli Doğrulama (Continuous Authentication): Sistem, kullanıcının davranışlarını arka planda sürekli analiz eder. Örneğin; bir insan kaynakları personeli her gün İstanbul'dan, mesai saatleri içinde ve ayda ortalama 50 personel dosyasına erişiyorsa bu "normal" bir davranıştır.

Anomali Tespiti: Aynı personel gece saat 03:00'te, farklı bir ülkeden (veya şüpheli bir IP'den) sisteme giriş yapıp aniden binlerce dosya indirmeye başlarsa, Zero Trust mekanizması devreye girer. Şifre ve iki aşamalı doğrulama (2FA) doğru olsa bile, bu olağan dışı davranışı bir tehdit olarak algılar, kullanıcının yetkilerini anında askıya alır ve IT güvenlik ekibine (SOC) alarm gönderir.