Kavram
Sıfır güven (zero trust) nedir? Küçük ve orta işletmeler için sade anlatım
Sıfır güven, ağın içinde olmanın tek başına güven sayılmadığı, her isteğin kimlik ve yetkiyle yeniden doğrulandığı bir güvenlik yaklaşımıdır. Büyük kurumların terimi gibi görünse de temel ilkeleri küçük işletmelere de uygulanabilir.
Eski güvenlik anlayışı bir kaleye benzer: surların içi güvenli, dışı tehlikeli. Ofis ağına bağlanan herkes içeride sayılır. Bugün çalışanlar evden, sahadan ve telefondan bağlanıyor; uygulamalar zaten internette. Surun içi ve dışı ayrımı anlamını yitirdi.
Sıfır güvenin üç ilkesi
- Her isteği doğrula. Kişi giriş yaptı diye sonraki her işlem kendiliğinden güvenilir sayılmaz; oturum her istekte geçerliliği yönünden denetlenir.
- En az yetki ver. Herkes yalnız işi için gerekene erişir.
- İhlali varsay. Bir hesap ele geçirilse bile zarar küçük kalacak şekilde kurgula; erişimi anında kapatabil.
Küçük işletme için uygulanabilir adımlar
- Ortak parolaları kaldırın; herkes kendi kimliğiyle girsin.
- Erişimi kişiye değil departmana ve role bağlayın.
- İşten ayrılan kişinin erişimini tek yerden ve anında kapatın.
- Kapı, terminal gibi cihazların da kimliği olsun; kaybolan cihaz iptal edilebilsin.
- Kimin neye eriştiğini gösteren kayıtları açık tutun.
DikkatSıfır güven satın alınan tek bir ürün değildir; bir tasarım yaklaşımıdır. Bir ürünün bu ilkelere ne kadar uyduğu, yukarıdaki sorulara verdiği yanıtla ölçülür.
Smart360 ailesinde bu ilkeler
- Her istekte doğrulama: SmartFiles ve SmartPass oturumu her istekte SmartID’de doğrular; merkezde kapatılan oturum anında geçersiz olur.
- Erişimi olmayan geçemez: Ürünler arası geçişte kişinin hedef üründe etkin üyeliği yoksa geçiş reddedilir.
- En az yetki: SmartMail’de kutu başına, SmartFiles’ta alan başına ayrı izinler.
- Cihaz kimliği: SmartPass terminalleri sertifikayla doğrulanır; panelden iptal edilen cihaz reddedilir.