Ayrıcalıklı Erişim Yönetimi (PAM) ve Kurumsal Siber Güvenlik

1. PAM Nedir ve Sıradan Güvenlikten Farkı Ne

Standart kullanıcı hesapları günlük işlere, ayrıcalıklı hesaplar ise sistem yönetimi gibi özel görevlere hizmet eder. Yönetici hesabının yetkisi sistem, rol ve görevle sınırlandırılmalıdır; her yönetici hesabının bütün kurumsal kaynaklara erişmesi gerekmez.

Birçok şirket, standart Kimlik ve Erişim Yönetimi (IAM) yazılımları kullanır. IAM sistemleri, şirket binasının kapısındaki resepsiyon görevlisi gibidir. Sadece kartı olanı içeri alır ve mesai takibi yapar. Ancak PAM (Ayrıcalıklı Erişim Yönetimi) bambaşka bir şeydir. PAM, binanın en alt katındaki devasa dijital kasanın önünde bekleyen özel denetçidir. O kasayı kimin açtığını, içeriye hangi yetkiyle girdiğini, içeride ne kadar kaldığını ve kasanın içinden hangi dosyayı aldığını saniye saniye denetler.

Neden Bir Tercih Değil Zorunluluktur

Sıfır Güven yaklaşımı, erişim kararlarını kimlik, cihaz, kaynak ve risk bağlamında değerlendirmeyi gerektirir. PAM bu yaklaşımın ayrıcalıklı erişim bölümüne katkı sağlar; ağ güvenliği, cihaz güvenliği ve izleme kontrollerinin yerini tek başına almaz.

2. Sadece İnsanların Değil Makinelerin de Şifresi Var (Görünmez Tehlike)

Ayrıcalıklı erişim envanteri insan kullanıcılarla sınırlı tutulmamalıdır. Servis hesapları, uygulama sırları ve cihaz yönetim hesapları da değerlendirilmelidir. İnsan ve makine hesabı oranı kurumun mimarisine göre değişir.

Saldırganlar, şirketlerin şifresini değiştirmeyi akıl edemediği bu Makine Hesaplarını bulmaya bayılırlar. Çünkü bu hesaplar yıllarca aynı şifreyle kalır, unutulur ve kimse onları denetlemez. Kurumsal bir PAM sistemi, insan hesapları kadar bu görünmez makine hesaplarının şifrelerini de aynı yüksek standartlarda koruma altına alır.

3. Bir PAM Sistemi Nasıl Çalışır (3 Temel Özellik)

PAM sistemi, şirket şifrelerini saklayan basit bir not defteri veya Excel dosyası değildir. O, şirketin bilgi işlem merkezinde duran akıllı bir trafik polisi ve aynı zamanda bir güvenlik kamerasıdır. Sistemi eşsiz kılan üç ana teknik özelliği şunlardır

Birinci Özellik Dijital Şifre Kasası (Vaulting)

Parola kasası, yetkili kimlik bilgilerini kontrollü bir ortamda saklar. Desteklenen entegrasyonlarda kullanıcıya parolayı göstermeden oturum açılabilir. Kasanın korunması, erişim politikaları, yedekleme ve oturum güvenliği ayrıca tasarlanmalıdır; bu yöntem kimlik bilgisi hırsızlığı riskini sıfırlamaz.

İkinci Özellik Oturumların Kameraya Alınması (Session Monitoring)

Oturum izleme, desteklenen protokollerde komut veya ekran kayıtları oluşturabilir. Kayıt kapsamı, erişim yetkileri, saklama süresi ve bütünlük kontrolleri önceden belirlenmelidir. Bu kayıtlar incelemeye katkı sağlar; her işlemin kaydedildiği veya kaydın tek başına hukuki ispatı kesinleştirdiği varsayılmamalıdır.

Üçüncü Özellik Tam Zamanında Geçici Yetki (Just-in-Time)

Tam zamanında yetkilendirme, ayrıcalığın yalnızca onaylanan görev ve süre için verilmesini sağlar. Örneğin bakım işlemi için 30 dakikalık erişim tanımlanabilir; bu süre evrensel bir kural değildir. Acil erişim, otomasyon hesapları ve yetki iptalinin başarısız olması gibi durumlar ayrıca test edilmelidir.

4. Hackerlar Ayrıcalıklı Hesapları Nasıl Kullanır (Saldırı Zinciri)

Aşağıdaki örnek saldırı zinciri, ayrıcalıklı erişim kontrollerinin hangi aşamalarda riski azaltabileceğini gösterir. Gerçek olayın adımları ve etkisi ortamın savunmasına göre değişir.

• Birinci Adım Oltalama (İlk Giriş) Saldırgan, İnsan Kaynakları veya Muhasebe departmanındaki sıradan bir çalışana sahte bir fatura veya e-posta atar. Çalışan linke tıklar ve bilgisayarına küçük bir virüs bulaşır. Bu personelin bilgisayarında büyük bir şirket yetkisi yoktur.
• İkinci Adım Keşif ve Şifre Çalma Virüs bulaştığı bilgisayarda sessizce çalışır. O bilgisayara geçmişte tamir için giriş yapmış olan bir IT yöneticisinin arka planda, bellek içinde kalmış şifre kırıntılarını (Hash) tarar ve bulur.
• Üçüncü Adım: Yanal Hareket. Saldırgan elde ettiği kimlik bilgileriyle başka kaynaklara erişmeyi deneyebilir. Segmentasyon, yetki sınırları, kimlik doğrulama ve izleme kontrolleri bu hareketi kısıtlayabilir.
• Dördüncü Adım: Etki. Elde edilen yetkiler veri sızıntısı, hizmet kesintisi veya fidye yazılımı için kullanılabilir. Çevrimdışı ya da değiştirilemez yedekler ve kurtarma testleri, etkinin sınırlandırılmasına yardımcı olur.

PAM bu riski nasıl azaltır? Kontrollü oturum açma, parola rotasyonu ve süreli yetki, ayrıcalıklı kimlik bilgilerinin gereksiz yayılmasını azaltabilir. Uç nokta güvenliği, kimlik doğrulama, ağ segmentasyonu ve olay izleme de birlikte uygulanmalıdır.

5. Kurulum Seçenekleri Bulut (Cloud) mu Yoksa Kurum İçi (On-Premise) mi

Şirketler PAM sistemine geçiş yapmaya karar verdiklerinde karşılarına iki farklı mimari seçenek çıkar. Hangi seçeneğin size uygun olduğu, şirketinizin sektörüne ve regülasyonlara bağlıdır.

• Kurum içi kurulum: PAM altyapısı kurumun yönettiği sistemlerde çalışır. Kullanılabilirlik, güncelleme, yedekleme ve bakım sorumlulukları planlanır. Mimari seçimde veri yerleşimi, ilgili sektör kuralları ve hizmetin bağımlılıkları değerlendirilmelidir.
• Bulut Tabanlı (SaaS / Cloud) Kurulum Yazılım size internet üzerinden bir hizmet olarak sunulur. Herhangi bir sunucu satın almanıza veya bakım yapmanıza gerek yoktur. Sistemi saatler içerisinde aktif edip kullanmaya başlayabilirsiniz. Esneklik, hız ve düşük başlangıç maliyeti arayan orta ve büyük ölçekli modern şirketler (E-ticaret, perakende, üretim) için en ideal çözümdür. Güncellemeler otomatik olarak bulut sağlayıcısı tarafından yapılır.

6. Kurum İçi Güvenli Erişim Politikası Nasıl Hazırlanır

Teknoloji tek başına hiçbir şirketi kurtarmaz; teknolojiyi destekleyen şirket kuralları (Politikalar) yazılmalıdır. Etkili bir PAM projesi, sağlam bir yazılı kurumsal erişim politikası ile başlar. Yönetim kurulu tarafından onaylanması gereken bu belgede şu kurallar kesin ve net bir dille belirtilmelidir

• Şifre Paylaşımının Yasaklanması Hiçbir IT personeli, şifresini iş arkadaşına WhatsApp, e-posta veya sözlü olarak iletemez. Tüm paylaşımlar PAM üzerinden süreli ve kayıtlı olarak yapılmalıdır.
• Minimum Yetki Prensibi Şirkette çalışan hiç kimseye, unvanı ne olursa olsun (Genel Müdür dahil) işini yapması için gereken yetkiden bir fazlası verilemez. Geçici yetki talepleri mutlaka bir üst yöneticinin veya sistemin dijital onayından geçmelidir.
• Dış tedarikçi erişimi: Erişim, adlandırılmış hesaplarla, onaylanan kaynak ve süreyle sınırlandırılmalıdır. VPN ve RDP gibi bağlantılar kurumun risk değerlendirmesine göre çok faktörlü doğrulama, geçit ve kayıt kontrolleriyle yönetilmelidir.
• Düzenli denetim: Yetkiler, işten ayrılma ve görev değişikliği olaylarında gecikmeden gözden geçirilmelidir. Periyodik inceleme sıklığı hesapların riskine göre belirlenmeli; örneğin üç aylık inceleme kurum politikasında tanımlanabilir.

7. Başarılı Bir PAM Kurulumu İçin 5 Adım (Yol Haritası)

PAM projeleri bir yazılımı bilgisayara kurup ertesi gün unutacağınız işler değildir. Şirketin iş yapış kültürünü kökten güvenli hale getirme sürecidir. Nesil Teknoloji olarak, kurumunuzun işleyişini aksatmadan uyguladığımız 5 adımlı yol haritamız şudur

1. Keşif ve Temizlik İlk olarak şirketinizin devasa ağında kaç tane unutulmuş, gizli veya gereksiz yetkili hesap olduğunu özel tarama yazılımlarıyla tespit edip haritalandırıyoruz.
2. Yetkilerin Geri Alınması Herkesin bilgisayarına istediği her programı kurabildiği standart “Yerel Admin” haklarını son kullanıcılardan alıyoruz.
3. Kasaya Kilitleme ve Rotasyon Bulduğumuz en kritik sunucu, ağ cihazı ve veritabanı şifrelerini PAM kasasına taşıyoruz. Ardından şifrelerin her gece otomatik olarak karmaşık karakterlerle kendi kendine değişmesini (Rotasyon) sağlıyoruz.
4. Kayıt ve İzleme Kurulumu Bilgi işlem ekibinizin veya dışarıdan size hizmet veren taşeron firmaların sadece bu video kayıtlı sistem üzerinden sunucularınıza girmesini teknik olarak zorunlu kılıyoruz.
5. Tam Otomasyon Yönetici yetkisi almak için çalışanların amirlerine e-posta atıp saatlerce beklemesini engelliyor, iş akış sistemleriyle (ITSM) acil onay süreçlerini otomatik ve hızlı hale getiriyoruz.

8. Yasal Boyut KVKK Bize Neden Ceza Keser

Yöneticilerin sıklıkla düştüğü bir yanılgı vardır “Siber saldırganlar sistemimize zorla girdi, burada mağdur olan biziz, devlet veya kurumlar bize neden ceza kesiyor?”

KVKK’nın 12. maddesi, kişisel veri güvenliği için uygun teknik ve idari tedbirleri gerektirir. Erişim yetkileri, kullanıcı hesap yönetimi ve erişim kayıtları bu değerlendirmede önemlidir. Alınacak tedbirler verinin niteliği ve kurumun riskiyle orantılı olmalıdır.

PAM, erişim kontrollerini uygulamaya ve denetim kanıtı üretmeye yardımcı olabilir. Bir PAM ürününün bulunması tek başına KVKK uyumunu veya yaptırımdan muafiyeti sağlamaz. Sektörel yükümlülükler, uygulanabilir düzenleme ve kurumun kapsamı üzerinden ayrıca değerlendirilmelidir.

PAM kapsamı dışında kalan OAuth tokenlarının ve SaaS hesaplarının çalışan ayrıldıktan sonra nasıl açık kaldığını SaaS shadow access yazımızda ele aldık.

9. Sistemin Şirketinize Sağlayacağı Mali Fayda (Yatırım Getirisi)

Ayrıcalıklı Erişim Yönetimi (PAM), şirket bütçesinde bir masraf kalemi değil, şirketi felaketlerden koruyan yüksek getirili bir yatırımdır (ROI). Bu yatırım kendini iş dünyasında üç farklı şekilde açıkça amorti eder

• Riskin azaltılması: İhlalin maliyeti olayın kapsamına, kesinti süresine ve etkilenen verilere bağlıdır. PAM yatırımının faydası kurumun hesap envanteri, erişim riskleri ve mevcut kontrolleri üzerinden değerlendirilmelidir; evrensel bir tasarruf oranı varsayılmamalıdır.
• Siber Sigorta İndirimleri Günümüzde sigorta şirketleri, şirketlere “Siber Güvenlik Sigortası” yapmadan önce risk analizi yaparlar. Eğer şirketinizde bir PAM sistemi varsa, sigorta şirketi sizin hacklenme riskinizin çok düşük olduğunu görür ve ödeyeceğiniz yıllık sigorta primlerinde çok ciddi indirimler uygular. PAM olmayan şirketleri ise sigortalamayı reddedebilirler.
• Operasyonel Verimlilik (Zaman Tasarrufu) Bilgi işlem ekipleri her gün “şifremi unuttum”, “şu programa yetki ver”, “yeni gelen personele şifre ata”, “işten ayrılanın şifresini hemen sil” gibi manuel işlerle saatlerini harcar. PAM sistemi tüm bu şifre oluşturma, rotasyon ve iptal etme süreçlerini otomatikleştirerek IT ekibinizin mesaisinden ciddi tasarruf sağlar.

Türkiye pazarında ve globalde CyberArk, BeyondTrust, Delinea gibi dünya devlerinin yanı sıra, ülkemizden çıkan ve global standartlarda hizmet veren Kron gibi çok güçlü PAM çözümleri bulunmaktadır. Nesil Teknoloji, bütçenize ve şirket yapınıza en uygun yazılımı seçmenizde size tarafsız ve profesyonel bir mühendislik rehberliği sunar.

10. Yöneticilerin Sık Sorduğu Sorular