Sıfır Güven nedir?

Sıfır Güven, ağ kaynaklarına erişmek ve onları kullanmak isteyen her kişi veya varlık için kurumsal ağ çevresinin içinde mi yoksa uzaktan mı erişiyor olduklarına bakılmaksızın katı bir kimlik doğrulama ve açık bir izin süreci gerektiren bir güvenlik paradigmasıdır.

İlk olarak 2010’da analiz şirketi Forrester Research tarafından tanıtılan Sıfır Güven, tek bir teknolojiye dayanmıyor. Sıfır Güven, her biri kimlerin verilere erişmeye ve verileri kullanmaya çalıştığını ve bunu yapmak için açık bir izinleri olup olmadığını güvenilir bir şekilde tespit etmeye odaklanan bir dizi farklı teknolojiyi ve en başarılı uygulamaları içerebilen bir çerçevedir. Çoğu geleneksel modelin yaklaşımı, “güven ama doğrula” şeklindeyken, sıfır güven yaklaşımının ardındaki felsefe, genel olarak “asla güvenme, her zaman doğrula” şeklinde açıklanabilir.

In the past, network security was focused on creating a solid perimeter within which data and assets could be protected. Any user, device or asset already within the network was considered safe and could be granted broad access.

With the rise of cloud computing and remote workforces, IT environments are increasingly distributed. Users, data and resources may reside anywhere in the world, making the notion of a secure network perimeter obsolete. At the same time, security threats have grown increasingly sophisticated, and the average cost of each data breach now reaches millions of dollars.

The Zero Trust framework was developed to provide superior security by validating users, devices and connections on every transaction, regardless of whether they are inside or outside the organization. Organizations can block and neutralize many common security threats with Zero Trust security. And when attackers successfully breach a network perimeter, Zero Trust security prevents them from dwelling for long periods within the system, moving laterally to exploit high-value targets and sensitive data and applications.

Zero Trust delivers comprehensive visibility of sensitive data across the organization – including visibility of the users and groups accessing that data – and a flat network topology to limit exposure if an area is compromised.

Sıfır Güven yaklaşımının ana faydası, her yönden ve özellikle de içeriden gelen tehditlere karşı koruma sağlamaktır. Derinlemesine savunma gibi geleneksel güvenlik modelleri, tarihsel olarak ağ çevresinin korunmasına odaklanmıştır. Günümüzün güvenlik ihlallerinin çoğu, çalışanlar veya e-posta, tarayıcı, VPN bağlantısı ve diğer yöntemlerle ağa sızan tehditler dolayısıyla içeriden kaynaklandığından, bu yaklaşımlar artık kurumları korumakta başarısız olmaktadır. Veri sızdırma, kolaylıkla ağa zaten erişim hakkı olan kişilerce gerçekleştirilebilmektedir. Sıfır Güven modeli, bu durumla mücadele etmek için ağ kimliklerinden emin olana kadar herkesin erişimini engeller. Ardından, verileri kullanma şeklinizi sürekli olarak takip eder ve verileri başka bir yere kopyalama izninizi iptal edebilir.

Adından da anlaşılacağı gibi, Sıfır Güven yaklaşımı, hiçbir şeye güvenilmemesi ve her zaman doğrulama yapılması prensibine göre çalışır. Bu fikrin içerisinde, Sıfır Güven yaklaşımını oluşturan pek çok teknoloji ve başarılı uygulama mevcuttur. Temel prensiplerden bazıları:

• Her bireyin yalnızca ihtiyaç duyduğu bilgilere erişmesi anlamına gelen en düşük öncelikli erişim. Bu yaklaşım, kötü amaçlı yazılımların bir sistemden diğerine geçme becerisini kısıtlar ve içeriden veri sızdırılması ihtimalini azaltır.
• Mikro segmentasyon, ağı farklı kimlik bilgileriyle erişim sağlanabilen ayrı gruplara ayırır. Böylece, daha iyi koruma sağlanır ve bir grupta güvenlik ihlali olsa bile kötü niyetli kişilerin ağın içinde cirit atması önlenmiş olur.
• Veri kullanımı kontrolleri, insanların erişim sağladıkları verilerle yapabileceklerini kısıtlar. Bu süreç, daha önce indirilmiş verileri USB disklere, e-postaya veya bulut uygulamalarına kopyalama izinlerinin geri alınması gibi işlemlerle gittikçe daha dinamik bir şekilde yürütülmektedir.

Sürekli takip özelliği, kullanıcıların ve ağa erişen diğer kişi ve kurumların verilerle ve hatta diğer sistemlerle nasıl etkileşim kurduğunu inceler. Böylece, insanların gerçekten iddia ettikleri kişi olduklarının doğrulanması sağlanır ve güvenlik uygulamalarının eylemlere bağlı olarak otomatik şekilde özelleştirilmesi için uyum sağlayan güvenlik kontrolleri devreye alınabilir.

Bu model için birden fazla yaklaşım kullanılabilir ancak etkin bir Sıfır Güven mimarisinin uygulanması için mutlaka göz önünde bulundurulması gereken birkaç nokta vardır:

• Aşağıdakiler dahil olmak üzere mevcut sisteminize eklenmesi gerekecek teknolojileri düşünün:
  • Yeni Nesil Güvenlik Duvarı – ağ koruması sağlayan, trafik şifrelerini kıran ve mikro segmentasyona yardımcı olabilecek bir araca ihtiyacınız olacaktır.
  • Sıfır Güven Ağ Erişimi – yeni Sıfır Güven ağ hizmetleri, uzaktan çalışan kullanıcıların özel uygulamalara VPN’lerin getirdiği karmaşıklık, darboğaz ve riskler olmadan erişmesini sağlar.
  • Veri Kaybı Önleme – DLP çözümleri, yalnızca erişimi kontrol etmenin ötesine geçerek, verilerinizin kullanılma şeklini yönetmenizi sağlar.
  • Sürekli Takip – sürekli doğrulama yapabilmek için insanların sistemlerinizle ve verilerinizle neler yaptığını sürekli ve tetikte bir şekilde izlemeniz gerekir. Forcepoint, veri korumasını tehditlere uyum sağlayacak bir hale getiren ve eylemlerine bağlı olarak insanların sahip olduğu izinleri otomatik olarak kişiselleştirerek, benzersiz ve gelişmiş kullanıcı faaliyeti takibi çözümleri sunar.
• Erişim İhtiyaçlarını Anlayın – kurumunuzda kimin nelere erişmesi gerektiğine karar verin. İnsanların ihtiyaç duyduğu minimum ayrıcalığı sağlamayı ve daha fazlasına izin vermemeyi unutmayın.

• Kültürünüzü Düşünün - şirketin güvenlik kültürü, hem makro seviyede hem de parçalı güvenlik seviyelerinde tüm güvenlik modellerinin etkinliğini belirleyen unsur olacaktır. Dışarıdan ve içeriden gelen tehditleri anlamanızı sağlayan Sıfır Güven modelinde, destekleyici ve eğitimli bir iş gücü başarının anahtarıdır.