Üçüncü Parti Erişiminin Güvenliğini Sağlamak

Günümüzde şirketlerin iş modellerini çok büyük oranda çevrim içi ortama taşıması işleyişi tüm paydaşlar için daha hızlı hâle getirirken yeni riskler de ortaya çıkardı. Kuruluşunuzun BT sistemlerini güvenli kılmak için inşa edeceğiniz siber güvenlik altyapıları, söz konusu risklerin olumsuz etkisini azaltmada önemli bir rol oynuyor. Nitekim bir siber güvenlik ağının ağdaki en zayıf halka kadar güçlü olduğunu düşündüğünüzde karşınıza daha önemli bir soru çıkıyor. Sistemde tamamen kontrolümde olmayan BT altyapısı unsuru var mı?

Bu sorunun yanıtı büyük çoğunlukla üçüncü parti (third-party) erişimine sahip ortaklar ya da tedarikçiler oluyor. Şirketler iş akışının sorunsuz şekilde ilerlemesi için ortaklara ya da tedarikçilere üçüncü parti erişim izni verebiliyor. İlgili iznin gelişmiş bir siber güvenlik altyapısına sahip değilseniz etkin şekilde kontrol edilebilmesi ise mümkün olmuyor. Zira üçüncü parti erişimine sahip olan kişiler veya kuruluşlar ağın içindeki bir paydaşa kıyasla erişim güvenliği ve ayrıcalıklı hesap denetimi açısından daha esnek şartlara sahip olabiliyor.

Bahsi geçen esnek şartlar ise kuruluşunuzun saldırı yüzeyinin genişlemesine neden oluyor ve sizi birçok farklı siber saldırı türüne karşı daha açık hâle getiriyor. Bu noktada şirketlerin üçüncü parti erişim izni verdikleri kişileri ve kurumları kendi çalışanlarından ayırmayarak en az ayrıcalık ilkesinin (least privilege) gereklerini yerine getirmeye yönlendirmesi gerekiyor. Böylece denetim mekanizmasının verimliliğini yukarıda tutmak hatırı sayılır seviyede kolaylaşıyor.

Üçüncü Parti (Third-party) Erişimi Ne Demek?

Üçüncü parti (third-party) erişimi, harici kullanıcıların şirketinizin BT altyapısına tanımlı bir ağ aracılığıyla bağlanabildiği bir sistem şeklinde tanımlanabilir. Üçüncü taraf erişim güvenliği ile ilgili en önemli konu harici kullanıcıların hareketlerinin her zaman etkin şekilde denetlenebilmesi. Harici kullanıcılara iş akışının sekteye uğramaması için verilen yetkili erişimler, kötüye kullanılma riskini bünyesinde barındırıyor.

Harici kullanıcıların üçüncü parti erişimi yoluyla BT altyapınızda ayrıcalıklı hesaplar olarak tanımlanmaları siber saldırganların çoğu zaman işini kolaylaştırıyor. Ayrıca bu erişim izni direkt harici kullanıcılar tarafından kötüye kullanılabiliyor. Bilgisayar korsanlarının üçüncü parti erişimi aracılığıyla veri güvenliği ihlaline sebep olabilecek girişimlerde bulunmasının nedenleri arasında ise harici kullanıcıların erişimlerinin yeterince denetlenmemesi başı çekiyor.

Aslında iş akışının devamlılığını sağlamak amacıyla verdiğiniz üçüncü parti erişim izinleri sahip olduğunuz hassas veri yığınlarının açığa çıkmasına neden olabiliyor. Wiz tarafından yapılan araştırmanın sonucunda elde edilen veriler de üçüncü parti erişiminin veri ihlallerine nasıl yol açtığını açık biçimde ortaya koyuyor.

Araştırmaya göre kuruluşların %82’si harici kullanıcılara ayrıcalıklı erişim izinleri sağlıyor. Yine kuruluşların %76’sı ise üçüncü parti erişim iznine sahip harici kullanıcılara tam hesap devralma yetkisi de veriyor. Öte yandan Wiz’in yaptığı araştırma bulut bilişim güvenlik ekiplerinin %90’ının harici kullanıcılara bu denli kapsamlı erişim izinleri verdiklerinin farkında olmadıklarını da gösteriyor.

Üçüncü parti erişiminin BT altyapılarında bu kadar yaygın olması harici kullanıcılarla çalışırken üçüncü parti erişim güvenliği ile ilgili çeşitli sorunların oluşmasına neden oluyor. Uygulama ve cihazların erişim güvenliğinin sağlanmasının yanı sıra uzaktan erişim yönetimine yönelik hususlar da bu sorunlar arasında yer alıyor.

Üçüncü Parti Erişimleri Denetleyin ve Doğrulayın

Üçüncü parti erişiminin yaratabileceği muhtemel sorunlar, sizin harici kullanıcılar ile çalışmanızı engellememeli. Tam aksine doğru kontrol mekanizmaları oluşturup 7/24 izleme sağlayarak erişim güvenliğini sağlamanız mümkün.

Bunu yapmak için de üçüncü parti (third-party) erişimlerini sıkı şekilde denetlemeli ve birkaç aşamalı doğrulama süreci inşa etmelisiniz. İlgili süreci inşa ederken izleyebileceğiniz ve BT altyapınızın harici kullanıcılara verdiğiniz erişim izinlerinden olumsuz etkilenmesinin önüne geçmek için aşağıdaki altı temel adımı uygulayabilirsiniz.

• Uygulamanız gereken ilk adım üçüncü tarafları kimlik bilgilerinizden ve bu kimlik bilgilerine ait parolalardan ayırmak olmalı. Privileged Access Management (PAM) uygulamaları kullanarak harici kullanıcıların ağdaki kimlik bilgilerine erişim sağlamadan sisteme giriş yapabilmelerini sağlayabilirsiniz. Üstelik PAM ile üçüncü taraflara kimlik bilgisi tayin etmeme şansına da sahipsiniz.
• İkinci adım VPN erişimi ile ilgili. VPN erişimi yeterli bir üçüncü parti erişim güvenliği sağlamadığı için hassas verilerin ihlal edilmesi ile karşılaşabilirsiniz. VPN erişimi için yanal harekete izin verir ve yanal harekete izin verilmesi harici kullanıcıların erişiminden kaynaklanan sorunlar yaşamanıza sebep olabilir.
• Üçüncü parti erişim güvenliği, erişim izninin ne şekilde verileceği ile de ilgili. Harici kullanıcıların veri güvenliği açısından kuruluşunuzu tehdit eden sorunlar yaratmaması için Zero Trust ilkesine dayanarak hareket etmelisiniz. Tıpkı tüm ağdaki kullanıcılara yaptığınız gibi, harici kullanıcılara da sadece tam zamanında ve yeterince ayrıcalık vermelisiniz. Bir başka deyişle hangi üçüncü parti kişilerin ya da kurumların sisteminize erişim hakkı olacağını belirlemeniz yeterli değil. Buna ek bu olarak hangi rollerde ayrıcalıklı erişime sahip olacaklarını da tayin etmelisiniz. Nitekim Ayrıcalıklı Erişim Yönetimi (PAM) modüllerinden biri olan Yetkili Oturum Yöneticisi (Privileged Session Manager - PSM) tam da bu işlevi görüyor. Merkezi bir sistem olan PSM, erişim yönetimi konusunda yaşanabilecek karışıklıkların önüne geçiyor ve harici kullanıcıların da ayrıcalıklı erişim talep ve hareketlerini kolayca kontrol edebiliyor.
• Dördüncü adımda harici kullanıcıların ne zaman ayrıcalıklı erişime sahip olacağı konusu karşınıza çıkıyor. Ayrıcalıklı Erişim Yönetimi modülleri arasında yer alan İki Faktörlü Kimlik Doğrulama (Two-Factor Authentication – 2FA) BT altyapınıza kimin ne zaman erişim sağladığını kontrol ederek güvenliğinizi üst seviyeye çıkarıyor. 2FA standart kimlik doğrulama sistemlerinden farklı olarak eş zamanlı biçimde zaman ve konum doğrulaması yapabiliyor. Bu sayede ayrıcalık erişim talepleri için zaman ve konum doğrulaması talep ederek kuruluşunuzun güvenliğini üst seviyeye çıkarabiliyorsunuz.
• Beşinci adım yetkili oturumları kaydetmeniz gerektiği anlamına geliyor. PAM modüllerinden biri olan Veritabanı Erişim Yönetimi, (Database Access Manager) veri tabanı üzerindeki tüm hareketleri kaydediyor. Böylece sistemdeki sapmaları görüntüleyebilmeniz ve herhangi bir sorunla karşılaştığınızda sorunun kaynağını tespit edebilmeniz kolaylaşıyor.
• Üçüncü parti erişimlerinde dikkat etmeniz gereken önemli adımların altıncısında ise parola güvenliğini geliyor. Parola paylaşımını engellemek ve hassas verileri güvende tutmak için Merkezi Parola Yönetimi (Dynamic Password Controller) gibi üst seviye uygulamalardan faydalanabilirsiniz. Merkezi Parola Yönetimi gibi uygulamalar ayrıcalıklı hesapların şifrelerini tüm ağdan izole ederek söz konusu şifrelere üçüncü taraf erişimini imkânsız hâle getiriyor. Ayrıca şifre kasası özelliğiyle de öne çıkan Merkezi Parola Yönetimi, BT altyapınızdaki tüm oturumların doğrulanmasına imkân tanıyan, tamamı şifrelenmiş bir ağ sunuyor.

Ayrıcalık Erişim Yönetimi (PAM) uygulamalarının sahip olduğu yukarıdaki modüller yardımıyla kuruluşunuzun BT altyapısını daha güvenli hâle getirebilir ve kritik veri ihlalleri yaşanmasının önüne geçebilirsiniz.

Kron olarak geliştirdiğimiz Single Connect ürününü kullanarak şirketinizin veri ve erişim güvenliğini artırabilirsiniz. Üçüncü parti erişim güvenliği konusunda da üst düzey performans vadeden Single Connect ile kuruluşunuzu hem iç tehditlere hem de dış tehditlere karşı daha güvenli hâle getirebilirsiniz.

Siz de Gartner Magic Quadrant for PAM ve Omdia Universe: Selecting a Privileged Access Management Solution, 2021–22 raporlarında yer alarak üst düzey PAM çözümlerinden biri olduğunu kanıtlayan Single Connect’i kullanarak siber tehditlerin BT altyapınıza vereceği zararı önleyebilirsiniz.

Single Connect hakkında daha fazla bilgi almak için bizimle iletişime geçebilir, merak ettiğiniz her şeyi uzman ekip arkadaşlarımıza sorabilirsiniz.