Güvenliği Teknolojiden Yönetim Prensibine Dönüştürmek
Kurumsal siber güvenlikte güçlü bir yapı, yalnızca en yeni güvenlik teknolojilerine yatırım yapmakla kurulmaz. Asıl güç; iş hedefleri, risk yönetimi, teknoloji, süreçler, insan kaynağı ve yönetişimin ortak bir güvenlik anlayışı etrafında uyumlu şekilde çalışmasıyla ortaya çıkar.
Bu noktada Siber Güvenlik Mimari İlkeleri (Security Architecture Principles), kurumun güvenlik kararlarına yön veren temel çerçeveyi oluşturur.
Mimari İlkeler Neden Önemlidir?
Kurumlar büyüdükçe yeni uygulamalar, bulut servisleri, kullanıcılar, veri kaynakları, entegrasyonlar ve üçüncü taraf hizmetler sisteme dahil olur. Her yeni teknoloji veya proje için farklı bir güvenlik yaklaşımının benimsenmesi zaman içerisinde;
- Güvenlik mimarisinin parçalanmasına,
- Gereksiz teknoloji ve kontrol çeşitliliğine,
- Yönetim maliyetlerinin artmasına,
- Güvenlik açıklarının oluşmasına,
- Risklerin görünürlüğünün azalmasına,
- İş birimleri ile güvenlik ekipleri arasında karar farklılıklarına
neden olabilir. Mimari ilkeler bu karmaşıklığın karşısına ortak bir karar çerçevesi koyar. Örneğin kurumun Least Privilege ilkesini benimsemesi, yalnızca bir kimlik yönetimi ürünü kullanacağı anlamına gelmez.
Bu ilke; kimlik yönetiminden uygulama tasarımına, bulut erişimlerinden ayrıcalıklı hesaplara, üçüncü taraf erişimlerinden operasyonel süreçlere kadar birçok farklı kararı aynı güvenlik yaklaşımı altında birleştirir.
Güçlü Bir Siber Güvenlik Mimari Prensip Setinde Neler Bulunur?
Erişim; kimlik, cihaz durumu, bağlam, yetki ve risk gibi unsurlar değerlendirilerek kontrol edilmelidir.
Bu yaklaşım saldırı yüzeyini azaltır, ayrıcalıklı erişimleri sınırlar, hesap ele geçirilmesinin etkisini azaltır ve saldırganın yatay hareket kabiliyetini sınırlar.
- Verinin nerede bulunduğuna,
- Kimlerin erişebildiğine,
- Nasıl işlendiğine,
- Nasıl aktarıldığına,
- Ne kadar süre saklandığına,
- Nasıl sınıflandırıldığına,
- Nasıl korunup imha edildiğine
Bu yaklaşım güvenlik ekiplerinin “her şeyi aynı anda korumaya çalışma” probleminden çıkarak en kritik risklere odaklanmasını sağlar.
Mimari İlkeler Nasıl Oluşturulmalı?
İş birimleri + BT + siber güvenlik + risk + hukuk + uyum + operasyon + üst yönetim
perspektiflerinin birlikte değerlendirilmesini gerektirir. Sağlam bir kurumsal yaklaşım şu hiyerarşiyi takip edebilir:
İş Hedefleri → Kritik Varlıklar → Riskler → Tehditler → Güvenlik Hedefleri → Mimari İlkeler → Politikalar → Standartlar → Teknik Kontroller → Ölçüm ve İzleme
Bu zincirin her halkasının farklı bir amacı vardır.
- İş hedefleri, neyi gerçekleştirmek istediğimizi;
- Riskler, neyin tehdit altında olduğunu;
- Mimari ilkeler, nasıl bir güvenlik yaklaşımı benimseyeceğimizi;
- Politikalar ve standartlar, kurumun hangi kurallara uyacağını;
- Teknik kontroller, bu kuralların nasıl uygulanacağını;
- Ölçüm ve izleme, uygulamanın gerçekten işe yarayıp yaramadığını ortaya koyar.
Mimari İlke ile Teknik Kontrol Arasındaki Fark
Yanlış yaklaşım
❌ “Ağ geçidinde Firewall kullanılmalıdır.”
Bu bir mimari ilke değil, belirli bir teknik kontrolü tarif eder.
Doğru yaklaşım
✅ “Kritik ağ segmentleri arasındaki erişim; iş gereksinimleri ve güvenlik politikaları doğrultusunda yetkilendirilmeli, sınırlandırılmalı, izlenebilir ve gerektiğinde engellenebilir olmalıdır.”
Bu yaklaşım bir güvenlik hedefini ve mimari prensibi tanımlar.
Firewall, mikro-segmentasyon, yazılım tanımlı ağ veya gelecekte ortaya çıkabilecek farklı bir teknoloji bu prensibi gerçekleştirmek için kullanılabilir.
İyi Bir Mimari İlkenin Anatomisi
Üst yönetim, mimari kurul ve kurumsal karar mekanizmalarında kullanılacak bir prensip;
- Açık ve anlaşılır,
- Teknoloji ve marka bağımsız,
- İş hedefleriyle ilişkilendirilebilir,
- Kurumun risk iştahıyla uyumlu,
- Uygulanabilir ve denetlenebilir,
- Ölçülebilir,
- Sorumluluğu belirlenebilir,
- İstisna durumlarının nasıl yönetileceğini tanımlayabilir,
- Mimari ve yatırım kararlarına yön verebilir
olmalıdır. Her prensip için en az şu dört sorunun cevaplanabilmesi faydalıdır:
Asıl Kritik Konu: İstisna Yönetimi
Kurumsal yapılarda hiçbir güvenlik prensibinin her koşulda yüzde yüz uygulanabilmesi garanti değildir.
Eski bir sistem, operasyonel zorunluluk, iş sürekliliği ihtiyacı, mevzuat veya teknik kısıt nedeniyle bir prensipten geçici olarak sapılması gerekebilir.
Burada önemli olan istisnayı tamamen yasaklamak değil, istisnanın da yönetişime tabi olmasını sağlamaktır. Her istisna için şu yapı kurulabilir:
Risk → Gerekçe → Sorumlu Birim → Telafi Edici Kontrol → Süre → Onay → Yeniden Değerlendirme
Böylece; “Güvenlik kuralına uyamıyoruz.” yaklaşımı yerine;
“Bu prensipten hangi risk nedeniyle, ne kadar süreyle ve hangi telafi edici kontroller altında sapıyoruz?”
Mimari İlkelerin Sahibi Kimdir?
Kurumsal mimari prensiplerinin başarısı yalnızca dokümanın kalitesine bağlı değildir.
Asıl mesele, bu prensiplerin kim tarafından sahiplenildiği ve karar mekanizmalarına nasıl dahil edildiğidir.
Kuruma göre değişmekle birlikte aşağıdaki yapı değerlendirilebilir:
Üst Yönetim → Siber Güvenlik Yönetimi → Güvenlik Mimari Kurulu → BT ve Kurumsal Mimari → İş Birimleri → Proje ve Operasyon Ekipleri
Bu yapı içerisinde roller netleştirilmelidir:
- Üst yönetim: Güvenlik yönünü ve risk iştahını belirler.
- Siber güvenlik yönetimi: Güvenlik stratejisini ve prensipleri sahiplenir.
- Güvenlik mimari kurulu: Prensiplerin mimari kararlara uygulanmasını değerlendirir.
- BT ve kurumsal mimari: Teknik tasarımın prensiplerle uyumunu sağlar.
- İş birimleri: İş gereksinimlerini ve iş etkisini ortaya koyar.
- Risk ve uyum ekipleri: Risk ve mevzuat perspektifini sağlar.
- Proje ekipleri: Gereksinimleri tasarım ve uygulamaya dönüştürür.
Mimari İlkeler Nasıl Yaşayan Bir Mekanizmaya Dönüştürülür?
Bir kurumun Security Architecture Principles dokümanını yayınlaması tek başına başarı değildir. Asıl başarı, prensiplerin gerçek karar mekanizmalarında kullanılmaya başlamasıdır.
Yeni bir proje başlatıldığında: “Bu proje hangi güvenlik prensiplerini karşılıyor?”
Yeni bir teknoloji satın alınacağında: “Bu teknoloji mevcut güvenlik mimarimizle uyumlu mu?”
Bir istisna talebi geldiğinde: “Bu istisnanın oluşturduğu risk nedir ve nasıl yönetilecek?”
Başarı Nasıl Ölçülür?
Mimari prensiplerin başarısını yalnızca “doküman hazırlandı” şeklinde ölçmek yeterli değildir. Kurum, prensiplerin gerçekten uygulanıp uygulanmadığını belirli göstergeler üzerinden takip edebilir. Örneğin:
- Güvenlik mimarisi incelemesinden geçen proje oranı,
- Açılan ve kapatılan mimari istisna sayısı,
- Süresi geçmiş istisna oranı,
- Kritik sistemlerde güvenlik prensiplerine uyum oranı,
- Güvenlik gereksinimlerinin tasarım aşamasında ele alınma oranı,
- Kritik varlıkların güvenlik mimarisindeki görünürlük oranı,
- Ayrıcalıklı erişimlerin uygunluk oranı,
- Kritik güvenlik kontrollerinin etkinlik oranı.
Sonuç: Güvenlik Mimarisi, Kurumun Güvenlik Anayasasıdır
Kurumsal Siber Güvenlik Mimari İlkeleri, teknik ekiplerin hazırladığı ve bir süre sonra unutulan bir doküman olmamalıdır. Bunlar kurumun;
Güvenlik konusunda nasıl karar verdiğini, riskleri nasıl yönettiğini, teknolojileri nasıl seçtiğini, istisnaları nasıl değerlendirdiğini ve yatırımlarını hangi prensiplerle şekillendirdiğini
ortaya koyan stratejik bir çerçevedir. İyi tasarlanmış bir Security Architecture Principles yapısı;
- Güvenlik yatırımlarında tutarlılık sağlar,
- Yeni projelerin güvenlik açısından değerlendirilmesini kolaylaştırır,
- Teknoloji bağımlılığını azaltır,
- Risklerin önceliklendirilmesini sağlar,
- İstisnaların kontrol altında tutulmasına yardımcı olur,
- Güvenlik kontrollerinin ölçülebilirliğini artırır,
- İş ve güvenlik hedeflerinin aynı zeminde buluşmasını sağlar,
- Kurumun siber dayanıklılığını güçlendirir.
Son Söz
Güçlü siber güvenlik mimarisi, en fazla güvenlik teknolojisine sahip olmakla değil;
Doğru prensipleri, doğru yönetişim mekanizmalarıyla, doğru ölçüm sistemleri üzerinden ve kurum genelinde tutarlı biçimde uygulamakla başlar.
Çünkü nihai hedef yalnızca güvenli sistemler kurmak değildir.