Küçük ekipler sıklıkla Zero Trust ile karmaşık ve pratik bir soruyla karşılaşırlar: “Uzaktan çalışma için zaten VPN kullanıyoruz. Onu değiştirmemiz gerekiyor mu?”
Daha iyi soru genellikle daha dardır. VPN hala neleri ele almalı ve kimlik, cihaz, politika, izleme ve erişim kurallarına neler dahil edilmeli?
Pratik bir Zero Trust geçişinin başladığı yer burasıdır. Bir sloganla ya da dev bir platform kararıyla başlamıyor bu. Her uzak bağlantıyı bağlama ihtiyaç duyan bir istek olarak ele alarak başlar: Kim, hangi cihazdan, hangi kaynağa ve hangi amaçla bağlanıyor.
Uzaktan Erişim Hakkında Ne Zero Trust Değişiklikleri
NIST, Zero Trust’yi statik bir ağ çevresine bağlı kalmaktan kullanıcıları, varlıkları ve kaynakları korumaya doğru bir geçiş olarak tanımlar. Basitçe söylemek gerekirse, “ağda” olmak, otomatik olarak bir kişinin veya cihazın geniş erişime sahip olduğu anlamına gelmemelidir.
Küçük bir ekip için bu fikir önemli çünkü uzaktan çalışma artık nadiren tek bir temiz ofis ağından gerçekleşiyor. İnsanlar evden, otellerden, ortak çalışma alanlarından, mobil bağlantı noktalarından, müşteri sitelerinden ve kişisel cihazlardan bağlantı kurar. Yüklenicilerin bir gösterge panosuna ihtiyacı olabilir ancak şirket ortamının geri kalanına ihtiyaç duymayabilir. Bir kurucunun seyahat ederken bir yönetici paneline ihtiyacı olabilir. Bir destek ekip arkadaşının istikrarlı bir erişim yoluna ihtiyacı olabilir, ancak bu yalnızca sınırlı bir araç seti için geçerlidir.
Sıfır güvenilir uzaktan erişimin arkasındaki gerçek iş sorunu budur: Ekip, her başarılı bağlantıyı geniş güven olarak ele almadan, kullanışlı uzaktan bağlantıya ihtiyaç duyar.
VPN’ün Hala Uygun Olduğu Yer
Bir VPN bu modelde hala faydalı olabilir. Şifrelenmiş bir ağ yolu oluşturabilir, erişim yollarının daha öngörülebilir olmasına yardımcı olabilir ve sabit bir kaynak IP’sinin veya korumalı bir bağlantının işletim rutininin bir parçası olduğu iş akışlarını destekleyebilir.
Örneğin, küçük bir ekip şu durumlarda VPN kullanabilir:
- genel veya paylaşılan ağlardan yönetici kontrol panellerine erişim;
- yüklenicileri tanımlanmış bir uzaktan erişim yolu üzerinden bağlamak;
- SaaS izin verilenler listesi davranışını daha öngörülebilir tutmak;
- iş trafiğini yerel Wi-Fi erişiminden ayırmak;
- otellerden, havalimanlarından veya ortak çalışma alanlarından erişimin rastgeleliğini azaltmak.
Önemli olan nokta, VPN ve sıfır güvenin, kazanan her şeyi alır şeklinde çerçevelenmemesi gerektiğidir. VPN erişim sorusunun bir kısmını yanıtlar: kullanıcı ile kaynak arasındaki trafiğin nasıl gittiği. Zero Trust düşüncesi, bu bağlantının oluşmasından önce ve sonra ek sorular sorar.
Bir VPN’den Ne Yapılması İstenmemelidir?
VPN tek kapı haline geldiğinde sorunlar başlar.
Herkes bir kimlik bilgisini paylaşırsa ekip kimin bağlandığını kolayca anlayamaz. Her kullanıcı bağlandıktan sonra tüm dahili kaynaklara ulaşırsa VPN yolu çok geniş olur. Cihazlara yama uygulanmaz, korunmaz veya devreden çıkarılmazsa bağlantı meşru görünebilir ancak uç nokta riskli olmaya devam edebilir. Kimin erişime ihtiyacı olduğuna dair bir inceleme yapılmazsa eski izinler birikir.
Bir VPN ayrıca aşağıdakilerin yerine geçmez:
- çok faktörlü kimlik doğrulama;
- bir şifre yöneticisi ve benzersiz şifreler;
- cihaz güncellemeleri ve uç nokta hijyeni;
- hesabın devre dışı bırakılması;
- rol tabanlı izinler;
- kimlik avı farkındalığı;
- izleme ve kayıt incelemesi;
- yüklenici ve yönetici erişimi için açık kurallar.
Bu, VPNs’yi geçersiz kılmaz. Bu, VPN’ün daha geniş bir erişim planı içinde tanımlanmış bir işe sahip olması gerektiği anlamına gelir.
Aşırı Oluşturmadan Küçük Ekip Zero Trust Geçişi
Büyük kuruluşlar ayrıntılı olgunluk modellerini ve daha geniş güvenli erişim mimarisi programlarını kullanabilir. Küçük ekipler aynı kadroya, bütçeye veya altyapıya sahipmiş gibi davranmadan ilkeleri ödünç alabilirler.
Bu adımlarla başlayın.
1. İnsanların gerçekte ulaştığı kaynakları listeleyin
Uzak çalışanların, yöneticilerin, yüklenicilerin ve kurucuların eriştiği sistemleri yazın. Somut tutun:
- yönetici kontrol panelleri;
- kod depoları veya hazırlama ortamları;
- finans araçları;
- müşteri destek sistemleri;
- içerik yönetim sistemleri;
- paylaşılan bulut depolama alanı;
- dahili uygulamalar;
- SaaS hassas ayarlara sahip hesaplar.
“Ağ”ı büyük bir şey olarak göremeyin. Kaynaklarla başlayın. Bu, korumanın yalnızca nereden bağlandıklarına değil, insanların neyi kullanmaya çalıştıklarına odaklanması gerektiği yönündeki Zero Trust fikriyle eşleşiyor.
2. Her kaynağa kimin ihtiyacı olduğunu haritalayın
Daha sonra, gerçekten kimin erişime ihtiyacı olduğunu sorun. Ürün kopyasını düzenleyen bir yüklenicinin fatura kontrol paneline ihtiyacı olmayabilir. Bir destek ekip arkadaşının bir müşteri aracına ihtiyacı olabilir ancak etki alanı kayıt şirketi erişimine ihtiyacı olmayabilir. Bir geliştiricinin hazırlama erişimine ihtiyacı olabilir ancak her üretim yönetici paneline ihtiyaç duymayabilir.
En az ayrıcalıklı erişimin pratik hale geldiği yer burasıdır. Amaç işi acı verici hale getirmek değil. Amaç kimsenin savunamayacağı izinleri kaldırmaktır.
Her kaynak için şunları tanımlayın:
- sahibi;
- onaylı kullanıcılar veya roller;
- erişim nedeni;
- normal erişim yöntemi;
- programı gözden geçirin;
- gemiden ayrılan sahibi.
Basit bir elektronik tablo bile belleğe güvenmekten daha iyidir.
3. Hassas erişimden önce kimlik kontrolleri yapın
Zero Trust kimliği bir çekirdek erişim sinyali olarak ele alır. Küçük bir ekip için ilk iyileştirme genellikle basit ama değerlidir: benzersiz hesaplar, çok faktörlü kimlik doğrulama ve hassas araçlar için paylaşılan oturum açma bilgilerinin olmaması.
Bir VPN kimlik bilgisi tüm ekip tarafından paylaşılıyorsa, karmaşıklığı artırmadan önce bu modeli düzeltin. Paylaşılan erişim, ayrılmayı zorlaştırır ve sorumluluğu zayıflatır. Aracın izin verdiği her yerde insanlara bireysel hesaplar verin ve kurtarma yöntemlerini şirketin kontrolü altında tutun.
4. Cihaz beklentilerini tanımlayın
Zero Trust ayrıca istenen iş için cihaza güvenilip güvenilmemesi gerektiğini de sorar. Küçük bir ekip, kurumsal cihaz duruş kontrollerini yürütmeyebilir ancak yine de minimum beklentileri tanımlayabilir:
- mevcut işletim sistemi güncellemeleri;
- ekran kilidi etkin;
- yönetici işi için paylaşılan aile veya halka açık cihaz yok;
- şifre yöneticisi yüklü;
- tarayıcı ve iş uygulamaları güncellendi;
- bilinen kayıp cihaz süreci;
- Birisi ayrıldığında kişisel cihazların erişimden kaldırılması.
Önemli olan mükemmel cihaz güvenliği iddiasında bulunmak değil. Erişimin tek koşulu olarak “şifresi var” gibi davranmayı bırakmaktır.
5. Yardımcı olduğu yollar için VPN kullanın
Kimlik ve cihaz temelleri netleştikten sonra VPN’ün nereye ait olduğuna karar verin.
Pek çok küçük ekip için VPN Unlimited by KeepSolid, ekibin korumalı bir bağlantı yoluna ihtiyacı olduğunda uzaktan çalışma rutininde VPN katmanı olarak sığabilir. Çevreleyen kurallar hâlâ önemlidir: Kim kullanabilir, hangi kaynakları destekler, ne zaman açık olmalıdır ve başka hangi kontrollerin gerekli olduğu.
Bu, “VPN’ü açın ve her şey halledilir” modelinden daha sağlıklı bir modeldir.
Pratik Bir Erişim Modeli
Küçük ekiplerin güvenli uzaktan erişim planlaması için kullanabileceği basit bir model:
- Kullanıcı bireysel bir hesapla oturum açar.
- Hassas kaynaklar için çok faktörlü kimlik doğrulama gereklidir.
- Kullanıcı, genel Wi-Fi, seyahat ağları veya tanımlanmış uzaktan erişim senaryolarından çalışırken VPN aracılığıyla bağlanır.
- Hassas kontrol panelleri onaylı kullanıcılar veya rollerle sınırlıdır.
- Yönetici erişimi bir programa göre gözden geçirilir.
- Ayrılan çalışanlar ve yükleniciler hesaplardan, VPN erişiminden ve izin verilenler listelerinden kaldırılır.
- Olaylar ve şüpheli oturum açma istemleri göz ardı edilmek yerine belgelenir.
Bu model tam bir Zero Trust Mimarisi değildir. “VPN var”dan “kimin neye, hangi şartlarda, neden ulaşabileceğini biliyoruz”a doğru yönetilebilir bir köprü.
Zero Trust Taşıma Sırasında Yaygın Yapılan Hatalar
Zero Trust’yi ürün takası olarak ele alma
Zero Trust yalnızca yeni bir erişim ürünü değildir. CISA’nın olgunluk çerçevesi, geçişi bir yolculuk olarak ele alır ve bu, küçük ekipler için yararlı bir hatırlatmadır. Araçlar yardımcı olabilir ancak işletim modeli önemlidir: envanter, kimlik, cihazlar, erişim politikası, görünürlük ve sürekli inceleme.
Eski paylaşılan erişim alışkanlıklarının sürdürülmesi
Paylaşılan hesaplar, birisi ayrılana, bir cihaz kaybolana veya ekibin ne olduğunu anlamasına gerek kalana kadar kullanışlıdır. Bir kaynak önemliyse bireysel erişim varsayılan olmalıdır.
VPN’e çok fazla yetki vermek
Bir VPN bağlantısı her kaynağın kilidini otomatik olarak açmamalıdır. Tek kural “bağlanmak eşittir güvenilmektir” ise ekip erişim modelini gerçekten değiştirmemiştir.
Müteahhitleri unutmak
Yükleniciler genellikle dar bir iş için hızlı erişime ihtiyaç duyarlar. Bu da onları daha iyi kurallar için iyi bir test senaryosu haline getirir: sınırlı kaynaklar, net başlangıç ve bitiş tarihleri, sahibinin belirtilmesi ve iş bittiğinde temiz bir şekilde kaldırılması.
Kimsenin takip edemeyeceği kuralları yazmak
Küçük takımların sıkıcı, tekrarlanabilir alışkanlıklara ihtiyacı vardır. Süreç, her oturum açma kararı için bir güvenlik uzmanı gerektiriyorsa, insanlar bunun etrafından dolaşacaktır. Gerçekte sürdürebileceğiniz kontrollerle başlayın.
Küçük Ekipler İçin Basit Bir Kontrol Listesi
Uzaktan erişimi genişletmeden önce bu kontrol listesini kullanın:
- Hangi kaynakların hassas olduğunu biliyor muyuz?
- Herkes bireysel hesap mı kullanıyor?
- Çok faktörlü kimlik doğrulama en önemli yerde etkin mi?
- Yönetici işi için hangi cihazların kabul edilebilir olduğunu biliyor muyuz?
- Genel Wi-Fi veya tanımlı erişim yolları için VPN kullanımı gerekli midir?
- SaaS izin verilenler listeleri, yönetici kontrol panelleri ve dahili araçlar doğru kişilerle sınırlı mı?
- Yüklenicilerin başlangıç tarihleri, bitiş tarihleri ve erişim sahipleri var mı?
- Birisi gittiğinde erişimi hızlı bir şekilde kaldırıyor muyuz?
- İzinleri en azından ara sıra inceliyor muyuz?
- VPN’ün ne yaptığını ve ne yapmadığını biliyor muyuz?
Birkaç yanıt “hayır” ise, bir sonraki adımın mutlaka daha büyük bir araç olması gerekmez. Daha net sahiplik ve daha az gereksiz izin olabilir.
SSS
VPN ile Zero Trust aynı mıdır?
Hayır. VPN şifrelenmiş bir bağlantı yolu sağlayabilir, ancak Zero Trust kullanıcılara, cihazlara, kaynaklara, politikaya ve doğrulamaya odaklanan daha geniş bir güvenlik yaklaşımıdır. Bir VPN sistemin tamamı değil, bu yaklaşımın içindeki bir katman olabilir.
Küçük ekipler Zero Trust geçişi sırasında VPNs kullanmayı bırakmalı mı?
Otomatik olarak değil. VPN hala uzaktan çalışmayı, genel Wi-Fi korumasını, öngörülebilir erişim yollarını ve yönetici iş akışlarını destekleyebilir. Daha iyi hareket, VPN’ün nereye yardım edeceğini tanımlamak ve etrafına kimlik, cihaz ve izin kontrolleri eklemektir.
Küçük bir ekip için ilk Zero Trust adımı nedir?
Hassas kaynakları ve her birine kimin ihtiyacı olduğunu listeleyerek başlayın. Ardından, mümkün olan yerlerde paylaşılan erişimi kaldırın, önemli hesaplar için çok faktörlü kimlik doğrulamayı etkinleştirin ve izinleri gerçek iş ihtiyaçlarına göre daraltın.
Zero Trust kurumsal altyapı gerektiriyor mu?
Başlangıçta değil. Olgun Zero Trust programları karmaşık hale gelebilir ancak küçük ekipler kaynak envanteri, bireysel hesaplar, çok faktörlü kimlik doğrulama, cihaz beklentileri, erişim incelemeleri ve daha net VPN kullanım kurallarıyla başlayabilir.
VPN güvenli uzaktan erişimi garanti edebilir mi?
Hayır. VPN uzaktan erişim hijyeninin yararlı bir parçası olabilir, ancak güvenliği garanti edemez veya hesap korumasının, cihaz güncellemelerinin, kimlik avına karşı direncin, izin yönetiminin, izlemenin veya iyi bir ayrılmanın yerini alamaz.
Özet Bilgi
Sıfır güven geçişinin her tanıdık aracın atılmasıyla başlaması gerekmez. Küçük bir ekip için daha yararlı bir başlangıç noktası, her bir aracın neyden sorumlu olduğunu tanımlamaktır.
Şifrelenmiş, öngörülebilir bir uzaktan erişim yolunun yardımcı olduğu bir VPN kullanın. Erişimin paylaşılan kimlik bilgilerine değil, gerçek kişilere ait olması için kimlik kontrolleri ekleyin. Cihaz beklentilerini ayarlayın. İzinleri daraltın. Hassas kaynaklara kimlerin erişebileceğini inceleyin. İş bittiğinde erişimi kaldırın.
Bu, VPN’ün, Zero Trust programının tamamıymış gibi davranmadan Zero Trust düşüncesine bu şekilde sığabilmesidir.