Anahtar Yönetimi Nedir?

Anahtar yönetimi nedir?

Anahtar yönetimi, bir kurumdaki tüm şifreleme anahtarlarının baştan sona nasıl ele alınacağını belirleyen kurallar ve araçlar bütünüdür. Güçlü bir algoritma seçmek işin yarısıdır. Anahtar yanlış yerde durursa ya da yıllarca hiç değişmezse veriyi korumak zorlaşır.

Bir anahtarın yaşam döngüsü

Her anahtar benzer aşamalardan geçer:

1. Üretim: Tahmin edilemeyen, güvenilir bir rastgele sayı kaynağıyla oluşturulur.
2. Saklama: Donanım güvenlik modülü (HSM) ya da bulut sağlayıcının anahtar yönetim hizmeti gibi korumalı bir ortamda tutulur.
3. Kullanım ve erişim: Anahtara yalnızca ihtiyacı olan uygulama ve kişiler erişir.
4. Rotasyon: Belirli aralıklarla yeni anahtara geçilir.
5. İptal ve imha: Sızdığından şüphelenilen ya da artık gerekmeyen anahtar kaldırılır.

Pratikte nasıl görünür?

Örneğin müşteri veritabanını şifreleyen bir e-ticaret şirketi düşünün. Anahtarı uygulama sunucusundaki bir ayar dosyasına yazarsa sunucuya sızan biri hem veriye hem anahtara ulaşır. Anahtarı ayrı bir yönetim hizmetinde tutup uygulamaya yalnızca kullanma yetkisi verirse bu risk ciddi biçimde azalır.

Sık rastlanan bir başka tuzak, eski anahtarları arşivlemeyi unutmaktır. Rotasyondan sonra eski yedekleri açmak için önceki anahtar da gerekebilir.

Nereden başlamalı?

İlk adım envanter çıkarmaktır: hangi sistemde hangi anahtar var, kim erişiyor, en son ne zaman değişti? Bu liste, en az yetki ilkesi ile birlikte uygulanırsa küçük bir ekip bile anahtarlarını düzenli tutabilir.