Sıfır Güven Nedir?
İngilizce: Zero Trust
Yayın: · Son güncelleme:
Sıfır Güven Nedir? Kısaca
Sıfır güven (zero trust), ağın içinde ya da dışında olmasına bakmaksızın hiçbir kullanıcıya, cihaza veya uygulamaya varsayılan olarak güvenmeyen ve her erişim isteğini ayrıca doğrulayan güvenlik modelidir.
Sıfır güven nedir?
Sıfır güven, "asla otomatik güvenme, her zaman doğrula" fikrine dayanır. Eski yaklaşımda şirket ağının içi güvenli, dışı tehlikeli kabul edilirdi. Ofise bağlanan biri çoğu sisteme rahatça ulaşabilirdi.
Uzaktan çalışma ve bulut hizmetleri bu sınırı belirsizleştirdi. Sıfır güven modelinde ofis ağında olmak tek başına ayrıcalık sağlamaz; her istek kimlik, cihaz durumu ve bağlam açısından değerlendirilir.
Temel ilkeleri nelerdir?
Model üç ana fikir üzerine kurulur:
- Sürekli doğrulama: Her erişimde kullanıcı kimliği ve cihazın güvenlik durumu kontrol edilir.
- En az yetki: Kişi yalnızca işi için gereken kaynaklara erişir.
- İhlali varsaymak: Saldırganın zaten içeride olabileceği düşünülerek sistemler parçalara ayrılır.
Bu ilkeler en az yetki ilkesi ve ağ segmentasyonu gibi yerleşik yöntemleri bir çatı altında toplar.
Pratikte nasıl görünür?
Bir muhasebe çalışanı evden finans uygulamasına bağlanmak istesin. Sistem önce çok faktörlü kimlik doğrulama ister, ardından bilgisayarın güncel ve şirkete kayıtlı olup olmadığına bakar. Çalışan finans uygulamasına girebilir, ama insan kaynakları sistemini göremez.
Sıfır güven tek bir ürün değil, zamanla uygulanan bir yaklaşımdır. Kurumlar genellikle önce kimlik doğrulamayı güçlendirerek başlar, ardından erişim yetkilerini daraltıp kritik sistemleri ayırır.
Sıkça Sorulan Sorular
Sıfır güven bir yazılım mı?
Hayır, bir güvenlik yaklaşımıdır. Kimlik yönetimi, çok faktörlü doğrulama ve ağ segmentasyonu gibi birçok araç bu yaklaşımı uygulamak için birlikte kullanılır.
Sıfır güven çalışanlara güvenilmediği anlamına mı gelir?
Hayır. Model kişilere değil, erişim isteklerine odaklanır; amaç, çalınmış bir hesabın ya da virüslü bir cihazın tüm sistemlere ulaşmasını engellemektir.