Kimlik ve Erişim Yönetimi (IAM) nedir?

Yakın zamanda yapılan bir ankete göre, ihlallerin %74'ü ayrıcalıklı bir hesaba erişimle ilgiliydi ancak birçok kuruluş hâlâ ayrıcalıklı kimlik bilgilerinin kötüye kullanılmasını önlemek için gerekli adımları atmıyor.

Ayrıcalıklı hesapların güvenliğinin sağlanması, dijital kimlikleri yönetme ve bu kimliklerin hangi varlıklara erişmesine izin verildiğini kontrol etme sürecini tanımlamak için kullanılan bir terim olan Kimlik ve Erişim Yönetimi'ni (IAM) gerektirir.

IAM üç temel öğeden oluşur; Kimlik Doğrulama, Yetkilendirme ve Kullanıcı Davranışı Analizi (UBA).

1. Kimlik Doğrulama
Kimlik doğrulama genellikle tek oturum açma çözümü (SSO) kullanılarak yapılır. Tek oturum açma çözümü, kullanıcının tek bir portal aracılığıyla bir sistemde oturum açmasına olanak tanır ve bu, kullanıcının kimliğini bağlı tüm sistemlerde ve uygulamalarda otomatik olarak doğrular.

En azından güçlü bir şifre politikasına sahip olmak iyi bir fikirdir. Güçlü bir şifre benzersiz olmalı, en az 8 karakter uzunluğunda olmalı ve sayılar, semboller, özel karakterler vb. içermelidir.

Doğal olarak kullanıcıların tahmin edilmesi kolay şifreler kullanmaktan kaçınması gerekiyor. Günümüzde çoğu karmaşık kimlik doğrulama protokolü, bazen "İki Faktörlü Kimlik Doğrulama" veya "Çift Faktörlü Kimlik Doğrulama" olarak da adlandırılan çok faktörlü kimlik doğrulamayı kullanacak ve aşağıdakilerden iki veya daha fazlasını içerecektir;

• (Yalnızca) bildiğiniz bir şey; bu bir parola, parola veya güvenlik sorusu içerebilir.
• Genellikle bir yazılım belirteci, sertifika veya RSA SecurID belirteci gibi bir donanım donanım kilidi olan (yalnızca) sahip olduğunuz bir şey.
• Parmak izlerinizi, iris veya retina desenlerinizi, ses veya yüz özelliklerinizi veya başka tür biyometrik verileri içerebilen, olduğunuz bir şey.

2. Yetkilendirme
Yetkilendirme, kimliği doğrulanmış bir kullanıcının belirli bir kaynağa erişim iznine sahip olup olmadığını belirleme işlemidir. Süreç, hangi kaynaklara erişip erişemeyeceklerini belirlemek için kullanıcılara veya gruplara (hem insan hem de insan olmayan (hizmet hesapları)) erişim kontrolleri atayarak başlar.

Erişim kontrolleri, hangi kullanıcıların, grupların ve rollerin hangi kaynaklara erişime sahip olduğunu belirlemek için kullanılan bir dizi kural olan "yönetilen politikaya" göre atanır. Birçoğu, kullanıcılara rollerini yeterince yerine getirebilmeleri için ihtiyaç duydukları en az ayrıcalıkların verilmesi gerektiğini şart koşan "En Az Ayrıcalık Prensibi"ne (PoLP) uyuyor.

PoLP, dahili veya harici bir tehdit aktörünün gerçekleştirebileceği eylemleri sınırlandırarak ciddi veri ihlali riskini önemli ölçüde azaltabilir.

3. Kullanıcı Davranışı Analizi (UBA)
UBA, genellikle erişim izinleri ve hassas veriler içeren dosya ve klasörlerle ilgili anormal değişiklikleri tespit etme sürecidir. Kullanıcı Davranışı Analitiği çözümü, anormallikleri veya başka bir deyişle "normal" davranış olarak kabul edilenden sapan olayları tespit etmek amacıyla insan davranışı kalıplarını izleyecektir.

UBA, BT ekiplerinin kimin hangi verilere ne zaman erişebileceğini takip etmesine olanak tanıdığından IAM'in önemli bir parçasıdır. UBA'ya yardımcı olabilecek birçok çözüm mevcuttur. Bu çözümler, her kullanıcıyla ilişkili davranış normları hakkında bilgi toplayacak ve bu normlardan sapan olayları tespit edecek, uyaracak ve yanıt verecektir.

Daha karmaşık çözümlerden bazıları, önceden tanımlanmış bir eşik koşuluyla eşleşen olayları tespit edip yanıt verebilir. Kimlik ve Erişim Yönetimi bağlamında bu, birden fazla başarısız oturum açma girişiminin tanımlanmasını ve bunlara yanıt verilmesini içerebilir.

Örneğin, önceden tanımlanmış bir zaman dilimi içinde X sayıda başarısız oturum açma tespit edilirse, belirli bir işlemi durdurabilecek, güvenlik duvarı ayarlarını değiştirebilecek, bir kullanıcının hesabını devre dışı bırakabilecek ve hatta tüm hesabı kapatabilecek özel bir komut dosyası yürütülebilir. sunucu.

Kimlik ve Erişim Yönetimi (IAM) Neden Önemlidir?

Tam olarak neyin "içeriden tehdit" oluşturduğunu belirlemek kolay olmasa da, içeriden gelen tehditlerin şu veya bu şekilde veri ihlallerinin başlıca nedeni olduğu yaygın olarak kabul edilmektedir.

Küresel Veri İfşası Raporu'na göre kuruluşların %69'u içeriden gelen bir tehdit nedeniyle ihlale uğradıklarını söylüyor.

İçeriden gelen bir tehdit, ihmalden kaynaklanabileceği gibi, kişisel kazanç için hassas bilgilerin çalınmasını da içerebilecek daha kötü niyetli nedenlerden de kaynaklanabilir ya da bazı durumlarda bir casusluk eylemi olabilir.

Kimlik ve Erişim Yönetimi, içeriden gelen tehditlere karşı birincil savunmamızdır. IAM, hassas verilerimize kimin erişebileceğini ve erişmesi gerektiğini tam olarak bilmemizi sağlar. Birçok kuruluş, IAM protokollerinin sağlam olduğundan ve hassas verilerini yeterince koruyabildiğinden emin olmak için ya yeterli zaman harcamaz ya da yeterli kaynak ayırmaz.

Bir IAM stratejisinin uygulanması ve yönetimi aslında zaman alıcı ve pahalı bir işlemdir ve en azından kısa vadede gözle görülür herhangi bir fayda sağlaması pek mümkün değildir. Ancak birçok kuruluşun anlayamadığı şey, sorunun bir veri ihlalinin ortaya çıkıp çıkmayacağı değil, ne zaman ortaya çıkacağı meselesi olduğudur. Ayrıcalıklı hesaplarını yeterince korumayı başaramayan bir kuruluşun bundan pişmanlık duyması muhtemeldir.

Güçlü Kimlik ve Erişim Yönetimi (IAM) Stratejisinin Diğer Bir Avantajı

Güçlü bir IAM stratejisinin bir diğer önemli faydası da çalışanların uzak konumlardan güvenli bir şekilde çalışmasına olanak sağlamasıdır. Ayrıca tek oturum açma, çalışanların sunulan her yeni hizmet veya uygulama için yeni bir hesap oluşturmasına gerek kalmayacağından daha fazla ölçeklenebilirlik sağlar.

Müşteriler, verilerinin güvende olduğundan daha emin hissedeceklerinden, sağlam bir IAM stratejisi şirketinize rekabet avantajı bile sağlayabilir. Ve tabii ki şirketiniz zayıf IAM duruşu nedeniyle bir veri ihlaliyle karşı karşıya kalırsa, bu durum şirketinizin itibarına zarar verebilir ve bu da iş kaybına neden olabilir.

Kimlik ve Erişim Yönetimi (IAM) Stratejinize Nereden Başlayacağınızı Bilmek

Günümüzde kuruluşlar çok daha çeşitli uygulama ve ortamlar kullanıyor. Geleneksel şirket içi BT ortamlarına ek olarak, giderek artan sayıda kuruluş, bulut tabanlı hizmetleri ve altyapıyı mevcut kurulumlarına entegre eden hibrit bir modele geçiyor.

Sadece bu da değil, birçok farklı coğrafi konumdan ağlarımıza bağlanan, sayıları giderek artan farklı cihazlar var. Yukarıdaki faktörler, bunaltıcı olabilecek ek karmaşıklıklar yaratır ve etkili IAM protokollerini uygulamaya nereden başlayacağınızı bilmeyi zorlaştırır.

Sağlam bir IAM stratejisi geliştirmenin ilk adımı, özel bir ekip oluşturmak ve kuruluş çapındaki tüm ilgili paydaşları dahil etmektir. Hangi paketleri sunduklarını ve ne kadar ücret aldıklarını öğrenmek için farklı satıcılarla iletişime geçmeyi de içeren, mevcut farklı araçları araştırmak için biraz zaman harcamanız gerekecektir.

Bir sonraki adım, kuruluşunuzun güvendiği tüm farklı kullanıcıları, cihazları, uygulamaları, sunucuları ve platformları ayrıntılandıran bir envanter oluşturmayı içerir. Kullanıcıların ağınızda nasıl tanımlanacağını belirlemeniz gerekecektir. İsimleri, çalışan numaraları veya başka bir tanımlayıcıyla mı tanımlanacaklar? Birçok kuruluş, bu kullanıcıları roller halinde gruplandıracak ve bu rollere dayalı olarak erişim haklarını atayacaktır; bu, Rol Tabanlı Erişim Kontrolü (RBAC) olarak adlandırılan bir uygulamadır.

Roller kategorilere ayrılabilir ve bunlar da alt kategorilere ayrılabilir. Örneğin veriler genellikle genel, özel veya kısıtlı olarak sınıflandırılır. Bu durumda kullanıcının son kullanıcı mı, yönetici mi yoksa uzman kullanıcı mı olduğunu belirlememiz gerekiyor.

Daha sonra iş yeterliliği, deneyim, konum, departman vb. içerebilecek ek roller ayarlayabiliriz. Örneğin, belirli bir konumdan faaliyet gösteren, belirli bir deneyime sahip belirli bir kullanıcı tipinin, belirli bir şekilde sınıflandırılan verilere erişmesine, bunları taşımasına, değiştirmesine veya kaldırmasına izin verilip verilmediğini kolayca belirleyebiliriz. RBAC, Öznitelik Tabanlı Erişim Kontrolü (ABAC) ile aynı düzeyde ayrıntı düzeyi sağlamaz, ancak uygulanması ve bakımı çok daha kolay olduğundan RBAC genellikle tercih edilen seçimdir.

Veri Keşfi ve Sınıflandırma

Çoğu kuruluş, çoğu gizli olan büyük miktarda yapılandırılmamış veri depolar. Ancak birçok şirket (%62) en hassas verilerinin nerede bulunduğunu bilmiyor ve bu verilerin çoğu doğru şekilde sınıflandırılmıyor.

Hassas verilerimizin nerede bulunduğunu bilmiyorsak onu nasıl koruyabiliriz? Cevap şu; yapamayız! Bu nedenle, etkili bir IAM stratejisi oluşturmak için PII, PHI, PCI gibi çok çeşitli veri türlerini ve geçerli veri koruma düzenlemelerinin kapsadığı tüm verileri otomatik olarak keşfedecek ve sınıflandıracak bir çözüme ihtiyacımız var. sektörümüze.

“Hayalet” Kullanıcı Hesaplarını Yönetme

Kimlik ve Erişim Yönetiminin sıklıkla gözden kaçırılan bir alanı, etkin olmayan veya "hayalet" kullanıcı hesaplarıdır. SC Media'nın 2017 yılında yayınladığı bir makaleye göre her 4 kullanıcı hesabından 1'i aktif değil.

Bilgisayar korsanları, hassas verilere kolay erişim sağlayabildikleri için genellikle etkin olmayan kullanıcı veya hizmet hesaplarını ararlar. Örneğin, bir bilgisayar korsanı yakın zamanda bir şirketten kimin ayrıldığını görmek için LinkedIn'de bir arama yapabilir ve bu bilgiyi belirli bir hesabı hedeflemek için kullanabilir.

Eski bir kullanıcı hesabına erişim kazanmak, saldırganın herhangi bir alarmı tetiklemeden inceleme yapmasına olanak tanıyabilir. Birçok UBA çözümü, etkin olmayan kullanıcı hesaplarını otomatik olarak algılayıp yönetebilen yerleşik araçlar sağlar.

Kimlik ve Erişim Yönetimi (IAM) ve Uyumluluk

Geçmişte standartların altındaki IAM protokollerini uygulamak mümkün olsa da, o günler hızla sona eriyor. Son yıllarda manşetlere çıkan yüksek profilli veri ihlallerinin sayısında bir artış gördük ve dünya genelindeki Hükümetler nihayet veri korumanın önemini fark etti ve bu nedenle bir dizi yeni ve iyileştirilmiş veri koruma düzenlemesi uygulamaya konuldu.

Mayıs 2018'de tanıtılan Genel Veri Koruma Yönetmeliği (GDPR), bugüne kadar gördüğümüz tartışmasız en önemli veri gizliliği yasasıydı. GDPR'ye uyulmaması 20 milyon avroya kadar para cezasına yol açabilir.

GDPR'nin ortaya çıkışı, benzer bir temayı takip eden bir dizi başka veri gizliliği kanununun getirilmesine yol açtı. Amerika Birleşik Devletleri'nde Kaliforniya Tüketici Gizliliği Yasası'nın (CCPA), Nevada Senatosu Kanun Tasarısı 220 Çevrimiçi Gizlilik Yasası'nın ve daha yeni olan NY Shield Yasası'nın yürürlüğe girdiğini gördük. Birleşik Krallık'ta, GDPR'yi tamamlamak üzere tasarlanan 2018 Veri Koruma Yasası'nın yanı sıra dünya çapında çeşitli yeni veri gizliliği yasalarının ortaya çıktığını gördük.

Sağlam bir IAM stratejisi, bu tür düzenlemelerin yanı sıra HIPAA, SOX, PCI-DSS ve ISO 27001 gibi veri gizliliğiyle ilgili diğer düzenlemelerin çoğuna uymak için çok önemlidir. Örneğin, GDPR uyarınca, veri sahiplerinin bir takım yasal düzenlemeleri vardır. yükseltilmiş haklar;

• Bilgilendirilme hakkı
• Erişim hakkı
• Düzeltme hakkı
• Silme hakkı
• İşlemeyi kısıtlama hakkı
• Veri taşınabilirliği hakkı
• İtiraz hakkı
• Otomatik karar verme ve profil oluşturmaya ilişkin haklar

Bu hakların korunması, kullanıcıların verilerine nasıl erişildiğinin derinlemesine anlaşılmasını gerektirir. İyi tasarlanmış IAM protokolleri olmadan, kişisel verilere kimin, ne zaman erişebileceğine dair görünürlük ve kontrol elde etmek önemli ölçüde zorlaşacak ve dolayısıyla uyumluluk gerekliliklerini karşılama şansı önemli ölçüde azalacaktır.

Ek olarak, en gelişmiş Veri Güvenliği Platformları, çeşitli veri koruma düzenlemelerine uymaya yardımcı olmak üzere özelleştirilmiş, önceden tanımlanmış çok çeşitli raporlar oluşturmak için Kullanıcı Davranışı Analitiğini (UBA) kullanabilir.

Kimlik ve Erişim Yönetimi - Özet

• IAM stratejinizin uygulanmasından ve yönetilmesinden sorumlu olacak özel bir ekip oluşturarak başlayın.
• Kullanıcı erişimi üzerindeki görünürlüğü ve kontrolü geliştirmek için tek oturum açma çözümünü uygulayın.
• Güçlü bir parola politikanız olduğundan emin olun ve mümkünse daha fazla güvenlik için çok faktörlü kimlik doğrulamayı kullanın.
• Kimin hangi kaynaklara erişmesi gerektiğini belirlemek için bir dizi kural getirin. Bu kuralların "en az ayrıcalık ilkesine" uygun olduğundan emin olun.
• Yapılandırılmamış hassas verilerinizin tam olarak nerede bulunduğunu bildiğinizden emin olmak için bir veri keşif ve sınıflandırma çözümü kullanın.
• İş türü, deneyim ve konum gibi önceden tanımlanmış rollere göre erişim kontrolleri atayın.
• Ayrıcalıklı hesaplarda ve bu hesapların erişim sahibi olduğu kaynaklarda yapılan anormal değişiklikleri tespit edebilmek için, bazen DCAP (Veri Merkezli Denetim ve Koruma) olarak da anılan bir Kullanıcı Davranış Analizi (UBA) çözümü uygulayın.
• Etkin olmayan kullanıcı hesaplarını yönetmek için otomatik bir sistem kullanın.
• Hâlâ geçerli olduklarından emin olmak için erişim haklarını düzenli olarak gözden geçirin ve gerektiğinde değişiklik yapın.