Kimlik ve Erişim Yönetimi Değerlendirmesine İlişkin Temel Sorular

Doğru kimlik ve erişim yönetimi (IAM) çözümünü seçmek önemli bir görevdir. Kuruluşların kullanıcı hesaplarını ve diğer kimlikleri düzgün bir şekilde yönetmesi ve verilere, uygulamalara ve diğer kaynaklara tam olarak uygun erişime sahip olmalarını sağlamaları gerekir. Sonuçta kullanıcılar ihtiyaç duydukları tüm haklara sahip değilse işlerini yapamazlar ve iş süreçleri zarar görür. Hesapların çok fazla izne sahip olması durumunda, bunlar, sahipleri veya onları tehlikeye atan rakipler tarafından kötüye kullanılabilir ve bu da güvenlik ihlallerine ve uyumluluk ihlallerine yol açabilir.

Manuel süreçler hataya son derece yatkın olduğundan ve modern kuruluşların ihtiyaçlarını karşılayacak şekilde ölçeklenemediğinden, kuruluşların amaca yönelik oluşturulmuş bir IAM çözümüne ihtiyacı vardır. Bu makalede, aday IAM araçlarını değerlendirirken sormanız gereken temel kimlik erişimi yönetimi sorularının ayrıntıları verilmektedir.

Bir IAM Çözümü Seçerken Nelere Dikkat Edilmeli?

Kuruluşunuz için en uygun IAM çözümünü seçmek için olası her bir aracın aşağıdaki temel yönlerini değerlendirdiğinizden emin olun:

• Dağıtım modeli
• Kullanıcı ekleme, çıkarma ve yeniden sağlama
• Rol tabanlı erişim kontrolü
• Otomatik iş akışları
• Sıfır Güven Desteği
• Self servis de dahil olmak üzere şifre yönetimi
• Geniş uygulama desteği ve API'ler
• Parolasız kimlik doğrulama dahil kimlik doğrulama yöntemleri
• Tek oturum açma (SSO) desteği
• Kendi cihazını getir (BYOD) desteği
• Kullanıcı deneyimi üzerindeki etkisi
• Kullanılabilirlik ve güvenilirlik
• İzleme, denetleme ve raporlama
• Uyumluluk talimatlarına ve endüstri standartlarına bağlılık
• Gelecekteki ihtiyaçları karşılama yeteneği
• Fiyatlandırma modeli

Dağıtım Modeli

Dikkate alınması gereken ilk IAM sorularından biri dağıtım modelidir: Çözüm şirket içi mi, bulut mu yoksa hibrit mi? Her yaklaşımın artıları ve eksileri vardır.

Şirket içi ve bulut karşılaştırması

Şirket içi ve bulut IAM dağıtım modelleri arasındaki temel farklardan bazıları şunlardır:

Sermaye artırımı

Şirket İçi: Çözümü barındırmak için gereken sunucuyu, donanımı ve yazılımı sağlamanız gerekir.

Bulut: Yok

Bakım

Şirket İçi: Çözüm güncellemelerini, sunucu donanımını ve yazılımını, depolamayı ve veri yedeklemelerini yönetmeniz gerekir.

Bulut: Satıcı, IAM çözümünün ve temel altyapının bakımını yapar.

Kontrol

Şirket İçi: IAM çözümü ve temel altyapısı tamamen sizin kontrolünüz altındadır. Şirket içi güvenlik yazılımı, kuruluşlara güvenlik altyapıları üzerinde tam kontrol sağlar. Üçüncü taraf bir sağlayıcıya ihtiyaç duymadan yapılandırmaları, ilkeleri ve ayarları kendi özel ihtiyaçlarına ve gereksinimlerine göre özelleştirebilirler.

Bulut: Satıcı, güncellemelerin ne zaman kullanıma sunulacağını ve altyapının ne zaman değiştirileceğini belirler.

Erişim

Şirket İçi: Çözüme internet gerekmeden yerel olarak erişirsiniz.

Bulut: Çözüme bir web tarayıcısı aracılığıyla istediğiniz zaman erişebilirsiniz, bu nedenle güvenilir bir internet bağlantısı gereklidir.

Dağıtım süresi

Şirket İçi: Bir veya daha fazla sunucuyu hazırlayıp çözümü yüklemeniz gerektiğinden dağıtım daha yavaştır. Ancak süre satıcıya göre önemli ölçüde değişir.

Bulut: Dağıtım çok daha hızlıdır ancak yine de özelliklerin etkinleştirilmesi ve yapılandırılması gerekir.

Özelleştirme

Şirket İçi: Şirket içi çözümler son derece özelleştirilebilir.

Bulut: Bulut çözümleri daha az özelleştirilebilir.

Özelleştirme

Şirket İçi: Kuruluşlar, verileri ve bunların bulunduğu yer üzerinde tam kontrole sahiptir. Bu, mevzuata sıkı uyumluluk gereksinimleri olan veya veri gizliliği ve egemenliği konusunda endişeleri olan sektörlerde faaliyet gösteren işletmeler için özellikle önemlidir.

Bulut: Veriler bulutta tutulur ve sağlayıcının altyapısına bağlı olarak dünyanın çeşitli yerlerinde depolanabilir. Veriler uluslararası sınırları aşabileceğinden, bu durum veri egemenliği yasalarına ve düzenlemelerine uyum konusunda endişelere yol açabilir.

Güvenlik Uyumluluğu

Şirket İçi: Kuruluşların güvenlik önlemleri üzerinde doğrudan gözetim ve kontrolü olması nedeniyle şirket içi çözümler sektör düzenlemeleri ve standartlarına daha kolay uyum sağlayabilir. Bu, denetim sürecini basitleştirebilir ve paydaşlara güvence sağlayabilir.

Bulut: Kuruluşlar, bulut hizmetleri kullanımının sektör ve düzenleme standartlarına uygun olmasını sağlamaktan sorumludur.

Ağ performansı

Şirket İçi: Şirket içi güvenlik çözümleri, kuruluşun yerel ağ altyapısı içinde çalıştıkları için daha hızlı ağ performansı sunabilir. Bu, gecikmeye duyarlı uygulamalar veya ağ bant genişliğinin önemli olduğu ortamlar için avantajlı olabilir.

Bulut: Bulut tabanlı çözümler, özellikle bulut hizmetleri uzak veri merkezlerinde barındırılıyorsa, şirket içi çözümlerle karşılaştırıldığında gecikmeye neden olabilir.

Veri İzolasyonu

Şirket İçi: Şirket içi çözümler, verileri kuruluşun fiziksel sınırları içinde tutar ve verilerin internet üzerinden bir bulut hizmet sağlayıcısına iletilmesiyle ilişkili olabilecek verilere maruz kalma veya yetkisiz erişim riskini azaltır.

Bulut: Bulut sağlayıcının verileri dış ve iç tehditlerden koruma becerisine bağlıdır.

Hibrit

Hibrit IAM çözümleri, modern kuruluşların ihtiyaçlarını karşılamak için hem şirket içi hem de bulut tabanlı IAM yaklaşımlarının özelliklerini birleştirir. Şirket içi kimlik depoları (Active Directory gibi) ile bulut tabanlı kimlik depoları (Azure AD ve AWS Directory Service gibi) arasında dizin senkronizasyonunu kolaylaştırırlar ve hem şirket içi hem de bulut ortamları için merkezi kullanıcı yaşam döngüsü yönetimi sunarlar. Bu seçenek, düzenlemeye tabi veya hassas verilerin yerel kontrolünü korurken maliyetlerin en aza indirilmesine yardımcı olur.

Kullanıcı Ekleme, Çıkarma ve Yeniden Sağlama

Herhangi bir IAM sisteminin temel işlevi, her kullanıcının kaynaklara uygun erişime sahip olmasını sağlayarak güvenlik risklerini en aza indirirken işlerini yapabilmelerini sağlamaktır. Buna göre, aday bir çözümün yeni kullanıcıların verimli ve doğru bir şekilde katılımını sağlayıp sağlamadığını ve kullanıcılar kuruluştan ayrıldığında, hesaplarını kaldırarak veya devre dışı bırakarak ya da uygulamalara, dosya paylaşımlarına, veritabanlarına ve diğer kaynaklara erişim izinlerini iptal ederek erişim haklarının derhal kaldırılmasını sağlayıp sağlamadığını değerlendirin.

Ayrıca, kullanıcılar rol değiştirdikçe veya yeni teknolojiler benimsendikçe çözümün erişim haklarını ayarlamayı kolaylaştırıp kolaylaştırmadığını kontrol edin. Ayrıca, güvenlik politikaları ve düzenlemelerine sürekli uyum sağlamak amacıyla uygun tarafların sahip oldukları kaynaklara erişim haklarını kolayca inceleyip değiştirebilecekleri bir doğrulama süreci arayın.

Rol Tabanlı Erişim Kontrolü

Potansiyel bir IAM çözümünün rol tabanlı erişim kontrolü (RBAC) sunup sunmadığını kontrol ettiğinizden emin olun. RBAC, provizyonu çok daha basit ve çok daha doğru hale getiren, yaygın olarak kullanılan bir stratejidir. RBAC ile kullanıcılara doğrudan erişim hakları atamazsınız; bu karmaşıktır ve sıklıkla aşırı izinlere yol açar. Bunun yerine, iş işlevlerini, sorumlulukları veya benzer erişim ihtiyaçları olan kullanıcı gruplarını temsil eden bir dizi rol oluşturursunuz. Rollere örnek olarak Yöneticiler, Yardım Masası Teknisyenleri ve Yöneticiler verilebilir. Her role bir dizi izin atanır; örneğin, Yardım Masası Teknisyeninin rolü belirli verileri okuma ve değiştirme, kullanıcı şifrelerini sıfırlama vb. yetkilere sahip olabilir.

Bu çerçeve mevcut olduğunda kullanıcılara hak vermek, onlara uygun rolleri atamak kadar basittir. Sonuç olarak, yeni kullanıcılara işlerini yapmak için tam olarak ihtiyaç duydukları erişim hızlı bir şekilde verilebilir. Benzer şekilde, bir kullanıcı kuruluş içindeki iş işlevlerini değiştirdiğinde, yeniden sağlama işlemi yalnızca rol atamalarının değiştirilmesini gerektirir. Yeni bir uygulama veya veri deposu eklendiğinde ya da eski bir uygulama veya veri deposu kaldırıldığında, ilgili rollere ilişkin izinlerin güncellenmesi, erişimin tüm doğru kullanıcılar için güncellenmesini sağlar.

Otomatik İş Akışları

İş akışları bir IAM sisteminde değerlidir çünkü kullanıcı yetkilendirmesi ve yetkilendirmeyi kaldırma, erişim talebi ve onayı ve erişim incelemeleri gibi süreçleri otomatikleştirir. İhtiyaç duyduğunuz görevler için önceden tanımlanmış şablonlar veya özelleştirilebilir önceden oluşturulmuş iş akışları sunan bir araç arayın. Örneğin, bir erişim talebi ve onay iş akışı, kullanıcıların bir self-servis portalı veya biletleme sistemi aracılığıyla erişim taleplerini göndermesine ve erişim gerekliliklerini, gerekçesini ve süresini belirtmek için gerekli alanları içeren özelleştirilebilir talep formları sağlamasına olanak tanıyabilir.

Daha genel anlamda, yöneticilerinizin iş akışı adımlarını, koşullarını, karar noktalarını ve eylemlerini kodlama olmadan tanımlayabildiğinden emin olun. Ayrıca işlevler arası süreçleri otomatikleştirmek için iş akışlarını İK, biletleme ve diğer sistemlerle entegre edebildiklerinden emin olun.

Sıfır Güven Desteği

Sıfır Güven, kullanıcıların yalnızca ilk erişimde değil, düzenli olarak yeniden kimlik doğrulaması yapmasını gerektiren modern bir güvenlik modelidir. Buna göre, uyarlanabilir kimlik doğrulama mekanizmalarını içeren ve birleşik kimlik yönetimini kolaylaştıran bir IAM sistemi arayın. Ayrıca, yöneticiler ve sistem hesapları gibi yükseltilmiş erişim haklarına sahip hesapların ekstra yönetimini ve izlenmesini sağlamak için ayrıcalıklı erişim yönetimi (PAM) yetenekleri sunduğundan emin olun.

Self Servis dahil Şifre Yönetimi

IAM çözümleri güçlü şifre yönetimi özelliklerine ihtiyaç duyar. Değerlendirilecek temel yetenekler şunları içerir:

• Ortak, kolayca tahmin edilebilir veya güvenliği ihlal edilmiş şifrelerin karmaşıklığı ve bunlara izin verilmemesi de dahil olmak üzere güçlü şifre politikalarını uygulama yeteneği
• Yasaklanmış şifreler için hariç tutma listeleri tutabilme
• Kullanıcıların unutulan parolaları sıfırlamasına, parolaları değiştirmesine ve hesapların kilidini açmasına olanak tanıyan self-servis özellikler
• Self servis seçeneklerinin mümkün olmadığı durumlarda yardım masası destekli parola sıfırlama desteği
• Parola sıfırlamaları, değişiklikleri veya kurtarmaları için çok faktörlü kimlik doğrulamayı zorunlu kılmak amacıyla MFA çözümleriyle entegrasyon
• Kaba kuvvet saldırılarına hızlı yanıt verilmesini sağlamak amacıyla bildirimleri tetikleyen başarısız oturum açma girişimleri için eşikler belirleme yeteneği

Geniş Uygulama Desteği Plus API'leri

Bir IAM çözümüne yatırım yapmadan önce, çeşitli ekiplerinizin hem şirket içi hem de bulut tabanlı olarak kullandığı tüm uygulamaları desteklediğinden emin olun. Özellikle aşağıdakilerle uyumluluğu sağlayın:

• Kullanıcı kimlik doğrulaması için Active Directory, LDAP veya Azure AD gibi dizin hizmetleri
• İş üretkenliği araçları
• CRM sistemleri
• İşbirliği platformları
• Özel uygulamalar
• AWS, Entra ve Google Cloud Platform gibi bulut hizmetleri
• Salesforce, Office 365 ve G Suite gibi SaaS uygulamaları

Ayrıca IAM çözümünün, diğer sistem ve hizmetlerle kolay entegrasyonu ve birlikte çalışabilirliği sağlamak için REST ilkelerine uygun API'ler sunduğundan emin olun. OAuth, OpenID Connect, SAML, JSON Web Tokens (JWT) ve SCIM gibi endüstri standardı protokolleri ve formatları desteklemelidir.

Parolasız Kimlik Doğrulama dahil Kimlik Doğrulama Yöntemleri

Basit kullanıcı adı + şifre kimlik doğrulamasıyla sınırlı olmayan bir çözüm arayın. Bazı IAM çözümleri, kimlik doğrulama uygulamaları ve parmak izi, yüz tanıma ve retina taramaları gibi biyometri gibi 10 veya daha fazla farklı MFA yöntemi sunar. Kullanıcılarınız için kolay ve kullanışlı seçenekleri kontrol edin. İdeal olarak, MFA uyarlanabilir olmalı ve kullanıcıları yalnızca bağlamsal faktörler riskin arttığını gösterdiğinde ek kimlik doğrulama konusunda zorlayıcı olmalıdır.

Saldırganlar genellikle bir ağda ilk tutunma noktalarını ele geçirilen kimlik bilgilerini kullanarak kazanırlar, bu nedenle bazı kuruluşlar şifreleri tamamen ortadan kaldırmanın yollarını arıyor. Bazı IAM çözümleri artık, biyometri gibi MFA faktörlerinin yanı sıra fiziksel konum, cihaz bilgileri ve IP adresi gibi bağlamsal ayrıntılara dayalı olarak kullanıcıların kimliğini doğrulayan şifresiz kimlik doğrulama sunuyor.

Tek Oturum Açma (SSO) Desteği

SSO'yu destekleyen bir IAM çözümü seçmek, kullanıcılarınızın birden fazla sisteme erişmek için tek bir oturum açma kimlik bilgileri kümesi kullanmasına olanak tanır. Bu özellik iş süreçlerini kolaylaştırır ve kullanıcıları birden fazla şifreyi hatırlama yükünden kurtarır.

Ancak SSO, uygunsuz erişim riskini artırdığından, bunun MFA'ya uyarlanabilir bir yaklaşımla birleştirilebileceğinden emin olun.

BYOD Desteği

Günümüzde birçok kuruluş, çalışanların iş için kendi cihazlarını kullanmalarına olanak tanıyan bir kendi cihazını getir (BYOD) politikasına sahiptir. Bir BYOD politikanız varsa veya benimseyecekseniz IAM çözümünün iOS, Android ve Windows da dahil olmak üzere çok çeşitli işletim sistemlerini desteklediğinden emin olun.

Kullanıcı Deneyimi Üzerindeki Etki

Günümüzde çoğu insan teknolojiden hızlı ve sorunsuz sonuçlar bekliyor. Kullanıcıların benimsemesini hızlandırmak için kullanıcılara kusursuz bir deneyim sunan bir IAM çözümü arayın. Özellikle kullanıcıların kişisel bilgilerini güncellemelerine, kendi şifrelerini sıfırlamalarına, hesaplarının kilidini açmalarına vb. olanak tanıyan self servis seçeneklerini kontrol edin. Bu işlevsellik yalnızca iş verimliliğini artırmakla kalmaz, aynı zamanda yardım masasının iş yükünü de azaltır.

Kullanılabilirlik ve Güvenilirlik

IAM çözümünüzde kullanılabilirlik sorunları varsa kullanıcılar oturum açamayacak ve işlerini yapmak için ihtiyaç duydukları ağ kaynaklarına erişemeyecek, bu da hayati önem taşıyan iş projelerini sekteye uğratacaktır. Sorunları önlemek için aşağıdakilere bakın:

• Sürekli kullanılabilirliği sağlamak için yedek bileşenler ve yük devretme mekanizmaları desteği
• Gelen trafiği birden fazla IAM sunucusuna veya örneğine dağıtmak, kaynak kullanımını optimize etmek ve performans darboğazlarını azaltmak için yük dengeleyicilerle entegrasyon
• Çevikliği ve kaynak kullanımını artırmak için Kubernetes veya Docker gibi konteyner düzenleme platformlarını kullanarak IAM bileşenlerinin konteynerli dağıtımına yönelik destek
• IAM yapılandırma verilerinin, kullanıcı profillerinin ve erişim politikalarının düzenli yedeklemelerinin yanı sıra veri kaybı veya sistem arızası durumunda işlevselliği geri yükleme yeteneği

Sağlayıcıdan ürünü ücretsiz denemesini isteyin ve güvenilirlik ve kullanılabilirlik gereksinimlerinizi karşıladığından emin olmak için ürünü kapsamlı bir şekilde test edin.

İzleme, Uyarı ve Raporlama

IAM çözümünün, birden fazla başarısız oturum açma girişimi veya olağandışı konumlardan veya cihazlardan erişim gibi şüpheli eylemleri veya kalıpları güvenilir bir şekilde tanımlayan anormallik algılama teknikleriyle birlikte etkinliğin gerçek zamanlı izlenmesini sağladığından emin olun. Olası güvenlik olayları veya politika ihlalleri hakkında uyarılar ayarlayıp ayarlayamadığınızı kontrol edin. Günlüklerin kullanıcı tanımlayıcıları, zaman damgaları, IP adresleri ve gerçekleştirilen eylemler gibi önemli ayrıntıları kaydettiğinden emin olun

Önemli bilgilerin hızlı bir şekilde anlaşılmasını kolaylaştıran etkileşimli analitik kontrol panelleri ve görselleştirme araçlarının yanı sıra, kullanıcı yetkileri, izinleri ve rol atamalarına ilişkin raporları kolayca oluşturma becerisini arayın.

Uyumluluk Talimatlarına ve Endüstri Gereksinimlerine Uyum

IAM çözümünün kuruluşunuzun tabi olduğu GDPR, HIPPA, PCI DSS, SOX, FERPA ve CCPA gibi tüm düzenleyici çerçevelerle uyumlu olduğundan emin olun. Ortak gereksinimler arasında hem aktarım halindeki hem de beklemedeki kişisel verilerin (kullanıcı kimlik bilgileri dahil) korunması ve IAM sistemindeki hassas verilerin gizliliğinin, bütünlüğünün ve kullanılabilirliğinin korunması yer alır. Ayrıca çözüm, güçlü kimlik doğrulama, erişim kontrolleri ve şifreleme yoluyla verilere erişimi güvenli bir şekilde yönetmelidir. Uyumluluk raporlamasını ve düzenleme sorularını desteklemek için IAM politikalarının, prosedürlerinin, yapılandırmalarının ve güvenlik kontrollerinin kapsamlı bir geçmişini sürdürmelidir.

Gelecekteki İhtiyaçları Karşılama Yeteneği

IAM yazılımı gibi temel bir çözümü benimsediğinizde, BT ortamınız, güvenlik ihtiyaçlarınız ve tehdit ortamınız geliştikçe bile değer sağlamaya devam edeceğinden emin olmak istersiniz. Bir çözümü değerlendirirken sorulması gereken bazı önemli sorular şunlardır:

• Satıcı istikrarlı ve güvenilir mi?
• Gerekli teknik yeteneklere sahipler mi?
• Artan yükleri ve kullanıcı hacimlerini karşılayacak şekilde kolayca ölçeklendirmek için daha fazla sunucu veya düğüm eklenebilir mi?
• Satıcı ürünün yaşam döngüsü boyunca mükemmel destek sunmaya hazır mı?
• Çözüm düzenli yamalar ve iyileştirmeler alacak mı?
• Yıllar geçtikçe maliyet etkin olacak mı?

Fiyatlandırma modeli

IAM çözümleri farklı fiyatlandırma yapılarına sahiptir. İki yaygın model şunlardır:

• Kullanıcı başına lisanslama ücreti — Yalnızca kuruluşunuzda fiilen çalışan kullanıcı sayısı kadar ödeme yaparsınız, dolayısıyla kullanıcı tabanınız büyüdükçe veya küçüldükçe maliyetiniz de artar. Ancak bazı çözümlerin minimum sayıda kullanıcıya sahip olduğunu unutmayın.
• Önceden tanımlanmış paketler — Belirli sayıda kullanıcı için ödeme yaparsınız. Bu durumda, yeni çalışanlar için bir marj bırakmayı düşünün çünkü farklı bir pakete geçmek zaman alabilir.