Sıfır Güven (Zero Trust) Gerçekten Ne Kadar İşe Yarıyor? Donan, Hayal Kırıklığı Yaratan ve Şaşırtıcı Taraflar
“Kimseye Güvenme” Dönemi: Abartı mı, Yoksa Tek Çare mi?
İnanın, Şunu peşin peşin söyleyeyim; son iki yıldır güvenlik sohbetlerinin %80’i aynı lafla başlıyor: “Artık hiç kimseye güven yok, herkes potansiyel tehdit.” Dalga geçiyorum sandınız ama Microsoft’un 2024 Digital Defense Report’unda rakamlar epey acayip. Her gün tam 600 milyon saldırı. Yanı, “herkes hedefte” muhabbeti lafta değilmiş. İşin içine bir de siber suçlularla devlet destekli aktörlerin birbirine karışması girince… insanın tüyleri diken diken oluyor.
Açık konuşacağım; yirmi küsur senelik BT hayatımda klasik firewall kafası ne zaman iflas ettiyse iş tamamen değişti. Zero Trust işe bambaşka bir kafa yapısı — öyle “sen içerdeysen dostsun” masalını bırakıyorsun, içerisi dışarısı fark etmiyor artık (ciddiyim). Sistemler devamlı tetikte bekliyor.
Neden Bu Kadar Popüler Öldü? Biraz da Zorunluluktan…
Peki bu iş niye patladı? Şöyle anlatayım… Türkiye’de hâlâ çoğu kurum eski usül duvarlara yaslanıyor. Amerika’da kamu sektörü komple sıfır güvene dönmüş durumda neredeyse. Geçen ay İstanbul’da bir kamu bankasında danışmanlıkta sordum — dedim ki, “Zero Trust neden lazım?” Cevap çok tanıdık geldi: “Bizde veri merkezî kapalı devre abi, dışarıdan kimse elini kolunu sallayıp giremez.” İyi hoş da içeridekilerin hepsi sütten çıkmış ak kaşık mı?
İtiraf edeyim, Bak mesela ABD Deniz Kuvvetleri’nın bulutta Flank Speed projesine geçişi acayip iyi örnek. Adamlar hem Azure. M365’in üstüne DoD kurallarını bindirmişler hem de VPN’le uğraşıp zaman kaybetmeyi bırakmışlar resmen. Hatta üç yılda bitecek denen projeyi dört yıl erken tamamlamışlar! Bizde öyle hız olsa ben taklalar atarım açıkçası.
Kendi Projelerimden Ufak Bir Not
Ankara’daki bir enerji şirketinde geçen yıl başladığımız dönüşüm ilk etapta biraz garip kaçtı ekibe —. “kimseye körü körüne güvenmeyelim” dediğinde refleks olarak direniyor insanlar… Ama gel gör ki daha iki hafta önce zararlı yazılımlardan kurtulamamışken Entra ID + Conditional Access’e geçtiğimizde rahatladılar valla.
Zero Trust, “içeride güvenli dışarıda tehlikeli” yaklaşımını bırakıp kimlik, cihaz durumu ve minimum yetkiye dayalı sürekli doğrulama yapar. Aşağıdaki tablo, yazıda vurgulanan pratik fayda ve uygulama zorluklarını özetler.
| Özellik | Zero Trust yaklaşımı |
|---|---|
| Varsayım | İçeridekiler de dahil “hiç kimseye varsayılan güven yok” |
| Temel kontrol | Kimlik doğrulama + cihazın anlık durumu + erişimde minimum izin |
| Güvenlik etkisi | Gelen saldırılarda sürekli tetikte kalma; klasik firewall kafasının yetersiz kalması |
| Uygulama zorluğu | Plan eksikse (rol/erişim gibi) yanlış kapsam ve şaşırtıcı güvenlik açıkları oluşabiliyor |
Not: Yazıda örnekler, doğru planlama ve doğru eşleştirme ile Zero Trust’ın hız ve güvenlikte somut fayda sağlayabildiğini vurguluyor.
Sıfır Güvenin Pratiği: Her Şey Planda mı Başlıyor?
Sizi bilmem ama benim gözlemime göre başarılı bütün Zero Trust projeleri net planlamadan doğuyor. Asıl mevzu şu soruda yatıyor: Teknik özelliklerle ihtiyacı doğru eşleştirdik mi? Önce neyi koruyacağını dürüstçe belirlemeden hangi araç kullanılacak belli olmuyor maalesef.
“Kurumunuzun büyüklüğü ya da teknolojik seviyesi ne olursa olsun; plansız sıfır güven yolculuğu haritaya bakmadan ormanda koşmaya benzer.”
Vallahi, Bunu yaşadığım için söylüyorum; Aralık 2022’de bir sigorta kurumunda sadece ‘çok faktörlü kimlik doğrulama yeter’ diye direten ekip rol bazlı erişimi es geçmişti — sonra şaşkına döndüler. Kim nerede yetkili çözememiş oldular!
- İlk adım: Varlıkları tek tek çıkar – hassas uygulamalar hangileri?
- Daha sonra: Uygulamaya özel risk analizi yapmayı unutma.
- Kritik nokta: SIEM/SOAR gibi izleme sistemini kurmadan maceraya atlanmaz!
Zaten ABD tarafında üretici firmalar bile donanımla birlikte uyumluluk haritasını müşteriye koyup veriyor artık — yeni örnek görmek isterseniz
Daha yeni Kocaeli’nde orta boyutlu tekstil firmasında aynısını gördüm – IT ekibi fena değildi. Konuya girince maliyetleri duyunca üç yıl yayarız deyip frene bastılar hemen… Ben kızmam şahsen, hakları var! Kaynak yoksa mucize bekleyemezsin zaten.
Kapanış – Ben Olsam Nereden Başlardım? Tavsiye Listesi
Laf aramızda; sıfır güvene adım atacaksanız aşağıdaki maddeleri atlamayın derim:
- Sadece teknik rehberlere dalmayın – kendi ihtiyaç listenizi önceliklendirerek başlayın.
- Süreç odaklı gidin; hızlı sonuç beklentisiyle acele etmeyin yoksa tökezlersiniz.
- Tedarikçi seçerken entegre destek sunabiliyor mu bakmak hayatı mesele.
- Ekipte herkes aynı terimleri kullanıyor mu emin olun (özellikle kimlik & yetkilendirme işleri).
- Bütçe hazırlığında SIEM/SOAR türü loglama platformlarını ayrıca hesaba katmak gerekiyor.
“Zero Trust sadece teknoloji işi değil—tamamen kültür değişimi meselesi.”
Bunu yıllar önce ABD Deniz Kuvvetleri CISO yardımcısından duydum, kesinlikle altına imzamı atarım.
Eğer bulutta gizlilik seviyeleri hakkında başka örneklere göz gezdirmek isterseniz şu yazıya bakabilirsiniz:
Zero Trust için hangi teknolojiler mutlaka kullanılmalı?
Temel olarak kimlik doğrulama (MFA gibi), cihaz durumu kontrolü ve rol bazlı erişim yönetimi şart. Bunların hepsi birlikte çalışmalı ki gerçek anlamda Zero Trust sağlanabilsin. Sadece birini atlamak sistemi boşaltmak gibi oluyor.
Sıfır Güven sadece büyük kurumlar için mi uygun?
Hayır, küçük ya da orta ölçekli kurumlar da Zero Trust’dan fayda sağlar. Önemli olan doğru planlama yapmak ve kurumun ihtiyaçlarına uygun çözümler seçmek. Büyük kurumlarda daha kapsamlı olur ama küçük kurumlar da bu prensipleri uygulayabilir.
Zero Trust sayesinde siber saldırılardan tamamen kurtulabilir mıyız?
Hiçbir sistem yüzde yüz güvenlik garantisi vermez ama Zero Trust, riskleri ciddi oranda azaltır. Günlük yaşadığımız olaylarda gördüğüm üzere, saldırganların işini zorlaştırıyor ve zararları minimize ediyor.
Kaynaklar ve İleri Okuma
Azure Zero Trust Mimarisi Videosu
Azure Conditional Access Nedir?
Microsoft Zero Trust GitHub Kaynakları
20+ yıl deneyimli Azure Solutions Architect. Microsoft sertifikalı bulut mimari ve DevOps danışmanı. Azure, yapay zekâ ve bulut teknolojileri üzerine Türkçe teknik içerikler üretiyor.
