Yapılan son araştırmalar, pandemiyle birlikte hayatımıza giren uzaktan çalışma eğiliminin 2025 yılına kadar %87 oranda artacağını raporluyor. Bu hızlı değişimin sıfır güven yaklaşımını benimseyen birçok kurumun aklında soru işareti oluşturabileceğine dikkat çeken WatchGuard Türkiye ve Yunanistan Ülke Müdürü Yusuf Evmez, MSP'lerin cevaplamaya hazırlanması gereken 5 sıfır güven sorusunu ve yanıtlarını paylaşıyor.

Birçok şirketin uzaktan çalışma ortamlarına geçişini hızlandıran pandemi, şirketlerin büyüyen uzak iş gücünü barındıracak kadar esnek, kullanıcı merkezli ve titiz olan güvenlik çözümlerine duyulan ihtiyaçlarını artırıyor. Yapılan araştırmalar, uzaktan çalışma eğiliminin 2025 yılına kadar %87 oranda artacağını raporlarken bu durum, şirketlerin sıfır güven yaklaşımına daha ılımlı bakmasına olanak tanıyor. Ancak şirketlerin sıfır güven stratejilerini düşünürken bulut ortamına geçişler, geleneksel ağın ortadan kaldırılması, güven oluşturmak için doğru politikalar ve daha fazlasıyla ilgili soruları olabileceğini aktaran WatchGuard Türkiye ve Yunanistan Ülke Müdürü Yusuf Evmez, MSP'lerin karşılaşabileceği ve cevaplamaya hazırlanması gereken 5 sıfır güven sorusunu sıralıyor.

1. Ağımdaki kullanıcılar ve aygıtlar güvenilir değil mi?

Hem büyük hem de küçük ölçekli şirketler, ağ içindeki kullanıcıları ve verileri güvence altına almak için kapsamlı güvenlik korumalarına ihtiyaç duymadıkları fikrinin kurbanı olabilir. Ancak günümüz teknoloji ortamında kuruluşların, varsayılan konumlarından bağımsız olarak tüm kullanıcıların, cihazların ve bağlantıların güvenilmez olduğunu göz önünde bulundurmaları gerekiyor. Bir saldırganın tüm ağı tehlikeye atması için tek gereken şey kaybolan veya çalınan bir kurumsal kimlik bilgisidir. Bu nedenle konum doğrulama ve daha fazlası gibi risk tabanlı politikalarla çok faktörlü kimlik doğrulama yapmak, sıfır güven yaklaşımı için çok önemlidir.

2. Sıfır güven duruşu oluşturmak için güçlü bir kimlik doğrulama yeterli olur mu?

Sıfır güven ağları, kullanıcıların ve bilgisayarların şirket kaynaklarına erişmeden önce meşruiyet oluşturmasını sağlar. Müşteriler; uç nokta antivirüs, tehdit algılama ve yanıtlama gibi korumaları kullanarak cihazların yanı sıra çok faktörlü kimlik doğrulama ile kullanıcılarını da doğrulamalıdır. Böylece her iki çözümü kullanan müşteriler, paylaşılan ve güvenilmeyen bir cihazda aktif olan çalışanın erişimine izin verebilirler. Şirketlerin daha az IT görünürlüğüne ve denetimine sahip olduğu uzaktan çalışma çağında sıfır güven ağları, önemli riskleri önleyebilir.

3. Uzak çalışanların ev ağları nispeten güvenli değil mi?

Bazı müşteriler çalışanların ev ağlarının, paylaşılan ortak ortamlardan daha güvenli olduğuna inanabiliyor. Ancak sıfır güven duruşu oluşturmayı düşünen herhangi bir şirketin bu fikri tamamen reddetmesi gerekir. Kullanıcıların ev ağları; kahve dükkanlarından, havaalanlarından veya diğer uzak çalışma konumlarından, özünde daha güvenli veya daha az riskli değildir. Bu nedenle sıfır güven yaklaşımı kapsamında şirketler, ev ağlarına güvenilmeyen ortamlar olarak bakmalı ve risk tabanlı korumaların yanı sıra uzaktan çalışan eğitimlerini uygulamalılardır.

4. %100 bulut ortamnıa geçiş yapmam gerekiyor mu?

Bazı müşteriler yerel ağ, uzaktan erişim veya VPN ihtiyacını ortadan kaldırmanın yanı sıra tüm hizmetlerini buluta taşımaları gerektiğine inanabiliyor. Bu yaygın bir yanılgıdır çünkü çoğu şirket muhtemelen yerel kullanıcılar için hızlı erişime sahip alan adını, uygulama ve dosya sunucularını devam ettirmeyi isteyecektir. Kurumlar, sıfır güven yaklaşımının kesinlikle her şeyi buluta taşımak anlamına geldiğini düşünmemelilerdir. Kurumlar bir ofisi olduğu sürece, kullanıcıların yalnızca VPN aracılığıyla erişebilecekleri eski uygulamaları ve şirket içinde paylaşılan dosya sunucularını büyük olasılıkla koruyacaklardır. Sıfır güven stratejisiyle bile müşteriler, daha geniş bir iş uygulamaları altyapısının çekirdek ağ parçasını göz önünde bulundurmalıdır.

5. Kullanıcı dostu bulut uygulama erişimleri için otomatik girişleri etkinleştirebilir miyim?

Birçok bulut uygulaması, çalışanların Facebook, Twitter ve daha fazlası gibi sosyal medya hesaplarını kullanarak oturum açmasına izin verir. Kullanıcıların tüm bulut uygulamalarına erişmek için bu tür kimlik bilgileriyle bir kez oturum açmasına izin vermek ise zaman tasarrufu sağlar ve müşteriler bu sosyal tabanlı otomatik oturum açmaların, kullanıcı deneyimlerini iyileştirmenin en iyi yolu olduğuna inanabilir. Ne yazık ki bu güvenli değildir ve tamamı risk yönetimiyle ilgili olan sıfır güven ilkelerinin oldukça dışındadır. Bulut hizmetleri için otomatik oturum açmaya veya tek oturum açmaya izin veren müşteriler, kimlik sağlayıcılar gibi şirket tarafından kontrol edilen kimlik bilgisi yönetimini ve SAML gibi protokolleri kullanan bulut uygulamalarıyla güven ilişkilerini kullanmalıdır.