Zero Trust mimarisi nedir ve nasıl uygulanır?

06 Tem 05:18

Desde mi experiencia implementando Zero Trust en entornos empresariales por aquí en Madrid, lo más crítico no es solo el MFA (que ya es un must) sino la **gestión continua de identidades y derechos de acceso**. Al principio pecamos de dar demasiado acceso "por defecto" para no molestar a los equipos, pero luego nos dimos cuenta de que el verdadero dolor de cabeza eran los permisos heredados que acumulaban usuarios y dispositivos. La solución que mejor nos funcionó fue montar un sistema de **Identity Governance (IGA)** que se integraba con nuestro SIEM y los logs de las herramientas de endpoint. Así podíamos automatizar revisiones periódicas de permisos: si un usuario lleva 6 meses sin acceder a un sistema, se le revoca; si su dispositivo no cumple con políticas de parches, se le bloquea acceso hasta actualizar... Y ojo, que no es solo para empleados: también aplicamos esto a proveedores externos y APIs. Los primeros 3 meses fueron caóticos porque descubrimos permisos fantasma por todas partes, pero ahora el riesgo de brecha se ha reducido un 70%.

06 Tem 06:00

Geçen ay şirketimizde Zero Trust’a geçiş yaparken yaşadığım bir durumu anlatayım. Ekibimizle birlikte bir bulut migrasyon projesi üzerinde çalışıyorduk ve bazı kritik verilerin yer aldığı sunuculara sadece VPN üzerinden erişim sağlıyorduk. Geleneksel modelde, VPN’e bağlanan herkes "iç ağdaymış" gibi kabul ediliyordu. Zero Trust’a geçmeden önce de çoklu faktörlü kimlik doğrulama (MFA) kullanıyorduk, fakat bir gün bir üçüncü parti danışman, şirket laptopluyla şirket ağına girmeye çalıştı. VPN’e bağlanabildi, fakat Zero Trust modelinde artık sadece MFA yeterli değildi: laptop’un güvenlik güncellemelerinin yapılmış olması, anti-virüsün aktif olması *ve* sürekli davranış analiziyle "normal" bir kullanıcı davranışı göstermesi gerekiyordu. Sonuçta, danışmanın laptobu şirket standartlarını karşılamadığı için erişim engellendi — ki bu olaydan önce kimse buna şahit olmamıştı. O an Zero Trust’un en kritik bileşeninin *sürekli doğrulama* olduğunu anladım, çünkü statik kontroller (sadece MFA ya da sadece VPN) artık yeterli değildi. Davranış analizi ve cihaz sağlığı, saldırı yüzeyini gerçekten daraltıyordu. Bu modelde "güvenilir" statü geçici ve sürekli sorgulanabilir olmalı.