Bir çalışan kuruluşunuzdan çıkıyor. Ayrılış şartları ne olursa olsun, eski bir çalışan ayrıldığında veya rol değiştirdiğinde çok çeşitli insan dışı kimlikleri, dijital kimlik bilgilerini ve diğer sırları etkileme potansiyeline sahiptir. Bu sırlar arasında kurumsal ağlara erişim, e-posta gönderip alma ve dosya paylaşımına ilişkin kimlik bilgileri yer alıyor. Bir kuruluştaki her insan dışı kimlik için ortalama 92 insan dışı kimlik (NHI) yaratılır. Çalışanlar işten ayrıldığında NHI’ler yönetilemez hale gelebilir ve birçok durumda istismara maruz kalabilir.
NHI nedir?
İnsan dışı kimlikler (NHI’ler), makineler arası kimlik doğrulamayı ve yazılım altyapısı ve uygulamaları genelinde erişimi destekler. Bu dijital yapılar, otomatikleştirilmiş süreçlerin, hizmetlerin ve uygulamaların doğrudan insan müdahalesi olmadan kimlik doğrulaması yapmasına ve görevleri güvenli bir şekilde yerine getirmesine olanak tanır. Erişim anahtarları, sertifikalar ve belirteçler gibi sırlar da dahil olmak üzere çeşitli kimlik doğrulama türleri yoluyla NHI’lere erişim verilir.
Örneğin, bir uygulamanın veya iş yükünün bulut hizmetlerine erişmek için bir API anahtarına ihtiyacı olabilir. Diğer örnekler arasında kimlik doğrulama belirteçleri, SSH anahtarları, özel sertifikalar, MTM ve veritabanı şifreleri ve kapsayıcı sırları yer alır. İnsan erişim kimlik bilgilerinden farklı olarak NHI izinleri, otonom ve sürekli çalışmayı kolaylaştırmak için genellikle gerekli minimum sınırı aşar. Bu tür “yanlış boyutlu” izinler, NHI’leri daha tehlikeli ve istismara açık hale getiriyor.
İdeal olarak, NHI’ler, yaşam döngülerini yönetecek açık politikalara sahip bir NHI yönetim çerçevesi kullanılarak oluşturulur, sınıflandırılır ve yönetilir. Uygulamada, NHI’ler genellikle çok az veya sıfır belgeyle, ezoterik olarak oluşturulan bireysel çalışanlara yönelik standart dışı iş akışları kullanılarak geçici olarak oluşturulur. Böyle bir çalışan işten ayrıldığında, bu NHI’lere ve ilgili iş akışlarına ilişkin bilgiler yetim kalır ve potansiyel olarak sonsuza kadar kaybolur.
NHI ile ilgili riskin türleri ve kapsamı
NHI yaşam döngüsü
Otonom, makineden makineye kimlik doğrulama ve operasyon için kullanılmasına rağmen, NHI yaşam döngüsü tipik olarak her adımda insanları ve onlarla ilişkili riskleri içerir:
- Gereklilik – yazılım geliştiricileri ve sistem mimarları tarafından yapılan mimari ve entegrasyon seçimlerinden gizli sonuçlara duyulan ihtiyaç. Bu seçimler düşünülmeli ve dikkate alınmalıdır
- Oluşturma ve depolama – NHI’ler genellikle geliştirme ve entegrasyon sürecinde “anında” oluşturulur ve saklanır. Tüm sırların %62’si kopyalanıyor ve birden fazla yerde saklanıyor
- Kullanım – NHI’ler yazılım aracılığıyla sistemler arasında aktarılırken insanlar bunların kullanımını başlatır ve bulundukları yerdeki kodu ve yapılandırmaları günceller. Ancak tanımlanan sırların %40 kadarı boşta duruyor
- Döndürme – en iyi uygulamalar, sırların düzenli olarak güncellenmesini (diğer bir deyişle dönüşümlü) gerektirir. NHI rotasyonu insan eline bırakıldığında ortalama olarak her 627 günde bir gerçekleşir.
- Emeklilik – yazılım mimarisi ve konfigürasyonlarındaki değişiklikler ve/veya personelin işten ayrılması nedeniyle NHI’lere ve diğer sırlara artık ihtiyaç duyulmadığında bunların geçersiz kılınması gerekir. Ancak çalışan tokenlarının %91’e kadarı hiçbir zaman iptal edilmez veya provizyonu kaldırılmaz
Sızıntı ve terk
Bir çalışanın görev süresinin sona ermesi iki tür risk sunar: sızıntı ve işten ayrılma.
Sızıntı
Bir çalışan ayrıldığında sırlar da onlarla birlikte gidebilir. Bu sırlar (kimlik bilgileri, NHI’ler ve ilgili iş akışları) zihinsel hafızadan sızdırılabilir, manuel olarak kaydedilebilir, kasalarda ve anahtarlıklarda, çıkarılabilir medyada ve daha fazlasında saklanabilir. Dışarıya sızdırılan sırlar “sızdırılmış” olarak kabul edilir.
Terk edilme
Aynı derecede büyük bir risk, çalışanların, özellikle de geliştiricilerin, yazılım yığınlarının ve yapılandırmalarının bir parçası olarak, tek seferlik olaylar olarak veya düzenli iş akışlarında gizli diziler oluşturması, dağıtması ve yönetmesidir. Çıktıklarında bu sırlar, varlığı meslektaşların veya araçların ve çerçevelerin bilmediği yetim hale gelebilir. “Terkedilmiş” sırlar hâlâ verilere erişebilir ve hâlâ işlevseldir. Bilinen herhangi bir iş akışında kullanılmazlar.
Sırların kötü yönetimi
Sırlar siloları
Büyük DevOps platformları ve bulut sağlayıcıları gizli dizi yönetimi için yerel araç setleri sunsa da bu sistemler genellikle birlikte iyi performans göstermez. Çeşitli sır yönetimi paradigmaları, birlikte çalışabilirliği ve tutarlı politika uygulamasını engelleyen silolar yaratabilir. Bu tür silolar tek bir çalışanın yetki alanına girdiğinde, onun ayrılması siloyu tamamen şeffaf hale getirir.
Sırlara üçüncü taraf erişimi
NHI’lerin yaşam döngüsü, ortakları, tedarikçileri, müşterileri ve diğer üçüncü tarafları kapsayacak şekilde tek bir kuruluşun sınırlarının ötesine uzanabilir. Paylaşılan sırlar kuruluşunuzdan kaynaklanıyorsa, diğer kuruluşlar sır yönetimi uygulamalarında daha az titiz olsa bile, bu yaşam döngüsünü yönetme fırsatına sahip olursunuz. Ancak, üçüncü taraf çalışanların istihdam durumu ve paylaşılan sırların dağılımı hakkında kendi çalışanlarınıza göre daha az görünürlüğe sahip olacaksınız.
En iyi uygulamalar
NHI’ler de dahil olmak üzere sırları yönetmeye yönelik en iyi uygulamalar, burada “dört C” olan birkaç temel kavrama odaklanır:
Bağlam
İşlevsel bir sır yönetimi stratejisi, bir kuruluştaki tüm bağlamları hesaba katmalı ve uygulamalıdır:
- Tam bağlam sağlamak için mevcut tüm gizli dizileri tanımlayın ve analiz edin
- Tüm yeni ve değiştirilmiş sırların içeriğini ve ayrıntılarını kataloglayın
- Şirket içinde, bulutta ve ötesinde geliştirme ve dağıtımı dahil edin
- Uygulamalar, altyapı ve diğer siber güvenlik bağlamları için de aynı şey geçerli
- Çalışanın işe alımına bağlam tanımını dahil edin; Teknik olmayan çalışanlar için bile çıkışta bağlamları gözden geçirin
Kapsamlılık
Şirket içinde ve üçüncü şahıslarla hiçbir sır kataloglanmamış ve yönetilmeden kalamaz. Aşağıdakilerle başlayın:
- Sır yönetimi politikası ve süreçlerini oluşturmak; bir başucu kitabındaki belge
- Tüm çalışanların ve yüklenicilerin görev süreleri boyunca ve sonrasında sırların yönetimine ilişkin yükümlülüklerini anlamalarını ve kabul etmelerini sağlamak için İK ile koordinasyon sağlayın
- Rol tabanlı erişim kontrolünü (RBAC) zorunlu kılın; Kullanıcı rollerine göre sırlara erişim vererek yalnızca yetkili personelin hassas bilgilere erişmesini sağlayın
- İşten ayrılmanın bir parçası olarak çalışan rollerini ve sır erişimini yeniden gözden geçirin
Tutarlılık
Sır yönetimi politikası, sır türleri, farklı platformlar, organizasyon grupları ve mümkünse üçüncü taraflar arasında tutarlı bir şekilde uygulanmalıdır. Tutarlılık en iyi şekilde şu şekilde sağlanır:
- Her zaman sır yönetimi araçlarını kullanın ve geçici oluşturma ve kullanımdan kaçının
- Platforma özgü araç ve yöntemlerden yararlanın
- Gerçek kullanım durumlarıyla (en kötü durumlarla karşılaştırıldığında) eşleşmesi için NHI’lere verilen “doğru boyutta” izinler
- Güçlü sırlar gerektirir (araçların kullanılması sorun değildir); Kolayca tahmin edilebilecek, sömürülebilecek ortak kalıplardan kaçının
- NHI yönetimini DevOps’a entegre edin; Gizli bilgi yönetimi uygulamalarını DevOps yaşam döngüsüne entegre etmek, yazılım geliştirme ve dağıtım süreci boyunca güvenliğin korunmasına yardımcı olur
- NHI politika uyumluluğunu inceleme döngülerine ve çalışanların işten çıkarılmasına dahil edin
Para birimi
- Tüm sırların, sırların döndürülmesi veya kullanımdan kaldırılması gereken bir son kullanma tarihi olmalıdır.
- Gizli dizileri düzenli olarak dönüşümlü yayınlayın
- Yeni bağlamları ve araçları dahil etmek için sır yönetimi politikasını ve süreçlerini yeniden ziyaret edin
- Sır yönetimi politikasını ve süreçlerini iyileştirmek ve güncellemek için görev süresi boyunca ve işten ayrılma sırasında çalışan ve yönetici geri bildirimlerinden öğrenilen dersleri kullanın
NHI devir süreci – Çalışanlar ayrıldığında
Şirketinizin halihazırda kapsamlı bir sır yönetimi programı varsa, çalışanların geçişleri şeffaf olmalıdır. Kimlik bilgileri kullanımdan kaldırılır ve söz konusu çalışanın yetki alanına giren sırlar dağıtılır ve/veya dönüşümlü olarak kullanılır.
Ancak çoğu kuruluşun kapsamlı bir sır yönetimi programı yoktur veya sır envanteri üzerinde yalnızca kısmi bir kontrolü vardır. Peki hangi adımlar gerekli?
Kaçınılmaz olana hazırlanın (önleyici tedbirler)
Sır yönetimini desteklemek için herhangi bir çalışanın statüsünü değiştirme fırsatını değerlendirin. Kuruluşunuzun gizli bilgi yönetimi araçları veya protokolleri yoksa, bunları bir olay meydana gelmeden önce proaktif olarak uygulayın.
Çıkış anında
Çıkış yapmadan veya durum değişikliği yapmadan önce, çalışanın hatırlayabildiği tüm kimlik bilgilerini, diğer sırları ve iş akışlarını kataloglamasını isteyin. İlgili çalışanın faaliyetleri ve sorumlulukları hakkında bilgi sahibi olan İK, BT ve güvenlik ekiplerinin bu listeyi kontrol etmesini ve genişletmesini sağlayın. Listeyi mevcut sır yönetimi araçları ve numaralandırmalarla karşılaştırın ve eksik girişleri veritabanlarına ve araçlara ekleyin. Döndürme veya ortadan kaldırma için geçici gizli dizileri işaretleyin.
Çıkış sonrası kontroller
Yukarıdaki kontrolleri tekrarlayın ve tüm kimlik bilgilerinin ve gizli dizilerin kullanımdan kaldırıldığından ve/döndürüldüğünden ve iş akışlarının yeniden atandığından ve/veya kullanımdan kaldırıldığından emin olun.
Düzenli denetimler
Sır yönetimi politikalarınızı ve süreçlerinizi geliştirmek ve iyileştirmek için her durum değişikliğinden öğrenilen dersleri alın. Fiili çalışan ayrılmalarından veya diğer değişikliklerden bağımsız olarak, sır envanteriniz üzerinde düzenli denetimler yapın ve bu sırları yönetmek için kullanılan araçların yapılandırma kontrollerini yapın. Tüm kuruluş genelinde sır yönetimini zorunlu hale getirin.
Çözüm
Yazılım sistemlerindeki sırlar, geliştirme ve dağıtım ortamının ayrılmaz bir parçasıdır. Yazılım mimarisi, kimlik doğrulama ve biyometrideki gelişmeler hiçbir zaman sırlara olan ihtiyacı ortadan kaldırmayacak, bunun yerine sırların sayısını ve sır yönetimi bağlamlarını çoğaltacaktır.
Çalışan statüsündeki bir değişiklik duygusal bir etkiye sahip olabilir, ancak bir ekip üyesinin rol değiştirmesi veya kuruluştan ayrılması, öğrenilen derslerden olumlu yönde etkilenmediği sürece şirketin siber güvenlik duruşunu etkilememelidir.
Harekete geçmek için çalışanın veya yüklenicinin olay yerinden ayrılmasını beklemeyin. Adli tıp pahalıdır ve eski çalışanların sırlar ve iş akışları konusundaki görüş alanının tamamını nadiren yakalar. Yanlış yönetilen sırların bir ihlali mümkün kılmasını veya daha da kötüleştirmesini beklemeyin. Bunun yerine, NHI’ler de dahil olmak üzere yazılım sırlarınızı bugün yönetmeye başlayın.