Şirketinizin yeterli erişim kontrollerine sahip olmadığını öğrenmenin en kötü zamanı her şeyin alevler içinde olduğu zamandır. Bir olay sırasında olabilecek en kötü şey, geliştirme ve operasyon ekiplerinizin sorunu çözmesinin engellenmesidir.
Bu nedenle, hem yetkilendirmeyi (AuthZ) hem de kimlik doğrulamayı (AuthN) içeren yeterli kimlik erişim yönetimi (IAM) politikalarına sahip olmak, olay yönetimi araçlarınız söz konusu olduğunda özellikle kritik öneme sahiptir.
Kimlik doğrulama ve yetkilendirme arasındaki fark
Bu iki terim benzer gibi görünse de farklı kavramlardır ve şirketinizin, uygulamalarınızın güvenliğini sağlamak için her ikisiyle de ilgilenmesi gerekir. Karışıklığı önlemek için, yetkilendirmeyi kimlik doğrulamadan daha net bir şekilde ayırt edecek şekilde “izinler” olarak adlandırmak yararlı olabilir.
Kimlik doğrulama ilk adımdır; o olmadan izinleri yönetmenin bir sonraki adımı anlamsızdır. Kimlik doğrulama, birinin söylediği kişi olduğunun doğrulanmasını içerir. Bunu bir VIP etkinliğinde kimlik kontrolü yapan bir güvenlik görevlisi olarak düşünün; bunlar dış dünya ile içerisi arasındaki ilk tampondur. Adınız listede bulunuyorsa ve kimliğiniz doğrulanıyorsa içeri girebilirsiniz.
Zorluğun bir kısmının, sorunu çözmek için doğru kişilerin olaya dahil edilmesini sağlamak olduğu bir olay sırasında, hamle yapması gereken kişilerin bunu gereksiz darboğazlar ve sürtüşmeler olmadan yapabilmesi çok önemlidir. Bir geliştiricinin engellemeyi kaldırmak için güvenlik ekibinden haber alana kadar beklemesi gerekiyorsa, uygulama kapalı olduğundan veya müşteri etkilendiğinden değerli zaman boşa harcanır.
İzinleri yönetmek süreçteki bir sonraki adımdır. Birisi doğrulandıktan ve içeri girdikten sonra ne yapmasına izin verilir? Mutfağa girmesine izin verilmesi gereken aşçılar mı? Bunlar yalnızca masalarda bulunmasına izin verilmesi gereken müşteriler mi? Canlı grup üyeleri mi ve yeşil odaya erişimleri mi olmalı? Bir kişinin partiye kabul edilmesi, onun mekanın her yerine tam erişime sahip olmasının uygun olduğu anlamına gelmez.
Aynı şey uygulamalar için de geçerlidir. İnsanların, sistemi kötüye kullanma riski olmadan, yapmaları gerekenleri ve yapmaları gerekenleri yapabilmeleri için uygulama içinde uygun erişim düzeylerine ve izinlere ihtiyaçları vardır. Hepimizin bildiği gibi şirketlerin içinde bile kötü niyetli aktörler mevcut, bu nedenle korkulukların ve parametrelerin bulunması işletmenizin sağlığı açısından kritik önem taşıyor. İyi niyetli kişiler bile hatalar yapabilir ve bu, güvenlik ve müşteriye özel verilerle uğraşırken yıkıcı olabilir.
Uygun erişim kontrollerinin uygulandığından emin olmak için platform ekipleriyle birlikte çalışmak güvenlik ekiplerinin görevidir. Böylece bir olay meydana geldiğinde her şey yolunda gidebilir ve gereksiz kaos yaşanmadan sorun çözülebilir. Erişimin anında verildiği veya birisinin zaten erişime sahip olması gerekirken erişiminin olmadığı bir durumda olmak istemezsiniz.
Erişim kontrolünü geniş ölçekte yönetme
Erişim kontrollü verilerin ayrıntı düzeyi ve insan sayısı arttıkça, hangi bilgilere kimin erişebileceği konusunda doğru önlemlerin alınması giderek zorlaşıyor. SCIM’in (etki alanları arası kimlik yönetimi sistemi) devreye girdiği yer burasıdır.
SCIM, kullanıcı hesaplarını oluşturma, güncelleme ve silme sürecini otomatikleştirir. Bu özellikle büyük kuruluşlarda veya çok sayıda bulut hizmeti kullanan kuruluşlarda kullanışlıdır çünkü normalde hesapların manuel olarak yönetilmesiyle harcanacak zaman ve emekten tasarruf sağlar. SCIM, standartlaştırılmış bir protokol kullanarak, kullanıcı bilgilerinin ve izinlerinin farklı sistemler arasında tutarlı olmasını sağlar.
Bu, hataların azaltılmasına yardımcı olur ve örneğin yeni bir çalışan eklediğinizde veya eski bir çalışanı tüm sistemlerden çıkardığınızda güvenlik politikalarının aynı şekilde ve anında uygulanmasını sağlar. Sistemler arasındaki bu hızlı güncelleme, güvenliğin ve operasyonel verimliliğin korunmasına yardımcı olur.
Olay yönetimine ilişkin hususlar
Hangi olay yönetimi çözümünü seçerseniz seçin, olay bilgilerine kimin ve ne zaman erişeceğini kontrol edebilmeniz için izinleri geniş ölçekte yönetme olanağı sunduğundan emin olmanız gerekir. Temel özellikler şunları içerir:
- SSO, SAML, SCIM için grup izinleri desteği
- Özel olayları oluşturma ve yönetme yeteneği
- Olay rolleri, hizmetler, ekipler, bileşenler ve daha fazlası genelinde RBAC
- Gerektiğinde kuruluşlar arasında korkuluk sağlamak için birden fazla kuruluşu yönetebilme yeteneği
Kurumsal güvenlik endişelerine gösterilen ilgi, satıcılar arasında büyük ölçüde değişiklik gösterir; bu nedenle, bu kritik özellikler hakkında ayrıntılı bilgi istemek çok önemlidir.