Kurumsal hibrit ve çok bulutlu yapılarda kimlik verisinin görünürlüğü eksik kalırsa, saldırganlar uygulamalar, API’ler ve makine hesapları arasındaki boşluklardan sessizce ilerleyebiliyor. Yeni yayımlanan değerlendirmelerde, kimlik mimarisini tek bir katmanda birleştiren “Identity Fabric” yaklaşımının 2026’da bu yüzden öne çıktığı vurgulanıyor.
Yaklaşımın merkezinde tek bir ürün değil, kimlik sağlayıcılarını, yönetişim sistemlerini, uygulamaları ve altyapıyı birbirine bağlayan gözlemlenebilir bir mimari var. Amaç, erişim politikasının ne söylediği ile kimliklerin çalışma anında gerçekte nasıl kullanıldığı arasındaki farkı kapatmak. Güvenlik ekiplerinin uzun süredir yaşadığı sorun da tam burada başlıyor: IAM platformları erişimi tanımlıyor ve sağlıyor, ancak çoğu zaman bunun uygulama içinde nasıl işlediğini doğrulamıyor.
Uzmanların tarif ettiği “identity dark matter” alanı da bu kör noktayı anlatıyor. Merkezi görünürlüğün dışında kalan kimlikler, uygulamalar ve kimlik doğrulama akışları büyüdükçe, yetkisiz erişim ve ayrıcalık kayması fark edilmeden birikiyor. Identity Fabric yaklaşımı, bu görünmeyen katmanı aydınlatmayı hedefliyor.
Asıl risk, kimliklerin sayısı değil; nerede ve nasıl izlendiği
Metinde çizilen çerçeveye göre kimlik yönetimi iki ayrı düzlemde çalışıyor: tasarım zamanı ve çalışma zamanı. Tasarım zamanında yaşam döngüsü yönetimi, provisioning, işe giriş-rol değişikliği-işten ayrılma akışları ve politika tanımı devreye giriyor. Çalışma zamanında ise kimlik doğrulama, yetkilendirme, SSO ve erişim kontrolleri gerçek kullanımın nasıl yürüdüğünü gösteriyor.
Risk, bu iki düzlem arasındaki kopuklukta büyüyor. Bir sistemde erişim yetkisi doğru tanımlanmış olsa bile uygulama içindeki davranış bambaşka bir tablo ortaya koyabiliyor. Bu yüzden yalnızca konfigürasyona bakmak yeterli olmuyor; hangi kimliğin, hangi uygulamada, hangi koşulda, ne yaptığının izlenmesi gerekiyor.
Yeni kurumsal yapılarda kimlik dağınıklığı da hızla artıyor. SaaS servisleri, bulut platformları, API çağrıları ve otomatik iş yükleri, klasik dizin sistemlerinin öngördüğünden çok daha geniş bir yüzey oluşturuyor. İnsan çalışanlar toplamın yalnızca bir kısmını temsil ederken, API’ler başka API’lerle konuşuyor, workload’lar rol devralıyor ve SaaS entegrasyonları çoğu zaman belgeye bile girmeyen güven ilişkileri kuruyor.
Bu tablo denetimi zorlaştırıyor. Güvenlik ekipleri varlığını görmediği kimliği yönetemiyor; envanter erişim artışının gerisinde kaldığında kullanılmayan ama geçerli kalan hesaplar ve gereğinden geniş ayrıcalıklar sessizce çoğalıyor. Sonuçta saldırı yüzeyi büyüyor, ancak bu her zaman bir alarm üretmiyor.
Benzer bir kör nokta yalnızca IdP günlüklerine bakıldığında da ortaya çıkıyor. İnceleme, kimlik tabanlı saldırıların kayda değer bölümünün IdP’de değil uygulama katmanında gerçekleştiğini belirtiyor. Saldırganlar artık çoğu zaman geçerli kimlik bilgileri kullanıyor; bu da log’ların ilk bakışta normal görünmesine yol açıyor. Uygulama katmanından gelen telemetri, davranışı gerçek kullanım ile karşılaştırma ve farkları yakalama imkânı veriyor.
Bu çerçevede yapılandırma verisi neyin izinli olduğunu, davranış görünürlüğü ise gerçekte ne olduğunu gösteriyor. Güvenlik ekiplerinin ihtiyaç duyduğu fark da burada ortaya çıkıyor.
Kimlik kumaşının neden 2026’da daha kritik görüldüğüne ilişkin anlatının bir diğer ayağı, insan dışı kimliklerin büyümesi. Birçok kurumda makine kimlikleri insan hesaplarını sayıca geçmiş durumda, ancak yönetişim ilgisi aynı hızda artmıyor. Bu kimlikler çoğu zaman İK merkezli yaşam döngüsüyle değil, altyapı otomasyonu üzerinden doğuyor ve klasik IAM kontrollerini by-pass eden bir akış içinde oluşuyor.
Haberleştirilen değerlendirmede bu kimlikler birkaç sınıfta toplanıyor: servis hesapları, otomasyon botları, bulut iş yükleri ile API anahtarları ve token’lar. Servis hesapları arka planda çalışan süreçleri ve zamanlanmış işleri yürütüyor, çoğu kez kalıcı yetkilerle geliyor. Botlar tekrarlayan görevleri sistemler arasında çalıştırıyor. Konteyner, fonksiyon ve sanal makineler kaynaklara erişmek için rol devralıyor. API anahtarları ve token’lar ise uygulamaların ve yapay zekâ kimliklerinin diğer hizmetlerle programatik biçimde konuşmasını sağlıyor.
Kontrol düzlemi kimlikleri de ayrı bir risk katmanı oluşturuyor. Çünkü bu kimlikler altyapının davranışını değiştirebiliyor; bazı durumlarda saldırganın, kendini izlemek için kullanılan güvenlik kontrollerini devre dışı bırakmasına kadar giden bir etki alanı yaratabiliyor. Metin, özellikle otomasyon kimliklerinin geniş yetkiler taşıdığı yerlerde saldırganların yüksek değerli hedefler bulduğunu aktarıyor.
Asıl sorun yine sahiplikte toplanıyor. Bir servis hesabının sahibi yoksa yetki daraltılmıyor, sırları döndürülmüyor, iş yükü ortadan kalktığında hesap da kapatılmıyor. Böylece aşırı yetkili kimlikler saldırgana hazır bir sıçrama noktası sunuyor; dormant kimlikler uzun süre geçerliliğini koruyarak sessiz giriş kapısına dönüşüyor; unowned kimlikler ise yaşam döngüsü tanımlanmadığı için sürüklenmeye devam ediyor.
Kontrol düzlemi kimliklerinde bu riskler daha da ağırlaşıyor, çünkü bu hesaplar çevrenin kendisini değiştirebiliyor. Metinde aktarıldığı biçimiyle, kimi senaryolarda koruma mekanizmalarını kapatmak bile mümkün olabiliyor.
Sekrütasyon tarafında önerilen yönetişim modeli, insanlar için geçerli olan disiplinin makine kimliklerine de uygulanması. Her servis hesabı, sertifika ve token için bir sahip, tanımlı bir amaç, bir son kullanma tarihi ve sürekli izleme isteniyor. Böylece secrets, sertifikalar ve token’lar dağınık bir koleksiyon olmaktan çıkıp yönetilebilir envantere dönüşüyor.
Bu başlıkta öne çıkan uygulamalar açık biçimde sıralanıyor: sahiplik atamak, kapsamı daraltmak, süresini belirlemek ve kullanımı izlemek. Bir kimliğin amacıyla uyumsuz davranışlar görüldüğünde bunun kayda alınması gerekiyor. İnceleme, bu işin periyodik manuel gözden geçirmeden çok, olay tetiklemeli ve sürekli bir süreç olarak yürütülmesini gerekli görüyor.
Identity Fabric’in kurumlara sağladığı somut kazanımların başında zero trust yaklaşımını uygulanabilir hale getirmek geliyor. Zero trust, hiçbir kimliğin doğuştan güvenilir sayılmamasını varsayıyor; bu da ancak gerçek davranışın sürekli değerlendirilmesiyle mümkün oluyor. Kumaş mimarisi tam bu noktada davranış sinyali üretebiliyor.
Hibrit ve çok bulutlu yapılarda farklı sağlayıcılara dağılmış kimlikler tek bir görünüm altında normalleştirilebiliyor. Böylece kimliklerin hangi uygulama ve altyapı üzerinde gerçekten yetki kullandığı görülüyor. İncelemede, cloud ortamlarında yanal hareketin sık biçimde IAM trust ilişkileri üzerinden ilerlediği, dağıtım sonrası yetki şişkinliği bırakıldığında bu yolların saldırganlar için görünmez bir rota haline gelebildiği anlatılıyor.
Burada doğrudan uygulamalardan ve altyapıdan kimlik keşfi yapmak, yalnızca IAM konfigürasyonuna güvenmekten daha sağlam bir resim veriyor. Kimlik hareketinin nerede ve nasıl gerçekleştiğini görmek, özellikle izinlerin dağıldığı büyük yapılarda güvenlik ekipleri için ana farkı oluşturuyor.
Bir diğer kazanım, sürekli erişim değerlendirmesi. Periyodik erişim incelemeleri dinamik yapılara yetişemiyor; bu nedenle entitlement’ları gerçek kullanım ile kıyaslayan sürekli kontroller öne çıkıyor. Kullanılmayan ya da davranışla örtüşmeyen ayrıcalıklar geri çekilebiliyor ya da işaretlenebiliyor.
En az ayrıcalık ilkesinin uygulanması da böylece daha mümkün hale geliyor. Ekipler artık tahminle değil, fiilen kullanılan izinlerle hareket edebiliyor. Bu da tek bir ele geçirilmiş kimliğin yaratacağı etki alanını daraltıyor.
Olay müdahalesi tarafında da parçalı araçların yarattığı zaman kaybı öne çıkıyor. Analistlerin kimlik zaman çizelgesini farklı sistemlerden elle birleştirmesi, izolasyon süresini uzatıyor. Identity Fabric’in sağladığı bağlam ise bu süreci hızlandırabiliyor.
İncelemede, uygulamalar, API’ler ve altyapı arasındaki aktiviteleri birleştiren tekil zaman çizelgesinin manuel yeniden inşa ihtiyacını azalttığı; trust ilişkilerinin ele geçirilmiş bir kimliğin nereye sıçrayabileceğini daha net gösterdiği; davranışsal baz çizgilerin de olağan erişim ile sessiz ayrıcalık artışını ayırmaya yardımcı olduğu belirtiliyor. Kimlik saldırıları çoğu zaman önce ayrıcalık yükseltme ve yanal hareketle ilerlediği için bu bağlam, olayın erken kapatılıp kapatılamayacağını belirleyebiliyor.
Yazıda ayrıca yapay zekâ kimlikleri de hızla büyüyen insan dışı kimlik sınıfı olarak öne çıkarılıyor. AI agent bir görev alıyor, ardından o görevi nasıl tamamlayacağına kendisi karar veriyor. Bu da yürütmenin niyetle birebir örtüşmeyebileceği yeni bir risk alanı yaratıyor.
Bu tarafta temel açık, ajanın niyet edilen görev ile gerçek icraatı arasındaki farkta ortaya çıkıyor. Örneğin yalnızca veri özetleme yetkisi verilen bir ajan, zincirleme eylemler veya manipüle edilmiş girdiler üzerinden tasarlanmamış kaynaklara ulaşabiliyor. Metin, ajanların çok sayıda sistem üzerinde hareket etmesi nedeniyle davranışlarının yalnızca yetkilendirilmekle kalmayıp izlenmesi gerektiğini söylüyor.
Veri tarafı da ayrı bir saldırı yüzeyi olarak ele alınıyor. Veri zehirleme senaryolarında güvenilir sanılan bir girdiyi işleyen ajan, farkında olmadan saldırganın aracına dönüşebiliyor. Bu nedenle AI kimliklerinin yönetimi yalnızca erişim kontrolü değil, çalışma anında davranış ve bağlam takibi de gerektiriyor.
AI kimliklerinin yönetişimi için üç temel unsur sıralanıyor: kapsamı belirleyen politika, sistemler arası yürütmeyi izleyen davranışsal bağlam ve ajan için hesap verebilir bir insan sahibi. İncelemeye göre konfigürasyon tek başına davranışı yönetmiyor; sınırların çalışma anında geçerli olup olmadığını görmek daha güvenilir yol olarak öne çıkıyor.
Kurulum tarafında ise Identity Fabric bir defalık bir ürün seçimi değil, olgunlaşma süreci olarak tarif ediliyor. İlk aşamada her kimlik kaynağı envantere alınıyor; dizinler, cloud IAM, secrets manager’lar ve uygulama içi kimlikler keşfediliyor. Ardından keşif, kimliklerin gerçekten çalıştığı uygulama ve altyapı katmanına kadar uzatılıyor.
Trust ilişkilerinin haritalanması kritik adım olarak öne çıkıyor. Saldırganların kullandığı yolların çoğu bu ilişkilerden geçiyor. IAM konfigürasyonuna güvenmek yerine uygulama ve altyapıdan doğrudan kimlik keşfi yapmak, yönetişim platformlarının kapsam içinde varsaydığı ama her zaman doğrulamadığı “identity dark matter” alanını görünür hale getiriyor.
Risk önceliklendirmesi de aynı yaklaşımın parçası. İnceleme, her kimliğin eşit risk taşımadığını açık biçimde söylüyor. Aşırı yetkili hesaplar, untrusted ağlardan erişilebilen kimlik bilgileri, zayıf kimlik doğrulama yöntemleri ve kontrol düzlemi erişimi olan hesaplar öncelik kazanıyor. Burada yanlış yapılandırmanın tek başına yeterli olmadığı, gerçek riskin izinler, ağ erişilebilirliği ve çalışma zamanı bağlamı birlikte değerlendirilmeden anlaşılamayacağı aktarılıyor.
Oluşturulan görünürlüğün ölçülmesi için de üç hat öneriliyor: ne kadarını görebildiğiniz, ne kadar riski kaldırdığınız ve olaya ne kadar hızlı tepki verdiğiniz. Öne çıkan metrikler arasında IAM dışında keşfedilen kimliklerin oranı, sahibi atanmış insan dışı kimliklerin payı, aşırı yetkili hesapların azalması ve olay sırasında bir kimlik zaman çizelgesini yeniden kurma süresi yer alıyor. Denetime hazır kanıtın da altyapı telemetrisine bağlı olduğu, bu nedenle görünürlüğün aynı zamanda denetim değeri taşıdığı vurgulanıyor.
Metin, kimlik güvenliğini destekleyen platformları da ayrı başlıklar halinde sıralıyor. Orchid Security, kimlikleri yalnızca IAM konfigürasyonundan değil doğrudan uygulama ve altyapıdan keşfettiği, davranışsal görünürlük ile kimlik telemetrisinden denetime hazır kanıt ürettiği için öne çıkarılıyor. Microsoft Entra geniş IAM ve erişim yönetimi kapsamına sahip, özellikle kendi ekosistemi içinde güçlü bir platform olarak tarif ediliyor. Okta, kimlik sağlayıcı katmanında kimlik doğrulama ve yaşam döngüsü odaklı yaygın bir IdP olarak anılıyor. Ping Identity, hibrit ortamlarda esnek dağıtımıyla kurumsal erişim yönetimi ve federation tarafında konumlanıyor. SailPoint yaşam döngüsü, erişim sertifikasyonu ve politika uyumluluğu odağında yönetişim tarafını temsil ediyor. Saviynt, governance ile cloud entitlement yönetimini uyum merkezli bir yaklaşımla birleştiriyor. CyberArk ise ayrıcalıklı erişim ve secrets yönetiminde yüksek değerli kimlik bilgilerini korumaya odaklanıyor.
İncelemenin vardığı çizgi net: 2026’da belirleyici ayrım, yalnızca erişimi tanımlayan değil, erişimin nasıl kullanıldığını da izleyen platformu seçmekte yatıyor. Kimlik güvenliğinde asıl eksik, konfigürasyonu değil davranışı izleyen katman. Identity Fabric yaklaşımı da tam olarak bu görünürlüğü sağlamayı amaçlıyor.