Kimlik ve erişim yönetimi (IAM) denetimlerinde artık yalnızca yazılı politika yeterli sayılmıyor; erişimin sistem içinde gerçekten nasıl uygulandığını gösteren kanıtlar da isteniyor. Uyum yükümlülükleri, kullanıcıların neye, hangi koşullarda ve ne kadar süreyle eriştiğini belirleyen kuralların fiilen çalışıp çalışmadığını ortaya koymayı hedefliyor.
Son analizler, birçok kurumda asıl açığın IAM platformlarının anlattığı erişim modeli ile uygulamalar ve altyapının gerçekte nasıl davrandığı arasındaki farktan doğduğunu gösteriyor. Kimlik sağlayıcı kayıtları giriş denemelerini gösterebilir, ancak uygulama içinde oturum açtıktan sonra ne olduğuna çoğu zaman ışık tutmaz. Bu boşluk, denetimlerde sürpriz bulgulara, yönetilmeyen erişimlere ve görünmeyen hesaplara kapı aralıyor.
Raporda özellikle “identity dark matter” diye anılan alan öne çıkarılıyor. Merkezî IAM görünürlüğünün dışında kalan uygulama yerel hesaplar, servis kimlik bilgileri, eski sistemler ve otomasyon için açılmış makine hesapları bu kategoriye giriyor. Çeyrek dönemlik bir erişim incelemesi kağıt üzerinde sorunsuz geçse bile, merkezi dizine hiç bağlanmamış hesaplar veya doğrudan uygulama içinde duran yetkiler denetimin dışında kalabiliyor.
Denetçilerin baktığı şey politika değil, uygulama içi ispat
İncelemeye göre IAM uyumu tek bir düzenlemeye bağlı değil; şirket içi yönetişim kuralları, sektör standartları ve yasal zorunluluklar üst üste binerek aynı kontrol alanını oluşturuyor. Bu çerçevede denetçiler, yazılı kontrol listesinden çok kontrolün sistem içinde çalıştığına dair kanıt arıyor.
Raporda adı geçen başlıca çerçeveler arasında Sarbanes-Oxley kapsamındaki SOX ITGC kontrolleri, PCI DSS v4.0’ın 7, 8 ve 10 numaralı gereklilikleri, HIPAA Security Rule, ISO/IEC 27001:2022 ek A kontrolleri, NIST SP 800-53’ün AC, IA ve AU aileleri ile GDPR’ın 32. maddesi yer alıyor. Bu standartların hepsi erişimi sınırlandırma, kimlik doğrulama, kayıt tutma ve hesap verebilirlik konularında benzer ilkeler istiyor, ancak talep ettikleri kanıt biçimi değişiyor.
SOX tarafında odak, finansal raporlama sistemlerindeki erişim tahsisi, değişiklik yönetimi ve ayrıcalıklı erişim kontrolleri. PCI DSS v4.0, kart sahibi verisine erişimde kısıtlama, güçlü kimlik doğrulama ve kayıt mekanizmalarını denetim altına alıyor. HIPAA, elektronik korunan sağlık bilgilerinin güvenliği için erişim kontrolü ve denetim mekanizmaları talep ediyor. ISO/IEC 27001:2022 ise sertifikalı bilgi güvenliği yönetim sistemleri içinde kimlik ve erişim yönetimi kontrollerini kapsıyor.
NIST SP 800-53 ailesinde erişim kontrolü, kimlik doğrulama ve denetim izleri öne çıkarken, GDPR güvenli işleme ilkesiyle erişimin sınırlı tutulmasını destekliyor. Uzmanların vurgusu, bu çerçeveler için kontrolleri ayrı ayrı kurmaktan çok bir kez eşleyip farklı denetimlerde aynı kanıtı yeniden kullanmak yönünde.
Raporda yinelenen temel beklentiler de aynı çizgide: en az ayrıcalık ilkesi, görev ayrılığı, periyodik erişim sertifikasyonu, ayrıcalıklı erişimin zaman sınırlı yönetimi ve işe giriş, görev değişikliği, işten ayrılma döngülerine bağlı yaşam döngüsü kontrolü. Denetçiler, bu kuralların dokümanda değil sistemde uygulandığını görmek istiyor.
Kayıt ve izleme gereklilikleri de bu nedenle kritik görülüyor. PCI DSS Requirement 10 ve NIST AU ailesi, kimin neye ne zaman eriştiğinin sonradan yeniden kurulabilmesi için kayıt tutulmasını şart koşuyor. Ancak rapora göre birçok kurum yalnızca kimlik sağlayıcı günlüklerini saklıyor; uygulama katmanındaki hareketler görünmez kalıyor. Kimlik bilgileri ele geçirilip meşru kullanıcı gibi davranıldığında, bu günlüklerde saldırganlık yerine normal kullanım görünümü oluşabiliyor.
Bu noktada uygulama katmanı telemetrisi denetim dili kadar güvenlik dili açısından da önem kazanıyor. Çünkü asıl uygulama içinde gerçekleşen hareket, merkezi oturum açma kaydından çok daha fazla şey söylüyor. Yalnızca IdP kayıtlarına dayanmak, kanıt zincirini eksik bırakıyor.
IAM denetimlerinde en sık tartışılan alanlardan biri çok faktörlü kimlik doğrulama. Raporda MFA ve koşullu erişim, yetkisiz kullanımın maliyetini artıran temel kontroller olarak tanımlanıyor. Fakat burada da kapsam sorunu var: kimlik sağlayıcıda MFA açık olsa bile eski bir uygulama doğrudan yerel giriş kabul ediyorsa merkezî koruma devre dışı kalabiliyor.
İncelemeye göre denetçilerin aradığı kanıtlar arasında MFA’nın ayrıcalıklı ve uzaktan erişimde gerçekten zorunlu tutulduğunu gösteren kayıtlar, cihaz, konum ve risk gibi sinyalleri kullanan koşullu erişim kuralları, eski ve güvensiz kimlik doğrulama yöntemlerinin kapatıldığını gösteren teknik kayıtlar ve uygulamaların merkezî kimlik doğrulamayı atlamadığını doğrulayan bulgular bulunuyor.
Yaşam döngüsü tarafında ise joiner-mover-leaver kontrolleri öne çıkıyor. Yeni başlayan, görev değiştiren ya da kurumdan ayrılan kullanıcıların yetkilerinin buna göre güncellenmesi bekleniyor. Ancak rapor, pek çok programda ayrılan bir yüklenicinin merkezi hesabı kapatılsa bile uygulama içi erişimin açık kaldığını söylüyor. Bu da hem denetçi hem saldırgan açısından istenmeyen bir açık yaratıyor.
Makine kimlikleri için de benzer disiplin gerekiyor. Servis hesapları ve otomasyon kimlik bilgileri için bir sahip, kullanım amacı, son geçerlilik tarihi ve izleme mekanizması tanımlanmadığında, bu hesaplar insan kaynaklı süreçlerin tamamen dışında kalıyor. Raporda, insan dışı kimlikleri tanımlamak için kullanılabilecek pratik yöntemlere de atıf yapılıyor.
En büyük bulgulardan biri erişim şişmesi. Kişiler görev değiştirdikçe eski yetkileri çoğu zaman geri alınmıyor ve hesaplar zaman içinde gereğinden fazla ayrıcalık topluyor. Bu durum yalnızca denetim kapsamını büyütmüyor, aynı zamanda saldırı yüzeyini de genişletiyor.
Raporda, aşırı yetkili hesapların tek başına bir açık olmadığı, ancak bu hesaplar gerçek erişilebilirlikle birleştiğinde riskin büyüdüğü belirtiliyor. Bulut ortamlarında yanlamasına hareketin çoğu zaman IAM güven ilişkileri üzerinden ilerlediği, bu ilişkilerin de düzenli olarak yeniden sağlıklı boyuta indirilmediği aktarılıyor. Çözüm olarak yıllık temizlik değil, kullanıma bağlı sürekli yetki incelemesi öne çıkarılıyor.
Ayrıcalıklı erişim yönetimindeki boşluklar da ayrı bir başlık açıyor. Shadow admin yetkileri, uygulama içinde merkezî PAM akışına hiç girmeyen yerel yönetici hesapları olarak tarif ediliyor. Paylaşılan ayrıcalıklı kimlik bilgilerinde hesap bazlı sorumluluk kayboluyor. Sürekli açık duran yetkiler ise onaylı ve zaman sınırlı yükseltme yerine kalıcı erişim yaratıyor.
Raporda ayrıca control-plane kimlikleri, yani altyapı otomasyonunun kullandığı ve çevreyi yeniden şekillendirebilen geniş yetkili hesaplar da riskli sınıfta sayılıyor. Bu tür hesaplar devre dışı bırakılırsa, saldırgan yalnızca izlemeyi değil doğrudan kontrol mekanizmalarını da kapatabiliyor. Metin, insan sorumluluğunun makine kimliklerine kadar uzanması gerektiğini net biçimde söylüyor.
Erişim incelemeleri de sık takılan alanlardan biri. Denetimlerde sorun, çoğu zaman incelemenin hiç yapılmaması değil, kapsamın dar tutulması. Sadece kimlik sağlayıcıya bağlı sistemleri kapsayan bir onay süreci, eski uygulamalardaki yerel hesapları görmediğinde tamamlanmış gibi görünse de gerçekte eksik kalıyor.
İnceleme dokümantasyonunun da aynı derecede önemli olduğu vurgulanıyor. Hangi sistemlerin bakıldığı, hangi hesapların kapsandığı ve onayın neye dayandığı açık değilse, denetim izi savunulabilir olmuyor. Bu yüzden rapor, yalnızca süreci yazan değil, gerçekten neyin incelendiğini de kayıt altına alan yapıların geçerli kabul edildiğini belirtiyor.
Otomasyon tarafında ise IAM uyumunun periyodik manuel onaydan sürekli doğrulamaya geçmesi hedefleniyor. Otomatik tahsis, yetki kaldırma ve erişim sertifikasyonu, insan hatasını azaltırken kanıt üretimini de hızlandırıyor. Denetim ekiplerinin ihtiyaç duyduğu belgeler, bu akışlardan yan ürün olarak çıkıyor.
Olay temelli tahsis modelinde yetki, işe giriş ya da görev değişikliği sinyali geldiğinde otomatik veriliyor ve rollerle eşleştiriliyor. Ayrılan kullanıcılar için erişim, bağlı sistemlerde derhal kaldırılıyor ve kaldırma zamanı kanıt olarak saklanıyor. Sertifikasyon süreçleri de sahiplerine otomatik yönlendirilip manuel yeniden kurma yerine doğrudan onay kaydı bırakıyor. İstisna yönetiminde ise sapmalar gerekçesi, son kullanım tarihi ve kapanış kaydıyla izleniyor.
Bu otomasyonun yanında sürekli politika izleme de devreye giriyor. Amaç, tasarlanan erişim modeli ile gerçek durum arasındaki kaymayı yakalamak. Bir yetki yanlışlıkla açık kaldığında ya da uygulama içi davranış politika ile uyumsuz hale geldiğinde, sistem bunu sonraki inceleme döngüsünü beklemeden işaretleyebiliyor.
Raporda, erişim davranışını yalnızca yapılandırma üzerinden değil, kullanım üzerinden izleyen yaklaşımların daha güçlü kanıt ürettiği ifade ediliyor. Saldırganların çoğu zaman yetki yükseltme ve yanlamasına hareketi uzun süre sessiz yürüttüğü hatırlatılarak, davranışsal doğrulamanın hem uyum hem erken tespit açısından değer taşıdığı aktarılıyor.
Yaygın araç sınıfları da birbirinden ayrılıyor. IAM ve IGA platformları erişim politikası, tahsis ve sertifikasyonu yönetiyor; PAM araçları ayrıcalıklı oturumları ve yükseltmeyi kontrol ediyor; CSPM, SSPM ve CIEM gibi posture araçları bulut, SaaS ve yetki yapılandırma risklerini arıyor. Buna karşın uygulama içi kimlik bağlamını çoğu zaman vermiyorlar. Identity observability platformları ise kimlikleri doğrudan uygulamalardan ve altyapıdan çıkarıp erişimin gerçekten nasıl kullanıldığını doğruluyor.
Metinde bu son sınıfta Orchid Security örnek gösteriliyor. Platformun, yalnızca IAM yapılandırma verisine dayanmak yerine kimlikleri uygulama ve altyapıdan keşfettiği, identity dark matter alanını görünür kıldığı ve kimlik kontrollerini yürürlükteki düzenleyici yükümlülüklerle eşleştirdiği anlatılıyor. Amaç, denetim kanıtını varsayımdan değil gözlenen uygulamadan üretmek.
Hazırlanan çerçeveye göre audit hazırlığı da ayrı bir kampanya değil, olgun bir uyum programının doğal çıktısı olarak görülüyor. Kontroller kanıtı sürekli ürettiğinde, denetim öncesi telaş yeniden belge toplamak yerine mevcut kayıtları çekmeye dönüşüyor.
Rapor, IAM’ın uyum ve denetimde nasıl yardımcı olduğuna dair temel yanıtı da net veriyor: erişim yapısını kurar, en az ayrıcalığı uygular, güçlü kimlik doğrulama ve yaşam döngüsü yönetimi sağlar, ayrıcalıklı erişimi denetler ve bunların kayıtlarını üretir. Ancak bu katkı, yalnızca gerçek erişim uygulamasına görünürlük olduğu ölçüde anlamlı kalıyor.
Politika seviyesindeki uyum ile uygulama seviyesindeki uyum arasındaki farkın belirleyici olduğu vurgulanıyor. Kontrolleri anlatan bir paket ile bunları gerçekten gösteren bir paket arasındaki ayrım, denetim başarısını doğrudan etkiliyor. IAM’in anlattığı düzen ile uygulamaların fiili davranışı uyuşmadığında, eksik kalan boşluğu identity dark matter dolduruyor.
Bu nedenle raporda yer alan ana mesaj açık: uyum, kâğıt üstünde yazılı kurallardan çok sistemlerin içindeki yürütme biçimiyle ölçülüyor. Denetçiler de saldırganlar da ilk olarak bu yürütmeyi test ediyor.