Bir saldırının büyük çoğunluğu çalınan veya kötü yönetilen kimlik bilgileriyle başlar — bu yüzden modern güvenliğin yeni çevresi (perimeter) artık kale duvarı değil, kimliğin kendisidir.
NEDİR? IAM (Identity and Access Management — Kimlik ve Erişim Yönetimi), bir kurumdaki doğru kişilerin (ya da makinelerin/servislerin) doğru kaynaklara, doğru zamanda ve doğru gerekçeyle erişmesini sağlayan politika, süreç ve teknolojiler bütünüdür. İki temel soruyu yanıtlar: "Sen kimsin?" (Authentication / Kimlik Doğrulama) ve "Ne yapmana izin var?" (Authorization / Yetkilendirme). IAM aynı zamanda bir kullanıcının işe alımdan ayrılışına kadar olan tüm dijital kimlik yaşam döngüsünü yönetir. NASIL ÇALIŞIR? IAM tipik olarak şu adımlarla işler: 1) Identification (Tanımlama): Kullanıcı bir kimlik beyan eder (örn. kullanıcı adı, e-posta). 2) Authentication (Doğrulama): Beyan edilen kimlik kanıtlanır — parola, MFA kodu, biyometri veya sertifika ile. 3) Authorization (Yetkilendirme): Doğrulanan kimliğe, rol ve politikalara göre hangi kaynaklara erişebileceği belirlenir (örn. RBAC — rol tabanlı erişim). 4) Access (Erişim): Kullanıcıya yalnızca yetkili olduğu kaynaklar açılır. 5) Audit (Denetim): Kim, neye, ne zaman eriştiği günlüklenir ve izlenir. Merkezi bir dizin servisi (örn. Active Directory, LDAP, bulut kimlik sağlayıcı) tüm bu kimlikleri ve politikaları tek noktadan yönetir; SSO (Tek Oturum Açma) ile kullanıcı bir kez giriş yapıp birçok uygulamaya erişebilir. NEDEN ÖNEMLİ / İŞ YERİNDE IAM, sızıntıların en yaygın başlangıç noktası olan kimlik bilgisi kötüye kullanımını engellemenin temelidir. İş yerinde IAM sayesinde: yeni çalışan göreve başladığında erişimleri otomatik tanımlanır (provisioning); departman değiştirince hakları güncellenir; işten ayrıldığında tüm erişimleri anında kapatılır (deprovisioning — "hayalet hesap" riski ortadan kalkar). Ayrıca KVKK/GDPR, ISO 27001 ve SOC 2 gibi uyumluluk denetimlerinin "kim neye erişebilir?" sorusuna kanıt sunar. DİKKAT / İYİ UYGULAMA • En Az Yetki İlkesi (Least Privilege): Herkese yalnızca işini yapacak kadar yetki verin, fazlasını değil. • MFA'yı zorunlu kılın: Özellikle yönetici (privileged) hesaplarda çok faktörlü doğrulama şarttır. • Periyodik erişim gözden geçirmesi (access review): Kullanılmayan veya gereğinden fazla yetkiyi düzenli olarak temizleyin. • Görevler ayrılığı (Segregation of Duties): Tek bir kişide riskli yetki birikimini önleyin. • Ayrılan personelin erişimini gecikmeden kapatın — bekleyen hesaplar saldırganlar için açık kapıdır.
• IAM = doğru kişinin doğru kaynağa doğru zamanda erişmesini sağlayan kimlik ve erişim yönetimidir. • Üç temel taşı: Kimlik Doğrulama (kimsin?), Yetkilendirme (ne yapabilirsin?) ve Denetim (ne yaptın?). • Kimlik yaşam döngüsünü (provisioning → değişiklik → deprovisioning) merkezî olarak yönetir; ayrılan personelin hesabı anında kapanır. • En iyi uygulamalar: En Az Yetki, zorunlu MFA, periyodik erişim gözden geçirme ve görevler ayrılığı.