Zero Trust bir ürün değil, bir varsayım
"Zero Trust" son dönemde her güvenlik ürününün kutusunda yazan bir ibareye dönüştü. Oysa temelde basit bir fikir: ağın içinde olmak güvenilir olmak anlamına gelmez. Bir istek şirket VPN'inden gelmiş olsa da, oturum açmış bir kullanıcıdan gelse de, her seferinde yeniden doğrulanır.
PlusTurk gibi hukuk bürolarının icra dosyalarını, hastanelerin hasta randevularını tuttuğu bir sistemde bu varsayımla çalışmak zorunludur — çünkü sızıntının bedeli çok yüksek.
Pratikte neye karşılık geliyor
1. Her istekte kimlik ve yetki kontrolü
Bir kullanıcının oturum açmış olması, her şeyi görebileceği anlamına gelmez. PlusTurk'te temsilci, birim sorumlusu ve firma sorumlusu rolleri ayrı ayrı tanımlı; telefon numarası görme yetkisi bile ayrı yönetiliyor.
async function canViewPhoneNumber(userId: string, recordId: string) {
const user = await getUser(userId);
if (user.role === "FIRM_OWNER") return true;
if (user.role === "UNIT_MANAGER") return belongsToUnit(user, recordId);
return false; // temsilci varsayılan olarak göremez
}2. Sırları asla düz metin tutmamak
Sanal POS ve SMS sağlayıcı API bilgileri şifreli saklanır ve hiçbir zaman ekrana geri yazılmaz. Bir yönetici bile "API anahtarını göster" diyemez — sadece "yeniden oluştur" diyebilir. Bu, hem içeriden hem dışarıdan gelecek riski azaltır.
3. İşlem geçmişi ve izlenebilirlik
Kim, ne zaman, hangi dosyayı görüntüledi, hangi ödeme linkini oluşturdu — bunların hepsi loglanıyor. Zero Trust'ın bir parçası da "bir şey yanlış gittiğinde geriye dönüp bakabilmek".
4. Varsayılan olarak kapalı
Yeni bir özellik eklerken varsayılan yetki seviyesi her zaman "en az yetki"dir. Bir temsilci, aksi açıkça tanımlanmadıkça hiçbir şeye erişemez. Bu, "unutma ile oluşan güvenlik açığı" riskini ortadan kaldırır.
5. İki adımlı doğrulama
Özellikle firma sorumlusu gibi geniş yetkili hesaplar için 2FA zorunlu. Şifre sızsa bile tek başına yeterli olmuyor.
Küçük bir ekip için bu ne anlama geliyor
Zero Trust'ı kurmak için büyük bir güvenlik ekibine ihtiyacınız yok. İhtiyacınız olan şey, her özelliği eklerken şu soruyu sormak: "Bu bilgiye gerçekten kimin erişmesi gerekiyor, ve bunu nasıl doğrularım?" Bu soruyu baştan sorduğunuzda, sonradan güvenlik yaması yapmak zorunda kalmıyorsunuz.
Sonuç
Zero Trust bir ürün satın alıp kurduğunuz bir şey değil; her satır kodda sürdürdüğünüz bir disiplin. PlusTurk'ü kurarken bu disiplini en başından kurguladım, çünkü sonradan eklemek hem daha pahalı hem daha riskli.