Zero Trust Erişim Modeli: Otel ve Kurumsal Altyapılarda Zero Trust’a Geçiş

Perimetre güvenliği; ağı “iç/dış” diye böler ve içerideki trafiğe daha çok güvenme eğilimindedir. Zero Trust ise “trust-nothing, verify-always” yaklaşımıyla; içeride bile her isteği doğrulayıp yetkiyi minimize eder. Bu fark özellikle düz ağ ve geniş VPN erişimi olan yapılarda kritiktir.

Zero Trust nedir, klasik VPN/perimetre modelinden farkı nedir?

Zero Trust, ağın içinde olmayı “güven” kabul etmez; her istekte kullanıcı kimliği, cihaz durumu ve bağlamı doğrular. Klasik VPN modelinde kullanıcı iç ağa girince geniş erişim elde edebilir; Zero Trust’ta erişim uygulama/kaynak bazında sınırlandırılır ve oturumlar sürekli izlenir.

Neden otel ve B2B’de daha kritik?

• •Otel: rezervasyon, PMS ve call center erişimleri çok paydaşlıdır.
• •B2B: portal, raporlama ve CRM entegrasyonları sık vendor erişimi içerir.
• •Uzaktan erişim ve üçüncü taraflar arttıkça “iç ağ” güven varsayımı zayıflar.

☑ Mini Check : Perimetre modelinin risk sinyalleri

• •VPN’e giren kullanıcı “çok geniş” kaynaklara erişebiliyor mu?
• •Ajans/vendor erişimi süreli ve kayıtlı mı?
• •Aynı ağda web–app–DB düz erişim var mı?
• •Cihaz uyumu (managed mı?) kontrol ediliyor mu?
• •Erişim logları “kim, neye erişti?”yi net gösteriyor mu?

Zero Trust’ın omurgası kimliktir: kullanıcı kimliği doğrulanmadan ve rol/politika belirlenmeden erişim verilmez. Burada hedef; dağınık hesapları tek merkezden yönetmek ve “erişim geri alma”yı hızlandırmaktır.

SSO + MFA ile merkezi kimlik

• •Tek kimlik sağlayıcı (SSO)
• •MFA zorunluluğu
• •Rol bazlı yetki (RBAC)
• •Offboarding: tek noktadan kapatma

Uygulama bazlı yetkilendirme

Kullanıcı “ağa” değil “uygulamaya/kaynağa” yetkilendirilir. Örneğin call center ekibi sadece rezervasyon uygulamasına erişir; DB segmentine erişmez.

☑ Mini Check : Kimlik temelli temel set

• •SSO merkezileşti mi?
• •MFA prod erişimde zorunlu mu?
• •Rol matrisi var mı (otel/B2B senaryolarına göre)?
• •Offboarding tek adım mı?
• •Uygulama bazlı erişim tanımlı mı?

Zero Trust’ta “kim” kadar “hangi cihazdan ve hangi bağlamdan” sorusu da önemlidir. Managed cihaz mı, güncel mi, güvenlik ajanı var mı, konum anomali mi? Bu bağlam sinyalleri, erişim kararını etkiler.

Device posture (cihaz durumu) örnek sinyaller

• •Kurumsal yönetimde (MDM) mi?
• •Disk şifreleme açık mı?
• •Güncel patch seviyesi var mı?
• •Güvenlik ajanı/EDR var mı?

Konum ve oturum bağlamı

• •Beklenmeyen ülke/şehir/ASN
• •İş saati dışı erişim
• •Kısa sürede çok deneme (anormal davranış)

☑ Mini Check : Bağlam sinyali kullanımı

• •Managed cihaz şartı var mı?
• •Patch/EDR kontrolleri erişim kararına giriyor mu?
• •Anomali konum için step-up doğrulama var mı?
• •Oturum kayıtları ve alarm kuralları var mı?
• •Ajans/vendor cihazları için ayrı politika var mı?

Mikro segmentasyon, Zero Trust’ın ağ tarafındaki karşılığıdır: “ağa girdin” yerine “sadece gereken mikro kaynağa girebilirsin.” Bu; segmentasyon (DMZ/web–app–DB) yaklaşımını daha ince politika katmanına taşır.

Mikro segmentasyon neyi değiştirir?

• •Lateral movement’i zorlaştırır
• •İhlal alanını küçültür
• •Her servis/uygulama için ayrı policy uygular

Politika katmanları ve uygulama bazlı erişim

• •Rezervasyon servisi → sadece ilgili DB ve PMS entegrasyonu
• •Raporlama servisi → sadece raporlama DB
• •CRM entegrasyonu → sadece belirli API uçları

☑ Mini Check : Segmentasyon olgunluğu

• •Web–app–DB katmanları ayrık mı?
• •Uygulama bazlı izinler var mı?
• •“Default deny” yaklaşımı uygulanıyor mu?
• •Geçici açılan portlar kalıcılaşmıyor mu?
• •Segment logları izleniyor mu?

Zero Trust “bir projede biten” bir dönüşüm değil; kademeli bir modernizasyondur. En iyi yaklaşım; hızlı kazanımlarla başlamak ve riskli erişimleri önce ele almaktır.

0–30 gün: hızlı kazanımlar

• •SSO + MFA zorunluluğu (prod erişim)
• •Ajans/vendor erişimlerinin rol + süre ile sınırlandırılması
• •Erişim loglarının merkezi toplanması (kim neye erişti?)

30–90 gün: erişimi daraltma

• •Uygulama bazlı erişim (VPN yerine app access)
• •Bastion/SSM ile doğrudan SSH/RDP yüzeyini azaltma
• •Segmentasyon iyileştirmeleri (web→app→DB)

90–180 gün: mikro segmentasyon ve posture

• •Device posture entegrasyonu (managed cihaz şartları)
• •Mikro segmentasyon/policy motoru olgunlaştırma
• •Anomali tabanlı erişim kararları (step-up)

Zero Trust ile VPN tamamen kaldırılır mı?

Her zaman tamamen kaldırılmaz; çoğu kurumda VPN bir süre “geçiş katmanı” olarak kalır. Zero Trust yaklaşımı VPN’i tek güvenlik katmanı olmaktan çıkarır; erişimi uygulama bazında daraltıp kimlik/cihaz doğrulamasıyla modernize eder. Hedef, zamanla VPN bağımlılığını azaltmaktır.

KVKK ve erişim kayıtları (teknik tedbir)

Zero Trust geçişi planlanırken erişim logları ve audit izleri KVKK teknik tedbirlerinde güçlü kanıt üretir. Bu nedenle /tr/yazilim/kvkk-uyum-hizmeti ve /tr/raporlama/kvkk-veri-guvenligi ile korelasyon kurulmalı; erişim kayıtlarının saklama ve erişim yetkileri netleştirilmelidir.

☑ Mini Check : Zero Trust geçiş readiness

• •SSO + MFA altyapısı hazır
• •Rol matrisi ve süreli erişim kuralı var
• •Erişim logları merkezi
• •Segmentasyon en az tier seviyesinde mevcut
• •Ajans/vendor erişimi politikası yazılı