İAM Politikası Karmaşıklığı: Neden Şirketler Güvenliği Kaybediyor

Bulut güvenliğinde en yaygın hata şu: Şirketler AWS, Azure veya GCP'de IAM (Identity and Access Management) politikasını yazarken, her departmanın, her projenin, her geçici görevinin ayrı kuralını ekliyor. Altı ay sonra 400 farklı role, 2000 policy statement ve kimsenin ne yetki verdiğini hatırlamadığı bir sistem kalıyor.

Gerçek hikaye: Bir fintech şirketi, geliştirici ekibi için S3 bucket'ına erişim verdiler. Sonra veritabanı takımı kendi kuralını ekledi. Güvenlik ekibi "bu çok geniş" deyip sınırlandırdı. Sonra devops "benim pipeline kırıldı" dedi. Altı ay sonra hiçbir yetki kuralı okunabilir değildi. Bir hacker'ın bulması 15 dakika almıştı.

Neden böyle oluyor?

İlk sebep: En Az Yetki Prensibi (Least Privilege) yazılı olarak biliyor herkes, ama uygulamak zaman alıyor. Yönetici "şimdi hızlı bir şekilde admin erişimi ver, sonra kısıtlarız" diyor. Sonra "sonra" hiç gelmez.

İkinci sebep: Her bulut sağlayıcının kendi sözdizimi var. AWS'de s3:GetObject derken, Azure'da farklı bir yol izliyorsun. Ekip büyüdüğünde, herkes kendi stilinde policy yazıyor. Tutarlılık yok.

Üçüncü sebep: Audit yapılmıyor. İAM politikaları yazılıp unutuluyor. Kimse "bu role hala lazım mı?" diye sormuyor. Eski çalışanların erişimi kaldırılmıyor. Devre dışı bırakılan projelerin yetkileri silinmiyor.

Gerçek çözüm nedir?

Bir şablon oluşturmak. Her departman için standart bir policy template'i hazırla. Geliştirici ekibine lazım olan şey nedir? Onu tanımla, template'e koy, kopyala-yapıştır. Değişiklik gerekirse, template'i güncelle ve herkese yayıl. Böylece tutarlılık sağlanır.

İkinci adım: Üç ayda bir audit. Hangi role'ler kullanılmıyor? Silin. Hangi policy'ler çok geniş? Kısıtlayın. Hangi kullanıcılar ayrıldı? Erişimlerini kaldırın. Bu otomasyonla yapılabilir, elle değil.

Üçüncü adım: Erişim talep sistemini kurun. Biri yeni yetki istediğinde, otomatik bir form doldurtsun. "Neden lazım? Ne kadar süre? Hangi kaynaklar?" sorularına cevap versin. Böylece her yetki bir gerekçeyle bağlanır.

Sonuç: Bulut güvenliği karmaşık görünüyor, ama aslında disiplindir. İAM politikasını "bir kere yaz, sonra unut" olarak düşünenlerin hacker'ları kolayca içeri alması kaçınılmazdır. Bknz: [IAM Politikasında En Az Yetki Prensibi: Adım Adım Uygulama](IAM%20Politikasında%20En%20Az%20Yetki%20Prensibi:%20Adım%20Adım%20Uygulama)

Eğer şu an kendi şirketinizin IAM'ını açarsanız ve "bu ne?" diye düşünürseniz, çok geç değildir. Bugün başlayın.