Identity and Access Management (IAM) Nedir?

Identity and Access Management, yani IAM, sıklıkla Privileged Access Management (PAM) ile karıştırılır; ancak IAM kimlik ve erişim yönetimini, PAM ise ayrıcalıklı hesapların erişim kontrolünü ifade eder. Her ikisi de BT güvenlik unsurları arasında yer alan bu uygulamalar hem büyük işletmelerde hem de KOBİ'lerde güvenliği ilgilendiren yetkilendirme, kimlik doğrulama ve kullanıcıların izlenmesi gibi alanlarda tercih edilir. Okumaya devam ederek IAM nedir, sorusunun detaylı cevabını bulabilirsiniz.

Identity and Access Management IAM uygulamalarının, bir kuruluşun bilgi teknolojileri altyapısında kimlerin hangi kaynaklara, ne zaman ve nasıl erişebileceğini düzenleyen kapsamlı güvenlik çözümleri olduğundan bahsetmiştik. Bu sistemlerin temel özellikleri ise aşağıdaki gibi sıralanabilir:

• Kimlik Doğrulama (Authentication): Şirket içi ERP, CRM gibi sistemlerde ya da e-ticaret ve mobil uygulamalarda kullanıcıların sisteme erişmeden önce kimliklerini kanıtlamaları, doğrulama için şifre, PIN veya biyometrik veri gibi bilgiler kullanmaları gerekir. Bu doğrulama işlemi, kullanıcının kimlik bilgilerinin geçerli ve güncel olduğunu göstermek için son derece önemli ve gereklidir. Şifre, PIN, biyometrik veriler veya çok faktörlü doğrulama yöntemlerinin tümü sayesinde güvenlik seviyesi artırılır.
• Yetkilendirme (Authorization): IAM uygulamasının temel özelliklerinden biri olan yetkilendirme işlemi, doğrulanan kullanıcıların hangi verilere veya uygulamalara erişebileceğini belirler. Bu sayede yalnızca yetkili kişilerin kritik bilgilere erişebilmesi sağlanarak hem iç hem dış tehditlere karşı güvenliğin en üst seviyeye çıkarılması hedeflenir.
• Kullanıcı Yaşam Döngüsü Yönetimi: Kullanıcı yaşam döngüsü yönetimi, bir çalışanın şirkete girişinden şirketten ayrılışına kadar geçen süreçte tüm erişim izinlerinin düzenlenmesini kapsar. Hesap oluşturma, rol atama, izin güncelleme ve erişim iptali gibi işlemler merkezi olarak yönetilir.
• Rol Tabanlı Erişim Kontrolü (RBAC): Sistemlerdeki kullanıcıların erişim yetkileri, görev ve sorumluluklarına göre tanımlanır. Böylece gereksiz yetkilendirmeler önlenir ve güvenlik açıkları azaltılır.
• Merkezi Kimlik Yönetimi: Tüm kullanıcı hesaplarının, rollerin ve izinlerin tek bir merkezden yönetilmesini sağlar. Bu hem verimliliği artırır hem de hatalı yetkilendirme riskini azaltır.
• Denetim ve İzleme: Son derece önemli olan denetim ve izleme özelliği, tüm erişim girişimlerini, oturum açma kayıtlarını ve kullanıcı aktivitelerini takip ederek olası güvenlik ihlallerini tespit etmeye yardımcı olur. Bu kayıtlar, yasal uyumluluk süreçlerinde de kritik rol oynar.
• Bulut ve Hibrit Sistem Entegrasyonu: IAM hem şirket içi (On-Premise) hem de bulut tabanlı uygulamalarla entegre çalışabilir. Böylece uzaktan çalışanlar, şubeler veya küresel ekipler için güvenli erişim amaçlanır.
• Çok Faktörlü Doğrulama (MFA) Desteği: Bu uygulama, tek şifreye dayalı güvenlikten daha fazlasını sunarak kimlik doğrulama sürecini iki veya daha fazla adımda gerçekleştirir. Bu sayede siber saldırılara karşı sisteme ekstra koruma katmanı eklenir.
  • İki Faktörlü Doğrulama (2FA): Şifreye ek olarak SMS ile gelen kod, mobil uygulama bildirimi ya da donanım anahtarı gibi ikinci bir güvenlik katmanı ekler.
  • Üç Faktörlü Doğrulama: Üçüncü faktör olarak şifre ve ikinci faktöre ek olarak biyometrik doğrulama (parmak izi, yüz tanıma) gibi kişiye özgü bir unsur kullanılır.
  • Dört Faktörlü Doğrulama: Daha ileri güvenlik için kullanıcıdan coğrafi konum doğrulaması istenir. Yani sisteme giriş yapabilmeniz için ne zaman ve nerede olduğunuzu doğrulamanız gerekir.
  • Beş Faktörlü Doğrulama: Kullanıcının yazma ritmi, dokunma örüntüleri ve cihaz kullanım alışkanlıkları gibi davranışsal biyometriye dayalı faktörlerin kullanıldığı ileri seviye kimlik doğrulama yöntemidir.

Identity and Access Management nedir, sorusunun cevabı, temelde kimlik doğrulama (authentication) ve yetkilendirme (authorization) süreçlerinin entegre şekilde yönetilmesidir. IAM, kullanıcıların sisteme giriş yaparken kullandıkları kullanıcı adı, parola, biyometrik veri veya çok faktörlü doğrulama yöntemleri ile kimliğini doğrular. Doğrulama işlemi sonrası ise ilgili kullanıcının hangi kaynaklara, uygulamalara veya verilere erişebileceği belirlenir. Bu mekanizma, kullanıcı bilgilerini merkezi bir kimlik deposunda saklar ve ilgili yasal ve kurumsal politikalar üzerinden erişim izinlerini yönetir. Ayrıca bulut tabanlı IAM çözümleri, yalnızca şirket içi sistemler için değil; SaaS platformları, web uygulamaları ve mobil servisler gibi harici hizmetler için de tek oturum açma olanağı sağlar.

IAM nedir sorusunun yanıtı, görüldüğü üzere, sadece sistem güvenliği ile sınırlı değildir; aynı zamanda operasyonel verimlilik ve kullanıcı deneyimi açısından da kritik rol oynar. Kimlik ve erişim yönetimi çözümleri çok geniş bir kullanım alanına sahip. Büyük kurumsal ağlardan KOBİ’lere, e-ticaret platformlarından bankacılık uygulamalarına, sağlık bilişim sistemlerinden kamu kurumlarının dijital hizmet portallarına pek çok yerde IAM uygulamasını görmek mümkün. Bu teknolojinin temel amacının çalışanların, müşterilerin veya iş ortaklarının yetkili kaynaklara güvenli şekilde erişimini sağlamak olduğu düşünülürse bulut tabanlı yapılar, SaaS servisleri, mobil uygulamalar ve uzaktan çalışma altyapıları da IAM uygulamalarının en yaygın görüldüğü ortamlar olarak özetlenebilir.

IAM çözümlerinin kullanıldığı başlıca alanlar şunlardır:

• Kurumsal ağlar ve şirket içi sistemler
• E-ticaret platformları ve online mağazalar
• Bankacılık ve finans uygulamaları
• Sağlık bilişim sistemleri
• Kamu kurumlarının dijital hizmet portalları
• Bulut tabanlı yazılımlar ve SaaS servisleri
• Mobil uygulamalar ve uzaktan çalışma altyapıları

IAM (Identity and Access Management) ve CIAM (Customer Identity and Access Management) kavramlarının her ikisi de erişim yönetimi alanında önemli yer tutar; ancak farklı amaçlara hizmet eder. IAM, öncelikle kurum içi çalışanların ve iş ortaklarının kimliklerini yönetip yetkilendirmeye odaklanırken CIAM daha çok son kullanıcıların, yani müşterilerin dijital kimliklerinin ve erişimlerinin yönetilmesini sağlar. CIAM sistemleri, son kullanıcı ile ilgili olduğu için müşteri deneyimini ön planda tutarak hızlı kayıt, sosyal medya ile giriş, veri gizliliği ve kişiselleştirilmiş erişim gibi özellikler sunar. Özetle IAM kurumsal güvenliği sağlarken CIAM müşteri ilişkilerini ve erişim yönetimi süreçlerini optimize eder.

• IAM, kurum içi çalışanların ve iş ortaklarının kimlik yönetimi ve yetkilendirilmesine odaklanır.
• CIAM, son kullanıcıların, yani müşterilerin dijital kimliklerinin ve erişimlerinin yönetilmesini sağlar.
• CIAM, müşteri deneyimini ön planda tutarak hızlı kayıt, sosyal medya ile giriş gibi özellikler sunar.
• Veri gizliliği ve kişiselleştirilmiş erişim, CIAM sistemlerinde önemli rol oynar.
• IAM, kurumsal güvenliğe odaklanırken CIAM, müşteri ilişkileri ve erişim yönetimini optimize eder.

IPSaaS, WAFaaS, FWaaS ve Vulnerability Management gibi bulut güvenlik çözümlerinde, Kimlik ve Erişim Yönetimi IAM ve Ayrıcalıklı Erişim Yönetimi PAM kullanımını aşağıdaki listeden görebilirsiniz.

• Firewall as a Service (FWaaS): IAM ve PAM, ağ trafiğini kontrol eden firewall hizmetleri ile entegre çalışarak yetkisiz erişimlerin engellenmesinde aktif rol oynar.
• Web Application Firewall as a Service (WAFaaS): Web uygulamalarına yönelik saldırıları önlemek için IAM ve PAM sistemleri, WAF çözümleri ile birlikte ekstra korunaklı bir güvenlik katmanı oluşturur.
• Intrusion Prevention System as a Service (IPSaaS): Olası saldırı ve tehditleri tespit eden IPS çözümleri, IAM ve PAM ile iş birliği içinde çalışarak güvenlik olaylarına hızlı müdahale sağlar.
• Antivirüs: Kötü amaçlı yazılım tehditlerine karşı koruma sağlamak için IAM ve PAM çözümleri ile desteklenen antivirüs hizmetleri kritik öneme sahiptir.
• Vulnerability Management: Sistemlerdeki güvenlik açıklarını belirlemek ve gidermek için IAM ve PAM süreçleri ile entegre çalışan zafiyet yönetimi çözümleri kullanılır. Bu sayede potansiyel tehditler proaktif şekilde tespit edilirken olası riskler de azaltılır ve kurumun güvenlik duruşu sürekli olarak güçlendirilmiş olur.

Ayrıca Veri Merkezi Altyapısında Yeni Trendler başlıklı yazımız da ilginizi çekebilir.