Bulut Güvenliği (Cloud Security): Sorumluluk Sizde Nerede Başlar?

"Buluta geçtik, artık güvenlik sağlayıcının işi" cümlesi, bulut kaynaklı veri sızıntılarının çoğunun altında yatan yanlış inançtır. Gerçek şu ki bulut sağlayıcısı size güçlü bir altyapı sunar; ama o altyapının üzerine kurduğunuz her şeyin güvenliği büyük ölçüde sizin sorumluluğunuzdadır. Bu yazıda bulut güvenliğinin en kritik kavramı olan paylaşılan sorumluluk modelini ve pratikte nelere dikkat etmeniz gerektiğini ele alacağız.

Bulut, işletmelere ölçeklenebilirlik, esneklik ve düşük başlangıç maliyeti sunar. Ancak bu kolaylık, güvenlik sınırlarının bulanıklaşmasına yol açar. Fiziksel bir sunucuda neyin kimin işi olduğu bellidir; bulutta ise sorumluluk katmanlara göre değişir ve bu katmanları anlamamak felakete davetiye çıkarır.

Paylaşılan Sorumluluk Modeli

Bulut güvenliğinin temelini oluşturan ilke şudur: sağlayıcı "bulutun güvenliğinden", müşteri ise "buluttaki güvenlikten" sorumludur. Yani sağlayıcı veri merkezlerini, fiziksel donanımı ve temel altyapıyı korur; sizin verinizi, erişim ayarlarınızı ve uygulama yapılandırmanızı ise siz korursunuz.

• Sağlayıcının sorumluluğu: Fiziksel güvenlik, donanım, ağ altyapısı, sanallaştırma katmanı.
• Sizin sorumluluğunuz: Veri, kullanıcı hesapları ve erişim yetkileri, uygulama güvenliği, ağ yapılandırması, şifreleme ayarları.

Bu sınır, kullandığınız hizmet türüne göre kayar. Sunucuyu doğrudan yönettiğiniz (IaaS) modellerde sorumluluğunuz geniştir; hazır bir yazılım hizmeti (SaaS) kullandığınızda daralır ama asla sıfırlanmaz. Her durumda verinizin ve erişim yetkilerinizin güvenliği size aittir.

Bulut sağlayıcı size güvenli bir apartman dairesi verir; ama kapıyı kilitlemeyi, kimin anahtar aldığını ve pencereyi açık bırakıp bırakmadığınızı yönetmek sizin işinizdir.

Bulutta En Sık Yapılan Hata: Yanlış Yapılandırma

Bulut kaynaklı veri sızıntılarının ezici çoğunluğu bir güvenlik açığından değil, basit bir yanlış yapılandırmadan kaynaklanır. En yaygınları:

1. Herkese açık depolama: İçinde hassas veri bulunan bir depolama alanının yanlışlıkla internete açık bırakılması. Bu tek hata milyonlarca kaydın sızmasına yol açabilir.
2. Aşırı geniş yetkiler: Bir kullanıcıya veya servise ihtiyacından çok fazla yetki verilmesi. Hesap ele geçirildiğinde tüm sistem risk altına girer.
3. Açık portlar: Yönetim arayüzlerinin veya veritabanı portlarının internete açık kalması.
4. Varsayılan ayarlar: Kurulum sonrası varsayılan parolaların ve ayarların değiştirilmemesi.

Dikkat çekici olan, bu hataların hiçbirinin ileri düzey bir saldırı gerektirmemesidir. Saldırganlar sızmaz; kapı zaten açık bırakılmıştır.

Kimlik ve Erişim Yönetimi (IAM)

Bulut güvenliğinin kalbi kimlik ve erişim yönetimidir. Bulutta "kim neye erişebilir" sorusu, fiziksel bir binadaki kapı kilitlerinden çok daha kritiktir çünkü her şey internet üzerinden erişilebilir durumdadır. Sağlam bir IAM stratejisi şunları içerir:

• En az yetki ilkesi: Her kullanıcı ve servis yalnızca işini yapmak için gereken yetkiye sahip olsun.
• Çok faktörlü kimlik doğrulama (MFA): Özellikle yönetici hesapları için MFA zorunlu olmalı. Parola çalınsa bile ikinci faktör olmadan giriş yapılamaz.
• Rol tabanlı erişim: Yetkileri tek tek kullanıcılara değil, rollere tanımlayın. Böylece yönetim hem kolaylaşır hem tutarlı olur.
• Erişim gözden geçirme: Kimin neye erişebildiğini düzenli olarak denetleyin; işten ayrılanların yetkilerini derhal kaldırın.

Bulutta Veri Koruma

Verinizi bulutta korumak, on-premise'den farklı düşünmeyi gerektirir. Veri hem hareket halindeyken hem duran veriyken şifreli olmalı. Çoğu sağlayıcı depolamayı otomatik şifreler, ama kritik veriler için şifreleme anahtarlarını kendinizin yönetebileceği seçenekleri değerlendirin.

Bir diğer önemli konu veri konumudur. KVKK bağlamında verinizin nerede (hangi ülkede) tutulduğunu bilmek gerekir. Yurt dışına veri aktarımı belirli koşullara tabidir; bulut sağlayıcınızın veri merkezi lokasyonlarını ve aktarım politikalarını bilmelisiniz.

İzleme ve Görünürlük

Bulutta neyin olup bittiğini göremiyorsanız, güvenliğini de sağlayamazsınız. Bulut ortamınızda kim ne yaptı, hangi kaynağa erişildi, hangi değişiklik yapıldı — hepsini loglayın ve izleyin. Anormal davranışları (gece yarısı olağandışı erişim, beklenmedik bir bölgeden giriş) tespit eden uyarılar kurun. Sağlayıcıların sunduğu denetim günlüğü (audit log) servislerini mutlaka etkinleştirin.

Bulutta en tehlikeli durum, bir şeylerin yanlış gittiğini haftalar sonra fark etmektir. Görünürlük olmadan güvenlik, karanlıkta savunma yapmaya benzer.

Maliyet ve Güvenlik Dengesi

Bulut güvenliği kararları çoğu zaman maliyetle iç içedir. Gelişmiş güvenlik servisleri ek ücret gerektirir; ancak bir veri ihlalinin maliyeti — hem para hem itibar açısından — bu yatırımın çok üzerindedir. KOBİ'ler için pratik yaklaşım, riske göre önceliklendirmektir: en hassas verinin bulunduğu yeri en güçlü şekilde koruyun, geri kalanı orantılı biçimde ele alın.

Bulut Güvenliği Kontrol Listesi

• Depolama alanlarım internete kapalı, yalnızca gerekli erişime açık mı?
• Yönetici hesaplarında MFA zorunlu mu?
• En az yetki ilkesini uyguluyor muyum?
• Denetim günlükleri etkin ve izleniyor mu?
• Verilerim şifreli ve konumunu biliyor muyum?
• Varsayılan parolaları ve ayarları değiştirdim mi?
• İşten ayrılanların erişimlerini derhal kapatıyor muyum?

Sık Sorulan Sorular

Büyük bir bulut sağlayıcı kullanıyorum, o kadar güvenli ki bir şey yapmama gerek var mı? Sağlayıcı ne kadar büyük olursa olsun, sizin yapılandırmalarınızı, verinizi ve erişim ayarlarınızı sizin adınıza güvenli hale getiremez. Sızıntıların çoğu sağlayıcı hatasından değil, müşteri yapılandırmasından kaynaklanır.

SaaS kullanıyorum, sorumluluğum yok değil mi? SaaS'ta sorumluluğunuz en dar seviyededir ama hâlâ hesap güvenliği, erişim yönetimi ve verinizin doğru paylaşım ayarları sizin elinizdedir. Zayıf parola veya yanlış paylaşım ayarı SaaS'ta da felaket getirir.

Verimin hangi ülkede tutulduğu neden önemli? KVKK, yurt dışına veri aktarımını belirli koşullara bağlar. Verinizin konumunu bilmek, hem hukuki uyum hem de erişim/gecikme açısından gereklidir.

Bulut, doğru yapılandırıldığında kendi sunucunuzdan daha güvenli olabilir; yanlış yapılandırıldığında ise açık bir kapıya dönüşür. Fark, sorumluluk sınırını bilmek ve kendi payınıza düşeni ciddiye almaktır. Bulut altyapınızı güvenli biçimde kurgulamak ve denetlemek için bizimle iletişime geçin.