Genel Bakış
Identity and Access Management (IAM), bir kurumdaki tüm dijital kimliklerin oluşturulması, yetkilendirilmesi, doğrulanması ve kaldırılması süreçlerini kapsayan disiplindir. Privileged Access Management (PAM) ise bu disiplinin en kritik alt alanıdır; domain yöneticileri, veritabanı yöneticileri, root hesapları, ağ cihazı yönetici hesapları ve uygulamaların kullandığı servis hesapları gibi yüksek yetkili erişimlerin kasalanmasını, oturum bazında kontrol edilmesini ve kayıt altına alınmasını sağlar. İkisi birlikte, kurumun "kim, neye, ne zaman ve neden erişti?" sorusuna her an kanıtla yanıt verebilmesinin temelidir.
Bugün saldırıların büyük bölümü teknik bir zafiyetten değil, ele geçirilmiş bir kimlikten başlar. Oltalama ile çalınan bir parola, paylaşılan bir yönetici hesabı veya kodun içine gömülmüş bir servis parolası, saldırgana güvenlik duvarlarını aşmadan doğrudan içeriden hareket etme imkânı tanır. Fidye yazılımı operatörlerinin ağda yayılmak için öncelikle ayrıcalıklı hesapları hedeflemesi bu nedenledir. Çevre güvenliğinin yerini kimlik merkezli güvenliğe bıraktığı Zero Trust yaklaşımında kimlik, yeni güvenlik çevresi olarak kabul edilir.
Teknik açıdan modern bir IAM & PAM mimarisi birden çok katmandan oluşur: Active Directory, Microsoft Entra ID, Okta veya Keycloak gibi kimlik sağlayıcılar; SAML 2.0, OpenID Connect ve OAuth 2.0 ile tek oturum açma (SSO); FIDO2/WebAuthn, TOTP ve push tabanlı çok faktörlü kimlik doğrulama (MFA); SCIM ile otomatik hesap açma ve kapatma; CyberArk, BeyondTrust, Delinea gibi PAM platformlarıyla parola kasası, oturum izolasyonu ve kayıt; Identity Governance and Administration (IGA) ile erişim gözden geçirme ve görev ayrılığı (SoD) kontrolleri. Bu katmanların birbiriyle ve SIEM ile entegre çalışması, tek tek ürünlerin kendisinden daha önemlidir.
Kimlik ve ayrıcalıklı erişim yönetimi ihmal edildiğinde riskler hızla birikir. İşten ayrılan çalışanların açık kalan hesapları, yıllardır değiştirilmemiş yerel yönetici parolaları, herkesin bildiği ortak "admin" hesapları, kontrolsüz tedarikçi VPN erişimleri ve kimin hangi sisteme neden yetkili olduğunu kimsenin açıklayamadığı yetki birikimi (privilege creep) tipik bulgulardır. Bu tablo yalnızca ihlal riskini artırmaz; KVKK, BDDK düzenlemeleri, ISO 27001 ve PCI-DSS denetimlerinde ciddi bulgulara, idari para cezalarına ve olay sonrası adli inceleme yapılamamasına yol açar.
Indexline, IAM & PAM'i tek seferlik bir ürün kurulumu olarak değil, sürekli işletilen yönetilen bir servis olarak ele alır. Mevcut kimlik altyapınızın ve ayrıcalıklı hesap envanterinizin keşfiyle başlar, kurumunuzun risk profiline ve regülasyon yükümlülüklerine göre hedef mimariyi tasarlar, kademeli bir yol haritasıyla devreye alırız. Canlıya geçişten sonra platformun günlük işletimi SLA güvencesiyle Indexline ekibine devredilir; böylece iç ekibiniz kimlik altyapısının bakımıyla uğraşmak yerine iş önceliklerine odaklanırken kimlik güvenliği olgunluğunuz ölçülebilir biçimde gelişmeye devam eder.
Nasıl Çalışır?
Keşif ve Envanter: Active Directory, bulut kimlik sağlayıcıları, sunucular, veritabanları, ağ cihazları ve uygulamalar taranır; tüm insan ve makine kimlikleri ile ayrıcalıklı hesaplar envantere alınır.
Risk ve Uyum Analizi: Yetki birikimi, paylaşılan hesaplar, parola yaşı, MFA kapsamı ve yetim hesaplar analiz edilir; KVKK, ISO 27001 ve sektörel regülasyon gereksinimleriyle karşılaştırmalı boşluk raporu hazırlanır.
Hedef Mimari Tasarım: Kimlik sağlayıcı, SSO/MFA, PAM kasası, oturum yönetimi ve IGA bileşenleri kurumun mevcut altyapısına ve bütçesine göre tasarlanır; rol modeli (RBAC/ABAC) ve en az yetki politikaları tanımlanır.
Kimlik Federasyonu ve SSO: Kurumsal uygulamalar SAML 2.0 ve OpenID Connect ile merkezi kimlik sağlayıcıya bağlanır; koşullu erişim ve risk tabanlı MFA politikaları devreye alınır.
Ayrıcalıklı Hesap Kasalama: Yönetici ve servis hesapları PAM kasasına alınır, parolalar otomatik rotasyona bağlanır, uygulama ve betiklerdeki gömülü parolalar secrets management ile kaldırılır.
Oturum Yönetimi ve JIT Erişim: Yönetici erişimleri oturum proxy'si üzerinden izole edilir ve kaydedilir; kalıcı yetkiler yerine onay akışlı, süre sınırlı Just-in-Time erişim modeli uygulanır.
Yaşam Döngüsü Otomasyonu: İK sistemi kimlik kaynağı olarak entegre edilir; işe giriş, görev değişikliği ve işten ayrılma süreçlerinde hesap açma, yetki güncelleme ve kapatma SCIM ve iş akışlarıyla otomatikleşir.
Yönetilen Operasyon ve Sürekli İyileştirme: Platform 7/24 izlenir, anomali alarmları SIEM'e aktarılır, üç aylık erişim gözden geçirme kampanyaları yürütülür ve aylık uyum ile risk raporları yönetimle paylaşılır.
Temel Özellikler
Merkezi SSO ve Federasyon
SAML 2.0, OpenID Connect ve OAuth 2.0 ile bulut ve şirket içi uygulamalara tek kimlikle güvenli erişim sağlanır; parola yorgunluğu ve yardım masası yükü azalır.
Adaptif MFA
FIDO2/WebAuthn güvenlik anahtarları, push bildirim ve TOTP seçenekleri; cihaz, konum ve risk skoruna göre koşullu doğrulama politikalarıyla birlikte uygulanır.
Ayrıcalıklı Hesap Kasası
Yönetici, root ve servis hesabı parolaları şifreli kasada saklanır, kullanım sonrası veya periyodik olarak otomatik değiştirilir; kimse kalıcı parolayı bilmez.
Oturum İzleme ve Kayıt
RDP, SSH ve veritabanı yönetici oturumları proxy üzerinden izole edilir, video ve komut düzeyinde kaydedilir; riskli komutlarda oturum anlık sonlandırılabilir.
Just-in-Time Erişim
Kalıcı yönetici yetkileri kaldırılır; ihtiyaç anında onay akışıyla, belirli süre ve kapsamla sınırlı yetki verilir ve süre dolunca otomatik geri alınır.
Kimlik Yaşam Döngüsü Otomasyonu
İK sistemi entegrasyonu ve SCIM ile joiner-mover-leaver süreçleri otomatikleşir; işten ayrılan kullanıcının tüm erişimleri dakikalar içinde kapatılır.
Erişim Gözden Geçirme ve SoD
Yöneticilere periyodik yetki onay kampanyaları atanır, görev ayrılığı çakışmaları tespit edilir ve tüm kararlar denetim kanıtı olarak arşivlenir.
Secrets Management
Uygulama, CI/CD hattı ve konteyner ortamlarındaki API anahtarları, sertifikalar ve veritabanı parolaları kod dışına alınarak merkezi ve denetlenebilir biçimde yönetilir.
Faydalar ve Avantajlar
Kimlik tabanlı saldırı yüzeyi daralır; çalınan bir parolanın tek başına kritik sistemlere erişim sağlaması engellenir.
Ayrıcalıklı hesapların kasalanması ve JIT erişim, fidye yazılımlarının ağ içinde yanal hareket ve yetki yükseltme imkânını ciddi ölçüde kısıtlar.
KVKK, BDDK, ISO 27001 ve PCI-DSS denetimlerinde istenen erişim kayıtları ve gözden geçirme kanıtları hazır ve raporlanabilir hale gelir.
İşe giriş ve çıkış süreçleri otomatikleşir; yeni çalışan ilk gün üretken olur, ayrılan çalışanın erişimi aynı gün kapanır.
SSO ve self-servis parola sıfırlama ile kullanıcı deneyimi iyileşir, yardım masasına gelen parola taleplerinde belirgin azalma sağlanır.
Tedarikçi ve dış hizmet sağlayıcı erişimleri VPN paylaşımı yerine kontrollü, kayıtlı ve süre sınırlı oturumlarla yönetilir.
Platform yönetimi, politika bakımı ve denetim raporlaması Indexline'a devredilir; iç ekip uzman istihdamı yükü olmadan kurumsal düzey kimlik güvenliğine ulaşır.
Sektörel Kullanım Senaryoları
Finans / Bankacılık
Katılım bankasında 1.200 ayrıcalıklı hesap PAM kasasına alındı, tüm yönetici oturumları kayıt altına girdi; BDDK denetiminde erişim bulguları bir sonraki dönemde sıfırlandı.
Sağlık
Hastane grubunda HBYS ve PACS erişimleri rol bazlı modele taşındı, hekimler için SSO ve MFA devreye alındı; hasta verisine yetkisiz erişim denemeleri anlık raporlanır hale geldi.
Üretim
Otomotiv yan sanayi tesisinde OT ağına bağlanan tedarikçi bakım erişimleri JIT ve oturum kaydıyla yönetildi; kalıcı VPN hesaplarının tamamı kapatıldı.
Kamu
Büyükşehir belediyesinde 8.000 personelin hesap yaşam döngüsü İK sistemine bağlandı; işten ayrılan personel hesaplarının kapanma süresi haftalardan dakikalara indi.
Perakende / E-Ticaret
E-ticaret şirketinde ödeme altyapısına erişen yönetici ve servis hesapları kasalandı, gömülü parolalar secrets management'a taşındı; PCI-DSS denetimi bulgusuz tamamlandı.
Telekom
Operatörün ağ operasyon merkezinde binlerce ağ cihazına yönetici erişimi PAM üzerinden merkezileştirildi; paylaşılan cihaz parolaları otomatik rotasyonla tamamen ortadan kalktı.
Indexline Yaklaşımı
Kimlik güvenliğinde başarının ilk koşulu görünürlüktür. Kurumların büyük bölümü kaç ayrıcalıklı hesaba sahip olduğunu ancak keşif çalışmasından sonra öğrenir ve ortaya çıkan tablo çoğu zaman beklenenden belirgin biçimde kalabalıktır. Bu nedenle Indexline her projeye otomatik keşif ve envanter çalışmasıyla başlar; insan kimliklerinin yanı sıra servis hesapları, API anahtarları ve makine kimlikleri de kapsama alınır. Ölçülemeyen bir riskin yönetilemeyeceği ilkesiyle, ilk günden itibaren kurumun kimlik risk haritasını somut verilerle ortaya koyarız.
IAM & PAM dönüşümünü tek bir büyük geçiş olarak değil, risk önceliğine göre kademelendirilmiş bir program olarak kurgularız. İlk aşamada en yüksek etkiye sahip adımlar atılır: domain yöneticileri ve kritik sunucu hesapları kasalanır, uzaktan erişime ve e-postaya MFA zorunlu hale getirilir. Ardından SSO kapsamı genişletilir, yaşam döngüsü otomasyonu devreye alınır ve son aşamada erişim yönetişimi ile JIT modeline geçilir. Bu yaklaşım, ilk haftalardan itibaren ölçülebilir risk azaltımı sağlarken operasyonel kesinti riskini en aza indirir.
Teknoloji seçiminde ürün odaklı değil ihtiyaç odaklı hareket ederiz. Microsoft ekosistemine yoğun yatırım yapmış bir kurum için Entra ID tabanlı bir mimari, açık kaynak tercih eden ve veri egemenliğine öncelik veren bir kurum için Keycloak tabanlı bir yapı, karmaşık ayrıcalıklı erişim gereksinimi olan bir banka için ise kurumsal sınıf bir PAM platformu daha uygun olabilir. Mevcut yatırımlarınızı korumak, gereksiz lisans maliyetinden kaçınmak ve uzun vadede yönetilebilir bir mimari kurmak temel önceliğimizdir.
Kimlik güvenliği, kullanıcı deneyimiyle çatıştığında kalıcı olamaz. Fazla katı politikalar, kullanıcıları kontrolleri atlatacak yollar aramaya iter; paylaşılan parolalar ve kayıt dışı erişimler de bu şekilde ortaya çıkar. Bu nedenle risk tabanlı koşullu erişim, parolasız kimlik doğrulama ve self-servis süreçlerle güvenliği artırırken günlük işi kolaylaştıran bir denge kurarız. Değişim yönetimi, kullanıcı eğitimi ve yönetici bilgilendirmeleri her projenin ayrılmaz parçasıdır.
Yönetilen servis modelinde Indexline'ın sorumluluğu canlıya geçişle bitmez, asıl o noktada başlar. Platformun sağlığı, politika güncellemeleri, yeni uygulamaların SSO'ya bağlanması, erişim gözden geçirme kampanyaları ve oturum kayıtlarındaki anomalilerin incelenmesi ekibimiz tarafından sürekli yürütülür. Aylık raporlarda MFA kapsamı, kasalanan hesap oranı, kalıcı yetki sayısı ve gözden geçirme tamamlama oranı gibi metrikler takip edilir; böylece kimlik güvenliği olgunluğunuz yıl boyunca ölçülebilir biçimde artar.
Sık Sorulan Sorular
IAM ile PAM arasındaki fark nedir?
IAM, kurumdaki tüm kullanıcıların kimlik doğrulama ve yetkilendirme süreçlerini yönetir; SSO, MFA ve hesap yaşam döngüsü bu kapsamdadır. PAM ise yönetici, root ve servis hesapları gibi yüksek yetkili erişimlere odaklanır; parola kasası, oturum kaydı ve Just-in-Time yetki verme sağlar. Etkili bir kimlik güvenliği programı her ikisini birlikte ele alır.
Mevcut Active Directory altyapımızı değiştirmemiz gerekir mi?
Hayır. Active Directory çoğu senaryoda kimlik kaynağı olarak korunur. Microsoft Entra Connect veya benzeri senkronizasyon araçlarıyla bulut kimlik sağlayıcısına bağlanır, PAM platformu da AD hesaplarını kasalayarak yönetir. Gerekirse AD katman modeli (tiering) ve hardening çalışmalarıyla mevcut yapı güçlendirilir.
Hangi PAM ve kimlik platformlarıyla çalışıyorsunuz?
CyberArk, BeyondTrust ve Delinea gibi kurumsal PAM çözümleri ile Microsoft Entra ID, Okta ve açık kaynak Keycloak gibi kimlik sağlayıcılar üzerinde tasarım ve operasyon deneyimi sunuyoruz. Platform seçimi; mevcut altyapınız, regülasyon gereksinimleriniz, bütçeniz ve operasyonel modelinize göre birlikte yapılır.
Servis hesapları ve uygulama parolaları nasıl yönetilir?
Servis hesapları keşfedilip bağımlılıkları haritalanır, ardından PAM kasasına alınarak otomatik rotasyona bağlanır. Uygulama kodunda, yapılandırma dosyalarında veya CI/CD hatlarında bulunan gömülü parolalar secrets management çözümüne taşınır; uygulamalar parolayı çalışma anında API üzerinden güvenli biçimde alır.
Just-in-Time erişim yöneticilerin işini yavaşlatır mı?
Doğru kurgulandığında hayır. Rutin işlemler için önceden onaylı, otomatik verilen kısa süreli yetkiler tanımlanır; yalnızca kritik sistemler ve olağandışı talepler için onay akışı devreye girer. Acil durumlar için kayıt altında çalışan break-glass prosedürleri hazırlanır. Böylece güvenlik artarken operasyon hızı korunur.
IAM & PAM, KVKK uyumuna nasıl katkı sağlar?
KVKK, kişisel verilere erişimin yetkili kişilerle sınırlandırılmasını ve erişimlerin kayıt altına alınmasını teknik tedbir olarak bekler. Rol bazlı yetkilendirme, MFA, ayrıcalıklı oturum kayıtları ve periyodik erişim gözden geçirme raporları, Kişisel Verileri Koruma Kurumu'nun yayımladığı teknik ve idari tedbirler rehberinde yer alan yetki matrisi, erişim logları ve kimlik doğrulama gereksinimlerini somut kanıtlarla karşılar.
Proje ne kadar sürer ve ilk sonuçları ne zaman görürüz?
Kapsama göre değişmekle birlikte, keşif ve tasarım genellikle 3-6 hafta sürer. Kritik ayrıcalıklı hesapların kasalanması ve MFA yaygınlaştırması gibi yüksek etkili ilk adımlar çoğunlukla ilk 6-8 hafta içinde canlıya alınır. Kapsamlı SSO, yaşam döngüsü otomasyonu ve yönetişim aşamaları sonraki aylarda kademeli olarak tamamlanır.
Yönetilen servis kapsamında Indexline neleri üstlenir?
Platform kurulumu sonrası 7/24 izleme, sürüm ve yama yönetimi, politika güncellemeleri, yeni uygulama ve sistem entegrasyonları, hesap yaşam döngüsü operasyonları, erişim gözden geçirme kampanyalarının yürütülmesi, oturum anomalilerinin incelenmesi ve aylık uyum raporlaması Indexline tarafından SLA kapsamında üstlenilir. Yetki sınırları ve onay süreçleri RACI matrisiyle önceden birlikte tanımlanır.