Bir kullanıcının doğru parolayı ve doğru doğrulama kodunu girmesi, o girişin tamamen olağan olduğu anlamına gelmez. Aynı hesabın sabah ofisteki bilgisayardan, birkaç dakika sonra da hiç kullanılmamış bir tarayıcıdan ve alışılmadık bir bölgeden giriş yapması, kimlik bilgisi doğru olsa bile üzerinde durulması gereken bir tablodur. Bağlam duyarlı erişim, giriş kararını yalnızca "şifre doğru mu?" sorusuna değil, isteğin etrafındaki koşullara da dayandırır.
Bu yaklaşım sıfır güven düşüncesinin en uygulanabilir parçalarından biridir. Ancak kötü tasarlandığında çalışanları sürekli engelleyen, sahada iş yapmayı zorlaştıran bir engele dönüşebilir. Aşağıda acente operasyonlarına uygun, dengeli bir kural setinin nasıl kurulabileceğini ele alıyoruz.
Hangi sinyaller değerlendirilebilir?
Bağlam, birbirini tamamlayan birkaç sinyalden oluşur. Hiçbiri tek başına kesin sonuç vermez; birlikte değerlendirildiklerinde anlam kazanırlar.
- Cihaz: Daha önce kullanılmış ve tanınan bir cihaz mı, yoksa ilk kez görülen bir tarayıcı veya telefon mu?
- Ağ ve konum: İstek, acentenin faaliyet gösterdiği bölgeden mi geliyor; anonimleştirme servisleri gibi alışılmadık kaynaklardan mı?
- Zaman: Giriş, kullanıcının olağan çalışma saatleri içinde mi?
- Davranış: Kısa sürede çok sayıda başarısız deneme ya da birbirine fiziksel olarak uzak noktalardan art arda girişler var mı?
- İstenen işlem: Kullanıcı bir müşteri kartına mı bakıyor, yoksa kullanıcı yetkilerini mi değiştiriyor?
Engellemek ile sorgulamak arasındaki fark
Bağlam duyarlı erişimde en sık yapılan hata, her şüpheli sinyale engelleme ile cevap vermektir. Daha sağlıklı bir model, tepkileri kademelendirir:
- İzin ver: Tüm sinyaller olağansa kullanıcı herhangi bir ek adım olmadan devam eder.
- Ek doğrulama iste: Yeni bir cihaz ya da alışılmadık bir saat söz konusuysa ikinci bir doğrulama adımı istenir.
- Kısıtlı erişim tanı: Kullanıcı görüntüleme yapabilir ancak dışa aktarma veya toplu işlem yapamaz.
- Reddet ve bildir: Birden fazla güçlü risk sinyali bir aradaysa erişim reddedilir ve yöneticiye bildirim gider.
Bu kademelendirme, sahada çalışan bir temsilcinin otel ağından bağlandığı için işinin durmasını önlerken gerçekten şüpheli durumların gözden kaçmamasını sağlar.
Acente gerçekliğine uygun kurallar
Saha çalışanları
Müşteri ziyaretinde teklif hazırlayan bir çalışan için konum kısıtı katı uygulanırsa iş aksar. Bu kullanıcılar için konumdan çok cihaz tanınırlığı ve oturum süresi ön plana çıkarılabilir. Tanınan bir telefondan yapılan girişler akıcı ilerlerken yeni bir cihaz ek doğrulama tetikler.
Ofis içi operasyon ekibi
Masa başında çalışan ve genellikle aynı cihazları kullanan ekipler için mesai dışı girişler veya yeni cihazlar daha belirgin bir sinyaldir. Bu ekipte olağan dışı saatlerde yapılan bir giriş ek doğrulamaya yönlendirilebilir.
Yöneticiler ve yetki sahipleri
Kullanıcı ekleme, rol değiştirme ve şube ayarlarına erişim gibi yetkileri olan hesaplar, saldırganlar için en değerli hedeflerdir. Bu hesaplarda kurallar daha sıkı tutulmalı, yeni cihaz girişlerinde mutlaka ek doğrulama istenmelidir.
Kural setini tasarlarken dikkat edilmesi gerekenler
- Az kuralla başlayın: İlk aşamada yalnızca yeni cihaz ve olağan dışı saat sinyalleriyle çalışmak, sonuçları gözlemlemek için yeterlidir.
- Kuralları belgeleyin: Hangi koşulun hangi tepkiyi doğurduğu yazılı olmalı; aksi halde destek talepleri çözümsüz kalır.
- İstisnaları süreli tanımlayın: Yurt dışı seyahatindeki bir çalışan için açılan istisna, seyahat bitince kendiliğinden sona ermelidir.
- Yanlış alarmları ölçün: Sürekli ek doğrulamaya takılan kullanıcılar varsa kural muhtemelen fazla katıdır.
- Kullanıcıyı bilgilendirin: Neden ek doğrulama istendiğini anlayan çalışan, süreci bir engel olarak değil koruma olarak görür.
Web ve mobilde tutarlılık
Bağlam kuralları yalnızca tarayıcı girişlerine uygulanıp mobil uygulamada atlanırsa, kural seti en zayıf kanaldan aşılabilir. Mobil uygulama ile web paneli aynı kimlik ve oturum altyapısını paylaştığında, cihaz tanıma ve ek doğrulama kararları da her iki kanalda aynı mantıkla verilir. Bu tutarlılık, kullanıcının hangi kanaldan bağlandığına bakılmaksızın aynı güvenlik seviyesini korur.
Örnek bir giriş akışı
Bir şubede çalışan operasyon sorumlusunu düşünelim. Hafta içi sabah ofisteki tanınan bilgisayarından giriş yaptığında herhangi bir ek adımla karşılaşmaz; müşteri kartlarını açar, kasko yenileme listesini inceler ve günlük işine başlar. Aynı gün akşam saatlerinde evdeki kişisel dizüstü bilgisayarından panele bağlanmak istediğinde sistem bunun yeni bir cihaz olduğunu fark eder ve ikinci doğrulama adımını ister. Doğrulamayı tamamlayan kullanıcı görüntüleme işlemlerine devam edebilir; ancak müşteri listesini dışa aktarmak istediğinde, bu işlemin tanınan bir cihazdan yapılması gerektiğini belirten bir uyarı görür.
Ertesi gece ise aynı hesapla, acentenin hiç faaliyet göstermediği bir bölgeden ve anonimleştirme servisi üzerinden giriş denemesi yapılır. Parola doğru girilmiş olsa da birden fazla güçlü risk sinyali bir araya geldiği için erişim reddedilir, kullanıcıya ve şube yöneticisine bildirim gider. Kullanıcı bu girişi kendisinin yapmadığını teyit ettiğinde parola değişikliği ve oturumların sonlandırılması gibi adımlar hızla atılabilir. Bu örnekte hiçbir kural kullanıcının olağan işini engellememiş, yalnızca olağan dışı durumlar farklı muamele görmüştür.
Gizlilik dengesini gözetmek
Konum ve cihaz bilgisi toplamak, çalışan mahremiyeti açısından da değerlendirilmesi gereken bir konudur. Bağlam duyarlı erişimin amacı çalışanı takip etmek değil, hesabın başkası tarafından kullanılmasını önlemektir. Toplanan sinyallerin yalnızca güvenlik kararları için kullanılması, makul sürelerle saklanması ve çalışanlara şeffaf biçimde açıklanması gerekir. Bu konudaki yükümlülüklerin acentenize nasıl uygulanacağı için hukuki danışmanlık almanız yerinde olur.
Sonuç yerine bir kontrol sorusu
Acentenizde bugün bir çalışanın hesabı, onun hiç kullanmadığı bir cihazdan ve gece yarısı açılsa bunu kim, ne zaman fark ederdi? Bu sorunun cevabı belirsizse bağlam duyarlı erişim üzerine düşünmenin zamanı gelmiş demektir. Mevcut kullanıcı ve oturum yapınızı acente yazılımı üzerinde birlikte değerlendirmek için demo sayfamızdan bize ulaşabilirsiniz.