Bir erişim hatası, bir IT bileti değildir

Bir kamu kurumunda işten ayrılan bir çalışanın sistem erişiminin kapatılmaması, "unutulmuş bir adım" gibi görünür. Ama bu unutulan adım, hassas vatandaş verisine yetkisiz erişim, kurumsal itibar kaybı ve regülasyon ihlali riskine dönüşebilir.

Kurumsal kimlik yönetimi (IAM) çoğu yönetim kurulunda hâlâ "IT'nin işi" olarak konumlanıyor — bir parola sıfırlama aracı, bir giriş ekranı kadar teknik bir mesele. Bu çerçeveleme, IAM'in gerçek doğasını gözden kaçırıyor: kim hangi veriye, hangi koşulda ve ne kadar süreyle erişebilir sorusu, doğrudan kurumsal risk yönetimi sorusudur.

Risk üçgeni: erişim, güven, uyum

Konuyu teknik detaylardan (e-Devlet entegrasyonu, LDAP, Keycloak gibi) bir kenara koyup, üç boyutlu bir risk çerçevesinden bakalım.

Yetkisiz erişim riski: Her ek kullanıcı, her ek sistem, her ek entegrasyon, potansiyel bir erişim noktası anlamına geliyor. Bir finans kurumunda kurduğumuz kimlik yönetim sisteminde dikkat çekici bir bulgu şu oldu: kurumun var olan erişim yapısında, işten ayrılmış çalışanların %12'sinin hâlâ aktif sistem erişimine sahip olduğu tespit edildi. Bu, kötü niyetli bir ihlal değil, sadece sürecin merkezi olarak yönetilmemesinin sonucuydu. Merkezi bir IAM sistemi olmadan bu tür boşluklar fark edilmiyor — çünkü fark edilmesi gereken merkezi bir nokta yok.

Vatandaş ve müşteri güveni: Bir kamu kurumunun vatandaşla dijital teması — e-Devlet üzerinden kimlik doğrulama, başvuru takibi, belge erişimi — güven üzerine kurulu. Bu güven bir kere kırıldığında (bir veri ihlali, bir yanlış yetkilendirme haberi) geri kazanılması yıllar alabiliyor. Vatandaş, kurumun teknik mimarisini bilmiyor; bildiği şey "bilgilerim güvende mi" sorusunun cevabı.

Regülasyon uyumu: KVKK ve sektörel düzenlemeler, kimin hangi veriye eriştiğinin denetlenebilir, kayıt altına alınabilir ve gerektiğinde geri alınabilir olmasını zorunlu kılıyor. Bu zorunluluk, parça parça kurulmuş erişim sistemleriyle karşılanamıyor — denetim talep edildiğinde, "hangi sistemde kim neye erişebiliyor" sorusuna saatler içinde değil, dakikalar içinde cevap verilebilmesi gerekiyor.

IAM neden CTO'nun gündeminde üst sırada olmalı

Bu üç risk boyutunun ortak özelliği, hiçbirinin teknik bir proje gibi yönetilemeyecek olması. Erişim politikası bir iş kararı, güven yönetimi bir itibar kararı, uyum bir hukuki sorumluluk kararı. Bunların hepsi CTO seviyesinde sahiplenilmesi gereken sorular — bir sistem yöneticisinin günlük operasyonel kararına bırakılamayacak ölçekte.

Pratikte bunun anlamı şu: IAM yatırım kararları, "hangi yazılımı satın alalım" sorusundan önce "kurumumuzun erişim politikası nedir, kim belirliyor, ne sıklıkla gözden geçiriliyor" sorusuyla başlamalı. Bir kamu kurumu için kurduğumuz e-Devlet entegrasyonlu kimlik yönetim sisteminde, en çok zaman alan kısım teknik entegrasyon değil, kurumun farklı departmanları arasında "kim hangi veriye erişebilir" politikasının netleştirilmesiydi. Teknik kurulum üç ay sürdü; politika netleştirme süreci altı ay sürdü — ve bu süre, sistemin uzun vadeli güvenilirliği için harcanan en değerli zamandı.

Üç soru, yönetim kurulu toplantısında sorulmalı

IAM'i stratejik gündeme taşımak isteyen bir CTO için üç pratik soru:

Birincisi: Kurumumuzda bir çalışan işten ayrıldığında, tüm sistem erişimlerinin kapatıldığını kaç saat içinde garanti edebiliyoruz? Cevap "günler" veya "bilmiyoruz" ise, bu bir IT sorunundan önce bir risk yönetimi açığı.

İkincisi: Bir denetim talep edildiğinde, "bu veriye kim, ne zaman, hangi yetkiyle erişti" sorusuna kaç dakika içinde belgelenmiş bir cevap verebiliyoruz? Merkezi bir IAM sistemi olmadan bu cevap genelde günler, hatta haftalar alıyor.

Üçüncüsü: Erişim politikamızı kim belirliyor ve ne sıklıkla gözden geçiriyor? Eğer bu sorunun cevabı "belirli değil" ise, kurumun en kritik risk kontrolü sahipsiz durumda.

Kimlik yönetimi, bir altyapı yatırımı değil bir güven yatırımı

Kurumsal kimlik yönetimini sadece bir teknik altyapı kalemine indirgemek, onun gerçek değerini gözden kaçırmak demek. IAM, kurumun vatandaşa, müşteriye ve düzenleyiciye verdiği "verinizi koruyoruz" sözünün somut karşılığı.

Bu sözü teknik bir bilete devreden kurumlar, sorun büyüdüğünde fark ediyor. Bu sözü CTO seviyesinde stratejik bir sorumluluk olarak sahiplenen kurumlar ise, hem riski önceden yönetiyor hem de güveni — en zor kazanılan, en çabuk kaybedilen varlığı — koruyor.