Bulut Yazılım Güvenliği: Verileriniz Bulutta Ne Kadar Güvende?

Bulut yazılım güvenliği, verilerini kendi sunucusunda değil bir bulut sağlayıcısında tutmaya başlayan her şirketin er ya da geç sorduğu bir sorudur. Sunucu artık gözle görülür bir dolapta değil, uzak bir veri merkezindedir; bu da bazı yöneticilerde haklı bir tedirginlik yaratır. Oysa doğru kurulmuş bir bulut sistemi, çoğu şirketin kendi imkanlarıyla kuracağı sistemden daha güvenlidir.

Bu yazıda bulut güvenliğinin gerçekte neye dayandığını, hangi katmanların şirkete hangi katmanların tedarikçiye ait olduğunu ve bir bulut yazılımı değerlendirirken hangi sorularla emin olunacağını anlatıyoruz. Rezon olarak FizyoDesk ve OdyoDesk gibi kendi SaaS ürünlerimizi bulutta işlettiğimiz için bu katmanları hem tedarikçi hem de müşteri tarafından biliyoruz.

Bulut yazılım güvenliği neyi kapsar?

Bulut yazılım güvenliği; verinin şifrelenmesi, kimin hangi veriye erişebileceğinin denetlenmesi, her erişimin kaydının tutulması, altyapının fiziksel ve ağ güvenliği ile yedekleme ve felaket kurtarma süreçlerinin tamamını kapsar. Tek bir önlem değil, birbirini tamamlayan katmanlar bütünüdür; katmanlardan biri eksik olduğunda diğerleri de zayıflar.

Bu katmanları iki gruba ayırmak faydalıdır: altyapı güvenliği ve uygulama güvenliği. Altyapı güvenliği veri merkezinin fiziksel korumasını, ağ güvenlik duvarlarını ve donanımın bakımını kapsar; bu genellikle bulut sağlayıcısının, yani Azure, AWS ya da benzeri devlerin sorumluluğundadır. Uygulama güvenliği ise yazılımın kendisinin şifreleme, yetkilendirme ve denetim kaydı gibi konuları nasıl ele aldığıdır; bu da yazılımı geliştiren ekibin sorumluluğundadır.

Bir şirket bulut yazılım seçerken genellikle yalnızca altyapının büyük ve tanınmış bir sağlayıcıda olduğuna bakar ve rahatlar. Oysa büyük bir bulut sağlayıcısında barındırılan ama içindeki yazılımı özensiz yazılmış bir sistem, yine de güvensizdir. Asıl soru, üzerine kurulan yazılımın verinizi nasıl işlediğidir.

Verileriniz bulutta ne kadar güvende?

Verileriniz bulutta, doğru şifreleme, rol bazlı erişim ve düzenli yedekleme uygulandığında, çoğu şirketin kendi sunucusunda tutabileceğinden daha güvendedir; çünkü bulut sağlayıcıları fiziksel güvenlik ve altyapı güncellemelerine bir KOBİ'nin ayıramayacağı ölçekte kaynak ayırır. Riskin büyük kısmı altyapıdan değil, üzerine kurulan yazılımın ve şirket içi kullanım alışkanlıklarının kalitesinden gelir.

Somut olarak şifreleme iki yerde devreye girer: veri diskte dururken (bekleyen veri) ve veri ağ üzerinden taşınırken (aktarımdaki veri). Telefon numarası, sağlık bilgisi ya da finansal kayıt gibi hassas alanlar AES-256 gibi güçlü bir algoritmayla şifrelenip öyle saklanmalı, ekranda gösterilirken de tamamı değil yalnızca gerekli kısmı görünmelidir. Bu, bir çalışan ekranını görse bile tam veriye ulaşamamasını sağlar.

Rol bazlı erişim ise herkesin her şeyi görmemesi demektir. Resepsiyon çalışanı finansal raporlara, saha personeli başka bir bölgenin verilerine erişmemelidir. Kimin hangi kayda ne zaman baktığı da bir denetim kaydında tutulmalı; böylece bir sızıntı şüphesinde kimin neye eriştiği geriye dönük incelenebilir. Bu üç unsur bir arada olduğunda veri, tek bir sızıntı noktasına bağımlı kalmaz.

Paylaşımlı sorumluluk modeli nedir?

Paylaşımlı sorumluluk modeli, bulut güvenliğinde altyapının bulut sağlayıcısına, üzerindeki yazılımın ve verinin doğru kullanımının ise müşteriye ve yazılım tedarikçisine ait olduğunu tanımlayan yaklaşımdır. Azure ya da AWS sunucunun çalınmasını, yangına karşı korunmasını ve ağ saldırılarına karşı temel savunmayı üstlenir; ama içine hangi verinin nasıl yazılacağından sorumlu değildir.

Bu modeli anlamayan şirketler sıklıkla yanlış bir güven duygusuna kapılır: büyük bir bulut sağlayıcısını kullandıkları için kendilerini tamamen güvende sanırlar. Oysa zayıf bir parola politikası, şifrelenmemiş bir veritabanı sütunu ya da herkese açık bırakılmış bir yönetim paneli, dünyanın en güvenli veri merkezinde bile veri sızıntısına yol açabilir. Sorumluluk asla tek tarafta değildir.

Şirket tarafına düşen pay da vardır: kullanıcı hesaplarının güçlü parolalarla korunması, ayrılan çalışanların erişiminin hemen kapatılması, iki faktörlü doğrulamanın açık tutulması ve hangi çalışanın hangi yetkiye sahip olduğunun düzenli gözden geçirilmesi. Bulut yazılımı ne kadar güvenli kurulmuş olursa olsun, bu iç disiplin eksikse zincirin en zayıf halkası şirketin kendisi olur.

KVKK açısından bulut yazılım kullanmak sorun mu?

KVKK açısından bulut yazılım kullanmak başlı başına bir sorun değildir; önemli olan verinin nerede tutulduğunun bilinmesi, işleme amacının açık olması ve tedarikçiyle yapılan sözleşmenin veri sorumluluğunu net biçimde tanımlamasıdır. Kanun, veriyi kimin bulutta tuttuğuna değil, verinin nasıl korunduğuna ve hangi amaçla işlendiğine bakar.

Sağlık, finans ya da kimlik bilgisi gibi hassas veri kategorileri için ek dikkat gerekir. Bu tür verilerin şifrelenmesi, erişiminin sıkı biçimde sınırlanması ve mümkünse yurt içinde ya da KVKK'nın öngördüğü koşullara uygun bir konumda tutulması beklenir. Yazılım tedarikçisiyle yapılan sözleşmede verinin hangi amaçla işlendiği, kimlerin erişebildiği ve bir ihlal durumunda bildirim sürecinin nasıl işleyeceği yazılı olmalıdır.

İyi haber şudur: KVKK uyumu, aslında iyi bir güvenlik mimarisinin doğal sonucudur. Şifreleme, rol bazlı erişim ve denetim kaydı gibi önlemler bir yazılımın mimarisinin parçasıysa, KVKK uyumu ayrı bir proje olmaktan çıkar, sistemin doğal bir özelliği haline gelir. Bu yaklaşımı biz de Rezon'un tüm ürünlerinde mimarinin bir parçası olarak kuruyoruz.

Şifreleme ve rol bazlı erişim nasıl çalışır?

Şifreleme, verinin yalnızca doğru anahtara sahip sistem tarafından okunabilir hale getirilmesidir; rol bazlı erişim ise bir kullanıcının sistemdeki rolüne göre hangi ekranları görebileceğini ve hangi işlemleri yapabileceğini sınırlayan kuraldır. İkisi birlikte çalıştığında, hem veri çalınsa bile anlamsız bir veri yığınına dönüşür hem de içeriden yanlış kullanım engellenir.

Pratikte bu şöyle işler: bir telefon numarası veritabanına şifreli olarak yazılır, yalnızca yetkili bir ekran isteğinde çözülür ve kullanıcıya genellikle maskelenmiş biçimde, örneğin son birkaç hane görünecek şekilde gösterilir. Böylece ekranın üzerinden geçen biri ya da yetkisiz bir çalışan tam numarayı göremez, ama sistem gerektiğinde doğrulama için tam veriye erişebilir.

Rol bazlı erişimde ise şirket, çalışan tipine göre önceden tanımlanmış yetki grupları oluşturur: resepsiyon, satış temsilcisi, yönetici, muhasebe gibi. Her grup yalnızca işini yapmak için gereken ekranlara erişir. Bu yaklaşım hem güvenliği artırır hem de yeni bir çalışan işe başladığında doğru yetkinin dakikalar içinde tanımlanmasını sağlar; kimse gereğinden fazla veya az yetkiyle çalışmaz.

Denetim kaydı neden önemlidir?

Denetim kaydı, sistemdeki her önemli işlemin kim tarafından, ne zaman ve ne üzerinde yapıldığının kaydedilmesidir ve bir güvenlik olayında ne olduğunu anlamanın tek güvenilir yoludur. Bir müşteri kaydının kim tarafından değiştirildiği, bir ödemenin kim tarafından silindiği ya da hassas bir ekranın kim tarafından açıldığı, denetim kaydı olmadan asla kesin biçimde bilinemez.

Denetim kaydının caydırıcı bir etkisi de vardır. Her işlemin iz bıraktığını bilen bir çalışan, yetkisini kötüye kullanma konusunda daha temkinli davranır. Bu, çalışana güvensizlik göstergesi değil, hem çalışanı hem şirketi koruyan bir mekanizmadır; asılsız bir suçlamada da masumiyeti kanıtlayan kayıt yine bu izdir.

Denetim kaydının değerli olması için değiştirilemez olması gerekir. Kayıtları silebilen ya da düzenleyebilen bir sistemde denetim kaydı bir güvenlik önlemi değil, bir gösteriden ibarettir. İyi tasarlanmış bir sistemde bu kayıtlar ayrı bir katmanda tutulur ve normal kullanıcı yetkileriyle asla değiştirilemez.

Bulut yazılım seçerken hangi sorular sorulmalı?

Bulut yazılım seçerken sorulması gereken sorular şunlardır: hassas veriler nasıl şifreleniyor, kim hangi veriye erişebiliyor ve bu nasıl sınırlanıyor, sistemdeki işlemler denetim kaydına yazılıyor mu, veriler ne sıklıkla yedekleniyor ve yedekler test ediliyor mu, veri hangi ülkede tutuluyor ve sözleşmede veri sorumluluğu nasıl tanımlanmış, bir güvenlik olayında bildirim süreci nasıl işliyor.

Bu soruların çoğuna net ve hızlı cevap alamıyorsanız, bu kendi başına bir uyarı işaretidir. Güvenliğini gerçekten ciddiye alan bir tedarikçi, bu sorulara belirsiz genellemelerle değil somut açıklamalarla yanıt verir: hangi algoritma kullanıldığı, yedeklerin nerede tutulduğu, denetim kaydının ne kadar süre saklandığı gibi ayrıntıları bilir ve paylaşmaktan çekinmez.

İkinci kademe soru ise sözleşmeyle ilgilidir. Veri sorumlusu ve veri işleyen rolleri sözleşmede net tanımlanmış mı, bir ihlal durumunda bildirim süresi ne, hizmet sona erdiğinde veri nasıl ve ne kadar sürede silinecek? Bu maddeler sözleşmenin ekinde kaybolmamalı, açıkça yazılmalıdır. İyi bir tedarikçi bu maddeleri saklamak yerine öne çıkarır.

Güvenliği mimarinin parçası yapmak

Bulut yazılım güvenliği sonradan eklenen bir özellik değil, sistemin en başından itibaren tasarlanması gereken bir mimari kararıdır. Şifreleme, rol bazlı erişim ve denetim kaydı, yazılım yazılırken düşünülmezse sonradan eklenmesi hem daha pahalı hem de daha eksik olur. Bir yazılımı değerlendirirken bu üç unsurun mimarinin parçası olup olmadığını sormak, en değerli sorudur.

Rezon, şirketlere özel CRM, ERP ve bayi portalı sistemleri kuran, kendi SaaS ürünlerini canlıda işleten İstanbul merkezli bir yazılım çözümleri şirketidir. FizyoDesk ve OdyoDesk'te hassas veriler AES-256 ile şifrelenir, erişim rol bazlı sınırlanır ve her önemli işlem denetim kaydına yazılır; aynı ilkeleri şirketlere kurduğumuz özel sistemlerde de uyguluyoruz. Bulut güvenliği konusunda sisteminizi birlikte değerlendirmek için İletişim sayfamızdan ücretsiz keşif görüşmesi talep edebilir, yaklaşımımızı Çözümler sayfamızdaki Özel Yazılım bölümünde inceleyebilirsiniz.