Koşullu erişim, bir oturum açma talebini kabul edip etmeme kararını sabit bir kural yerine talebin bağlamına bağlayan bir politika modelidir. Doğru parolayı bilmek tek başına yetmez; sistem talebin hangi cihazdan, nereden, ne zaman ve ne kadar riskli bir profille geldiğini değerlendirir ve buna göre erişimi verir, ek doğrulama ister ya da tümden engeller.

Koşullu erişim, ‘doğru parolayı biliyor musun’ sorusunu ‘bu talep, bu bağlamda güvenilir mi’ sorusuna çeviren bir karar katmanıdır.

Sinyal, Koşul, Eylem

Politikalar üç parça üzerine kurulur. Sinyaller, kararı besleyen bağlamdır: kullanıcının kimliği ve grubu, cihazın yönetimli olup olmadığı, IP konumu, oturumun risk skoru. Koşullar bu sinyalleri bir mantığa bağlar; örneğin ‘yönetimsiz cihazdan ve alışılmadık ülkeden gelen finans uygulaması talebi’. Eylem ise sonucu belirler: erişime izin ver, çok faktörlü doğrulama iste, cihaz uyumluluğu zorunlu kıl ya da erişimi engelle.

Bu yapı, güvenliği tek bir eşiğe indirmek yerine riske orantılı kılar. Düşük riskli, tanıdık bir talep sürtünmesiz geçerken, sıra dışı bir talep için ek kanıt istenir. En yaygın eylem olan ek doğrulama, Çok faktörlü kimlik doğrulama ile devreye girer ve saldırganın yalnızca çalınmış parolayla ilerlemesini durdurur.

Sıfır Güven ile İlişkisi

Koşullu erişim, Sıfır güven mimarisi felsefesinin somut uygulama noktalarından biridir. Sıfır güvenin ‘hiçbir talebe konumu ya da ağı yüzünden peşinen güvenme, her erişimi doğrula’ ilkesi, pratikte tam olarak koşullu erişim politikalarıyla hayata geçer. Her oturumun bağlamına bakılması, ağ perimetresine dayanan eski güven modelinin yerini alır ve Sıfır güven ağ erişimi gibi yaklaşımlarla bütünleşir.

Uygulamada Nelere Dikkat Etmeli?

Politikaların gücü kadar yönetimi de kritiktir; çok gevşek kurallar korumayı boşa çıkarır, çok katı kurallar ise kullanıcıları alternatif yollara iter. Acil durum (break-glass) hesaplarının politikaların dışında tutulması, yanlış bir kural yüzünden herkesin kilitlenmesini önler.

• Politikaları önce izleme (report-only) modunda çalıştırıp etkiyi ölçün, sonra zorunlu kılın
• Yüksek riskli uygulamalar için yönetimli cihaz ve MFA’yı birlikte şart koşun
• Acil erişim için politikalardan muaf, sıkı denetlenen break-glass hesapları tanımlayın
• Konum ve risk sinyallerini kimlik sağlayıcının tehdit istihbaratıyla besleyin

Koşullu erişim kurallarının gerçekten atlanamadığını ve boşluk bırakmadığını doğrulamak, kimlik altyapısının bel kemiğini oluşturan bir denetimdir; Privia Security’nin altyapı ve mimari gözden geçirme hizmeti bu politikaları Kimlik ve erişim yönetimi bütünü içinde değerlendirir.