Yapay Zeka Modellerine Yönelik Prompt Injection Saldırıları Makalemiz Yayınlandı!
Yapay Zeka Modellerine Yönelik Prompt Injection Saldırıları Makalemiz Yayınlandı!
Siber Guvenlik Terimleri Sozlugu
Bilmesi gereken ilkesi, bir bilgiye yalnızca görevi gereği o bilgiye ihtiyaç duyan kişilerin erişebilmesini öngörür.
Bilmesi gereken ilkesi, bir bilginin yalnızca görevini yerine getirmek için o bilgiye gerçekten ihtiyaç duyan kişilerle paylaşılmasını öngörür. Kişinin kurumdaki kıdemi, unvanı ya da genel güvenlik yetkisi tek başına erişim gerekçesi sayılmaz.
İlke, askerî ve istihbarat alanından gelir ve orada bugün de sıkı biçimde uygulanır. Kurumsal ortamda ise çoğunlukla gevşetilir: “nasılsa hepimiz aynı şirketteyiz” varsayımı, hassas verilerin gereğinden geniş bir kitleye açılmasına yol açar.
Bilmesi gereken ilkesi, yetkili olmanın tek başına erişim için yeterli olmadığını; erişimin ayrıca belirli bir görev gerekçesine dayanması gerektiğini söyleyen bilgi güvenliği ilkesidir.
İlkenin ayırt edici yanı, gerekçeyi erişimin önüne koymasıdır. Bir çalışan gizli sınıfına erişim yetkisine sahip olabilir; ancak belirli bir projenin dosyalarına erişebilmesi için o projede görevli olması gerekir. Yetki bir tavan, gerekçe ise o tavanın altındaki asıl kapıdır.
En az yetki ilkesi çoğunlukla sistem ve işlem yetkileriyle ilgilenir: kim hangi komutu çalıştırabilir, hangi kaydı değiştirebilir. Bilmesi gereken ilkesi ise bilginin içeriğine odaklanır: kim hangi veriyi görebilir. İkisi birlikte uygulandığında hem işlem hem içerik tarafı daralır.
Pratikte fark şurada belirginleşir: bir kullanıcı bir dosya sunucusuna salt okuma yetkisiyle bağlanabilir; en az yetki açısından sorun yoktur. Ancak o sunucudaki tüm departmanların dosyalarını okuyabiliyorsa bilmesi gereken ilkesi ihlal edilmiştir.
Uygulama veri sınıflandırmayla başlar. Hangi bilginin hangi sınıfta olduğu belirlenmeden, kimin neye ihtiyacı olduğu da tanımlanamaz. Sınıflandırma sonrası her sınıf için paylaşım kuralları yazılır ve bu kurallar teknik kontrollerle desteklenir.
Sızma testinden olay müdahalesine, uçtan uca çözümlerle yanınızdayız.
Fiyat Teklifi AlEn büyük zorluk kültüreldir. Bilgiye erişimin kısıtlanması, çalışanlar tarafından güvensizlik olarak algılanabilir. Bu algıyı azaltmanın yolu, kısıtlamanın kişiye değil bilginin sınıfına bağlı olduğunu ve herkes için aynı işlediğini göstermektir.
İkinci zorluk, iş birliği araçlarının varsayılan davranışıdır. Modern platformlarda paylaşım varsayılan olarak geniştir; bir bağlantının kurum içindeki herkese açılması tek tıkla gerçekleşir. Bu nedenle ilkenin uygulanması, araçların varsayılan ayarlarının değiştirilmesini gerektirir.
Bilmesi gereken ilkesi, içeriden tehdit riskini doğrudan azaltır. Ele geçirilen ya da kötüye kullanılan bir hesabın ulaşabileceği veri miktarı, o hesabın gerçekten ihtiyaç duyduğu kadarla sınırlıysa olayın etkisi de sınırlı kalır.
Aynı ilke veri sızıntısı olaylarında etkinin ölçülmesini de kolaylaştırır. Erişim gerekçeye bağlıysa, bir hesabın hangi veri kümelerine ulaşabildiği net biçimde listelenebilir; gerekçesiz geniş erişimlerin bulunduğu ortamlarda ise olay sonrası kapsam belirleme günler sürer.
Bilmesi gereken ilkesi, veri sınıflandırmanın doğal devamıdır. Sınıflandırma bilginin ne kadar hassas olduğunu söyler; bilmesi gereken ilkesi ise o hassasiyete kimin gerekçeyle erişebileceğini belirler. İkisi ayrı yürütüldüğünde sınıflandırma yalnızca etiketten ibaret kalır.
Pratik bir sınıflandırma az sayıda seviyeden oluşur. Çok seviyeli şemalar kâğıt üzerinde ayrıntılı görünür ama kullanıcılar tarafından uygulanamaz; üç ya da dört seviye çoğu kurum için yeterlidir ve doğru uygulanma olasılığı yüksektir.
Her seviyeye karşılık gelen paylaşım kuralı açık yazılır: hangi seviye kurum dışına çıkabilir, hangisi yalnızca belirli gruplarla paylaşılır, hangisi hiçbir koşulda kişisel cihaza kopyalanamaz. Kural yazılmadığında etiket bir uyarıdan öteye geçmez.
İlkenin uygulandığını göstermenin yolu erişim kayıtlarıdır. Hassas veri kümelerine yapılan erişimlerin kim tarafından, ne zaman ve hangi gerekçeyle yapıldığı kaydedildiğinde, hem kötüye kullanım tespit edilebilir hem de denetimlerde kanıt üretilebilir.
Kayıtların yalnızca toplanması yetmez; dönemsel olarak incelenmesi gerekir. Bir çalışanın görev alanı dışındaki kayıtlara sistematik olarak baktığı, ancak kayıtlar okunduğunda fark edilir. Bu inceleme davranış analitiği ile desteklenebilir.
Denetim izlerinin kendisi de hassas veridir. Kimin neye baktığını gösteren kayıtlar, yanlış ellerde bir keşif kaynağına dönüşebilir; bu nedenle kayıt erişimi de aynı ilkeye tabidir.
En yaygın hata, geçici verilen erişimlerin süresiz kalmasıdır. Bir proje için açılan klasör erişimi proje bittikten yıllar sonra bile durur; hiç kimse kaldırma sorumluluğunu üstlenmediği için hak birikmeye devam eder.
Üçüncü hata, ilkeyi yalnızca yeni açılan erişimlere uygulamaktır. Kural değiştirildiğinde geçmişte verilmiş haklar olduğu gibi kaldığında, ortamda iki farklı standart yan yana çalışmaya devam eder ve gerçek daralma yaşanmaz.
İkinci hata, ilkenin yalnızca dosya sistemlerinde uygulanmasıdır. Raporlama araçları, veri ambarları, mesajlaşma arşivleri ve destek kayıt sistemleri çoğu zaman aynı hassas veriyi çok daha geniş bir kitleye açar.
Privia Security olarak veri erişim düzeninin gerçekten görev gerekçesine dayanıp dayanmadığını siber risk analizi kapsamında değerlendiriyor, gereğinden geniş paylaşımları önceliklendirilmiş biçimde raporluyoruz.
Bunlar İlginizi Çekebilir
