Tasarımdan güvenlik, bir sistemin güvenlik özelliklerinin sonradan eklenen bir katman değil, tasarımın ilk aşamasından itibaren düşünülen bir gereksinim olarak ele alınmasıdır. Amaç, güvenliği bitmiş bir ürüne yamamak yerine mimarinin içine yerleştirmektir.

Yaklaşımın arkasındaki gözlem basittir: bir tasarım kararı ne kadar geç değiştirilirse maliyeti o kadar artar. Kimlik doğrulama modelini tasarım aşamasında değiştirmek bir toplantılık iş olabilirken, aynı değişikliği canlıya alınmış bir sistemde yapmak aylar sürebilir.

Tasarımdan Güvenlik Nedir?

Tasarımdan güvenlik, güvenlik gereksinimlerinin ve tehdit varsayımlarının ürün yaşam döngüsünün en başında tanımlanarak mimari kararların bu gereksinimlerle birlikte alınmasıdır.

Yaklaşım yalnızca yazılım için geçerli değildir. Bir ağ topolojisi, bir üretim hattı otomasyonu ya da bir iş süreci de tasarımdan güvenlik ilkesiyle kurgulanabilir. Ortak nokta, güvenliğin sonradan gelen bir denetim maddesi değil, baştan konulan bir tasarım kısıtı olmasıdır.

Sonradan Eklenen Güvenlikten Farkı

Sonradan eklenen güvenlik genellikle telafi edici kontrollerle çalışır: uygulamanın önüne bir web uygulama güvenlik duvarı konur, hatalı erişim modeli ağ kuralıyla sınırlanır, zayıf oturum yönetimi izlemeyle kapatılmaya çalışılır. Bunlar riski azaltır ama kök nedeni ortadan kaldırmaz.

Tasarımdan güvenlik ise kök nedeni hiç oluşturmamayı hedefler. Yetkilendirme kararının nerede verileceği, verinin nerede şifreleneceği ve güven sınırlarının nereden geçeceği baştan belirlendiğinde, sonradan eklenecek kontrol ihtiyacı da azalır.

Uygulamanın Adımları

Süreç, güvenlik gereksinimlerinin işlevsel gereksinimlerle aynı belgede yazılmasıyla başlar. Ardından tasarım kararları tehdit modelleme çalışmasıyla sınanır ve ortaya çıkan riskler tasarıma geri beslenir.

• Varlık ve veri akışlarının çıkarılması, güven sınırlarının işaretlenmesi
• Tehdit modelleme ile senaryoların belirlenmesi
• Güvenlik gereksinimlerinin kabul kriterlerine dönüştürülmesi
• Mimari kararların gereksinimlerle birlikte gözden geçirilmesi
• Geliştirme sırasında otomatik güvenlik testleri
• Devreye alma öncesi bağımsız doğrulama

Tehdit Modelleme Neden Merkezde?

Tehdit modelleme, tasarımdan güvenliğin en somut aracıdır. Sistem çizildikten sonra “burada ne ters gidebilir?” sorusu sistematik olarak sorulur. STRIDE gibi çerçeveler bu soruyu kategorilere ayırarak akla gelmeyen senaryoların atlanmasını önler.

Modelleme erken yapıldığında çıktısı doğrudan tasarım değişikliğidir. Geç yapıldığında ise çoğunlukla bir risk listesi üretir ve bu liste “sonraki sürümde” etiketiyle bekler. Bu nedenle çalışmanın zamanlaması, yönteminden daha belirleyicidir.

Güvenlik gereksinimleri nasıl yazılır?

Gereksinimler sınanabilir olmalıdır. “Sistem güvenli olmalıdır” bir gereksinim değildir; “parolalar uyarlanabilir bir özet algoritmasıyla saklanır”, “oturum belirteci yalnızca güvenli ve HttpOnly çerezle taşınır” gibi ifadeler ise test edilebilir. Güvenli geliştirme yaşam döngüsü bu gereksinimleri süreç içine yerleştirir.

İlgili Tasarım İlkeleri

Tasarımdan güvenlik, birkaç klasik ilkenin birlikte uygulanmasıyla somutlaşır. Bunlar birbirini tamamlar ve çoğu güvenlik hatası bu ilkelerden birinin ihlaliyle açıklanabilir.

• Basitlik: karmaşık tasarım, doğrulanamayan tasarımdır
• Varsayılan güvenli: güvenli seçenek varsayılan olmalıdır
• Hata durumunda güvenli davranış: arıza anında sistem açılmamalıdır
• Tam aracılık: her erişim isteği kontrolden geçmelidir
• Açık tasarım: güvenlik, tasarımın gizliliğine dayanmamalıdır
• Ortak mekanizmanın azaltılması: paylaşılan bileşen sayısı sınırlanmalıdır

Mevzuat ve Standartlarla İlişkisi

Tasarımdan güvenlik, birçok düzenlemede açıkça beklenen bir yaklaşımdır. KVKK kapsamındaki teknik ve idari tedbirler, ürün güvenliği düzenlemeleri ve endüstriyel kontrol sistemleri için hazırlanan IEC 62443 gibi sektörel standartlar, güvenliğin tasarım aşamasında ele alınmasını bekler.

Bu beklenti belgelenebilir olmalıdır. Tasarım kararlarının gerekçesi, tehdit modelleme çıktıları ve gereksinim izlenebilirliği kayıt altına alındığında hem denetimlerde kanıt üretilir hem de ekip değişikliklerinde bilgi kaybı yaşanmaz.

Sık Yapılan Hatalar

İlk hata, güvenliği tasarım toplantılarına çağrılmayan bir ekibe bırakmaktır. Güvenlik ekibi kararlar alındıktan sonra devreye girdiğinde rolü doğal olarak engelleyiciye dönüşür ve yaklaşım kurum içinde direnç görür.

İkinci hata, tehdit modellemeyi bir kereye mahsus yapmaktır. Sistem değiştikçe güven sınırları ve veri akışları da değişir; modelin sürüm sürüm güncellenmemesi, ilk gün doğru olan varsayımların yıllarca taşınmasına yol açar.

Üçüncü hata, güvenlik gereksinimlerini iş gereksinimlerinden ayrı bir listede tutmaktır. Ayrı liste, önceliklendirme sırasında ilk feda edilen liste olur. Gereksinimler aynı arka planda ve aynı kabul kriterleriyle takip edildiğinde bu risk ortadan kalkar.

Maliyet Açısından Erken Müdahalenin Değeri

Güvenlik hatalarının düzeltme maliyeti, hatanın yakalandığı aşamaya göre belirgin biçimde artar. Tasarım aşamasında bir karar değiştirmek çoğunlukla bir tartışma ve birkaç belge güncellemesi gerektirirken, aynı kararı canlı sistemde değiştirmek veri göçü, entegrasyon değişikliği ve kesinti planlaması demektir.

Maliyet yalnızca iş gücü değildir. Geç yakalanan bir tasarım hatası, telafi edici kontrollerin kalıcı işletme maliyetini de beraberinde getirir; ürünün ömrü boyunca ödenen bu bedel, ilk günkü tasarım değişikliğinin çok üzerindedir.

Bu nedenle güvenlik incelemesi, projelerin sonunda değil karar noktalarında konumlandırılır. Mimari kararların alındığı toplantıya katılan bir güvenlik uzmanı, aylar sonra yazılacak bir bulgu raporundan çok daha fazla değer üretir.

Yazılım Dışı Alanlarda Uygulama

Ağ tasarımında ilke, segmentasyon sınırlarının ve yönetim erişim yollarının en baştan çizilmesiyle uygulanır. Sonradan segment eklemek, çalışan bir ortamda çok daha zordur ve çoğunlukla yarım kalır.

Endüstriyel ortamlarda ise tasarımdan güvenlik, emniyet gereksinimleriyle birlikte ele alınır. Bir kontrol sisteminde güvenlik kontrolünün emniyeti tehlikeye atmaması gerekir; bu denge ancak tasarım aşamasında kurulabilir.

Bulut mimarilerinde ilke, hesap ve abonelik yapısının en başta doğru kurulmasıyla başlar. Ortamların ayrılması, merkezî kayıt toplama ve kimlik modeli ilk günden tanımlandığında, sonradan yapılacak düzeltmelerin çoğu gereksizleşir.

Gizlilik ve Tasarımdan Güvenlik

Tasarımdan gizlilik, aynı mantığın kişisel veriye uygulanmış hâlidir. Hangi verinin gerçekten toplanması gerektiği, ne kadar süre saklanacağı ve kimlerle paylaşılacağı tasarım aşamasında belirlenir. Toplanmayan veri, korunması gerekmeyen veridir.

Veri minimizasyonu bu nedenle hem gizlilik hem güvenlik kazancı sağlar. Sistemde tutulan hassas veri miktarı azaldığında olası bir ihlalin etkisi de doğrudan küçülür.

KVKK kapsamındaki yükümlülükler de bu yaklaşımı destekler. Aydınlatma, saklama süresi ve imha politikalarının tasarım aşamasında ele alınması, sonradan yapılacak uyum çalışmalarının kapsamını belirgin biçimde daraltır.

Ekipler Arası İş Birliği

Yaklaşımın başarısı, güvenlik ekibinin geliştirme ve altyapı ekipleriyle kurduğu ilişkiye bağlıdır. Güvenlik gereksinimlerinin dayatılan bir liste değil, birlikte yazılan bir kabul kriteri hâline gelmesi uygulanma oranını yükseltir.

Ortak bir dil kurmak da iş birliğini kolaylaştırır. Güvenlik gereksinimlerinin ekiplerin kullandığı iş takip aracında, aynı biçimde ve aynı öncelik ölçeğiyle yazılması, bu gereksinimlerin ayrı bir dünyanın talebi olarak görülmesini engeller.

Eğitim tarafı da ihmal edilmemelidir. Geliştiricilerin yaygın zafiyet türlerini ve bunların tasarım karşılıklarını bilmesi, güvenlik ekibine sorulan soruların niteliğini yükseltir ve inceleme süresini kısaltır.

Son olarak geri bildirim döngüsü kurulur. Devreye alınan sistemlerde sonradan çıkan güvenlik bulguları, tasarım aşamasına geri taşınır; böylece aynı hata bir sonraki projede tekrar edilmez ve tasarım kontrol listesi zamanla olgunlaşır.

Bunu kolaylaştıran yaygın uygulamalardan biri, her ekipte gönüllü bir güvenlik temsilcisinin bulunmasıdır. Bu kişi tehdit modelleme oturumlarını yürütür, güvenlik ekibiyle köprü kurar ve gereksinimlerin günlük işe taşınmasını sağlar.

Privia Security olarak yeni sistem ve uygulama tasarımlarını devreye alınmadan önce altyapı ve mimari gözden geçirme kapsamında inceliyor, tehdit modelleme çıktılarını uygulanabilir tasarım önerilerine dönüştürüyoruz.