Bir saldırganın VPN’e çalıntı bir kimlik bilgisiyle bağlandığını düşünün. Klasik güvenlik mimarisinde bu andan itibaren neredeyse hiçbir engelle karşılaşmaz — çünkü “ağ içinde” olmak, uzun süre “güvenilir” olmakla eş anlamlı sayıldı. Hibrit çalışma düzeni ve bulut uygulamalarının yaygınlaşmasıyla birlikte bu varsayım artık savunulamaz hale geldi.
“Kale ve Hendek” Modelinin Çöküşü
Klasik kurumsal güvenlik mimarisi bir kaleye benzer: dış duvarları (güvenlik duvarı, VPN) sağlamlaştırırsınız, içeri giren herkese nispeten serbest hareket alanı tanırsınız. Sahada gördüğüm vakaların ortak noktası şuydu: sızmanın kaynağı neredeyse hiç “dışarıdan zorla girme” değildi — çalınmış, sızdırılmış ya da zayıf bir kimlik bilgisiydi. Saldırgan bir kez o kimlikle “içeri” girdiğinde, sistem onu meşru bir kullanıcıdan ayırt edemiyordu.
Zero Trust’ın Çıkış Noktası
Zero Trust mimarisi, konumu (ağ içi ya da dışı) güven göstergesi olarak kullanmayı bırakır. Her erişim talebi — kullanıcı kim, cihazı ne durumda, hangi bağlamda (konum, zaman, risk skoru) istekte bulunuyor — ayrı ayrı değerlendirilir. “İçeride olmak” artık otomatik onay anlamına gelmiyor.
Bunu pratikte dört bileşen üzerinden kuruyoruz: Entra ID üzerinden her erişimde zorunlu MFA; Intune ile yönetilmeyen veya uyumsuz cihazların otomatik kısıtlanması; ağı tek bir geniş “içeri” alanı yerine birbirinden izole küçük bölgelere ayıran mikro segmentasyon; ve bir oturumun ortasında bile risk sinyali görülürse erişimi yeniden değerlendiren sürekli izleme.
Peki VPN Tamamen Devre Dışı mı Kalıyor?
Hayır, ama rolü kökten değişiyor. “Ağa genel erişim” veren geleneksel VPN’in yerini, kullanıcıyı doğrudan ihtiyaç duyduğu tek bir uygulamaya bağlayan kimlik doğrulamalı erişim çözümleri (ZTNA) almaya başladı. Fark şurada: eskiden “bir kez içeri gir, her şeye eriş” mantığı vardı; şimdi her erişim ayrı ayrı doğrulanıyor.
Bir Gecede Olmuyor
Zero Trust’a toptan geçiş gerçekçi bir hedef değil. Kademeli bir sıra izlemek daha güvenli sonuç veriyor: önce MFA’yı tüm kritik sistemlerde zorunlu kılmak, ardından cihaz uyumluluğu şartına dayalı koşullu erişim politikalarını devreye almak, son olarak ağ segmentasyonunu adım adım sıkılaştırmak. Her aşama kendi başına değer üretiyor — hepsinin aynı anda bitmesini beklemeye gerek yok.
Sonuçta bu bir ürün satın alarak “tamamlanan” bir proje değil; kimlik, cihaz ve ağ katmanlarında sürekli doğrulamayı norm haline getiren bir mimari yaklaşım. “İçeride = güvenli” varsayımının artık geçerli olmadığı bir tehdit ortamında, bu dönüşümü ertelemenin maliyeti gün geçtikçe artıyor.