Görevlerin ayrılığı

Açılış

Ayın son cuması Kaan, depo ağının güvenlik duvarı kurallarını gözden geçirmek için oturdu. Gülay Hanım bu işi ona vermişti: her ay kurallara bakılacak, gereksiz ya da şüpheli bir açıklık varsa raporlanacaktı.

Listede bu ay iki yeni kural vardı. Birincisi, depo yazıcısına izin veren kuraldı; onu ilk gün yazıcı çalışmayınca Kaan kendisi eklemişti. İkincisi, el terminallerinin güncelleme sunucusuna erişmesi için açılmış bir kuraldı; onu da üç hafta önce, depo şefinin telefonu üzerine, yine Kaan eklemişti.

Kaan raporu yazmaya başladı ve elinin durduğunu fark etti. Kuralı açma kararını veren oydu. Kuralı uygulayan oydu. Şimdi de kuralın doğru olup olmadığını denetleyen oydu. Raporun sonuna "Bulgu yok" yazmak üzereydi.

Kendi işini denetleyen biri, hatasını ne kadar görebilirdi? Ya da daha kötüsü: bir gün biri bu hesabı ele geçirse ya da Kaan'ın kendisi yanlış bir şey yapsa, bunu kim görecekti?

Kaan raporu kapattı ve Gülay Hanım'ın kapısını çaldı.

Tek fikir

Görevlerin ayrılığı, hassas bir işin aşamalarını farklı kişilere dağıtarak aynı kişinin kendi işine onay verememesini ve kendi yaptığını denetleyememesini sağlar. Böylece bir hata ya da kötüye kullanım, ancak birden fazla kişinin aynı anda yanılması ya da anlaşmasıyla mümkün olur.

Nasıl çalışır

Önceki iki derste her hesabın görevine yetecek kadar yetki taşımasını ve erişimin varsayılan olarak kapalı olmasını gördük. Bu ders bir adım daha ileri gidiyor: tek bir kişinin yetkisi doğru olsa bile, bazı işlerin tek kişide toplanmaması gerekir.

Bu ilkenin kurumlarda nasıl uygulanacağını, en az ayrıcalığı aldığımız aynı katalog ayrı bir önlem olarak tanımlar.

NIST'in açıklamasındaki bir ifade dikkat ister: "gizli anlaşma olmadan." Görevlerin ayrılığı, kötüye kullanımı imkânsız kılmaz; onu tek kişinin yapabileceği bir şey olmaktan çıkarır.

İlkenin arkasındaki mantık, koruma mekanizmaları üzerine yazılmış en eski metinlerden birinde de vardır.

Görevlerin ayrılığı dört aşamada düşünülebilir. Talep: bir değişikliği ya da erişimi isteyen. Onay: buna izin veren. Uygulama: değişikliği yapan. Denetim: sonradan doğru yapılıp yapılmadığına bakan. Bu dört aşamanın en kritik ikilisi uygulama ile denetimdir; NIST'in özellikle erişim yöneticilerinin denetim kayıtlarını yönetmemesini istemesinin nedeni budur. Kendi değişikliklerinin kaydını silebilen ya da değiştirebilen biri, hatasını da kötüye kullanımını da görünmez kılabilir.

Küçük kurumlar her aşamayı ayrı bir kişiye veremez. Üç kişilik bir büroda dört ayrı rol yoktur. O zaman en azından uygulama ile denetimi ayırmak, ve tam ayrılmayan yerlerde düzenli bir dış göz, örneğin ayda bir başka bir kişinin kayıtlara bakması, telafi edici bir önlem olur.

Sahada

Savunma

Görevlerin ayrılığı, en çok içeriden kaynaklanan risklere ve ele geçirilmiş tek bir hesaba karşı korur. Bir kişinin, ya da onun hesabını ele geçiren birinin, tek başına neyi yapıp neyi gizleyebileceğini sınırlar.

Önce hassas işleri listele. Her iş ayrılık gerektirmez; ayrılık, zararın büyük ve gizlenebilir olduğu yerlerde gerekir: erişim yetkisi vermek, güvenlik kurallarını değiştirmek, canlı sisteme kod yüklemek, kayıtları silmek, yedekleri imha etmek.

Sonra her iş için dört aşamayı yaz: kim talep ediyor, kim onaylıyor, kim uyguluyor, kim denetliyor? Aynı ad iki sütunda geçiyorsa, özellikle uygulama ve denetim sütunlarında, orası bir ayrılık açığıdır.

Sonra denetim kayıtlarını, denetlenenin elinden al. NIST'in erişim yöneticileriyle denetim kayıtlarını ayırma isteği bu yüzdendir. Kaan'ın kayıtlarının yalnız okunabilir ayrı bir sunucuya gitmesi, kendi hatasının izini silemeyeceği anlamına geliyordu.

Acil durumlar için bir yol bırak. Görevlerin ayrılığı işi durdurmamalıdır. Selin'in ekibinin acil yükleme yolu, ayrılığı kaldırmadan onu sonraya erteler: önce yapılır, hemen ardından incelenir ve kaydı tutulur.

Küçük kurumlarda telafi edici önlem kullan. Tam ayrılık mümkün değilse, düzenli bir dış göz, aylık bir kayıt incelemesi ya da yılda bir dışarıdan bir değerlendirme, ayrılığın yerini kısmen tutar.

Tespit tarafında görevlerin ayrılığı doğrudan bir tespit aracıdır: denetimi yapan kişi uygulamayı yapmadığı için, hatayı ya da kötüye kullanımı görme olasılığı daha yüksektir. Kaan'ın üç haftadır görmediğini yeni denetçi ilk ayında gördü.

Uygulama

Kendi hayatında ya da küçük işinde, hassas işlerin tek kişide toplandığı yerleri bulacak ve ayrılık ekleyeceksin.

Bitirdiğinde, ikinci bir kişinin göremeyeceği hassas bir işin kaldığı yerleri yaz. Onlar senin kabul ettiğin risklerdir.

Defter: Seçilen alan, dört sütunlu görev tablosu, aynı adın tekrar ettiği satırlar, yapılan değişiklik ve ikinci kişinin rolü, kabul edilen kalan riskler.

Hata köşesi

Etik ve sınırlar

Görevlerin ayrılığı, bir kişinin işinin başka biri tarafından görülmesini gerektirir; bu yüzden denetim yetkisi de bir sorumluluktur ve yalnız tanımlanmış amaçla, yetkili kişilerce kullanılır. Bora'nın kayıt incelemesini kişisel verilerden sorumlu birime devretmesi, denetimin kendisinin de sınırlı ve hesap verebilir olmasını sağladı; denetçi, hasta kayıtlarına değil, kayıtlara kimin eriştiğine bakıyordu. Ayrılığı aşmak için iki kişinin anlaşması, yani gizli anlaşma, kurumun kurallarını ve çoğu zaman yasayı ihlal eder; görevi ayrılmış bir kişiden "nasılsa bir şey olmaz, sen de onayla" diye onay istemek de aynı ihlalin başlangıcıdır. Denetimde bulunan bir hata, Kaan'ın kuralında olduğu gibi, bir sorumlu aramaya değil, sürecin eksik halkasını bulmaya yarar; aksi hâlde insanlar hatalarını saklamayı öğrenir.

Kapanış

1. Görevlerin ayrılığı, hassas bir işin talep, onay, uygulama ve denetim aşamalarını farklı kişilere dağıtır; kimse kendi değişikliğine onay veremez, kendi işinin denetçisi olamaz.
2. En kritik ayrılık uygulama ile denetim arasındadır: erişimi yöneten kişi denetim kayıtlarını yönetmemeli, kendi değişikliklerinin izini silememelidir.
3. Ayrılık kötüye kullanımı imkânsız kılmaz ama tek kişinin işi olmaktan çıkarır; acil durumlar için sonradan incelenen bir yol, küçük kurumlar için düzenli bir dış göz bırakılır.

Üç soru

1. Kaan'ın aylık raporundaki sorun neydi ve Gülay Hanım bunu nasıl çözdü?
2. Selin'in ekibi acil yüklemeler için neden ayrı bir yol tanımladı?
3. Bora erişim kayıtlarının incelemesini neden başka bir birime devretti?

Yanıtlar

1. Güvenlik duvarı kurallarını açmaya karar veren, uygulayan ve aylık olarak denetleyen aynı kişiydi, Kaan'ın kendisi. Gülay Hanım talebi bölüm yöneticisine, onayı kendine, uygulamayı Kaan'a, denetimi kurallarla uğraşmayan başka bir çalışana verdi ve kayıtları Kaan'ın silemeyeceği yalnız okunabilir bir sunucuya taşıdı. İlk denetimde gereğinden geniş bir kural bulundu.
2. Görevlerin ayrılığı işi durdurmamalıdır; gece acil bir hatayı düzeltmek gerekebilir. Acil yol ayrılığı kaldırmadan sonraya erteler: yükleme yapılır, ertesi sabah ikinci bir geliştirici onu inceler ve kaydı tutulur. Böylece hem iş yürür hem de ikinci göz kaybolmaz.
3. Kullanıcılara erişim yetkisi veren de, erişim kayıtlarını inceleyen de kendisiydi; kendi hesabının erişimlerini kendisi denetliyordu. NIST'in AC-5 önlemi erişim denetimini yöneten personelin denetim kayıtlarını da yönetmemesini ister. İnceleme ayrı bir birime geçince, bilgi işlem personelinin hasta kayıtlarına erişimi ilk kez yazılı bir kurala bağlandı.

Sonraki derse köprü

Kaan'ın güncelleme sunucusu kuralı gereğinden geniş bir alana açılmıştı ve kimse o açıklığın neye hizmet ettiğini hatırlamıyordu. Saldırı yüzeyini küçültmek dersi bu tür açıklıklara bakıyor: kullanılmayan servisleri, hesapları ve yazılımları kaldırarak saldırıya açık alanı daraltmak.