Kim Neye Erişiyor? Erişim ve Maruziyet Analizi Nasıl Yapılır

Kişisel verinin nerede olduğunu bilmek, riskin yarısını anlatır. Diğer yarısı, o veriye kimin ulaşabildiğidir ve bu soru çoğu kurumda hiçbir sistemin tek başına yanıtlayamadığı bir sorudur. Dosya sunucusu ACL’lerini, Microsoft 365 paylaşım linklerini ve veritabanı rollerini ayrı ayrı okuyan ekipler, aynı bordro dosyasının üç farklı yoldan “herkese” açık olduğunu fark etmez. Erişim ve maruziyet analizi, bu üç dili tek bir grafikte birleştirme işidir.

Erişim bilgisi neden içerik kadar önemli

Bir kurumun veri envanterinde “İK paylaşımında 4.200 belge özel nitelikli veri içeriyor” bulgusu tek başına bir öncelik üretmez. Bu belgelerin yalnız üç İK uzmanı tarafından okunabilmesiyle tüm etki alanı kullanıcıları tarafından okunabilmesi arasında, aynı içerik için iki ayrı risk düzeyi vardır. Maruziyet, içerik bulgusuyla erişim bilgisinin kesişimidir ve önceliklendirme ancak bu kesişimle yapılabilir.

Kurum’un “Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber”i, bu verilere erişen personelin sınırlı tutulmasını ve erişim yetkilerinin kayıt altına alınmasını temel tedbirler arasında sayar. 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararı ise kurumsal iletişim kanallarının denetimi bağlamında erişimin sınırlı personelle yapılmasını, erişim kayıtlarının tutulmasını ve “teknik olarak erişebilir olma” ile “hukuken erişebilir olma”nın ayrılmasını vurgular. Her iki metnin operasyonel karşılığı aynıdır: kurum, hangi kimliğin hangi hassas veriye ulaşabildiğini bilmek ve bunu gösterebilmek zorundadır. Bu yazı hukuki tavsiye değildir; bu metinlerin kurumunuza uygulanması hukuk biriminizle değerlendirilmelidir.

Pratikte erişim bilgisi üç ayrı dilde yazılıdır: dosya sistemlerinin ACL’leri, bulut iş birliği platformlarının paylaşım modelleri ve veritabanlarının rol ve yetki tabloları. Bu üç dil birbirine çevrilmeden “kim neye erişiyor” sorusu yanıtlanamaz.

ACL’ler nasıl okunur

SMB/CIFS paylaşımlarında ve NTFS dosya sistemlerinde erişim, erişim denetim listeleriyle (ACL) tanımlanır. Her liste, bir kimlik (kullanıcı ya da grup), bir izin kümesi (okuma, yazma, değiştirme, tam denetim) ve bir türden (izin ver ya da reddet) oluşan girişler içerir. Okumayı zorlaştıran dört özellik vardır.

Devralma. Alt klasörler, varsayılan olarak üst klasörün izinlerini devralır. Yıllar önce kök paylaşıma verilmiş “Authenticated Users: Okuma” izni, bugün açılan her yeni klasörde sessizce yaşar. Devralma zinciri kırılmadıkça bu izin tek tek klasörlere bakıldığında görünmez; yalnız etkin izin hesaplandığında ortaya çıkar.

Grup iç içeliği. İzin bir gruba verilir; grubun üyeleri başka gruplardır; onların üyeleri de başka gruplar. “Finans-Okuma” grubunun içinde “Tüm-Çalışanlar” grubunun bulunması, finans klasörünü herkese açar ama ACL’de yalnız “Finans-Okuma” görünür.

Reddet girişleri. Reddet, izin vermeye göre önceliklidir; ama devralınan reddet, doğrudan verilmiş izinden sonra değerlendirilir. Etkin izin, bu önceliklerin hesabıdır ve elle yapılması hataya açıktır.

Paylaşım izni ile NTFS izni. SMB paylaşımının kendi izni ile altındaki dosya sisteminin izni ayrı ayrı tanımlanır; etkin izin ikisinin kesişimidir. Paylaşım izni “Everyone: Tam Denetim” olan ama NTFS’te sıkı tutulan bir klasör güvenlidir; tersi değildir.

NFS tarafında model daha basittir: dışa aktarım kuralları ve dosya mod bitleri. Burada risk çoğunlukla “herkese okuma” mod bitiyle dışa aktarılmış bir dizinin, kaynak ağdaki tüm istemcilere açık olmasıdır. Seratus dosya ve klasör izinlerini salt okunur bağlantıyla toplar; okunamayan izinler için dosya yine taranır ve izin boşluğu uyarı olarak raporlanır. Ayrıntı dosya sunucuları sayfasındadır.

Paylaşım linkleri: ACL olmayan erişim

SharePoint Online, OneDrive ve Teams dosyalarında erişimin önemli bir kısmı ACL ile değil, paylaşım linkleriyle verilir. Üç link türü ayrı maruziyet düzeyi üretir: belirli kişilere verilen link, “kuruluştaki herkes” linki ve anonim (herkese açık) link. İlk tür bir ACL girişine benzer; ikinci ve üçüncü tür, dosyanın yolunu bilen ya da linki ele geçiren herkese erişim verir ve klasik ACL okumasında görünmez.

Linklerin iki özelliği onları ACL’den daha tehlikeli yapar. Birincisi, kalıcılıktır: bir link oluşturulduğu amaca hizmet ettikten sonra iptal edilmez; dosya var olduğu sürece çalışır. İkincisi, yayılmadır: “kuruluştaki herkes” linki e-posta ile iletildiğinde, iletilen her kişi dosyaya ulaşır; link, dosyanın kendisi gibi kopyalanır.

Erişim analizi bu linkleri ACL’lerle aynı grafikte, aynı maruziyet ölçeğinde göstermek zorundadır. Bir bordro tablosunun hem NTFS’te “Domain Users: Okuma” izniyle durması hem de SharePoint’te “kuruluştaki herkes” linkine sahip olması, iki ayrı listede iki ayrı bulgu değil, tek bir yüksek maruziyet bulgusudur.

Veritabanı rolleri: tablo düzeyinde erişim

Veritabanlarında erişim, kullanıcılara ve rollere verilen nesne ayrıcalıklarıyla tanımlanır. Oracle’da roller ve sistem/nesne ayrıcalıkları, SQL Server’da veritabanı rolleri (db_datareader, db_owner gibi) ve şema izinleri, PostgreSQL ve MySQL/MariaDB’de rol ve GRANT ifadeleri aynı soruyu yanıtlar: hangi kimlik hangi tabloyu okuyabilir.

Burada sık görülen üç açık vardır. Uygulama servis hesabının, yalnız üç tabloya ihtiyacı varken tüm şemayı okuyabilen bir role sahip olması. Raporlama için açılmış “salt okunur” bir rolün, zamanla tüm personele verilmiş olması. Yıllar önce ayrılan bir yöneticinin kişisel veritabanı hesabının hâlâ tam ayrıcalıkla durması. Bu açıkların hiçbiri veritabanı yöneticisinin ekranında “risk” olarak görünmez; görünmesi için rolün hangi tablolara eriştiği ile o tablolarda hangi sütunların TCKN, IBAN ya da sağlık verisi taşıdığı yan yana getirilmelidir.

Seratus bu eşlemeyi rol-tablo izin grafiği olarak çıkarır. Bağlantı salt okunurdur: Oracle’da ince istemci ile, SQL Server’da db_datareader düzeyinde, PostgreSQL ve MySQL/MariaDB’de salt okunur hesapla. Rolün erişebildiği tablolar, örnekleme temelli sütun tespitiyle bulunan kişisel veriyle eşlenir ve sonuç, dosya tarafındaki ACL ve link bulgularıyla aynı grafikte yer alır.

Kimlik sorunları: ayrılmış kullanıcılar, çözülemeyen SID’ler, döngüsel gruplar

Erişim analizinin en çok yanlış sonuç ürettiği alan kimlik tarafıdır. Üç sorun öne çıkar.

Ayrılmış kullanıcılar ve yetim erişimler. Dizinde devre dışı bırakılmış ya da silinmiş bir hesap, ACL’lerden, paylaşım linklerinden ve veritabanı kullanıcı tablolarından otomatik olarak silinmez. Hesap devre dışıysa erişim şimdilik kullanılamaz; ama hesap yeniden etkinleştirilirse ya da aynı adla yeni bir hesap açılırsa izinler geri gelir. Bu girişler “yetim erişim” olarak ayrı işaretlenmelidir; çünkü temizlenmeleri hem en kolay hem en çok ertelenen iyileştirmedir.

Çözülemeyen SID’ler. Windows ortamında ACL girişleri kullanıcı adıyla değil, güvenlik tanımlayıcısıyla (SID) saklanır. Hesap silindiğinde SID ada çözülemez ve ACL’de S-1-5-21 ile başlayan bir dizi olarak kalır. Bu giriş kimin erişebildiği sorusunu yanıtsız bırakır. Daha önemlisi, çözülemeyen SID’ler bir göç ya da etki alanı birleşmesinin izidir; güvenilen etki alanındaki bir hesap bu SID’yi taşıyorsa erişim, kimsenin görmediği bir yoldan açık kalır.

Döngüsel grup üyelikleri. “Proje-A” grubu “Bölge-Ekip”in üyesi, “Bölge-Ekip” de “Proje-A”nın üyesi olduğunda üyelik çözümlemesi sonsuz döngüye girer. Çoğu araç bu noktada durur ya da üyeliği eksik hesaplar. Döngü, gruplardan birine verilen her iznin diğerinin tüm üyelerine yayılması anlamına gelir ve etkin erişimi tahmin edilenin çok üstüne çıkarır.

Seratus bu üç durumu ayrı bulgu türü olarak işaretler; LDAP/dizin senkronizasyonu, kullanıcı ve kapsam bilgisinin dizindeki güncel durumla eşleşmesini sağlar. Grafik, döngüyü tespit ettiğinde çözümlemeyi döngüyü kırarak tamamlar ve döngüyü kendi başına bir bulgu olarak raporlar.

En az yetki pratikte ne demek

En az yetki ilkesi kâğıt üstünde basittir: her kimlik yalnız işi için gereken erişime sahip olmalıdır. Pratikte ilkenin uygulanması, üç sorunun her varlık için yanıtlanmasını gerektirir: bu varlığa kim erişebiliyor, bu erişimi gerçekten kim kullanıyor, bu varlık ne içeriyor. Birinci soru ACL, link ve rol okumasıyla; üçüncü soru içerik sınıflandırmasıyla yanıtlanır. İkinci soru, erişim kayıtlarının konusudur ve çoğu kurumda yalnız kısmen yanıtlanabilir.

İlkeyi uygulanabilir kılan, bu sorulardan birinin değil, kesişimlerinin önceliklendirilmesidir. Kamuya açık ya da kuruluş geneli erişimle duran özel nitelikli veri, çözülemeyen SID’ye açık bordro klasörü ve tüm tablolara erişen bir uygulama rolü, aynı listede, aynı ölçekle sıralanmalıdır. Ardından iyileştirme, varlığın sahibine atanır: izin kaldırma, link iptali, rol daraltma ya da dosyanın karantinaya alınması. Her eylem onaylanır ve kaydedilir; çünkü erişimi daraltan bir eylem, iş sürecini de durdurabilir ve geri alınabilir olmalıdır.

Seratus bu açıkları nasıl kapatır

Açık: ACL, paylaşım linki ve veritabanı rolünün ayrı araçlarda ayrı dillerde okunması. Seratus’un erişim ve maruziyet grafiği dosya sunucusu ACL’lerini, SharePoint, OneDrive ve Teams paylaşım linklerini (anonim, “kuruluştaki herkes”, belirli kişiler) ve Oracle, SQL Server, PostgreSQL ve MySQL/MariaDB rol-tablo izinlerini tek grafikte, aynı maruziyet ölçeğinde birleştirir.

Açık: Etkin iznin devralma ve grup iç içeliği yüzünden görünmemesi. Grafik, devralınan izinleri ve iç içe grup üyeliklerini çözümleyerek etkin erişimi hesaplar; aşırı paylaşılan ve kamuya açık varlıklar öne çıkarılır.

Açık: Yetim erişimler, çözülemeyen SID’ler ve döngüsel gruplar. Her biri ayrı bulgu türüdür; LDAP/dizin senkronizasyonu kullanıcı ve kapsam bilgisini güncel tutar, döngüler kırılarak çözümlenir ve raporlanır.

Açık: Erişimi geniş olan ama içeriği bilinmeyen varlıklar. Veri sınıflandırma ve Türkçeye özel tespit, içerik bulgusunu erişim bilgisiyle eşler; “özel nitelikli veri geniş paylaşımda” gibi bulgular KVKK açıkları listesine düşer.

Açık: İzin daraltmanın kayıtsız ve onaysız yapılması. İzin kaldırma, karantina ve maskeleme eylemleri iyileştirme ve kanıt akışında sorumluya atanır, ayrı onay yetkisiyle yürütülür ve kim, ne zaman, neden bilgisiyle denetim kaydına yazılır; bulgular SIEM ve talep yönetimi sistemlerine iletilebilir.

Açık: Keşif için yazma yetkisi verilmesi. Tüm kaynak bağlantıları salt okunurdur; SQL Server’da db_datareader, Microsoft 365’te salt okunur uygulama izni, dosya sunucularında salt okunur bağlama. Analiz için hiçbir kaynakta yazma yetkisi gerekmez.

Sonuç

“Kim neye erişiyor” sorusu üç ayrı dilde, üç ayrı sistemde yanıtlanır ve bu yanıtlar birleştirilmediğinde en az yetki ilkesi bir niyet olarak kalır. Erişim ve maruziyet analizi, ACL’leri, paylaşım linklerini ve veritabanı rollerini içerik bulgusuyla tek grafikte kesiştirir; ayrılmış kullanıcıları, çözülemeyen SID’leri ve döngüsel grupları ayrı ayrı işaretler ve iyileştirmeyi kayıtlı, onaylı bir eyleme dönüştürür. Risk, verinin nerede olduğunda değil, o veriye kimin ulaşabildiğinde saklıdır.