Yapay zeka korunacak yüzeyi nasıl genişletiyor?
Yapay zeka sistemleri bilgi üretmenin ötesine geçti: farklı uygulamalara bağlanıyor, kurum verisini kullanıyor ve bazı işlemleri kullanıcı adına gerçekleştiriyor. Bir yapay zeka ajanı e-posta gönderebiliyor, bir kayıt açabiliyor ya da bir sistemin ayarını değiştirebiliyor. Ajana verilen her yetki, güvenlik ekibi açısından yeni bir erişim yolu anlamına geliyor.
Bu yüzden korunacak yüzey, kullanıcıların, bilgisayarların ve sunucuların yanına yapay zeka uygulamalarını ve ajanlarını da ekliyor. Ajanın hangi veriye eriştiği, hangi aracı çağırdığı ve kimin adına işlem yaptığı, bir kullanıcı hesabında olduğu gibi görünür ve denetlenebilir olmalı. Bunun ilk adımı, kurumda kullanılan yapay zeka araçlarının envanterini çıkarmaktır.
Yapay zeka ajanları nasıl denetlenir?
Güvenlik yaklaşımı "yapay zeka sistemini kur ve çalıştır" anlayışından "sürekli kontrol et, gerektiğinde müdahale et" anlayışına ilerliyor. Pratikte bu, ajanı kendi başına bir kimlik olarak ele alan dört katmanlı bir denetim demek:
- Kimlik ve en az yetki: Her ajan kendi kimliğiyle çalışır; görevinin gerektirdiği veriye ve araca erişir, yetkileri düzenli aralıklarla gözden geçirilir.
- Çalışma anında izleme: Ajanın çağırdığı araçlar, eriştiği veri ve yaptığı işlemler kayıt altına alınır ve beklenen davranış profiliyle karşılaştırılır.
- Riskli işlemde durdurma: Veri dışa aktarma, toplu silme ya da yetki değişikliği gibi işlemler politikayla durdurulur ya da insan onayına bağlanır.
- Sürekli test: İstem enjeksiyonu (prompt injection) ve veri sızdırma senaryoları düzenli olarak denenir; model ya da entegrasyon değiştiğinde test tekrarlanır.
Denetimin network ayağını, yani yapay zeka servislerine erişimin görünür kılınıp politikaya bağlanmasını yapay zeka aracı kullanım kontrolü notunda ele aldık.
SASE ile güvenlik neden kullanıcıyı izliyor?
Kullanıcılar bugün ofisten, evden, farklı şubelerden ve mobil cihazlardan kurumsal kaynaklara erişiyor; uygulamaların önemli bir kısmı da bulutta çalışıyor. Güvenliği merkez ofisteki tek bir çıkış noktasında toplamak, trafiği uzun yollardan merkeze taşır ve kullanıcı deneyimini yavaşlatır.
SASE yaklaşımı güvenliği kullanıcının bulunduğu yere taşır. Kullanıcı nerede olursa olsun internete, kurum içi uygulamalara ve SaaS servislerine erişim aynı politikayla ve aynı görünürlükle yönetilir. Yaklaşım dört yapı taşını tek çatıda birleştirir:
| Yapı taşı | Ne yapar | Kuruma katkısı |
|---|---|---|
| SD-WAN | Şube ve lokasyon trafiğini birden çok hat üzerinde uygulama bazında yönlendirir | Hat esnekliği ve bulut uygulamalarına doğrudan erişim |
| Sıfır güven ağ erişimi (ZTNA) | Kullanıcıyı ağın tamamı yerine yetkili olduğu uygulamaya bağlar, her oturumu doğrular | Uzak erişimde en az yetki |
| Güvenli internet erişimi (SWG) | Web trafiğini kullanıcının konumundan bağımsız olarak denetler ve filtreler | Evden ve yoldan çalışan kullanıcıya ofisteki korumanın aynısı |
| Bulut ve veri güvenliği (CASB) | Hassas verinin hangi kanaldan, kime gittiğini izler ve politikaya bağlar | Bulut ve SaaS üzerinden veri kaybı riskinin azalması |
Bileşenlerin tek bir politika motorunda buluşması, bir kuralın bir kez yazılıp her lokasyonda aynı biçimde uygulanmasını sağlar. Şube tarafını SD-WAN geçişi, uzak erişim tarafını VPN mi ZTNA mı notlarında ele aldık.
Kuantum sonrası şifrelemeye neden bugünden hazırlanılır?
Yeterli güce ulaşan kuantum bilgisayarlar, bugün yaygın kullanılan açık anahtarlı şifreleme yöntemleri (RSA ve eliptik eğri algoritmaları) için ciddi bir risk oluşturacak. Riskin bugünden önemli olmasının nedeni "şimdi topla, sonra çöz" yaklaşımıdır: şifreli trafik bugün kaydedilir, ileride çözülmek üzere saklanır. Uzun yıllar gizli kalması gereken veri için hazırlık takvimi bu yüzden bugün başlar.
Standartlar tarafında yön belli: ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), 2024'te ilk kuantum sonrası kriptografi (PQC) standartlarını yayımladı; anahtar değişimi için ML-KEM, dijital imza için ML-DSA ve SLH-DSA. Güvenlik cihazları ve VPN çözümleri bu algoritmaları, çoğunlukla bugünkü yöntemlerle birlikte çalışan hibrit bir kurguyla desteklemeye başlıyor. Hazırlık dört adımda ilerler:
- Şifreleme envanteri: Hangi sistemin, hangi bağlantıda, hangi algoritmayı ve anahtar uzunluğunu kullandığı çıkarılır; VPN tünelleri, TLS uç noktaları ve sertifikalar envanterin merkezindedir.
- Önceliklendirme: Uzun süre gizli kalması gereken veriyi taşıyan bağlantılar ve yaşam döngüsü uzun cihazlar öne alınır.
- Kripto çevikliği: Yeni alınan cihazda ve yazılımda, algoritma değişimini yazılım güncellemesiyle karşılayabilme yeteneği seçim kriteri olarak aranır.
- Kademeli geçiş: Destek geldikçe hibrit anahtar değişimi önce kritik bağlantılarda denenir, ardından yaygınlaştırılır.
Firewall ve VPN yenileme projelerinde keşif aşamasında üç soruyu birlikte ele alıyoruz: kurumda hangi yapay zeka araçları ve ajanları hangi veriye erişiyor, uzak kullanıcılar ve şubeler için güvenlik politikası tek yerden yönetilebiliyor mu, yeni cihaz kuantum sonrası algoritmalara yazılım güncellemesiyle geçebiliyor mu. Bu üç sorunun cevabı, bugün seçilen mimarinin yaşam döngüsü boyunca ihtiyacı karşılama kapasitesini belirliyor.
Kurumlar bugün nereden başlamalı?
Üç eksenin ortak başlangıç noktası görünürlüktür: yapay zeka araçlarının ve ajanlarının envanteri, kullanıcıların ve uygulamaların erişim haritası ve şifreleme envanteri. Envanter hazır olduğunda öncelikler netleşir: ajan yetkileri daraltılır, uzak erişim ve şube güvenliği tek politikada toplanır, yeni cihaz seçimlerinde kripto çevikliği aranır.
Network altyapısı bağlantı sağlamanın ötesine geçerek güvenliğin, erişimin ve veri yönetiminin merkezine yerleşiyor. Bütünü Network Güvenliği çözümleri sayfasında, sürekli izleme tarafını yönetilen hizmetlerde ele alıyoruz.
