Kron Türkiye: Ayrıcalıklı Erişim Yönetimi Ürünleri

Kurumsal güvenlikte en yüksek riski taşıyan hesaplar, aynı zamanda en az denetlenenlerdir. Bir veritabanı sunucusunun yönetici parolası birden çok kişide bulunur, bir ağ cihazının hesabı yıllardır değişmemiştir, bakım için gelen firma paylaşılan bir hesapla bağlanır. Bu tabloda iki soru cevapsız kalır: bu sistemlere kim erişebilir ve eriştiğinde ne yaptı. Ayrıcalıklı erişim yönetimi bu iki soruyu cevaplamak için araya bir denetim katmanı koyar.

Kron 2007'de İstanbul'da kurulmuş bir yazılım üreticisidir ve merkezi bugün de İstanbul'dadır; Ankara ve İzmir'de ofisleri, Amerika Birleşik Devletleri'nde New Jersey eyaletinde bir ofisi bulunur. Türkiye'de üç Ar-Ge merkezi işletmektedir. Üretici kendi 2025 faaliyet raporunda yedi ürüne ait Yerli Malı Belgesi, bir Teknolojik Ürün Deneyim Belgesi, marka tescilleri ve patentleri bulunduğunu; ayrıca tamamlanmış ve süren TÜBİTAK projeleri olduğunu bildirmektedir.

Yerli üretici olmanın Türkiye'de pratik bir karşılığı vardır. Kamu alımlarında Yerli Malı Belgesi fiyat değerlendirmesinde avantaj getirir; ayrıca 7545 sayılı Siber Güvenlik Kanunu'nun temel esasları arasında yerli ve millî ürünlere öncelik verilmesi yer alır. Buna karşılık bir ayrımı belirtmek gerekir: aynı Kanun kamu kurumları ve kritik altyapılarda kullanılacak ürünler için ayrı bir yetkilendirme ve belgelendirme düzenlemesi de öngörür. Yerli Malı Belgesi bu yetkilendirmenin yerine geçmez ve ikisi karıştırılmamalıdır; bir ihaleye girmeden önce hangi belgenin arandığı şartnameden okunmalıdır.

Portföyün merkezinde Kron PAM platformu bulunur ve diğer ürünler onun üzerine kurulur. Ürün ailesi Türkiye'de kurulu tabanda ve ihale şartnamelerinde Single Connect adıyla da anılır. Bu sayfada beş ürün ele alınmaktadır; üreticinin portföyü daha geniştir ve telekom operatörlerine yönelik ayrı bir ürün grubunu da kapsar. Innoset, Kron iş ortağı olarak lisanslama, kurulum, kavram doğrulama ve Türkçe teknik destek süreçlerini üstlenir.

Kimler için uygun?

• Denetime giren finans ve kamu kurumları
• Yerli ürün önceliği olan alımlar
• Paylaşımlı yönetici hesabı olan ortamlar
• Kurum içi kurulum gerektiren yapılar

Portföy iki grupta toplanır. Birinci grup erişimin kendisini yönetir: kim bağlanabilir, parola nerede durur ve oturumda ne yapılır. İkinci grup verinin ve makine kimliklerinin tarafındadır. Hepsi Kron PAM platformu üzerinde çalışır.

Erişim ve Oturum Yönetimi

Veri ve Makine Kimliği

Her ürünün kısa tanımı ve öne çıkan yetenekleri aşağıda; ayrıntılı ürün sayfaları sonraki aşamada yayımlanacak.

Beş ürünün hepsini birden almak gerekmez ve çoğu kurum böyle başlamaz. Başlangıç noktası genellikle Kron PAM platformudur; erişimin merkezî yönetimi kurulduktan sonra diğer bileşenler ihtiyaca göre eklenir. Parola tarafı ve oturum kaydı platformun çekirdek parçalarıdır ve çoğunlukla birlikte devreye alınır; veritabanı denetimi ile makine kimliği tarafı ise ayrı birer karardır ve farklı ekipleri ilgilendirir.

Seçimi belirleyen soru genellikle şudur: hangi problem sizi bu sayfaya getirdi. Denetimde erişim kanıtı istendiyse oturum kaydı, parolalar bir dosyada duruyorsa şifre kasası, veritabanı yöneticileri gereğinden fazla veri görüyorsa veritabanı tarafı öne çıkar. Aşağıdaki tablo bu eşleşmeyi özetler. Kapsam belirlenirken dikkat edilecek bir nokta da emeğin nerede olduğudur: teknik kurulum çoğu üründe kısadır, asıl emek envanter çıkarmak ve politika tasarlamaktır ve bu, iş birimleriyle birlikte yürütülür.

Probleminize göre başlangıç ürünü

• Bankacılık ve Finans

  Bankacılık düzenlemesi ayrıcalıklı hesaplarda ek kontrol, ayrıcalıklı işlemlerin kaydı ve bu kayıtların uzun süre saklanmasını ele alır; sistem günlükleri bu gereksinimi tek başına karşılamaz. Erişimin politikaya bağlanması ve oturum kaydı bu kanıtı üretebilir.

• Telekom ve Servis Sağlayıcı

  Operatörlerde binlerce ağ cihazının yönetici erişimi cihaz üzerinde tanımlı yerel hesaplarla yapılır; kimin hangi komutu çalıştırdığı hiçbir yerde toplanmaz. Ağ cihazı erişimlerinin de aynı platformdan yönetilmesi bu dağınıklığı giderir.

• Enerji ve Kritik Altyapı

  Kritik altyapıda bakım için gelen dış firmalar kritik sistemlere erişir ve bu erişim geçici bir hesapla verilip iş bitiminde kapatılmaz; ayrıca yerli ürün önceliği bu alanda belirleyici olabilir. Süreli erişim ve oturum kaydı bu boşluğu kapatır.

• BDDK Bilgi Sistemleri Yönetmeliği

  Problem: Yönetmelik ayrıcalıklı hesap kontrollerini, iz kayıtlarının adli nitelikte delil oluşturmasını ve hassas veri erişimlerinin uzun süre saklanmasını birlikte ele alır; bu kanıt zinciri çoğu kurumda hiç kurulmaz. Aynı platformdan gelen erişim ve oturum kayıtları bu kontrollere kanıt sağlayabilir.

• ISO/IEC 27001:2022

  Problem: A.8.2 ayrıcalıklı erişim haklarını, A.5.17 kimlik doğrulama bilgisini, A.8.11 veri maskelemeyi ve A.8.15 günlük kaydını ayrı ayrı ele alır; kurum bu kanıtı farklı ürünlerden toplamak zorunda kalır. Tek portföyden gelen kayıtlar bu kontrollere birlikte kanıt sağlayabilir.

• 6698 sayılı KVKK

  Problem: Kanunun 12'nci maddesi kişisel verilere hukuka aykırı erişimi önleyecek tedbir öngörür; paylaşılmış bir veritabanı parolası varken bu tedbirin alındığı gösterilemez. Erişimin kişiye bağlanması, kaydedilmesi ve verinin role göre maskelenmesi tedbirlere katkı sağlayabilir.

• Ayrıcalıklı Erişim Yönetimi

  Problem: kritik sistem parolaları kişiler arasında paylaşılır, yıllarca değişmez ve bu hesaplarla ne yapıldığı kayıtlı değildir; bir olay yaşandığında sorumluluk bile atanamaz. Erişimin araya giren bir katmandan yürütülmesi bu boşluğu kapatır.

  Detay
• Kimlik Güvenliği

  Problem: kimlik çalışmaları çalışan hesaplarına odaklanır, oysa sistemlere bağlanan kimliklerin çoğu insan değildir ve bu küme hiç envantere alınmamıştır. İnsan ve makine kimliklerinin aynı portföyden yönetilmesi kapsamı bütünler.

• Uyum Yönetimi

  Problem: denetimde "kritik sistemlere kim erişti ve ne yaptı" sorusunun cevabı farklı sistemlerin günlüklerinden elle derlenir; kayıtlar eksik olduğu için tablo tutarsız çıkar. Erişimlerin tek katmandan geçip kaydedilmesi bu kanıtı sürekli hâle getirir.

• Paylaşılan ve sahipsiz yönetici parolaları

  Problem: kritik sistem parolaları birden çok kişide bulunur, çoğunlukla bir dosyada tutulur ve yıllarca değişmez; kişi ayrıldığında da kimse değiştirmez. Parolanın kullanıcıya hiç gösterilmemesi ve sistem tarafından merkezden yönetilmesi, bu zinciri daha en kaynağında kırar.

• Denetimde gösterilemeyen erişim kaydı

  Problem: denetçi "bu sisteme kim erişti ve ne yaptı" diye sorduğunda cevap farklı sistemlerin günlüklerinden derlenmeye çalışılır; kayıtlar eksik olduğu için tablo tutarsız çıkar. Oturumun kendisinin kaydedilmesi bu soruyu tek yerden cevaplanabilir kılar.

• Gereğinden fazla veri gören kullanıcılar

  Problem: destek ve raporlama ekipleri görevlerini yapmak için veriye erişir ama teknik olarak ayrım bulunmadığından kaydın tamamını açık görürler; kimse bu kadar veriye ihtiyaç duymaz. Role göre maskeleme, işi durdurmadan görünürlüğü göreve indirir.

Portföydeki beş ürünün kapsamı

Türkiye'de bu portföyün karşılık geldiği tablo tanıdıktır. Kritik sistemlerin yönetici parolaları bir dosyada tutulur ve birden çok kişide bulunur; kimde olduğunun kaydı olmadığı için iptal edilemez. Dış firmalara bakım için açılan erişimler iş bittiğinde kapatılmaz. Veritabanlarına erişen destek ve raporlama ekipleri kaydın tamamını açık görür, çünkü teknik olarak bir ayrım yoktur. Uygulamaların kullandığı anahtarlar ve servis hesapları kodun içinde durur ve envanteri hiç çıkarılmamıştır. Denetim dönemi geldiğinde "kim erişti ve ne yaptı" sorusunun cevabı farklı sistemlerin günlüklerinden derlenmeye çalışılır ve tablo eksik çıkar.

Kron portföyünün bu tabloda üç ayırt edici tarafı vardır. Birincisi mimaridir: proxy yaklaşımı sayesinde ana senaryolarda hedef sistemlere ajan kurulmaz, dolayısıyla projelerin en sık takıldığı direnç noktası ortadan kalkar. İkincisi kapsam bütünlüğüdür; insan hesapları, oturumlar, veritabanı sorguları ve makine kimlikleri aynı platformdan yönetildiği için denetim kanıtı tek yerden çıkar. Üçüncüsü üreticinin Türkiye kökenli olmasıdır ve bunun kamu alımlarında somut bir karşılığı vardır; ancak Yerli Malı Belgesi ile 7545 sayılı Kanun kapsamındaki yetkilendirme ayrı şeylerdir ve şartnamede hangisinin arandığı okunmalıdır. Bir sınırı da belirtmek gerekir: bu portföy bir kimlik yönetişimi platformu değildir ve kurum genelinde çalışan yaşam döngüsünü yönetmez. BDDK Bilgi Sistemleri Yönetmeliği ve ISO 27001 kontrolleri için kanıt sağlayabilir; uyum yükümlülüğü kurumda kalır. Innoset, lisanslama, kurulum, kavram doğrulama ve Türkçe teknik destek süreçlerini yürütür.