Altyapınızın bir yerinde, üç proje önce bir entegratör için açılmış bir VPN hesabı var. Parolası, artık çalışmadığınız bir şirkette kaç kişinin elinde olduğu bilinmeyen biçimde paylaşılıyor. Ne için kullanıldığını kimse kaydetmedi. Var olduğunu da kimse hatırlamıyor, belki bir sonraki sahibi hariç.
Bu bir varsayım değil. Verizon'un DBIR 2025 raporu, ihlallerin %30'unda üçüncü taraf katkısı buldu: bir önceki yılın payının iki katı. Rakamların arkasındaki örüntü iç karartıcı biçimde tutarlı: tedarikçinin ortamında yeniden kullanılan ya da çalınan kimlik bilgileri, müşterinin ön kapısından içeri yürüyor.
VPN + paylaşılan hesap modeli neden hep başarısız
Geleneksel tedarikçi erişimi reçetesi aynı anda dört ayrı eksende çöker:
- Kimlik bilinmez. Paylaşılan bir "vendor_support" hesabı size bir şirketin bağlandığını söyler; hangi kişinin bağlandığını ve hâlâ orada çalışıp çalışmadığını söylemez.
- Süre sınırsızdır. VPN hesapları proje için açılır, sonsuza dek yaşar. Erişim; sözleşmeden, projeden, bazen tedarikçinin kendisinden bile uzun ömürlü olur.
- Hiçbir şey kaydedilmez. VPN, denetlenen bir oturum değil ağda varlık verir. Login ile logout arasında ne olduğu tahminden ibarettir.
- Offboarding hafızaya emanettir. Tedarikçinin mühendisi iş değiştirir; size kimse haber vermez. Offboarding süreciniz çalışanlarınızı kapsar, başka şirketlerin çalışanlarını değil.
Düzenleyiciler dördüne de yetişti. NIS2; MFA, en az ayrıcalık ve oturum izleme gereksinimlerini açıkça tedarikçi erişimine de genişletiyor. OT ortamlarında IEC 62443-2-4, güvenli tedarikçi uzak erişimini başlı başına bir değerlendirme maddesi yapıyor. Kritik altyapı işletiyorsanız "entegratör VPN'le giriyor", bir denetim sorusuna kabul edilebilir bir yanıt değil artık.
Bunun yerine vendor privileged access nasıl görünür
Vendor privileged access management, dış mühendisi güvenlik duvarında bir delik olarak değil, birinci sınıf ama geçici bir kimlik olarak ele alır:
- Hesap açmayın, davet edin. Tedarikçi e-postayla davet edilir: ad, şirket, amaç, zaman penceresi. AD hesabı yok, VPN profili yok.
- Sponsor onayı. Aktivasyon, davet eden çalışanın onayına düşer; böylece her dış kimliğin "evet" demiş bir iç sahibi olur.
- Parolasız ilk giriş. Tedarikçi magic link ile aktive olur, MFA ile doğrulanır; paylaşılacak, yeniden kullanılacak ya da phishing'e düşecek bir parola yoktur.
- Vendor organizasyonları ve delegasyon. Tedarikçinin ekip lideri, sizin çizdiğiniz sınırlar içinde kendi mühendislerini işe alır; her kişi tek tek kimliklendirilir ve gerektiğinde bütün organizasyon tek hamlede kapatılır.
- Just-in-time, kayıtlı oturumlar. Erişim hedef ve zaman penceresi bazında verilir, tamamı kaydedilen aracılı bir oturumla açılır ve kendiliğinden sona erer: dışarıya uygulanmış zero standing privilege.
- Kanıt yerleşiktir. Kim kimi davet etti, kim onayladı, kim nereye bağlandı, ne yaptı: hepsi denetçilerinizin sorduğu çerçevelere eşlenmiş rapor ve attestation olarak hazırdır.
Nelerin ortadan kalktığına dikkat edin: VPN, paylaşılan hesap ve "kapatmayı unutmayalım" ticket'ı.
Pazar bunu zaten ayrı bir disiplin sayıyor
Analistler vendor PAM'i ayrı bir segment olarak izliyor; büyük PAM üreticilerinin hepsi bunu ayrı fiyat etiketli ayrı bir ürün olarak satıyor. RFP'lerde kendi başlığıyla geliyor. Bunu bilmenin pratik bir nedeni var: ayrıcalıklı erişim platformu değerlendiriyorsanız, tedarikçi erişimini açıkça sorulacak bir yetenek olarak listeye yazın; kutudan çıktığını varsaymayın.
Monofor bu tabloda nerede
Monopam, tedarikçi erişimini iç ayrıcalıklı erişiminizi yöneten platformun içine kurar: sponsor onaylı davet, Monosign üzerinden Magiclink aktivasyonu ve MFA, delegasyonlu vendor organizasyonları, süreli just-in-time yetkiler, her bağlantıda oturum kaydı ve attestation raporları; VPN yok, paylaşılan kimlik yok, ayrı SKU yok. Tablonun tamamı dış paydaşlar çözüm sayfasında.
Tedarikçilerinizin erişime ihtiyacı var. Ağınıza değil.
Devamı için: Kalıcı Ayrıcalık, Her Gün Yenilenen Bir Risktir ve vendor privileged access sözlük maddesi.
