Storage yetkilendirme, ISO 27001 denetimlerinde çoğu zaman yalnız yönetici hesabı listesiyle açıklanmaya çalışılır. Oysa denetçi için kritik soru daha geniştir: kim hangi storage yönetim işini yapabiliyor, hangi host hangi volume veya share'e erişiyor, ayrıcalıklı erişim nasıl onaylanıyor ve bu kararların kanıtı nerede tutuluyor?
Bu rehber Dell PowerStore gibi kurumsal depolama platformları için pratik bir yetkilendirme modeli kurmak isteyen BT, bilgi güvenliği ve denetim ekiplerine yöneliktir. Amaç, storage erişimini teknik olarak çalışır hale getirmenin ötesine geçip ISO 27001 açısından savunulabilir, izlenebilir ve düzenli gözden geçirilen bir kontrol seti oluşturmaktır.
Hızlı Özet
- ISO 27001 storage yetkilendirme modeli named account, rol bazlı erişim, görev ayrılığı, düzenli erişim gözden geçirmesi ve merkezi loglama üzerine kurulmalıdır.
- Dell PowerStore tarafında Administrator, Security Administrator, Storage Administrator, Storage Operator, Operator ve Auditor gibi roller farklı görev kapsamları için ayrıştırılabilir.
- Storage yönetim yetkisi ile veri erişim yetkisi aynı kontrol değildir; PowerStore yöneticisi olmak, her uygulama verisine doğrudan erişim anlamına gelmemelidir.
- Volume, LUN, host initiator, NAS share ve snapshot izinleri ayrı bir erişim katmanı olarak ele alınmalıdır.
- Denetim kanıtı için yalnız ekran görüntüsü değil; onay kaydı, rol matrisi, değişiklik kaydı, offboarding çıktısı, audit log ve SIEM örneği gerekir.
İçindekiler
- Storage Yetkilendirme ISO 27001 İçin Neyi Kanıtlar?
- Rol Bazlı Yönetim Modeli Nasıl Kurulur?
- Host, Volume ve NAS Erişimi Nasıl Ayrıştırılır?
- Servis Hesapları ve Acil Durum Erişimi Nasıl Yönetilir?
- Loglama ve Denetim Kanıtı Nasıl Hazırlanır?
- 90 Günlük Storage Erişim Gözden Geçirme Planı
- İlgili İçerikler
- LeonX ile Sonraki Adım
- Sık Sorulan Sorular
- Kaynaklar
Görsel: Wikimedia Commons - 3PAR SAN in its natural habitat. WebP olarak optimize edilmiştir.
Storage Yetkilendirme ISO 27001 İçin Neyi Kanıtlar?
ISO 27001 açısından storage yetkilendirme, depolama platformunda "kim admin?" sorusundan ibaret değildir. Asıl hedef; kritik bilginin yalnız iş ihtiyacı olan kişiler, sistemler ve servis hesapları tarafından erişilebilir olduğunu gösterebilmektir.
Bu nedenle storage yetkilendirme dört ayrı katmanda düşünülmelidir:
- yönetim erişimi: PowerStore Manager, API, CLI veya entegrasyon hesabı ile platformu kim yönetebilir?
- veri erişimi: hangi host, cluster, VM, NAS istemcisi veya uygulama hangi volume/share'e bağlanabilir?
- güvenlik erişimi: kullanıcı, sertifika, LDAP, loglama ve güvenlik olaylarını kim yönetebilir?
- kanıt erişimi: audit log, erişim matrisi ve değişiklik kayıtlarını kim inceleyebilir?
Bu ayrım kurulmadığında en yaygın hata ortaya çıkar: storage ekibine geniş yönetim yetkisi verilir, ancak bu yetkinin hangi veri sınıflarını etkilediği ve ne zaman gözden geçirildiği netleşmez. ISO 27001 denetiminde zayıflık tam bu noktada görünür.
Rol Bazlı Yönetim Modeli Nasıl Kurulur?
Dell PowerStore dokümantasyonu, kullanıcı hesaplarının farklı yönetim görevleri için belirli rollerle oluşturulabileceğini açıklar. PowerStore Manager tarafında role-based access control, yönetsel görevleri sorumluluklara göre ayırmaya yarar. Bu, ISO 27001 için görev ayrılığı ve en az ayrıcalık ilkesini teknik platforma taşır.
Pratik başlangıç matrisi şu şekilde kurulabilir:
| Rol veya hesap tipi | Kullanım amacı | ISO 27001 kanıtı |
|---|---|---|
| Administrator | sınırlı sayıda tam yetkili break-glass veya platform sahibi | yönetim onayı, MFA, erişim gerekçesi |
| Security Administrator | kullanıcı, LDAP, audit log ve güvenlik ayarları | görev tanımı ve güvenlik değişiklik kayıtları |
| Storage Administrator | volume, host, protection policy ve operasyonel storage işleri | değişiklik kaydı ve iş emri |
| Storage Operator | günlük izleme ve sınırlı operasyon | rol matrisi ve görev kapsamı |
| Operator veya Auditor | okuma, izleme, kanıt inceleme | denetim erişimi ve log inceleme kaydı |
| Servis hesabı | otomasyon, backup, monitoring veya entegrasyon | sahiplik, kapsam, parola/secret rotasyonu |
Modelin güçlü olması için her hesap kişiye veya servise izlenebilir olmalıdır. Ortak kullanılan "storageadmin" gibi belirsiz hesaplar operasyonu kolaylaştırsa da denetimde zayıf kanıt üretir. Yerel hesap kullanılıyorsa bile hesap sahibi, onay tarihi, rol gerekçesi ve gözden geçirme periyodu kayıt altına alınmalıdır.
LDAP veya Active Directory entegrasyonu varsa grup isimleri açık olmalıdır. Örneğin Storage-PowerStore-Admins, Storage-PowerStore-Operators ve Storage-Auditors gibi ayrımlar, hem teknik yönetimi hem de denetim izini sadeleştirir.
Host, Volume ve NAS Erişimi Nasıl Ayrıştırılır?
Storage yetkilendirme yalnız yönetim panelindeki kullanıcı rollerinden oluşmaz. ISO 27001 için asıl veri riski çoğu zaman host mapping, volume erişimi, NAS share yetkileri ve snapshot restore kapsamındadır.
Blok storage tarafında şu sorular cevaplanmalıdır:
- hangi sunucu veya cluster hangi volume'a bağlı?
- host initiator kayıtları doğru sistemlere mi ait?
- eski sunucuların multipath, WWN veya iSCSI initiator kayıtları temizlenmiş mi?
- aynı volume test ve üretim ortamına yanlışlıkla açılmış mı?
- snapshot veya clone işlemi hassas veriyi daha zayıf bir ortama taşıyor mu?
NAS tarafında ayrıca share, export, ACL ve dizin bazlı izinler incelenmelidir. Storage yönetim yetkisi olan kişinin veri içeriğine erişimi olmayabilir; ancak yanlış export veya share ayarı veri sızıntısına neden olabilir. Bu nedenle NAS/SAN Depolama Kurulum ve Yapılandırma çalışmaları yalnız kapasite ve performans değil, erişim sınırlarıyla birlikte tasarlanmalıdır.
İyi bir uygulama, storage erişim matrisini uygulama sahipleriyle birlikte onaylamaktır. Storage ekibi teknik bağlantıyı, uygulama sahibi iş ihtiyacını, bilgi güvenliği ise risk ve kontrol uygunluğunu doğrular.
Servis Hesapları ve Acil Durum Erişimi Nasıl Yönetilir?
Servis hesapları ISO 27001 storage denetimlerinde sık atlanan bir başlıktır. Backup yazılımı, monitoring aracı, orchestration platformu, CMDB entegrasyonu veya SIEM connector hesabı yüksek yetkiyle çalışabilir. Bu hesaplar kişiye bağlı olmadığı için sahiplik ve rotasyon zayıflarsa kalıcı risk üretir.
Her servis hesabı için şu bilgiler tutulmalıdır:
- teknik sahibi ve iş sahibi
- hangi API, CLI veya arayüz için kullanıldığı
- gereken minimum rol
- secret saklama yöntemi
- rotasyon periyodu
- son kullanım tarihi veya log kanıtı
- devre dışı bırakma prosedürü
Acil durum hesabı ayrı ele alınmalıdır. Break-glass hesabı varsa parola kasasında tutulmalı, MFA ve erişim onayıyla kullanılmalı, her kullanım sonrasında parola değişimi ve olay kaydı zorunlu olmalıdır. Bu hesabın günlük operasyon için kullanılması en az ayrıcalık ilkesini bozar.
Loglama ve Denetim Kanıtı Nasıl Hazırlanır?
Dell PowerStore remote logging dokümanı, audit log mesajlarının ve sistem uyarı olaylarının uzak syslog hedeflerine gönderilebildiğini belirtir. TLS ve sertifika modeliyle merkezi loglama kurulduğunda, storage yetkilendirme kararları yalnız lokal arayüzde kalmaz; SIEM üzerinde izlenebilir ve raporlanabilir hale gelir.
ISO 27001 denetim klasöründe şu kanıtlar bulunmalıdır:
- güncel storage rol matrisi
- kullanıcı ve servis hesabı listesi
- LDAP grup üyelik çıktısı
- son 90 günlük erişim gözden geçirme kaydı
- host-volume veya share erişim matrisi
- kritik yetki değişiklikleri için change kayıtları
- audit log ve SIEM olay örnekleri
- ayrılan çalışan veya kapatılan servis için offboarding kanıtı
Bu aşamada Donanım ve Yazılım Çözümleri ana hizmeti storage altyapısının teknik standardını kurar. Log korelasyonu için SIEM ve Güvenlik Olay Yönetimi Entegrasyonu, kontrol doğrulaması için Siber Güvenlik Değerlendirme Hizmeti doğrudan tamamlayıcıdır.
90 Günlük Storage Erişim Gözden Geçirme Planı
Gün 1-15: Envanter ve kapsam
- PowerStore appliance, volume, NAS share, host ve servis hesaplarını listeleyin.
- yönetim hesaplarını role göre ayırın.
- kritik veri barındıran storage kaynaklarını iş sahipleriyle eşleştirin.
Gün 16-35: Yetki matrisi
- her kullanıcı ve servis hesabı için gerekli minimum rolü belirleyin.
- gereksiz Administrator yetkilerini düşürün.
- host mapping ve share/export izinlerini uygulama sahiplerine doğrulatın.
Gün 36-60: Log ve kanıt
- PowerStore audit loglarını SIEM veya syslog hedefinde doğrulayın.
- kullanıcı ekleme, rol değiştirme, host mapping ve volume işlemleri için örnek olay kaydı alın.
- offboarding testini ayrılan veya görev değiştiren bir kullanıcı üzerinden çalıştırın.
Gün 61-90: Denetim paketi
- erişim gözden geçirme kararlarını imzalı veya ticket bazlı kapatın.
- sapmaları risk kabulü veya iyileştirme aksiyonuna bağlayın.
- bir sonraki review tarihini takvime ve kontrol sahibine atayın.
İlgili İçerikler
- Dell PowerStore Encryption ISO 27001 Uyumu
- ISO 27001 için Dell Storage Disaster Recovery Kurulumu
- Dell PowerStore Snapshot Nasıl Çalışır?
- Dell PowerStore Replication Nasıl Çalışır?
LeonX ile Sonraki Adım
Storage yetkilendirme çalışması, platform yönetimi, host-volume erişimi, servis hesapları ve denetim kanıtını aynı çerçevede ele aldığında ISO 27001 için güçlü hale gelir. LeonX, Donanım ve Yazılım Çözümleri kapsamında NAS/SAN Depolama Kurulum ve Yapılandırma ile storage mimarisini ve erişim sınırlarını netleştirir. Loglama tarafında SIEM ve Güvenlik Olay Yönetimi Entegrasyonu, kontrol doğrulama tarafında Siber Güvenlik Değerlendirme Hizmeti ile ilerleyebilirsiniz. Mevcut storage yetki modelinizi değerlendirmek veya teklif almak için İletişim sayfasından devam edebilirsiniz.
İlgili sayfalar:
- Donanım ve Yazılım Çözümleri
- NAS/SAN Depolama Kurulum ve Yapılandırma
- SIEM ve Güvenlik Olay Yönetimi Entegrasyonu
- Siber Güvenlik Değerlendirme Hizmeti
- İletişim
Sık Sorulan Sorular
ISO 27001 için storage admin sayısını azaltmak yeterli mi?
Hayır. Admin sayısını azaltmak iyi bir adımdır; ancak named account, rol gerekçesi, host-volume erişimi, servis hesapları, offboarding ve log kanıtı birlikte yönetilmelidir.
PowerStore üzerinde Security Administrator ve Storage Administrator neden ayrılmalı?
Görev ayrılığı için. Storage Administrator operasyonel storage kaynaklarını yönetirken Security Administrator kullanıcı, LDAP, audit log ve güvenlik ayarlarını kontrol edebilir. Bu ayrım kritik değişikliklerin tek rolde toplanmasını engeller.
Host mapping de ISO 27001 erişim kontrolüne girer mi?
Evet. Host mapping, LUN, volume, share ve export izinleri veri erişimini doğrudan etkiler. Yönetim hesabı kadar veri yolu erişimi de denetim kapsamına alınmalıdır.
Storage erişim gözden geçirmesi ne sıklıkla yapılmalı?
Kurumsal risk seviyesine göre belirlenir. Pratikte kritik storage ortamları için 90 günlük review, görev değişikliği ve offboarding olaylarıyla desteklendiğinde daha savunulabilir bir model sunar.
