Sifir Guven Mimarisi (Zero Trust): Kapsamli Rehber [2026]

Sifir Guven Mimarisi Nedir?

Geleneksel guvenlik yaklasimlari, kurumsal agin disini tehlikeli, icini guvenli kabul eden bir sinir savunmasi modeline dayaniyordu. Ancak bulut bilisim, uzaktan calisma ve sofistike siber saldirilar bu modeli tamamen gecersiz kildi. Sifir Guven Mimarisi (Zero Trust Architecture), "hicbir zaman guvenmez, her zaman dogrular" (never trust, always verify) prensibini temel alan modern bir guvenlik yaklasimdir.

Zero trust modelinde ag icinde veya disinda olmak farketmez; her erisim talebi bagimsiz olarak dogrulanir, yetkilendirilir ve sifrelenir. Kullanici, cihaz, uygulama veya veri akisi fark etmeksizin her islem surekli olarak denetlenir. Bu yaklasim, 2020'lerden itibaren kurumsal guvenligin temel paradigmasi haline gelmistir.

NIST SP 800-207 Zero Trust Framework

Amerikali Ulusal Standartlar ve Teknoloji Enstitusu (NIST), 2020 yilinda yayimladigi SP 800-207 belgesiyle zero trust mimarisinin referans cercevesini olusturdu. Bu standart, zero trust uygulamalarinin temel prensiplerini ve mimari yaklasimlarini tanimlar.

Temel Prensipler

NIST SP 800-207'nin belirledi temel prensipler sunlardir:

• Tum veri kaynaklari ve hizmetler kaynak olarak kabul edilir. Ag uzerindeki her varlik, korunmasi gereken bir kaynaktir.
• Ag konumundan bagimsiz guvenlik. Kurumsal ag icinde olmak otomatik guven saglamaz.
• Kaynaklara erisim oturum bazinda saglanir. Her erisim talebi bireysel olarak degerlendirilir.
• Erisim dinamik politikalarla belirlenir. Kullanici kimligi, cihaz durumu, davranissal oruntuler ve cevre kosullari birlikte degerlendirilir.
• Tum varliklarin guvenlik durumu surekli izlenir. Tek seferlik dogrulama yeterli degildir.
• Kimlik dogrulama ve yetkilendirme kesinlikle uygulanir. Erisim izni verilmeden once siki dogrulama yapilir.
• Ag trafigi ve varlik durumu hakkinda mumkun oldugunca fazla veri toplanir. Bu veriler guvenlik iyilestirmesi icin kullanilir.

Zero Trust'in Bes Temel Sutunu

Zero trust mimarisi, bes temel sutun uzerine insa edilir. Her sutun, kapsamli bir guvenlik stratejisinin ayrilmaz bir parcasidir.

1. Kimlik (Identity)

Kimlik, zero trust mimarisinin en kritik sutunudur. Her erisim talebi, guclue bir kimlik dogrulama sureci ile baslar.

Bilesen	Aciklama	Ornek Teknoloji
Cok faktorlu dogrulama (MFA)	Birden fazla dogrulama yontemi	TOTP, FIDO2, biyometrik
Tek oturum acma (SSO)	Merkezi kimlik yonetimi	SAML, OpenID Connect
Ayricalikli erisim yonetimi (PAM)	Yonetici hesaplarinin kontrolu	CyberArk, HashiCorp Vault
Kimlik yonetimi (IdP)	Merkezi kullanici dizini	Azure AD, Okta, Keycloak
Risk tabanli dogrulama	Baglamsal risk degerlendirmesi	Davranissal analitik

2. Cihaz (Device)

Her cihaz, aga erisim talep ettiginde guvenlik durumu degerlendirilir. Cihazin isletim sistemi guncellemeleri, antiviruems durumu, sifreleme ayarlari ve uyumluluk politikalari kontrol edilir.

Cihaz guven degerlendirmesi su unsurlari kapsar:

• Isletim sistemi ve yazilim yamalari guncel mi?
• Disk sifreleme aktif mi?
• Endpoint Detection and Response (EDR) cozumu calisyor mu?
• Cihaz kurumsal envanterde kayitli mi?
• Jailbreak veya root erisimi tespit edildi mi?

3. Ag (Network)

Zero trust aginda, geleneksel cevre guvenliginin yerini mikro-segmentasyon ve yazilim tanimli ag yaklasimi alir. Ag trafigi sifrelenir ve her iletisim dogrulanir. East-west (ic ag) trafigi, north-south (dis ag) trafigi kadar dikkatli izlenir. Ag segmentasyonu, saldirganlarin bir sisteme sizma durumunda diger sistemlere erisimini kisitlayarak hasar alanini minimize eder. Yazilim tanimli ag (SDN) teknolojileri, dinamik ve politika tabanli ag kontrolu saglayarak bu sutunun uygulanmasini kolaylastirir.

4. Uygulama (Application)

Uygulamalar, kullanici erisiminden once yetkilendirme kontrolunden gecer. Uygulama katmaninda guvenlik, API guvenligini, konteyner guvenligini ve yazilim tedarik zinciri guvenligini kapsar. Her uygulama, en az ayricalik ilkesine gore yapilandirilir ve yalnizca gerekli kaynaklara erisim izni verilir. DevSecOps surecleri, guvenlik testlerini CI/CD hattina entegre ederek uygulamalarin uretim ortamina guvenli sekilde dagitilmasini saglar. Konteyner ortamlarinda imaj taramasi, calisma zamani guvenligi ve Kubernetes ag politikalari zero trust prensiplerinin uygulama katmanindaki yansimalaridir.

5. Veri (Data)

Veri, zero trust mimarisinde korunan en degerli varliktir. Veri siniflandirma, sifreleme, erisim kontrolu ve veri kaybi onleme (DLP) mekanizmalari uygulanir. Veriler hassasiyet duzeyine gore siniflandirilir ve her sinif icin farkli koruma politikalari belirlenir. Hem dururken (at rest) hem de aktarilirken (in transit) sifreleme uygulanir. Veri erisim kayitlari tutularak kim, ne zaman, hangi veriye eristigi denetlenebilir hale getirilir.

Identity and Access Management (IAM)

Kimlik ve erisim yonetimi, zero trust mimarisinin omurgasini olusturur. Etkili bir IAM stratejisi, dogru kisinin dogru kaynaga dogru zamanda erisimini garanti eder.

SSO (Tek Oturum Acma)

SSO, kullanicilarin tek bir kimlik dogrulama islemiyle birden fazla uygulamaya erismesini saglar. Bu yaklasim hem kullanici deneyimini iyilestirir hem de merkezi kontrol imkani sunar.

SSO uygulamasinda yaygin olarak kullanilan protokoller:

• SAML 2.0: Kurumsal uygulamalar icin standart federasyon protokolu
• OpenID Connect (OIDC): OAuth 2.0 uzerine insa edilmis modern kimlik katmani
• WS-Federation: Microsoft ekosistemine ozgu federasyon standardi

MFA (Cok Faktorlu Dogrulama)

MFA, zero trust icin zorunlu bir bilesen olarak kabul edilir. Etkili bir MFA stratejisi birden fazla dogrulama faktorunu birlestirir:

• Bilgi faktoru: Sifre, PIN
• Sahiplik faktoru: Akilli telefon, donanim anahtari (YubiKey)
• Biyometrik faktor: Parmak izi, yuz tanima
• Konum faktoru: GPS, IP adresi cografi konumu
• Davranis faktoru: Yazma hizi, fare hareketi oruntuleri

Gunumuzde sifresiz (passwordless) dogrulama yaklasimlari hizla yayginlasmaktadir. FIDO2/WebAuthn standardi, donanim tabanli guvenli dogrulama saglayarak parola kaynakli riskleri ortadan kaldirir.

Mikro-Segmentasyon

Mikro-segmentasyon, ag trafigini cok kucuk, izole segmentlere bolerek yanal hareketi (lateral movement) engelleyen bir zero trust bilesenidir. Geleneksel ag segmentasyonunun otesine gecerek is yuku (workload) duzeyinde granule erisim kontrolu saglar.

Mikro-Segmentasyon Uygulama Yaklasimlari

Yaklasim	Calisma Prensibi	Avantaj
Ajan tabanli	Her sunucuya ajan kurulumu	Derin gorunurluk, granule kontrol
Ag tabanli	SDN/firewall kuralları	Ajan gerektirmez, merkezi yonetim
Hibrit	Ajan + ag kontrolu	Kapsamli koruma
Bulut-yerel	CSP guvenlik gruplari	Bulut ortamina dogal entegrasyon

Mikro-segmentasyon uygulamasinda izlenmesi gereken adimlar:

1. Kesfet: Mevcut ag trafigini ve bagimliliklari haritalandir
2. Tanimla: Is yuku gruplarini ve iletisim politikalarini belirle
3. Uygula: Baslangicta izleme modunda kural setlerini devreye al
4. Dogrula: Politikalarin uygulamaları bozmadini dogrula
5. Sıkılastir: Asamali olarak kurallari daralt ve izleme modundan cikart

Software-Defined Perimeter (SDP)

Yazilim Tanimli Cevre (SDP), ag kaynaklarini varsayilan olarak gorunmez kilan bir zero trust uygulama modelidir. Cloud Security Alliance (CSA) tarafindan tanimlanan SDP mimarisi, "karanlik bulut" (dark cloud) yaklasimini benimser: kaynaklar, kimlik dogrulama ve yetkilendirme tamamlanmadan erisime acilmaz.

SDP'nin temel bilesenleri sunlardir:

• SDP Controller: Merkezi politika ve kimlik dogrulama noktasi
• SDP Host (Initiating): Erisim talebinde bulunan istemci
• SDP Host (Accepting): Korunan kaynak onundeki gecit
• Tek Paketli Yetkilendirme (SPA): Baglanti oncesi kriptografik dogrulama

SDP, ozellikle bulut ortamlarinda ve uzaktan erisim senaryolarinda geleneksel VPN'e guclu bir alternatif sunar.

ZTNA ve VPN Karsilastirmasi

Zero Trust Network Access (ZTNA), geleneksel VPN yaklasiminin modern alternatifidir. Iki yaklasim arasindaki temel farklar asagida ozetlenmistir:

Kriter	Geleneksel VPN	ZTNA
Erisim modeli	Ag duzeyinde genis erisim	Uygulama duzeyinde granule erisim
Kimlik dogrulama	Baglanti aninda tek seferlik	Surekli ve baglamsal
Ag gorunurlugu	Tum ag segmenti gorunur	Yalnizca yetkilendirilen kaynaklar
Yanal hareket riski	Yuksek	Dusuk
Olceklenebilirlik	Darbogazlara yatkn	Bulut-yerel olceklendirme
Kullanici deneyimi	Tam tunel, performans etkisi	Secici erisim, daha iyi performans
Yonetim karmasikligi	Yuksek (ACL yonetimi)	Politika tabanli merkezi yonetim

ZTNA cozumleri iki temel modelde sunulur:

• Ajan tabanli ZTNA: Istemciye kurulan ajan araciligiyla erisim. Cihaz durusu degerlendirmesi yapilabilir.
• Hizmet tabanli ZTNA: Tarayici uzerinden ajansiz erisim. BYOD senaryolari icin uygundur.

2026 itibariyle Gartner verilerine gore, kurumsal organizasyonlarin buyuk cogunlugu VPN'den ZTNA'ya gecis planlamaktadir. Bu gecis genellikle asamali olarak gerceklestirilir; kritik uygulamalardan baslayarak tum erisim altyapisina yayginlastirilir.

Bulut ve Hibrit Ortamlarda Zero Trust

Bulut bilisimin yayginlasmasi, zero trust yaklasimini zorunlu kilmistir. Coklu bulut (multi-cloud) ve hibrit ortamlarda guvenlik sinirlarinin belirsizlesmesi, geleneksel cevre tabanli guvenligi islevsiz hale getirmistir.

Bulut Ortaminda Zero Trust Bilesenleri

• Cloud Access Security Broker (CASB): Bulut hizmetlerine erisimi denetler ve gorunurluk saglar
• Secure Access Service Edge (SASE): Ag ve guvenlik islevlerini bulut tabanli birlestilmis bir hizmet olarak sunar
• Cloud Security Posture Management (CSPM): Bulut yapilandirma hatalarini tespit eder ve duzeltir
• Cloud Workload Protection Platform (CWPP): Bulut is yuklerini calisma zamaninda korur

Hibrit ortamlarda zero trust uygulamasi, tutarli politika yonetimini gerektirir. On-premise ve bulut kaynaklarina uygulanan guvenlik politikalari merkezi bir noktadan yonetilmeli ve tutarli sekilde uygulanmalidir. Ozellikle coklu bulut kullanan organizasyonlarda, farkli bulut saglayicilarinin guvenlik araclari arasinda tutarlilik saglamak buyuk onem tasir. Merkezi bir politika motoru, AWS, Azure ve GCP gibi farkli platformlardaki guvenlik kurallarini tek bir noktadan yonetmeyi mumkun kilar.

BeyondCorp: Google'in Zero Trust Modeli

Google'in BeyondCorp projesi, zero trust mimarisinin en bilinen ve basarili kurumsal uygulamalarindan biridir. 2011 yilinda baslayan bu proje, Google'in ic agina yonelik VPN bagimliligi tamamen ortadan kaldirdi.

BeyondCorp'un temel tasarim ilkeleri:

• Ag konumuna dayali erisim ayricaligi tamamen kaldirildi
• Her erisim talebi kullanici kimligi ve cihaz durumuna gore degerlendirildi
• Tum kurumsal uygulamalar internet uzerinden erisime acildi
• Erisim kararlari merkezi bir Access Proxy uzerinden alindi
• Cihaz envanteri ve guven seviyesi surekli guncellendi

BeyondCorp modeli, diger buyuk teknoloji sirketlerini ve kurumsal organizasyonlari zero trust yolculuguna ilham vermistir. Google, bu yaklasimi BeyondCorp Enterprise adli ticari bir urun olarak da sunmaktadir. Microsoft'un Zero Trust yaklasimi, Azure Active Directory ve Conditional Access politikalari uzerine kurulurken; Amazon Web Services ise IAM politikalari, VPC segmentasyonu ve GuardDuty gibi hizmetlerle zero trust prensiplerini bulut-yerel olarak uygulamaktadir. Bu buyuk saglayicilarin yaklasimlarinin ortak noktasi, kimlik merkezli guvenlik ve surekli dogrulama ilkesidir.

Zero Trust Uygulama Yol Haritasi

Zero trust mimarisine gecis, buyuk bir donusum projesidir ve asamali bir yaklasim gerektirir. Asagida onerilen yol haritasi, organizasyonlarin bu gecisi yapisal bir sekilde planlamasina yardimci olur.

Asama 1: Degerlendirme ve Planlama (1-3 Ay)

• Mevcut guvenlik durusunu ve olgunluk seviyesini degerlendirin
• Kritik varliklari ve veri akislarini tanimlayin
• Kullanici, cihaz ve uygulama envanterini cikartin
• Zero trust vizyonunu ve hedeflerini belirleyin
• Ust yonetim destegini ve butceyi saglayin

Asama 2: Kimlik Altyapisini Guclendir (3-6 Ay)

• Merkezi kimlik saglayici (IdP) cozumunu devreye alin
• MFA'yi tum kullanicilar icin zorunlu hale getirin
• SSO'yu kritik uygulamalara entegre edin
• Ayricalikli hesap yonetimini (PAM) uygulayin
• Rol tabanli erisim kontrolu (RBAC) politikalarini tanimlayin

Asama 3: Cihaz Guveni ve Gorunurluk (6-9 Ay)

• Cihaz envanter ve uyumluluk yonetim sistemi kurun
• EDR/XDR cozumlerini devreye alin
• Cihaz guven seviyesi degerlendirme mekanizmasini olusturun
• Ag gorunurluk ve trafik analiz araclarini konumlandirin

Asama 4: Mikro-Segmentasyon ve ZTNA (9-15 Ay)

• Ag trafik akislarini haritalandirin
• Mikro-segmentasyon politikalarini izleme modunda devreye alin
• ZTNA cozumunu pilot uygulamalarda baslatin
• VPN'den ZTNA'ya asamali gecis planini uygulayin

Asama 5: Surekli Izleme ve Optimizasyon (15+ Ay)

• Guvenlik olay ve bilgi yonetimi (SIEM) entegrasyonunu tamamlayin
• Otomatik tehdit yanit mekanizmalarini devreye alin
• Zero trust politikalarini surekli iyilestirin
• Duzenli penetrasyon testleri ve kirmizi takim tatbikatlari gerceklestirin

Turkiye'de Zero Trust Benimseme

Turkiye'de zero trust yaklasiminin benimsenmesi, ozellikle 2023 sonrasindan itibaren belirgin bir ivme kazanmistir. Kamu kurumlari, bankacilik sektoru ve buyuk olcekli kuruslar bu donusume onculuk etmektedir.

Turkiye'deki zero trust benimsemesini etkileyen temel faktorler:

• KVKK uyumu: Kisisel verilerin korunmasi zorunlulugu, veri merkezli guvenlik yaklasimlarini tesvik ediyor
• Uzaktan calisma: Pandemi sonrasi hibrit calisma modelinin kalicilasmasiyla VPN'e alternatif cozumler aranmaya baslandi
• Bulut goci: Kamu ve ozel sektorun bulut benimsemesi, geleneksel cevre guvenliginin yetersizligini gozler onune serdi
• Duzenleyici gereksinimler: BDDK, SPK ve BTK duzenlemeleri siber guvenlik olgunlugunu zorunlu kiliyor
• Artan siber tehditler: Turkiye'yi hedef alan sofistike saldirilar, proaktif guvenlik yaklasimlarini zorunlu hale getirdi

Smart Maple olarak, Ankara merkezli kurumsal projelerimizde zero trust prensiplerini yazilim gelistirme sureclerimizin ayrilmaz bir parcasi olarak uyguluyoruz. Ozellikle API guvenliginde, kimlik yonetiminde ve bulut-yerel uygulama mimarilerinde zero trust yaklasimini benimsemek, guvenligi sonradan eklenen bir katman degil, tasarimin temel unsuru haline getiriyor.

Zero Trust Basari Metrikleri

Zero trust uygulamasinin etkinligini olcmek icin izlenmesi gereken temel metrikler:

Metrik	Aciklama	Hedef
MFA benimseme orani	MFA kullanan kullanici yuzdesi	%100
Ortalama tespit suresi (MTTD)	Tehdidin tespit edilme suresi	< 1 saat
Ortalama mudahale suresi (MTTR)	Tehdide mudahale suresi	< 4 saat
Yetkisiz erisim girisimleri	Engellenen yetkisiz talepler	Azalan trend
Politika uyum orani	Uyumlu cihaz ve kullanici orani	> %95
Yanal hareket olayi sayisi	Ag icinde yayilma girisimi	Sifira yakin

Sonuc

Sifir Guven Mimarisi, modern siber guvenligin kacinilmaz bir gerekliligidir. Geleneksel "guvenli ic ag" varsayimi artik gecerli degildir; her erisim talebi surekli olarak dogrulanmali, her kaynak korunmali ve her trafik izlenmelidir.

Zero trust'a gecis bir urun satin alma karari degil, stratejik bir donusum surecidir. Kimlik yonetimini guclendirmekle baslayip, mikro-segmentasyon, ZTNA ve surekli izleme ile olgunlasan bu yolculuk, organizasyonun guvenlik durusunu koklue olarak degistirir.

Basarili bir zero trust uygulamasi icin teknoloji yatirimi kadar organizasyonel degisim yonetimi de onemlidir. Ust yonetim destegi, kullanici egitimleri ve asamali gecis plani, bu donusumun basarisinda belirleyici rol oynar. Smart Maple'in siber guvenlik odakli yazilim gelistirme yaklasimi, zero trust prensiplerini her projede tasarim asamasindan itibaren entegre ederek guvenli, olceklenebilir ve surdurulebilir cozumler sunmayi hedeflemektedir.