Identity Governance & Administration (IGA - Kimlik Yönetişimi ve Yönetimi)

Siber güvenlikte, kurumsal yöneticilerin ve IT liderlerinin en sık düştüğü yanılgılardan biri "Erişim yönetimini (IAM / SSO) kurduk, kimlik güvenliği işini çözdük" düşüncesidir.

Gerçekte ise modern bir organizasyonda her gün yeni bir SaaS uygulaması devreye giriyor; hibrit altyapılarda Active Directory, Entra ID, IK sistemleri ve bulut servisleri derken ortaya devasa bir "Kimlik Yayılımı" (Identity Sprawl) çıkıyor.

Sonuç? Şirketten ayrılan eski çalışanların hâlâ aktif duran hesapları, departman değiştirdiği hâlde eski yetkilerini taşımaya devam eden kullanıcılar (Privilege Creep), görevler ayrılığı ilkelerinin ihlal edilmesi ve denetim dönemlerinde IT ekiplerinin günlerce Excel listeleri arasında boğulması...

İşte tam bu noktada sahneye Identity Governance & Administration (IGA - Kimlik Yönetişimi ve Yönetimi) çıkıyor.

Peki IGA tam olarak nedir, neden bu kadar kritik hâle geldi ve organizasyonlarda neleri değiştirir? Detaylarıyla inceleyelim.

1. IGA Nedir? Sadece "Erişim Vermek" Neden Yetersizdir?

Standart erişim yönetimi (IAM) araçları genellikle tek bir soruya odaklanır: “Bu kullanıcı kimliğini doğrulayabilir mi?” (Authentication & Single Sign-On).

IGA ise şu 4 kritik soruya yanıt verir:

1. Bu sistemde/uygulamada kimlerin erişim yetkisi var?

2. Bu kişilere bu erişimler ne zaman, nasıl ve hangi iş gerekçesiyle verildi?

3. Bu kişilerin bu erişim yetkilerine bugün hâlâ ihtiyaçları var mı?

4. Yapılan bu yetkilendirmeler şirket politikalarına, yasal düzenlemelere ve denetim standartlarına uygun mu?

Kısacası IGA; erişimlerin verilmesini, değiştirilmesini, düzenli aralıklarla gözden geçirilmesini ve işten ayrılma durumunda anında kapatılmasını uçtan uca otomatikleştiren yönetişim katmanıdır.

2. IGA Neyi Değiştirir? Pozitif Etki Alanları

A. Manuel Yaşam Döngüsü Karmaşasına Son Verir (JML Otomasyonu)

Geleneksel yapılarda bir çalışanın işe girmesi (Joiner), departman değiştirmesi (Mover) veya işten ayrılması (Leaver) durumunda süreçler e-postalar, destek biletleri ve manuel onaylarla yürütülür.

• Eski Yöntem: İşe başlayan bir yazılımcının ihtiyaç duyduğu 15 farklı sisteme erişim alması 2 hafta sürer. İşten ayrılan bir personelin ise 3 sistemdeki hesabı unutulur ve aylarca açık kalır.

• IGA ile: IK platformuyla entegre çalışan IGA; pozisyona göre yetkileri ilk günden otomatik tanımlar (Role-Based Access Control). Personel departman değiştirdiğinde eski yetkilerini anında geri alır; işten ayrıldığında ise saniyeler içinde tüm platformlardaki erişimlerini kapatır.

B. "Yetki Birikmesi" (Privilege Creep) Riskini Ortadan Kaldırır

Bir çalışan Satış departmanından Finans departmanına geçtiğinde, genellikle Satış sistemlerindeki erişimleri iptal edilmez, üzerine Finans yetkileri eklenir. Şirkette 5 yıl kalan bir personel, zamanla adeta bir "süper admin"e dönüşebilir.

IGA, kullanıcı yetkilerini role dayalı profillerle sınırlar ve Sürekli Erişim İncelemeleri (Access Certification) başlatır. Birim yöneticilerine ve uygulama sahiplerine otomatik bildirimler göndererek; "Bu çalışanın bu yetkiye hâlâ ihtiyacı var mı?" sorusunu sorar. İhtiyaç duyulmayan yetkiler tek tıkla geri alınır.

C. Görevler Ayrılığı (Separation of Duties - SoD) İhlallerini Önler

Kurumsal dolandırıcılık ve iç tehdit (insider threat) risklerinin en büyük sebebi, tek bir kişiye birbirini denetlemesi gereken yetkilerin verilmesidir. Örneğin; hem fatura oluşturan hem de faturayı onaylayıp ödemeyi çıkartan tek bir kullanıcı hesabının bulunması büyük bir SoD ihlalidir.

Modern IGA çözümleri, kural motorları sayesinde çakışan yetki taleplerini daha onay aşamasındayken tespit eder ve engeller.

D. Denetim Süreçlerini "Zahmet" Olmaktan Çıkarır (Audit-Ready)

Sektörel düzenlemeler (KVKK, ISO 27001, SOC2, PCI-DSS vb.) kurumların erişim haklarını sürekli denetlemesini ve belgelemesini şart koşar. IGA olmadan bu süreç; haftalarca süren Excel eşleştirmelerine, geçmiş e-posta aramalarına ve denetçilere rapor yetiştirme stresine dönüşür.

IGA, tüm erişim geçmişini, onay mekanizmalarını ve sertifikasyon raporlarını dijital bir iz (audit trail) olarak saklar. Denetim anında "tek tıkla" her an denetime hazır (audit-ready) raporlar sunar.

3. Güvenlikte Yeni Trend: Tek Platformda Birleşik Kimlik Yönetimi

Geleneksel yaklaşımda IGA (Kimlik Yönetişimi), PAM (Ayrıcalıklı Erişim Yönetimi) ve EPM (Uç Nokta Yetki Yönetimi) birbirinden bağımsız, farklı üreticilerden alınan karmaşık yazılımlardı. Ancak bu durum, araçlar arasında güvenlik açıkları (gap) yaratıyordu.

Günümüzde Securden gibi modern ve birleşik kimlik güvenliği platformları (Unified Identity Security Platform); standart kullanıcı yönetişimini (IGA), ayrıcalıklı hesap yönetimini (PAM) ve uç nokta yetki sınırlandırmasını (EPM) tek bir mimaride birleştiriyor.

Bu sayede kurumlar; hem insan kimliklerini hem de makine ve yapay zekâ (AI agent) kimliklerini tek bir merkezden, karmaşıklığa yol açmadan yönetebiliyor.

Özet: Neden Şimdi IGA?

Geleneksel ağ sınırlarının (network perimeter) yok olduğu, bulut ve hibrit altyapıların baskın hâle geldiği modern dünyada yeni güvenlik sınırı "Kimlik"tir.

Kimliklerinizi doğru yönetemiyorsanız; saldırı yüzeyinizi kendi elinizle genişletiyorsunuz demektir. Kurumunuzda erişim karmaşasını bitirmek, yetkisiz erişim risklerini sıfırlamak ve denetimlere her an hazır olmak istiyorsanız; IGA bir "lüks" değil, temel bir siber güvenlik ve yönetişim gereksinimidir.