Kurumsal ERP altyapılarında en hassas risklerden biri, operasyon kolaylığı uğruna fazla genişletilmiş yönetim erişimleridir. Uygulama sunucusuna bağlanan bir hesap çoğu zaman veritabanına, entegrasyon katmanına ve işletim sistemi düzeyine de dolaylı erişim kazanır. Bu durum yalnızca güvenlik sorunu değildir; değişiklik yönetimi, denetim izi ve görev ayrılığı açısından da ciddi zafiyet üretir. Ayrıcalıklı erişim segmentasyonu, bu dağınık modeli kontrollü bir mimariye çevirmeyi amaçlar.
Sorun gerçekten nerede başlıyor?
ERP ortamları tek katmanlı değildir. Tipik bir kurumsal topolojide şu bileşenler birlikte yaşar:
- Uygulama sunucuları
- Veritabanı katmanı
- Batch ve entegrasyon servisleri
- Dosya aktarım alanları
- Yönetim ve bakım araçları
Bu katmanların hepsi aynı yönetim ağı veya aynı yetki modeliyle erişilebilir olduğunda, bir hesabın ele geçirilmesi beklenenden çok daha geniş etki alanı yaratır. Özellikle dış danışman, destek ekibi ve iç operasyon rollerinin aynı erişim yolunu paylaşması yüksek risk üretir.
Segmentasyonun amacı yetkiyi değil yüzeyi küçültmektir
Birçok ekip segmentasyonu sadece “kim nereye bağlanır” sorusu gibi görür. Oysa asıl hedef, her rolün ihtiyaç duyduğu minimum yüzeyi tanımlamaktır. Örneğin:
- ERP uygulama yöneticisi doğrudan veritabanı işletim sistemine çıkmamalıdır.
- Veritabanı yöneticisi uygulama middleware katmanına kalıcı erişim taşımamalıdır.
- Entegrasyon servis hesabı interaktif shell oturumu açmamalıdır.
- Dış destek erişimi zaman sınırlı ve kayıtlı olmalıdır.
Bu ayrım hem saldırı yüzeyini hem de hatalı değişiklik riskini azaltır.
Ağ, kimlik ve oturum katmanlarını birlikte düşünmek gerekir
Ayrıcalıklı erişim segmentasyonu sadece firewall kuralı yazmak değildir. Üç katman birlikte ele alınmalıdır:
1. Ağ segmentasyonu
ERP veritabanı, uygulama ve yönetim ağları ayrı segmentlerde yaşamalıdır. Özellikle yönetim erişimi, kullanıcı uygulama trafiği ile aynı hat üzerinden akmamalıdır.
2. Kimlik segmentasyonu
İnsan kullanıcılar, servis hesapları ve acil durum hesapları aynı dizin grubunda toplanmamalıdır. Federasyon, MFA ve geçici rol yükseltme akışları ayrılmalıdır.
3. Oturum kontrolü
Jump host, session recording ve emir geçmişi tutulmadan verilen kalıcı SSH/RDP erişimleri kurumsal ERP ortamında kabul edilebilir tasarım değildir.
Hangi desenler pratikte işe yarar?
Kurumsal yapılarda aşağıdaki desenler en çok değer üretir:
- ERP yönetimi için ayrı bastion veya privileged access gateway
- Kalıcı admin hesabı yerine onaylı ve süreli yükseltme akışı
- Veritabanı bakım erişimleri için ayrı kayıt ve onay hattı
- Entegrasyon servisleri için insan oturumundan bağımsız makine kimliği
- Tüm ayrıcalıklı erişim olaylarının SIEM ve observability sistemine akması
Bu desenler güvenliği artırırken operasyonu da daha okunabilir hâle getirir.
En sık görülen zayıflıklar
Sahada tekrar eden bazı hatalar şunlardır:
- Aynı servis hesabının hem batch işlerinde hem manuel bakımda kullanılması
- ERP uygulama ekibine kalıcı root veya local admin verilmesi
- Jump host üzerinde oturum kaydı tutulmaması
- Destek tedarikçileri için VPN sonrası doğrudan sunucu erişimi açılması
Bu yaklaşımlar kısa vadede kolay görünür; ama olay analizi ve denetim anında ciddi kör nokta bırakır.
Yol haritası nasıl kurulmalı?
- ERP ortamındaki tüm insan ve servis erişimlerini ayrı ayrı envanterleyin.
- Kalıcı geniş yetki taşıyan hesapları belirleyin.
- Uygulama, veritabanı ve yönetim yollarını segment bazında ayırın.
- Ayrıcalıklı erişimleri kayıtlı jump host üzerinden geçirin.
- Acil durum hesaplarını süreli ve denetlenebilir modele taşıyın.
Bu dönüşüm bir gecede tamamlanmaz; fakat doğru sırayla ilerlediğinde operasyonu bozmadan risk yüzeyini küçültür.
Sonuç
ERP sistemlerinde ayrıcalıklı erişim segmentasyonu, yalnızca güvenlik ekibinin beklentisi değildir; kritik iş süreçlerinin sürdürülebilir işletimi için temel mimari gereksinimdir. Kalıcı geniş yetkileri azaltıp erişim yollarını ayrıştırdığınızda hem olay etkisini daraltır hem de kurumsal denetim kalitesini yükseltirsiniz. Özellikle ERP gibi merkezi ve yüksek etkili sistemlerde bu disiplin, teknik borcu azaltan stratejik bir yatırımdır.