Dijitalleşme, kimliklerin güvenle tanımlanmasını, doğrulanmasını ve yönetilmesini zorunlu kılar. Kurumlar için en kritik varlıklardan biri çalışan, müşteri, cihaz ve sistemlere ait kimlik bilgisidir. ISO/IEC 24760, kimlik yönetimini kavramdan operasyona kadar tanımlayan uluslararası bir yönetim sistemidir.
ISO/IEC 24760 Nedir?
ISO/IEC 24760, dijital kimlik yönetimi Standardı kimliklerin nasıl tanımlanacağını, hangi bileşenlerle yönetileceğini ve yaşam döngüsü boyunca nasıl korunacağını açıklığa kavuşturur. Kısacası, dijital kimlik sistemlerine düzen, tutarlılık ve güvenilirlik kazandırır.
ISO/IEC 24760 Üç ana bölümden oluşur:
- ISO/IEC 24760-1 : Temel kavramlar ve terminoloji: Kimlik yönetimi için temel kavramları ve terimleri tanımlayarak, dünya çapındaki profesyoneller ve kuruluşlar için ortak bir dil oluşturur.
- ISO/IEC 24760-2 : Referans mimarisi ve gereksinimler: Güvenli, ölçeklenebilir ve birlikte çalışabilir kimlik yönetimi sistemlerinin uygulanması için yapılandırılmış bir mimari ve temel gereksinimler sağlar.
- ISO/IEC 24760-3 : Uygulama: Kimlik yönetimi sisteminin güvenliğini sağlamak için pratik rehberlik sunar.
Bu yapı, “kimlik bilgisi”, “tanımlayıcı”, “kimlik doğrulama” ve “yetkilendirme” gibi kavramları netleştirerek sistemler arası uyumu kolaylaştırır.
“Tanımlayıcı” İle “Kimlik” Arasındaki Farklar
“Tanımlayıcı” bir etikettir. (e-posta, kullanıcı numarası) “kimlik” ise etiketi anlamlı kılan öznitelik ve bağlam bütünüdür. Etiket sızıntısı ile kimliğin tüm öznitelikleriyle ele geçirilmesi aynı risk değildir, olay müdahalesinde ayrım hayati önem taşır.
Örneğin; Bir e-posta adresi sızdığında yalnızca tanımlayıcı ifşa olur. Ancak bu adres, kimliğe bağlayan özniteliklerle birlikte ele geçirilirse gerçek bir kimlik ihlali yaşanır. Olayın süreçlerini takip açısından bu ayrımı bilmek, riski doğru sınıflandırmanın ve doğru önlem almanın temelidir.
ISO/IEC 24760 Kimler İçin Önemli?
ISO/IEC 24760, dijital kimlik altyapısı kuran tüm kuruluşlar için kritik bir referans noktasıdır. Kamu kurumları e-Devlet ve vatandaşlık sistemlerinde, finans sektörü ve müşteri doğrulama süreçlerinde, sağlık hizmetleri hasta verilerinin güvenli yönetiminde, eğitim kurumları erişim kontrolünde ve BT ekipleri kimlik doğrulama mimarilerinde bu standardı temel alır.
Özellikle eIDAS (AB), NIST (ABD) ve Japonya’nın My Number sistemi gibi küresel uygulamalar, ISO/IEC 24760’ın sektörel geçerliliğini ve entegrasyon gücünü kanıtlamaktadır.
ISO/IEC 24760 Standardı Neden Gereklidir?
ISO/IEC 24760, kurumların dağınık kimlik sistemleri arasında ortak bir dil kurmasını sağlar.Bu hem iç denetimlerde hem de dış paydaşlarla veri paylaşımında tutarlılık demektir. Ayrıca kimlik yönetimini gizlilik yasalarıyla (GDPR, KVKK vb.) uyumlu hâle getirerek hem hukuki riski azaltır hem de kurumsal güvenilirliği artırır.
Kurumlara Sağladığı Başlıca Faydalar;
- Güvenli ve gizlilik dostu sistemler kurar: Kimlik yönetiminde veri koruma ilkelerini yerleştirerek güvenlik ve gizlilik dengesini sağlar.
- Uluslararası uyumu güçlendirir: ISO/IEC 24760 gibi standartlarla uyum sağlayarak hukuki ve operasyonel riskleri azaltır.
- Referans mimari sunar: Kimlik yönetim sistemi tasarımı için açık roller, bileşenler ve süreç akışlarını tanımlar.
- Entegrasyonu kolaylaştırır: Farklı kimlik yönetimi modelleri ve dağıtım senaryoları arasında birlikte çalışabilirliği destekler.
- Risk tabanlı kararları etkinleştirir: Erişim kontrolü ve kimlik doğrulamada bağlama ve riske göre esnek politika uygulamasına imkân verir.
- Güncel kullanım alanlarını kapsar: Mobil kimlik, bulut tabanlı kimlik ve yeni dijital kimlik ekosistemlerini dikkate alır.
- Verimlilik ve birlikte çalışabilirliği artırır: Sistemler ve platformlar arasında veri akışını sadeleştirir, entegrasyon maliyetlerini düşürür.
- Standartlarla birlikte çalışabilirliği artırır: Diğer kimlik, güvenlik ve gizlilik standartlarıyla uyumlu bir yapı oluşturur.
ISO/IEC 24760, kimlik yönetimini “yama”larla ilerleyen bir faaliyet olmaktan çıkarıp, kurumun omurgasına yerleştirir. CFECERT, ISO/IEC 24760 temelli kimlik yönetimini kurumunuza uyumunu sağlayarak uygun şekilde entegre ederek, hayata geçirir. Detaylı bilgi için info@cfecert.co.uk adresinden bizlere ulaşabilirsiniz.
*Kaynak: https://www.iso.org