Kimlik yönetimi

Kimlik Yönetimi (Identity Management, IdM), Kimlik ve Erişim Yönetimi (Identity and Access Management, IAM) olarak da bilinir, bilgisayar güvenliğinde, doğru kişilerin, doğru zamanda, doğru amaçlarla, doğru kaynaklara erişimini sağlayan güvenlik ve işletme disiplinidir. Giderek daha da çok unsurlu hale gelen teknoloji ortamında uygun kaynaklara erişim ihtiyacını ve yine gittikçe titiz hale gelen uyumluluk gerekliliklerini hedefler.
Kimlik Yönetimi ve Kimlik ve Erişim Yönetimi terimleri, kimlik erişim yönetimi alanında birbirlerinin yerine kullanılır. Kimlik Yönetimi, bilgi teknolojileri güvenliği çatısı altındadır.
Kimlik yönetimi sistemleri, ürünleri, uygulamaları ve platformları; bireyleri, bilgisayar ile ilişkili donanımları ve yazılım uygulamalarını içeren öğelerle ilgili tanımlayıcı ve bağımlı veriyi yönetir.
IdM; kullanıcıların nasıl kimlik kazandığını, bu kimliğin korunmasını ve bu korumayı destekleyen teknolojileri kapsar (ağ protokolleri, sayısal sertifikalar, şifreler gibi).
Tanım
Kimlik yönetimi (IdM), bilgisayarlardaki kullanıcılarla ilgili bilgilerin kontrolü işidir. Bu tür bilgiler; kullanıcının kimliğinin onaylanmasını, erişime (access) ve/veya yürütmeye (perform) yetkili olduğu eylemleri ve bilgiyi içerir. Ayrıca, kullanıcı ile ilgili tanımlayıcı bilgiyi ve bu bilgiye kimin, nasıl erişebileceğini ve bilgiyi değiştirebileceğini de barındırır. Yönetilen öğeler (entities), genellikle, kullanıcıları, donanımı ve ağ kaynaklarını, hatta uygulamaları kapsar.
Dijital kimlik, bir öğenin kimlik bilgilerini (personal identifying information, PII) ve buna bağlı bilgiyi kapsayan çevrimiçi varlığıdır. PII korunması ile ilgili OECD ve NIST kılavuzlarına bakınız. İşlemeyi kolaylaştırmak adına kimlik isimlerinin ve özelliklerinin kodlanması olarak yorumlanabilir.
Fonksiyon
Çevrimiçi mühendislik sistemlerinin gerçek dünya şartlarında, kimlik yönetimi 4 temel fonksiyonu barındırır:
Salt Kimlik (Pure Identity) Fonksiyonu: Kimliklerin erişim ya da yetki verme gözetmeksizin oluşturulması, yönetimi ve silinmesi
Kullanıcı Erişimi (Log-on) Fonksiyonu: Örneğin; bir servise ya da servislere erişim için bir kullanıcı tarafından kullanılan bir akıllı kart ve bununla ilişkili veri
Servis Fonksiyonu: Kullanıcıya ve cihazlarına kişiselleşmiş, rol tabanlı, çevrimiçi, talebe bağlı ve oluşum bazlı servisler sunan bir sistem
Kimlik Birliği (Identity Federation): Kullanıcının şifresini bilmeden kullanıcıyı onaylamak için bütünleşik kimliğe (federated identity) güvenen bir sistem
Salt kimlik
Kimliğin genel bir modeli küçük bir aksiyom (belit, postulat) kümesinden elde edilebilir. Örneğin; bir isim uzayındaki tüm kimlikler eşsizdir ya da bu tür kimlikler, gerçek dünyada, karşılık gelen öğelerle belirli ilişkiler taşır. Böylesi belitsel bir model, modelin belirli bir uygulama içeriğine kısıtlanmaması açısından salt kimliği ifade eder.
Genel olarak, bir öğe (gerçek ya da sanal) çok sayıda kimliğe sahip olabilir ve her bir kimlik çok sayıda özelliği kapsayabilir ki bunların bazıları verilen isim uzayında eşsizdir. Aşağıdaki şema, kimlikler ve özellikleri arasındaki kavramsal ilişkilerin yanı sıra kimlikler ve öğeler arasındaki ilişkileri de göstermektedir.
Bütün pratik ve çoğu teorik sayısal kimlik modellerinde, verilen bir kimlik nesnesi sınırlı sayıda özellik kümesinden oluşur. Bu özellikler nesne ilgili bilgileri tutar, sınıflandırma ve bilgi çekmede olduğu gibi. Salt Kimlik model, kesin bir şekilde bu özelliklerin harici anlamlarıyla ilgilenmez.
O halde, kimlik yönetimi, verilen bir kimlik modelindeki işlemlerin bir kümesi ya da daha genel haliyle yeteneklerin bir kümesi olarak tanımlanabilir.
Pratikte, kimlik yönetimi, sıkça, model içeriğinin nasıl tedarikli ve çok sayıda kimlik modeliyle uyumlu olacağını ifade etmek için genişler.
Kullanıcı erişimi
Kullanıcı erişimi, kullanıcıların uygulama boyunca sayısal bir kimliği varsaymalarını sağlar. Belli bir kullanıcı için, çok sayıda sistemde, tek bir kimliğin kullanımı yöneticilerin ve kullanıcıların işlerini kolaylaştırır. Erişim izleme ve onaylamayı basitleştirir ve organizasyona, bir kişiye verilen aşırı yetkiyi sınırlamasında yardımcı olur. Kullanıcı erişimi başlangıcından sonlandırılışına kadar izlenebilir.
Organizasyonlar, kimlik yönetimi süreçlerini ya da sistemlerini uyguladıklarında; amaçları, genellikle, bir kimlik kümesinin yönetimi değildir, başlangıçta. Bunun yerine, kimlikleriyle, bu öğelere uygun erişimi sağlamaktır.
Servisler
Organizasyonlar, hem içerideki kullanıcılar hem de müşterileri için servis eklemeye devam etmektedir. Bu servislerin çoğu kimlik yönetimini gerektirir. Giderek artan seviyede, kimlik yönetimi, tek bir kimlik birçok serviste hizmet edebilsin diye bölünmüştür.
Dahili kullanımda, kimlik yönetimi, tüm dijital varlıklara, araçlar, ağ ekipmanları, portallar, sunucular, içerikler dahil olmak üzere erişimi kontrol edebilme yönünde gelişmektedir.
Servisler, genellikle, kullanıcı ile ilgili aşırı bilgiye erişilmesini gerektirir. Bunlara adres defterleri, tercihler, iletişim bilgileri de dahildir. Bu bilgilerin çoğu kişisel mahremiyete dahil olduğundan, bunlara erişimin denetlenmesi de hayatidir.
Kimlik birliği
Başlıktan da anlaşılacağı gibi, kimlik birliği bir sisteme dahil olarak diğer sistemlere de erişiminin açıldığı bütünleşik sistemleri ifade eder. Çok sayıda sistem arasındaki bu güven sıkça Güven Çemberi olarak bilinir. Bu kurguda, bir sistem Kimlik Sağlayıcı (Identity Provider, IdP) olarak ve diğer sistem(ler) de Servis Sağlayıcılar (Service Provider, SP) olarak rol alır. Bir kullanıcı SPnin servisine ihtiyaç duyduğunda, önce IdP üzerinden kimliğini doğrulatmalıdır. Başarılı kimlik doğrulama sonrası, IdP, SPye güvenli bir beyan gönderir. SAML beyanları bu amaçla kullanılabilir.
Sistem yetenekleri
Kullanıcı kimlik verisinin oluşturulması, silinmesi ve değiştirilmesine ek olarak, Kimlik Yönetimi iletişim bilgisi ve konum gibi uygulamaların kullanımı için bulunan bağlı öğelerin verilerinin kontrolünü de yapar.
Kimlik Doğrulama (Authentication): Bir öğenin iddia ettiği kişi/şey olduğunu doğrulama. Doğrulama için parola ya da parmak izi gibi biyokimlik (biometric) özellikler kullanılabilir.
Yetkilendirme (Authorization): Bir öğenin belirli bir uygulamanın içeriğinde hangi işlemleri yapabileceğini tanımlayan yetkilendirme bilgisinin yönetilmesidir. Örneğin; bir kullanıcı satış emri girmek için yetkilendirilmişken, bir diğer kullanıcı bu emir için kredi talebini onaylamakla yetkilendirilmiş olabilir.
Roller (Roles): Roller işlemlerin gruplarıdır. Kullanıcılara genellikle belli bir iş ya da iş fonksiyonuyla bağlantılı olarak roller tanımlanır. Örneğin; bir kullanıcı yöneticisinin rolü bir kullanıcının parolasının sıfırlanması olabilirken, sistem yöneticisinin rolü bir kullanıcıyı belirli bir sunucuya atamak olabilir.
Yetki Devri (Delegation): Yetki devri yerel bir yönetici ya da gözlemcinin, genel yöneticinin iznine gerek duymadan da sistem değişiklikleri yapabilmesine imkan verir. Örneğin; bir kullanıcı ofisle alakalı bilgileri yönetme yetkisini devredebilir.
Takas (Interchange): SAML protokolü, iki kimlik tanım kümesi arasında kimlik bilgisi değiştirmenin önde gelen yollarından biridir.
Gizlilik
Kişisel bilgileri bilgisayar ağlarına koymak gizlilik endişelerini de artırmaktadır. Uygun korumaların yokluğunda, veriler toplumun gözlenmesinde kullanılabilir.
Sosyal ağ ve çevrimiçi sosyal ağ servisleri kimlik yönetimini yoğun bir şekilde kullanır. Kullanıcıların, kişisel bilgilerini nasıl yöneteceklerinin kararını vermelerine yardım etmek geniş çaplı bir konu haline gelmiştir.
Kimlik hırsızlığı
Kimlik hırsızlığı, hırsızlar, bankamatik şifresi gibi hesaba erişimi sağlayan kişisel bilgilere ulaşabildiklerinde gerçekleşir.