Təsəvvür edin: sabah səhər işə gəlirsiniz və öyrənirsiniz ki, şirkətin müştəri bazası üç ay əvvəl sızdırılıb. Təhqiqat göstərir ki, giriş iki il bundan əvvəl işdən çıxmış bir işçinin hesabı vasitəsilə olub. Hesab heç vaxt bağlanmayıb. Şifrə dəyişdirilməyib. Heç kim bilmirdi ki, bu hesab hələ də aktivdir.
Bu, uydurma ssenarid eyil. Dünya üzrə baş verən kibertəhlükəsizlik insidentlərinin böyük hissəsi məhz belə başlayır — texnoloji zəiflik yox, sadəcə idarə olunmayan giriş hüquqları. Azərbaycanda da bu risk günü-gündən aktuallaşır: dövlət qurumları, banklar, energetika şirkətləri rəqəmsal infrastrukturunu genişləndirdikcə, hücum səthi də böyüyür.
iIT Distribution Azərbaycan (iITD) bu problemi sistemli həll edən IAM — Identity & Access Management — texnologiyalarını yerli bazara gətirir. Bu yazıda IAM-ın nə olduğunu, hansı riskləri aradan qaldırdığını və Azərbaycanda necə tətbiq edildiyini ətraflı izah edirik.
IAM nədir: Azərbaycanda kibertəhlükəsizliyin yeni standartı
IAM — Identity & Access Management — şirkətin bütün sistemlərinə, tətbiqlərinə və məlumatlarına girişi mərkəzləşdirilmiş şəkildə idarə edən texnologiyalar və siyasətlər məcmusudur. Sadə dillə desək: bu sistem hər an "kim nəyə daxil ola bilər, hansı şərtlər altında, nə müddətə?" sualına cavab verir.
Bir zamanlar kibertəhlükəsizlik şəbəkə perimetri üzərində qurulurdu. Ofis şəbəkəsinin içindəsənsə — güvənlisindir. Kənardasan — sistemlərə daxil ola bilmirsən. Firewall, VPN, şifrə — bu üç şey kifayət sayılırdı.
Lakin iş dünyası dəyişdi. İndi eyni şirkətin işçisi İstanbuldan, Bakıdan, evdən işləyir. Tətbiqlər bulud platformalarında yerləşir. Xidmətlər bir-biri ilə API vasitəsilə danışır. Avtomatlaşdırma skriptləri gecə-gündüz işləyir. Bu mühitdə şəbəkə perimetri anlayışını itirdi. Müasir kibertəhlükəsizlik mütəxəssisləri deyir: "Şəxsiyyət yeni perimetrdir." Yəni artıq vacib olan şəbəkənin içində olmaq deyil — kimliyin doğru yoxlanılmasıdır.
Məhz buna görə IAM bu gün Zero Trust arxitekturasının əsası sayılır. Bu yanaşma həm insan, həm də qeyri-insan şəxsiyyətlərini — tətbiqləri, xidmətləri, API-ləri, AI agentlərini — vahid nəzarət çərçivəsinə alır.
Əməkdaşların və xarici tərəfdaşların girişinin idarə edilməsi — insan şəxsiyyətləri üçün IAM
Hər şirkətdə müxtəlif kateqoriyalı insanlar sistemlərə daxil olur: daimi işçilər, müvəqqəti podratçılar, xarici tərəfdaşlar, müştərilər. Onların hər birinin fərqli iş funksiyası var — deməli, fərqli resurslara ehtiyacları var.
Problem ondadır ki, əksər təşkilatlarda giriş hüquqları "bir dəfə verilir, heç vaxt yoxlanılmır" prinsipi ilə işləyir. İşdən çıxan podratçının hesabı bağlanmır. Layihə bitəndə xarici tərəfdaşın icazəsi ləğv edilmir. Bunların hamısı gizli risk mənbəyidir.
IAM insan şəxsiyyətlərinin idarə olunması üçün bir neçə mexanizm təqdim edir. Çoxfaktorlu autentifikasiya (MFA) istifadəçidən şifrəyə əlavə olaraq ikinci və ya üçüncü təsdiqləmə tələb edir — bu, oğurlanmış etimadnamələrin işə yaramaz olmasını təmin edir. Tək giriş səhifəsi (SSO) isə istifadəçiyə bir dəfə autentifikasiya keçərək bütün icazə verilmiş resurslara rahat daxil olmağa imkan tanıyır — həm təhlükəsizlik artır, həm iş vaxtı itirilmir.
Adaptiv risk əsaslı doğrulama daha da irəli gedir: sistem hər giriş sorğusunun kontekstini — cihazı, məkanı, vaxtı, davranış modelini — analiz edib risk səviyyəsini müəyyən edir. Qeyri-adi bir giriş cəhdi aşkar edildikdə əlavə yoxlama tələb olunur. Mərkəzləşdirilmiş giriş qaydaları isə hər istifadəçinin yalnız öz funksiyasına uyğun resurslara çatmasını — nə çox, nə az — təmin edir. Bütün giriş və sessiyalar audit üçün qeydə alınır.
API-lər, xidmətlər və avtomatlaşdırma: qeyri-insan şəxsiyyətlərinin kibertəhlükəsizliyi
Bu, əksər şirkətlərin ən az diqqət etdiyi sahədir — və eyni zamanda ən böyük risk mənbəyi.
Müasir İT mühitlərində sistemlərə daxil olan yalnız insanlar deyil. Tətbiqlər bir-biri ilə danışır. Mikroxidmətlər məlumat mübadiləsi aparır. CI/CD alətləri avtomatik olaraq kodları yerləşdirir. Xidmət hesabları gecə-gündüz fon proseslərini icra edir. Bütün bunlar "qeyri-insan şəxsiyyətlər"dir — və onların da giriş hüquqları var.
Problem belədir: bu şəxsiyyətlər adətən heç bir mərkəzləşdirilmiş nəzarət olmadan yaradılır və istifadə edilir. Köhnəlmiş servis hesabları illər boyu aktiv qalır. API açarları müddətsiz olaraq işləyir. Xidmətlər lazım olduğundan çox resurslara çatır. Heç kim bilmir ki, bu "gizli girişlər" mövcuddur — ta ki bir problem baş verənə qədər.
iITD-nin IAM həlləri bu boşluğu bağlayır. Xidmətlər və API-lər üçün autentifikasiya mexanizmləri, tokenlərin və sirrlərin mərkəzləşdirilmiş idarəsi, maşından-maşına ssenarilərində giriş qaydalarının tətbiqi — bunların hamısı vahid platformadan idarə olunur. Hər xidmət yalnız icazə verilmiş rollarda fəaliyyət göstərir. Hər qeyri-insan obyektin hərəkəti audit izini saxlayır.
AI agentlərinin giriş təhlükəsizliyi: IAM-in ən müasir istiqaməti
Süni intellekt texnologiyaları iş proseslərinə inteqrasiya olunduqca, yeni bir kibertəhlükəsizlik problemi yaranır. AI agentləri artıq sadəcə analiz aparmır — onlar istifadəçilər adından tapşırıqlar yerinə yetirir, məlumatlara əsasən müstəqil qərarlar qəbul edir, digər sistemlərə müraciət edir.
Klassik tətbiqdən fərqli olaraq, AI agenti dinamik işləyir — özü hərəkət başladır, özü qərar verir. Açıq müəyyən edilmiş giriş qaydaları olmadıqda isə nəzarətsiz riskə çevrilir: lazım olmayan resurslara çata bilər, auditdən kənarda qala bilər.
IAM bu agentlər üçün dəqiq çərçivə yaradır: hansı agentin kim adından fəaliyyət göstərə biləcəyi müəyyən edilir. Hər sorğuya Zero Trust qaydaları tətbiq olunur. Agentin icazələri minimum zəruri səviyyədə məhdudlaşdırılır. Bütün hərəkətlər tam audit izini saxlayır. Nəticədə AI-dan istifadə idarə olunan, təhlükəsiz və şəffaf olur.
Zero Trust əsasında IAM tətbiqi: Azərbaycanda kibertəhlükəsizlik strategiyası
Zero Trust — müasir kibertəhlükəsizliyin ən etibarlı arxitektura modeli kimi tanınır. Onun əsas prinsipi belədir: heç bir istifadəçiyə, heç bir cihaza, hətta daxili şəbəkədən gələn sorğuya belə avtomatik etibar edilmir. Hər giriş cəhdi eyni ciddi yoxlamadan keçir: kim soruşur, haradan soruşur, nə vaxt, hansı cihazdan, hansı məqsədlə.
IAM bu yoxlamanın texniki əsasıdır. Şəxsiyyətin təsdiqlənməsi, kontekst əsaslı siyasətlərin tətbiqi, giriş qərarının real vaxtda qəbulu — IAM olmadan Zero Trust yalnız nəzəriyyədə qalır.
Azərbaycan kontekstində bu xüsusilə vacibdir. Dövlət qurumları elektron xidmətlərini genişləndirir. Banklar rəqəmsal kanallarını inkişaf etdirir. Energetika şirkətləri İT və OT sistemlərini inteqrasiya edir. Bütün bu proseslər kiberhücum səthini böyüdür — eyni zamanda tənzimləyici tələbləri artırır.
Konkret nəticələr: VPN-lərin ZTNA ilə əvəzlənməsi, bulud platformalarının nəzarət altında genişləndirilməsi, kritik sistemlərə girişin şəffaflıqla idarə olunması, uyğunluq auditlərinin avtomatlaşdırılması. iIT Distribution Azərbaycan bu həlləri yerli bazar üçün uyğunlaşdırır. Məhsulun demonstrasiyası üçün iitd.az saytına müraciət edə bilərsiniz.
