Son güncelleme: 23.08.2023
Gün geçtikçe Software as a Service (SaaS – Hizmet Olarak Yazılım) uygulamalarına olan ilgi giderek artmakta. Bu hizmeti kullanan müşteriler en değerli verilerini kendi ortamlarında saklamaktansa bulut ortamında saklamayı tercih ediyor. Tasarım verilerinizi bulut ortamında saklamanıza ve kullanmanıza imkan veren 3DEXPERIENCE Platform için güvenlik en önemli konulardan bir tanesi. Bu makalemizde 3DEXPERIENCE Platform üzerinde güvenliğin nasıl sağlandığını inceleyeceğiz.
Bulutta Derinlemesine Güvenlik – Security in Depth
Dassault Systemes, “Security in Depth” adını verdiği konsept ile güvenlik için en ufak bir riskin bile oluşmasına engel olmak için birbirinden bağımsız denetleme mekanizmaları kullanmakta. Kötü niyetli bir sızma girişimi bir mekanizma tarafından engellenemezse sonradan devreye giren farklı bir mekanizma tarafından engelleniyor. Böylece herhangi bir tehdit oluşturmuyor. 3DEXPERIENCE Platform, endüstri standartlarında gerekli olan tüm siber güvenlik koşullarını sağlamakta:
- ISO 2700x standartları, özellikle de ISO 27002
- NIST 800 series
- OWASP methodologies
- CobIT Framework
Internet Güvenliği
Online platform üzerinde sadece belirlenen aktivitelerin yerine getirilmesi ve bilgi trafiğinin güvenli bir şekilde sağlanması için çeşitli güvenlik katmanları bulunmakta. Herhangi bir güvenlik açığına izin mahal vermemek için tüm gelen trafik bağımsız mekanizmalar tarafından filtreleniyor. Sunucu ortamı DDos (Distributed Denial of Service) ataklarına karşı güçlü koruma önlemleri barındırmakta. Transfer edilen verilerin güvenliğinin sağlanması için müşterilerin platform bağlantıları şifrelenmiş güvenli kanallar üzerinden yapılmakta.
Uygulama Güvenliği
Dassault Systèmes bulut çözümlerinin uygulama katmanı, güvenlik açısından çok sıkı bir tasarımı ve inceleme sürecinden geçer. Dassault Systèmes Geliştirme ve Doğrulama süreçleri, güvenlik öncelikli olarak yerleşik kontroller ile tasarlanmıştır. Yazılım kodu sektördeki en başarılı uygulamalar örnek alınarak geliştirilmekte, dahili ve harici denetmenler tarafından sürekli incelenmektedir. OWASP tehditlerine karşı özel önlemler alınmıştır. Kodun güvenilirliğini denetlemek için uygulama ekosisteminde döngüsel sızma testleri gerçekleştirilmektedir. Uygulama modülleri üzerinde sürekli olarak tarama işlemleri gerçekleştirilmektedir.
Bulut İçi Güvenlik
Müşteri ortamının bulut üzerindeki diğer öğelere göre güvenliğinin sağlanabilmesi için yine birbirinden bağımsız güvenlik katmanları kullanılmakta. Her müşteri diğerlerinden tamamen bağımsız kendilerine özel oluşturulmuş bölümler (instance) üzerinde çalışır. Kendi ortamı içerisinde de trafik denetimi sağlayan güvenlik duvarları kullanılmaktadır. Bu yaklaşımlar müşterilerin birbirlerinin verisi üzerine yazma ihtimalini tamamen ortadan kaldırmaktadır.
Yukarıda anlatılan bölümlendirilmiş yapı ağ tanıma (network reconnaissance) ve siber saldırı riskini hafifletir.
Sanal Sistem Güvenliği
Verilerin ve uygulamaların barındırıldığı sanallaştırılmış sistemler, yayınlanmadan önce güvenlik açısından detaylı olarak incelenir. Bu sistemlerde uygulanan katı güvenlik politikaları sayesinde yayınladıktan sonra da yüksek düzeyde güvenlik sağlar.
Dassault Systèmes, klasik güvenlik bakım faaliyetlerinin (sistem yamaları, hizmet kalite kontrolü) ötesinde, sistemin bütünlüğünü ve operasyonel ekiplerin tepkilerini test eden saldırı benzeri senaryolarla platformu devamlı denetlemektedir. Bu testlerin döngüsel, ancak rastgele doğası, bulguların yeniden birleştirilmesini sağlar (nedensel analiz).
Fiziksel Güvenlik
Müşteri verileri, erişimin sadece yetkili personelle sınırlı olduğu veri merkezlerinde depolanır ve işlenir. Bakım çalışması için gelen ekipler ve ziyaretçiler her zaman güvenlik personeli nezaretinde içeriye alınır. Veri merkezlerine olan tüm fiziksel erişimler loglanarak denetlenmektedir. Fiziksel depolama amacıyla kullanılan diskler olağanüstü durum kurtarma (disaster recovery), yedekleme ve geri yükleme prosedürleri aracılığıyla güvence altına alınır.
Güvenlik Testleri ve İncelemeleri
Müşterilerin Bilgi güvenliği, Dassault Systèmes bulut çözümlerinin geliştirme sürecine dahil edilmiştir. Tüm potansiyel sorunları belirlemek ve ele almak için Ar-Ge ve Bilgi Güvenliği ekipleri yakın temas içerisinde ortaklaşa bir şekilde çalışmaktadır.
Bu çalışmalara ek olarak, platformdaki her büyük değişiklikte ve yıllık olarak bağımsız testler gerçekleştirilir. Bu testler, bir hacker gibi davranarak sistem üzerindeki güvenlik katmanlarını zorlar ve güvenliği ihlal etmeye çalışır. Bu faaliyetlerin tümü, sistem üzerinde bir kesintiye sebebiyet vermemek için dikkatlice planlanır ve yürütülür. Platform güvenlik mekanizmalarına ek olarak, uygulama içinde rol tabanlı erişim kontrolü sağlanmaktadır. Bu tol tabanlı çalışma modeli, veri sahibinin ayrıntılı erişim haklarını belirlemesine olanak tanır.
SONUÇ
Derinlemesine Güvenlik (Security in Depth) kavramı, Dassault Systèmes 3DEXPERIENCE Bulut Platformunda oluşabilecek en ufak bir riski bile engellemek için birbirinden bağımsız birkaç mekanizma kullanılacak şekilde tasarlanmıştır. Kullanıcılar, merkezine katı güvenlik kuralları yerleştirilmiş olan bu SaaS platformunu içleri rahat bir şekilde kullanabilirler.
* Bu makale 3DEXPERIENCE CLOUD SECURTIY WHITEPAPER dokümanı referans alınarak hazırlanmıştır.
