Zero Trust Architecture (sıfır güven mimarisi), ağ içinde olmayı güven gerekçesi saymayan, her erişim talebini kimlik, cihaz durumu ve bağlam sinyalleriyle yeniden değerlendiren bir güvenlik mimarisidir. Tek bir ürünle satın alınmaz; kimlik, cihaz, ağ, uygulama ve veri katmanlarında politika kararı ile politika uygulamasını birbirinden ayıran kademeli bir dönüşüm programıdır. Amacı, saldırganın içeri girdikten sonra serbestçe ilerleyebileceği örtük güven bölgelerini ortadan kaldırmaktır.

Kurumsal güvenlikte uzun yıllar boyunca temel varsayım şuydu: ağın dışı tehlikeli, içi güvenli. Bu varsayım hibrit çalışma, çoklu bulut ve yönetilmeyen cihazlarla birlikte ekonomik olarak savunulamaz hale geldi. Bugün saldırıların büyük kısmı sistemi kırarak değil, geçerli bir kimlik bilgisiyle kapıdan girerek başlıyor. 2026 Cost of a Data Breach raporuna göre küresel ortalama veri ihlali maliyeti bir önceki yıla göre yüzde 12 artarak 4,99 milyon dolarla rekor seviyeye çıktı ve bu artışı tespit, tırmandırma ve kaybedilen iş maliyetleri sürüklüyor. Zero Trust tam olarak bu maliyet kalemini, yani içeri giren saldırganın erişebildiği alanın genişliğini hedefler. Bu yazı, kavramı tanımlamakla yetinmeyip hangi sırayla uygulanacağını, nasıl ölçüleceğini ve neyi çözmediğini ele alıyor.

Zero Trust Architecture nedir?

Zero Trust Architecture, hiçbir kullanıcıya, cihaza veya servise konumuna bakarak varsayılan güven tanımayan bir güvenlik mimarisidir. Her erişim talebi, sanki açık internetten geliyormuş gibi değerlendirilir ve doğrulama tek seferlik bir kapı kontrolü değil, oturum boyunca süren bir süreçtir.

Kavramın kurumsal literatürdeki resmi çerçevesi NIST SP 800-207 dokümanıdır. Bu doküman Zero Trust'ı ağ çevresini yoğun biçimde izlemeye dayalı geleneksel modelden uzaklaşıp, korumayı kullanıcı, varlık ve kaynak düzeyine taşıyan bir paradigma olarak tanımlar. Kritik nokta şudur: güven artık örtük olarak verilmez, sürekli olarak değerlendirilir.

Terminoloji karışıklığı Türkçe kaynaklarda sık görülen bir sorundur. Zero Trust (ZT) bir strateji ve zihniyettir. Zero Trust Architecture (ZTA) bu stratejinin bileşenler, politikalar ve iş akışlarıyla somutlaştırılmış halidir. Zero Trust Network Access (ZTNA) ise ZTA'nın yalnızca uzaktan uygulama erişimini karşılayan bir ürün kategorisidir. ZTNA satın almak, Zero Trust mimarisine sahip olmak anlamına gelmez; genellikle yalnızca ilk somut adımı temsil eder.

Bu ayrımı yapmak satın alma kararları açısından önemlidir. Zero Trust bir sertifikasyona veya tek bir standarda bağlı bir ürün pazarı değildir. Kurumun kendi kimlik altyapısı, uygulama envanteri ve uyum yükümlülükleri üzerine inşa edilir. Dolayısıyla "Zero Trust çözümü" olarak pazarlanan her ürün, mimarinin yalnızca bir katmanını kapsar.

Zero Trust mimarisi teknik olarak nasıl çalışır?

Zero Trust, erişimi merkezi bir karar noktasının değerlendirdiği ve ayrı bir uygulama noktasının zorladığı bir akışa dayanır. Bir özne (kullanıcı, servis veya makine kimliği) bir kaynağa erişmek istediğinde, karar politika motorunda verilir, uygulama ise kaynağa mümkün olduğunca yakın konumlandırılmış bir noktada gerçekleşir.

NIST modelinde bu iki bileşen politika karar noktası (Policy Decision Point) ve politika uygulama noktası (Policy Enforcement Point) olarak adlandırılır. Karar noktası, politika motoru ve politika yöneticisinden oluşur; kimlik sağlayıcı, PKI altyapısı, cihaz envanteri, tehdit istihbaratı ve etkinlik günlükleri gibi kaynaklardan gelen sinyalleri değerlendirerek erişimin verilip verilmeyeceğine karar verir. Uygulama noktası bu kararı işletir ve güvenilmeyen bölge ile korunan kaynak arasında aracı görevi görür.

Karar girdileri statik değildir. Kullanıcının kimliği ve rolü, cihazın yama ve şifreleme durumu, coğrafi konum, erişim zamanı, istenen uygulamanın hassasiyeti ve davranışsal anomali sinyalleri birlikte değerlendirilir. Aynı kullanıcı, kurumsal dizüstü bilgisayarından mesai saatinde erişirken izin alırken, yönetilmeyen bir cihazdan gece yarısı aynı talebi yaptığında ek doğrulamaya yönlendirilebilir veya reddedilebilir.

Mimarinin asıl kazancı örtük güven bölgesinin daralmasıdır. Geleneksel modelde bir VPN oturumu açıldığında kullanıcı ağ segmentinin tamamına potansiyel erişim kazanır. Zero Trust'ta erişim tek bir uygulamaya, hatta tek bir işleme indirgenir. Bu, ele geçirilmiş bir kimlik bilgisinin patlama yarıçapını doğrudan küçültür ve yatay hareketi (lateral movement) maliyetli hale getirir.

Zero Trust ile VPN tabanlı erişim arasındaki fark nedir?

Temel fark, VPN'in ağa erişim vermesi, Zero Trust yaklaşımının ise uygulamaya erişim vermesidir. VPN kimliği bir kez doğrular ve ardından bir tünel açar; ZTNA her talebi ayrı ayrı değerlendirir ve uygulamayı yetkisiz kullanıcılara görünmez kılar.

Bu farkın operasyonel sonuçları somuttur. VPN modelinde bir tedarikçi hesabının ele geçirilmesi, tedarikçinin hiç kullanmadığı sistemlere de erişim kapısı açar. Uygulama düzeyinde aracılı erişimde ise aynı hesap yalnızca tanımlanmış tek bir uygulamayı görebilir; ağın geri kalanı keşif taramalarına dahi yanıt vermez. Saldırganın ilk erişimden sonra ne göreceği, mimarinin tasarım kararıyla belirlenir.

Pazar bu yönde net biçimde hareket etti. Gartner, 2025 itibarıyla yeni uzaktan erişim dağıtımlarının en az yüzde 70'inin VPN yerine ağırlıklı olarak ZTNA ile karşılanacağını öngörmüştü; bu oran 2021 sonunda yüzde 10'un altındaydı. Gartner ayrıca kurumların ZTNA değerlendirmesine çoğunlukla VPN'i değiştirme motivasyonuyla başladığını, ancak yatırımın gerekçesinin maliyet tasarrufundan değil risk azaltımından geldiğini belirtiyor. Bu ayrım bütçe savunmasında kritiktir: ZTNA projesini lisans tasarrufu üzerinden savunmak genellikle başarısız olur.

VPN'in tamamen ortadan kalkacağını varsaymak da gerçekçi değildir. Eski istemci-sunucu uygulamaları, üretim ortamlarındaki endüstriyel protokoller ve API'siz eski sistemler granüler politika uygulamasına uygun değildir. Çoğu kurumda doğru hedef, VPN'i tek erişim yolu olmaktan çıkarıp yalnızca modernize edilemeyen sistemlerle sınırlı bir istisna haline getirmektir.

Bir kurum Zero Trust'a hangi sırayla geçmeli?

Zero Trust geçişi tek seferlik bir proje değil, beş fazlı bir sıralamadır ve her fazın tanımlı bir bitiş kriteri olmalıdır. Sıralamayı bozmak, en sık görülen başarısızlık nedenidir; mikro-segmentasyona kimlik altyapısı olgunlaşmadan başlayan kurumlar genellikle projeyi yarıda bırakır.

Birinci faz koruma yüzeyinin envanteridir. Tüm ağı korumaya çalışmak yerine, en kritik veri kümelerini, uygulamaları, varlıkları ve servisleri listelemek gerekir. Bu faz, hangi verinin nerede durduğu ve hangi hesapların ona eriştiği belgelendiğinde tamamlanmış sayılır.

İkinci faz kimlik katmanının sağlamlaştırılmasıdır. Çok faktörlü doğrulamanın istisnasız uygulanması, ayrıcalıklı hesapların envanterlenmesi, paylaşılan hesapların kaldırılması ve servis hesaplarının sahiplendirilmesi bu aşamaya girer. Kimlik doğru kurulmadan sonraki hiçbir katman güvenilir sinyal üretemez.

Üçüncü faz cihaz duruşunun erişim kararına dahil edilmesidir. Uç nokta koruması, yama seviyesi, disk şifreleme ve yönetim durumu politika motoruna girdi olarak bağlanır. Bu aşamanın çıktısı, erişim reddi gerekçelerinin cihaz özelinde raporlanabilmesidir.

Dördüncü faz uygulama bazlı aracılı erişimin devreye alınmasıdır. Önce dış taraflar ve yüksek riskli uygulamalar seçilir, ardından iç kullanıcılara yayılır. Beşinci faz ise mikro-segmentasyon ve sürekli izlemedir; sunucudan sunucuya trafiğin varsayılan olarak reddedildiği, yalnızca tanımlı akışların açıldığı duruma geçilir. Beşinci fazın gerçek bitiş göstergesi, üretim ortamında yeni bir açık uçlu ağ kuralının onay olmadan eklenememesidir.

Zero Trust yatırımının geri dönüşü nasıl ölçülür?

Zero Trust'ın getirisi engellenen saldırı sayısıyla değil, saldırı gerçekleştiğinde erişilebilen alanın küçülmesiyle ölçülür. Bu nedenle metrikler tehdit sayımı üzerinden değil, erişim genişliği üzerinden kurulmalıdır.

Dört metrik pratikte işe yarar. Birincisi, ayrıcalıklı hesap sayısındaki değişimdir; başlangıç envanterine göre yüzdesel azalma doğrudan izlenebilir. İkincisi, ortalama erişim kapsamıdır: tipik bir kullanıcı kimliğinin erişebildiği uygulama ve sistem sayısı. Üçüncüsü, yatay hareket denemelerinin tespit süresidir. Dördüncüsü, geniş kapsamlı VPN oturumlarının toplam erişim oturumları içindeki payıdır.

Finansal gerekçe tarafında referans noktası ihlal maliyetidir. IBM'in 2025 raporunda kimlik ve tespit süreçlerindeki iyileşmeye rağmen Amerika Birleşik Devletleri'nde ortalama ihlal maliyeti 10,22 milyon dolara çıkarken küresel ortalama 4,44 milyon dolara gerilemişti; düzenleyici cezalar ve tespit maliyetleri farkı büyüten temel kalemlerdi. Türkiye'de faaliyet gösteren ve KVKK ile birlikte NIS2 kapsamındaki Avrupa müşterilerine hizmet veren kurumlar için bu maliyet kalemi doğrudan uygulanabilir bir kıyas noktasıdır.

Denetim sorusu şu olmalıdır: bugün rastgele seçilen bir kullanıcı hesabı ele geçirilse, o hesabın ulaşabildiği sistem sayısı kaçtır ve bu sayı altı ay önceki değerine göre azaldı mı? Bu tek soru, çoğu olgunluk modelinden daha hızlı sonuç verir.

Zero Trust neyi çözmez?

Zero Trust erişim kontrolü sorununu çözer, saldırı yüzeyinin tamamını değil. Bu ayrımı yapmayan projeler, mimariyi kurduktan sonra da devam eden olaylar karşısında yönetim desteğini kaybeder.

Mimarinin doğrudan kapsamadığı alanlar bellidir. Herkese açık API uçları, uygulama katmanı zafiyetleri, tedarik zinciri üzerinden gelen güvenilir trafik, kimlik doğrulaması geçerli bir kullanıcının yetkisi dahilinde yaptığı kötü niyetli işlemler ve sosyal mühendislik bunların başında gelir. Gartner analistleri 2026 boyunca siber saldırıların yarısından fazlasının sıfır güven çözümlerinin riski azaltmadığı alanları hedefleyeceğini öngörüyor; bu alanlar arasında dışa açık API'lerin taranması ve çalışanların sosyal mühendislikle hedeflenmesi yer alıyor.

Eski uygulamalar ikinci bir sınırdır. Granüler politika uygulaması için gereken API ve kimlik entegrasyonuna sahip olmayan sistemler, geçiş sürecinde paralel bir güvenlik modeliyle yaşamak zorunda kalır. Bu durum bütçe planlamasında baştan kabul edilmelidir.

Bu bölüm zamana duyarlıdır. ZTNA ürün pazarı SASE ve SSE platformlarına doğru hızla konsolide oluyor, makine kimlikleri ve otonom yapay zeka ajanlarının erişim yönetimi ise henüz olgunlaşmamış bir alan. Bu iki başlığın yılda bir gözden geçirilmesi gerekir.

Sıkça Sorulan Sorular

Zero Trust ile ZTNA aynı şey midir?

Hayır. Zero Trust bir güvenlik stratejisi ve mimari yaklaşımdır; ZTNA ise bu yaklaşımın uzaktan uygulama erişimi bileşenini karşılayan bir ürün kategorisidir. ZTNA dağıtmak Zero Trust'ın ilk somut adımıdır ancak veri sınıflandırma, mikro-segmentasyon ve ayrıcalıklı erişim yönetimi olmadan mimari tamamlanmış sayılmaz.

Zero Trust yalnızca büyük kurumlar için mi uygulanabilir?

Hayır. Orta ölçekli kurumlarda geçiş genellikle daha hızlıdır çünkü uygulama envanteri daha küçük ve eski sistem yükü daha azdır. Mevcut kimlik sağlayıcı üzerinde koşullu erişim politikaları, MFA zorunluluğu ve ayrıcalıklı hesap temizliği ek lisans yatırımı gerektirmeden başlatılabilir.

Zero Trust geçişi ne kadar sürer?

Kurumun büyüklüğüne ve eski sistem yüküne göre tipik olarak 12 ile 36 ay arasında sürer, ancak ölçülebilir risk azaltımı ilk iki fazda görülür. Tek seferlik bir kesme tarihi belirlemek yerine faz bazlı bitiş kriterleri tanımlamak daha gerçekçidir.

Mevcut güvenlik duvarı ve VPN yatırımları çöpe mi gider?

Gitmez. Güvenlik duvarları segmentasyon uygulama noktası olarak, VPN ise modernize edilemeyen eski sistemler için sınırlı bir erişim kanalı olarak kullanılmaya devam edebilir. Zero Trust mevcut altyapıyı sıfırlamayı değil, güven kararını bu bileşenlerden alıp merkezi bir politika motoruna taşımayı gerektirir.

TL;DR

Zero Trust Architecture, ağ konumunu güven gerekçesi saymayan ve her erişim talebini bağlam sinyalleriyle yeniden değerlendiren bir mimaridir. Ürün olarak satın alınmaz; kimlik, cihaz, uygulama ve segmentasyon katmanlarında beş fazlı bir sıralamayla kurulur. Getirisi engellenen saldırı sayısıyla değil, ele geçirilmiş bir kimliğin erişebildiği alanın daralmasıyla ölçülür. Pazar VPN'den ZTNA'ya belirgin biçimde kaydı, ancak API zafiyetleri, tedarik zinciri ve sosyal mühendislik bu mimarinin kapsamı dışında kalır.

Sonuç

Zero Trust'ı bir güvenlik ürünü olarak değerlendiren kurumlar genellikle lisans alıp mimariyi kuramadan duruyor. Doğru çerçeve şu: Zero Trust, örtük güven bölgelerini sistematik olarak daraltan çok yıllı bir erişim kontrolü göç programıdır ve başarısı teknoloji seçiminden çok faz sıralamasının disiplinine bağlıdır. Kimlik katmanı olgunlaşmadan segmentasyona geçen projeler karmaşıklık üretir, risk azaltmaz.

Bu hafta atılabilecek somut ilk adım şudur: ayrıcalıklı hesap envanterinizi çıkarın ve her hesabın erişebildiği sistem sayısını listeleyin. Ardından bu listedeki hesapların kaçının son 90 gün içinde gerçekten kullanıldığını ölçün. Kullanılmayan ayrıcalıkların kapatılması, hiçbir yeni yatırım gerektirmeden Zero Trust yolculuğunun ilk ölçülebilir kazancını sağlar ve sonraki fazların bütçe gerekçesini oluşturur.

Kaynaklar

NIST Special Publication 800-207, Zero Trust Architecture: https://csrc.nist.gov/publications/detail/sp/800-207/final

Gartner, Market Guide for Zero Trust Network Access: https://www.gartner.com/en/documents/4632099

‍