# Zero Trust Nedir? Sıfır Güven Modeli, 3 İlkesi ve KOBİ'de 7 Adımda Uygulama Rehberi

> Zero trust nedir, KOBİ'de nasıl uygulanır? Sıfır güvenin 3 ilkesini, 2026 ihlal verilerini, kontrol tablosunu ve 7 adımlık yol haritasını hemen inceleyin.

Kaynak: https://digitalbridge.com.tr/blog/zero-trust-nedir.html
Yayıncı: Digital Bridge Teknoloji (https://digitalbridge.com.tr)
Konu: Siber Güvenlik ve KVKK
Yayın: 2026-09-26 · Güncelleme: 2026-10-23

[Zero trust (sıfır güven)](https://digitalbridge.com.tr/sozluk.html#zero-trust), ağın içinde olan hiçbir kullanıcıya, cihaza ya da uygulamaya kendiliğinden güvenmeyen bir güvenlik modelidir. Her erişim talebi; kimin istediğine, hangi cihazdan geldiğine ve neye erişmek istediğine göre ayrı ayrı doğrulanır ve yalnızca işin gerektirdiği kadar yetki verilir. Kısaca: "asla güvenme, her zaman doğrula."

## Kısaca

- Zero trust bir ürün değil, tasarım ilkesidir: hiçbir kullanıcıya ya da cihaza ağ içinde olduğu için güvenilmez, her erişim ayrıca doğrulanır.
- Üç temel ilke vardır: açıkça doğrula, en az yetki ver ve bir hesabın bir gün ele geçirileceğini varsay.
- Verizon 2026 DBIR'a göre çalıntı kimlik bilgilerinin kullanımı ihlallerin %36'sında görülen bir eylemdir; tek kimlik ve iki adımlı doğrulama ilk iştir.
- CISA Zero Trust Maturity Model 2.0 beş sütun ve dört olgunluk aşaması tanımlar; KOBİ'nin hedefi her sütunda bir basamak yükselmektir.
- KOBİ'de geçiş envanter, tek kimlik, güçlü doğrulama, en az yetki, ağ bölümlendirme, oturum yönetimi ve testten oluşan yedi adımla yürütülebilir.

## Zero trust nedir, neden gerekli? Ofis ağı artık güvenli bölge değil

Klasik güvenlik anlayışı bir kaleye benzer: dışarıda güvenlik duvarı, içeride güvenilen herkes. Ofise giren ya da VPN ile bağlanan kullanıcı ağın büyük bölümünü görür; muhasebe klasörü, üretim sunucusu ve yazıcı aynı düz ağdadır. Bu model, çalışanların tek binada, tek sunucuya bağlandığı yıllarda makuldü.

Bugün aynı KOBİ'de satış ekibi sahadan telefonla bağlanıyor, muhasebe bulut uygulaması kullanıyor, mali müşavir dışarıdan dosya istiyor, üretimdeki PLC'ler uzaktan izleniyor. "İçerisi" diye tek bir yer kalmadı. Saldırgan tek bir çalınmış parola ya da yaması eksik bir VPN cihazıyla içeri girdiğinde, kale modelinde önünde duran başka bir kapı yoktur.

Zero trust bu yüzden tek bir ürün değil, bir tasarım ilkesidir. [NIST SP 800-207 Zero Trust Architecture](https://csrc.nist.gov/pubs/sp/800/207/final) belgesi modeli, savunmayı sabit ve ağ tabanlı çevrelerden kullanıcılara, varlıklara ve kaynaklara kaydıran bir paradigma olarak tanımlar; fiziksel ya da ağ konumuna dayalı örtük güven varsaymaz. Yani "ofis ağındasın, o hâlde güvenilirsin" cümlesi artık geçerli değildir.

## Örtük güven neden riskli? 2026 ihlal verileri ne söylüyor?

Çevre (kale) güvenlik modelinin en zayıf noktası kimliktir; saldırganlar içeri girmek için genellikle duvarı delmez, geçerli bir kullanıcı adı ve parola kullanır.

> Verizon'un 2026 veri ihlali raporuna göre çalıntı kimlik bilgilerinin kullanımı ihlallerin %36'sında görülen bir eylem oldu. ([Verizon 2026 Data Breach Investigations Report](https://www.verizon.com/business/resources/T1ae/reports/2026-dbir-data-breach-investigations-report.pdf))

Kimlik saldırıları yaygınlaşıyor. Güvenlik üreticisi Sophos'un 17 ülkede 5.000 BT ve güvenlik yöneticisiyle yaptığı [Sophos State of Identity Security 2026](https://www.sophos.com/en-us/press/press-releases/2026/05/71-percent-organizations-suffered-identity-breach-state-of-identity-security-2026) araştırmasına göre ankete katılan kurumların %71'i son bir yılda en az bir kimlikle ilgili ihlal yaşadı. Olayların yaklaşık %43'ünde çalışanların kandırılarak kimlik bilgisi vermesi etkendi. Parola tek başına kaldığında, bir oltalama maili bütün ağın anahtarı olabilir.

Saldırganların ikinci kapısı, ağın kenarındaki VPN ve güvenlik duvarı gibi cihazlardır. Aynı [Verizon 2026 DBIR](https://www.verizon.com/business/resources/T1ae/reports/2026-dbir-data-breach-investigations-report.pdf) verisine göre zafiyet istismarı %31 ile ihlallerde en yaygın ilk erişim yolu oldu. Rapor, üçüncü tarafların dahil olduğu ihlallerin %60 artarak toplamın %48'ine ulaştığını da gösteriyor. Kenar cihazlarını güncel tutmak için [yama yönetimi süreci](https://digitalbridge.com.tr/blog/yama-yonetimi-sureci.html) şarttır; tedarikçiye, servis firmasına ya da uzaktan destek aracına verilen sınırsız ağ erişimi ise zero trust'ın ilk kapattığı açıklardandır.

Bu ihlal verilerinin ortak noktası şudur: saldırgan içeri girdikten sonra ne kadar ilerleyebildiği, hasarın boyutunu belirler. Zero trust saldırıyı her zaman engellemeyi vaat etmez; bir hesabın ya da cihazın ele geçirilmesinin tüm şirketin ele geçirilmesi anlamına gelmemesini hedefler.

## Zero trust nasıl çalışır? Mimarinin üç temel ilkesi

Uygulamada zero trust mimarisi genellikle üç ilkeyle özetlenir; her teknik karar bu ilkelerle sınanır:

1. **Açıkça doğrula.** Her erişim talebi; kullanıcı kimliği, cihaz durumu, konum ve talep edilen kaynak üzerinden ayrı ayrı değerlendirilir. Bir kez giriş yapmak, gün boyu her şeye erişim anlamına gelmez.
2. **En az yetki ver.** Kullanıcı yalnızca işinin gerektirdiği kaynağa, gerektiği kadar erişir. Muhasebe çalışanı üretim sunucusunu görmez; stajyer ortak klasörde silme yetkisi taşımaz. Dosya ve hesaplarda adım adım uygulamayı [en az yetki ilkesi](https://digitalbridge.com.tr/blog/en-az-yetki-ilkesi.html) yazısında anlattık.
3. **İhlali varsay.** Bir hesabın bir gün ele geçirileceği kabul edilir. Ağ bölümlere ayrılır, oturumlar izlenir, anormal hareket fark edildiğinde erişim tek işlemle kesilir.

Zero trust ilkelerini somutlaştırmak için sık kullanılan çerçeve, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın [CISA Zero Trust Maturity Model](https://www.cisa.gov/zero-trust-maturity-model) belgesidir. Nisan 2023'te yayımlanan 2.0 sürümü; kimlik, cihazlar, ağlar, uygulamalar ve iş yükleri ile veri olmak üzere beş sütun tanımlar ve her sütunda geleneksel, başlangıç, ileri ve optimal olmak üzere dört olgunluk aşaması öngörür. KOBİ için değerli olan kısım, herkesin "optimal"e çıkması gerekmediğini göstermesidir; hedef, her sütunda bir sonraki basamağa geçmektir.

## Kale modeli ile sıfır güven modeli arasındaki fark nedir?

| Alan | Kale (çevre) modeli | Sıfır güven modeli |
|---|---|---|
| Kimlik | Ağa bir kez giren her şeye yakın erişir | Her uygulamada kimlik ve bağlam yeniden değerlendirilir |
| Parola | Uygulama başına ayrı parola, sık tekrar | Tek merkezî kimlik, güçlü doğrulama |
| Ağ | Düz ağ; ofis, üretim ve misafir aynı yerde | Bölümlere ayrılmış ağ; bölümler arası geçiş kurala bağlı |
| Uzaktan erişim | VPN ile tüm ağa tünel | Uygulama bazlı erişim, yalnızca gereken kaynağa |
| Yetki | "Herkes her klasörü görsün" varsayılanı | Rol ve departman bazlı, en az yetki |
| Tedarikçi | Kalıcı ve geniş erişim | Süreli, kapsamı belli, kayıtlı erişim |
| Çalışan ayrılışı | Hesaplar tek tek, bazen hiç kapanmaz | Tek kimlik kapanınca tüm erişim kapanır |
| İzleme | Olaydan sonra log aranır | Oturumlar ve yetki değişiklikleri sürekli kayıtlı |

Kale ve sıfır güven karşılaştırması bir tercih listesi değil, bir yön gösterir. Çoğu KOBİ'de sağ sütuna geçiş, yeni bir güvenlik duvarı almaktan çok mevcut yetki ve kimlik düzenini sadeleştirmekle başlar.

## Zero trust nasıl uygulanır? KOBİ için 7 adımlık yol haritası

Zero trust'a tek seferde geçilmez; aşağıdaki sıra, küçük bir BT ekibinin bile yürütebileceği şekilde kurgulanmıştır:

1. **Varlık ve kimlik envanteri çıkarın.** Hangi uygulamalar, sunucular, bulut hesapları ve cihazlar var; kimler hangisine erişiyor? Envanteri olmayan kaynağa kural yazılamaz.
2. **Kimliği tek merkeze toplayın.** Uygulama başına ayrı kullanıcı listesi yerine tek kimlik kullanın. Bunun faydalarını [tek oturum açma (SSO) rehberinde](https://digitalbridge.com.tr/blog/tek-oturum-sso-nedir.html), protokol seçimini [SAML mi OIDC mi](https://digitalbridge.com.tr/blog/saml-mi-oidc-mi.html) karşılaştırmamızda anlattık.
3. **Güçlü doğrulamayı zorunlu kılın.** Önce yöneticiler, e-posta ve uzaktan erişim hesapları olmak üzere [iki adımlı doğrulamayı](https://digitalbridge.com.tr/blog/iki-adimli-dogrulama-mfa.html) devreye alın; [kurumsal parola politikasını](https://digitalbridge.com.tr/blog/kurumsal-parola-guvenligi.html) buna göre güncelleyin.
4. **Yetkileri en aza indirin.** Ortak klasörlerde okuma, düzenleme ve silme yetkilerini ayırın; departman bazlı bir yetki matrisi kurun. Ayrıntılar [dosya paylaşım yetkilendirme](https://digitalbridge.com.tr/blog/dosya-paylasim-yetkilendirme.html) yazısında.
5. **Ağı bölümlere ayırın.** Ofis, misafir, üretim (OT) ve sunucu ağlarını ayırın; bölümler arası trafiği yalnızca gerekli portlara açın. Üretim tarafı için [OT güvenliği ve SCADA](https://digitalbridge.com.tr/blog/ot-guvenligi-scada.html) rehberine bakın.
6. **Oturumları ve ayrılışları yönetin.** Açık oturumları cihaz bazında görün, şüpheli olanı uzaktan kapatın. İşten ayrılan çalışanın hesapları aynı gün kapanmalı; e-posta tarafını [ayrılan çalışanın e-posta erişimi](https://digitalbridge.com.tr/blog/isten-ayrilan-calisan-e-posta-erisimi.html) yazısında ele aldık.
7. **Test edin ve düzenli gözden geçirin.** Kuralların gerçekte işe yarayıp yaramadığını [sızma testiyle](https://digitalbridge.com.tr/blog/sizma-testi-nedir.html) sınayın, erişim kayıtlarını [SIEM ve merkezi log yönetimiyle](https://digitalbridge.com.tr/blog/siem-log-yonetimi.html) izleyin; yetki listesini üç ayda bir yöneticilerle birlikte gözden geçirin.

### Zero trust kontrol tablosu: nereden başlamalı?

| Soru | Evet ise | Hayır ise ilk iş |
|---|---|---|
| Tüm uygulamalar tek kimlikle mi açılıyor? | Adım 3'e geçin | Kimlik birleştirme |
| Yönetici hesaplarında ikinci doğrulama var mı? | Tüm kullanıcılara yayın | Bu hafta yöneticilerden başlayın |
| Misafir Wi-Fi ile ofis ağı ayrı mı? | Üretim ve sunucu ağını ayırın | Önce misafir ağını ayırın |
| Ayrılan çalışanın erişimi aynı gün kapanıyor mu? | Süreci yazıya dökün | Ayrılış kontrol listesi hazırlayın |
| Tedarikçi erişimi süreli ve kayıtlı mı? | Kapsamı yıllık gözden geçirin | Kalıcı erişimleri kaldırın |
| Yedekler ana ağdan yalıtılmış mı? | Geri yükleme testi yapın | [3-2-1 yedekleme](https://digitalbridge.com.tr/blog/fidye-yazilimi-yedekleme.html) kurun |

Zero trust kontrol tablosuna verilen cevaplar, genel güvenlik temelinizin de göstergesidir; eksik kalan temel önlemleri [KOBİ siber güvenlik kontrol listesi](https://digitalbridge.com.tr/blog/kobi-siber-guvenlik-kontrol-listesi.html) ile tamamlayabilirsiniz.

Zero trust yalnızca dijital dünyaya ait değildir. Kartlı geçişte bölge bazlı yetki de aynı ilkeyi fiziksel alana taşır; örnekleri [fabrikada bölge bazlı yetkilendirme](https://digitalbridge.com.tr/blog/fabrika-bolge-bazli-yetkilendirme.html) yazısında bulabilirsiniz. Kapı kartı ile dijital hesapları birlikte yönetmenin yolunu ise [kapı kartı ve siber güvenlik](https://digitalbridge.com.tr/blog/kapi-karti-siber-guvenlik.html) yazısında anlattık.

## Digital Bridge'de zero trust'ı nasıl uyguluyoruz?

Hazır bir "zero trust paketi" satmıyoruz; mevcut altyapınızdan başlayıp adım adım ilerliyoruz:

- **Keşif ve ihtiyaç analizi.** [Siber güvenlik danışmanlığı](https://digitalbridge.com.tr/danismanlik/siber-guvenlik.html) kapsamında kullanıcı, uygulama, cihaz ve ağ envanterinizi çıkarıyor, kontrol tablosuna ve CISA olgunluk modeline göre hangi sütunda nerede olduğunuzu raporluyoruz. Sonunda kapsamı, aşamaları ve bedeli belli yazılı bir teklif veriyoruz.
- **Pilot.** İlk aşamayı genellikle tek bir departmanla ya da yalnızca yönetici hesaplarıyla yapıyoruz: tek kimlik, güçlü doğrulama ve yetki matrisi. İş akışını bozan bir kural varsa bunu küçük ölçekte görüyoruz.
- **Bulut ve ağ tasarımı.** Sunucuların bir kısmını buluta taşıyorsanız, [bulut geçiş ve altyapı danışmanlığı](https://digitalbridge.com.tr/danismanlik/bulut-gecis-altyapi-danismanligi.html) ile ağ bölümlerini, uzaktan erişim yöntemini ve yedek yalıtımını baştan zero trust ilkesine göre kuruyoruz. Maliyet kalemlerini [bulut geçişi maliyeti](https://digitalbridge.com.tr/blog/bulut-gecisi-maliyet.html) yazısında anlattık.
- **Entegrasyon.** ERP, PDKS, e-posta ve dosya sistemleri farklı kullanıcı listeleri tutuyorsa, [sistem entegrasyonları](https://digitalbridge.com.tr/teknoloji-donanim/sistem-entegrasyonlari.html) ile kimlik ve departman bilgisini tek kaynaktan besliyoruz; böylece yetki bir yerde değişince her yerde değişiyor.
- **KVKK boyutu.** 6698 sayılı Kanun'un 12. maddesi, kişisel verilere hukuka aykırı erişimi önlemek için teknik ve idari tedbir almayı şart koşar. Erişim kayıtlarını ve yetki süreçlerini [KVKK uyum danışmanlığı](https://digitalbridge.com.tr/danismanlik/kvkk-uyum-danismanligi.html) kapsamında bu yükümlülükle ilişkilendiriyoruz.

## Smart360 ile e-posta ve dosyada sıfır güven

Zero trust'ın en hızlı sonuç verdiği yer, her gün kullanılan e-posta ve dosya sistemleridir. Digital Bridge'in geliştirdiği [Smart360](https://digitalbridge.com.tr/smart360.html) ailesi; SmartMail, SmartFiles, SmartOperator, SmartPass ve SmartPM gibi ürünleri tek panel ve **SmartID** ile tek kimlik altında toplar. Sıfır güven açısından en kritik iki uç, e-posta için **[SmartMail](https://digitalbridge.com.tr/smart360/smartmail.html)** (kurumsal e-posta) ve dosya için **[SmartFiles](https://digitalbridge.com.tr/smart360/smartfiles.html)** (kurumsal dosya yönetimi) tarafıdır. Ürün ayrıntıları SmartMail.com.tr ve SmartFiles.com.tr adreslerindedir; satın almak için [SmartMail satın alma](https://smart360.com.tr/satin-al?urun=smartmail) ve [SmartFiles satın alma](https://smart360.com.tr/satin-al?urun=smartfiles) sayfalarını kullanabilirsiniz.

Somut bir senaryo düşünün: 40 kişilik bir mühendislik firmasında proje müdürü satış departmanına geçiyor, bir tekniker de işten ayrılıyor. Smart360'ta bir çalışanın departmanı değiştiğinde erişim tüm ürünlerde birlikte değişir; proje klasörleri kapanır, satış kutusu açılır. Ayrılan teknikerin erişimi ise tek işlemle kapanır ve parola değiştiğinde tüm açık oturumlar sonlanır.

Smart360'ta "en az yetki" ilkesi ayrıntıya iner. SmartFiles'ta okuma, yazma, düzenleme, silme, klasör oluşturma, yapay zeka, geçmiş ve not olmak üzere sekiz bağımsız yetki kişiye ya da departmana tek matriste verilir. SmartMail ortak kutularda erişimi dokuz izne böler; silme ve karantina yönetimi yeni atamada kapalı gelir. SmartFiles'ın indirme ve önizleme bağlantıları da dakikalar içinde geçersizleşir.

"İhlali varsay" ilkesi için Smart360'ta oturumlar cihaz bilgisiyle listelenir ve uzaktan kapatılabilir. SmartMail ve SmartFiles giriş ekranlarındaki Smart360 Security insan doğrulaması, bot kaynaklı parola deneme isteklerini sunucuya ulaşmadan durdurur. Her kurumun verisi her ürün için ayrı veritabanında tutulur; birden çok şirket tek hesaptan yönetilse de hiçbiri diğerinin verisini görmez.

## Zero trust'a bu hafta nasıl başlanır?

Zero trust'a başlamak için büyük bir bütçe gerekmez: bu hafta zero trust kontrol tablosunu BT sorumlunuzla doldurun ve "hayır" cevaplarını önceliklendirin. Ardından [iletişim sayfamızdan](https://digitalbridge.com.tr/iletisim.html) bize ulaşın; envanterinizi birlikte değerlendirelim, pilot kapsamını belirleyelim ve Smart360'ın tek kimlik ve yetki yapısını kendi kullanıcılarınızla gösterelim. Diğer güvenlik ve uyum rehberleri için [Siber Güvenlik ve KVKK sayfamıza](https://digitalbridge.com.tr/blog/konu/guvenlik-kvkk.html) göz atabilirsiniz.

## Sık Sorulan Sorular

### Zero trust bir ürün mü, satın alınabilir mi?

Hayır. Zero trust bir güvenlik ürünü değil, erişimin nasıl verileceğine dair bir tasarım ilkesidir. Kimlik yönetimi, iki adımlı doğrulama, ağ bölümlendirme ve yetki matrisi gibi araçlar bu ilkeyi uygulamaya yardım eder. "Zero trust çözümü" olarak satılan tek bir ürün, kimlik, cihaz, ağ, uygulama ve veri katmanlarının hepsini tek başına kapsamaz.

### Küçük bir işletme için zero trust gereksiz karmaşık değil mi?

Değil, çünkü ilk adımlar büyük yatırım gerektirmez. Tek kimlik kullanmak, yönetici hesaplarında ikinci doğrulamayı açmak, misafir ağını ayırmak ve ayrılan çalışanın erişimini aynı gün kapatmak zero trust'ın temelidir. Küçük işletmede kullanıcı ve uygulama sayısı az olduğu için bu adımlar büyük kurumlara göre daha hızlı tamamlanır.

### Zero trust VPN'i tamamen ortadan kaldırır mı?

Her zaman değil. Zero trust'ın itirazı VPN teknolojisine değil, VPN'e bağlanan kullanıcının tüm ağa erişmesinedir. Uygulama bazlı erişime geçilebilir ya da VPN korunup arkasındaki ağ bölümlere ayrılabilir. Önemli olan, bağlanan kişinin yalnızca işi için gereken kaynağa ulaşması ve VPN cihazının güncel tutulmasıdır.

### Zero trust'a geçiş ne kadar sürer?

Süre, kullanıcı ve uygulama sayısına, mevcut altyapının dağınıklığına ve bulut kullanımına göre değişir. Zero trust bitirilen bir proje değil, olgunluğu kademeli artan bir süreçtir. Tek kimlik ve güçlü doğrulama gibi ilk adımlar kısa sürede devreye alınabilir; ağ bölümlendirme ve eski uygulamaların uyarlanması daha fazla planlama ister.

### Zero trust'a geçişin maliyetini neler belirler?

Maliyeti tek bir lisans değil, birkaç kalem belirler: kullanıcı ve uygulama sayısı, kimliklerin kaç ayrı sistemde dağınık durduğu, ağ cihazlarının bölümlendirmeye uygun olup olmadığı, eski uygulamaların uyarlanma ihtiyacı ve bulut kullanımı. İlk adımlar çoğu zaman mevcut araçların doğru yapılandırılmasıyla atılır; asıl emek envanter, yetki matrisi ve ağ tasarımındadır.

### Zero trust ile KVKK arasında nasıl bir ilişki var?

KVKK, veri sorumlusundan kişisel verilere hukuka aykırı erişimi önleyecek teknik ve idari tedbirleri almasını ister. En az yetki, erişim kaydı ve ayrılan çalışanın erişiminin hızla kapatılması bu tedbirlerin somut karşılığıdır. Zero trust tek başına KVKK uyumu sağlamaz, ancak erişim kontrolü ve kayıt tutma tarafını güçlü biçimde destekler.