Her Güvenlik Duvarı Kuralının Bir Sahibi Neden Olmalıdır?

Beş yaşındaki bir kural setinde yüzlerce satır bulunur. Bunların bir kısmı hâlâ gereklidir, bir kısmı değildir ve ikisini ayırmak sanıldığından zordur.

Zorluğun kaynağı teknik değildir. Kuralın ne yaptığı satırda yazılıdır. Yazılı olmayan şey, neden yazıldığıdır.

Silme Kararı Neye Takılır

Bir kuralın kaldırılıp kaldırılamayacağı sorulduğunda cevap zinciri şöyle işler: bu kural ne için açıldı, hâlâ o ihtiyaç var mı, kaldırırsam kim etkilenir.

Üç sorunun da muhatabı yoksa cevap alınmaz. Bu durumda alınan karar hep aynı olur: dursun, bir şeyi bozmayalım.

Karar bireysel olarak mantıklıdır. Toplandığında ortaya çıkan şey, kimsenin tam olarak tarif edemediği bir erişim yüzeyidir.

Sahiplik Ne Getirir

Sahip, kuralın gerekçesini bilen ve kaldırılması gündeme geldiğinde karar verebilecek kişidir.

Yanına üç bilgi daha yazılır ve dördü birlikte anlam kazanır:

• Gerekçe. Hangi iş ihtiyacı için açıldı, bir cümleyle.
• Talep kaydı. Hangi değişiklik talebiyle geldi; ayrıntı orada durur.
• Son kullanma tarihi. Geçici ise ne zaman kapanacak.

Bu dördü kural açıklama alanına yazıldığında, sonraki incelemenin başlangıç noktası hazır olur.

Geçici Kural Sorunu

En çok biriken sınıf budur. Bir sorun giderme için açılan, bir proje süresince gerekli olan ya da bir tedarikçiye geçici erişim veren kurallar.

Geçici olduğu söylenen bir kural, tarih yazılmadığında kalıcıdır. Kimse onu kapatmayı hatırlamaz, çünkü hatırlaması gereken kişi belli değildir.

Son kullanma tarihi alanı bunu çözer, ancak tek başına yeterli değildir. Tarihi takip eden ve sahibine haber veren bir mekanizma gerekir. Bazı yönetim platformları bunu doğrudan sunar; sunmayan ortamlarda talep sisteminde bir hatırlatma açılır.

Mevcut Sete Nasıl Uygulanır

Yeni kurallar için kural koymak kolaydır. Zor olan, zaten var olan yüzlerce satırdır.

Pratik bir sıra şudur:

Önce eşleşme sayacı okunur. Uzun süredir hiç eşleşmeyen kurallar ayrı bir listeye alınır. Bunlar silmeye en yakın adaylardır ama sayaç tek başına yeterli kanıt değildir; yılda bir çalışan bir iş süreci de olabilir.

Sonra sahiplendirme turu yapılır. Kural listesi ilgili ekiplere dağıtılır ve sahip çıkılması istenir. Sahip çıkılan kurallara gerekçe yazılır.

Kalanlar için kademeli kapatma uygulanır. Kural silinmez, önce yalnız loglayacak şekilde değiştirilir ya da devre dışı bırakılıp bir süre beklenir. Kimse şikâyet etmezse kaldırılır.

Bu son adım, hiç eşleşmeyen bir kuralı silmenin güvenli olup olmadığı sorusuna pratik bir cevaptır.

Neden Yönetişim Sorusu

Sahiplik alanı boş bırakılabilen bir alan olduğu sürece boş bırakılır. Kuralı yazan kişi acele içindedir, değişiklik onaylanmıştır ve alan zorunlu değildir.

Bu yüzden asıl karar teknik değil süreçseldir: gerekçesiz bir kural değişikliğinin onaylanmaması. Onay adımında bu kontrol yoksa, hangi araç kullanılırsa kullanılsın alan boş kalır.