Müşterinin Üretimine Dokunan Yazılım Evi: Kanıt Kimde Durmalı?
Kanıt müşterinin kendi ağında, müşterinin kontrolünde durmalı; ama tedarikçi bu kanıta erişebilmeli.
Okuyun →
Blog
Veritabanı Yönetişimi Üzerine Yazılar
Bu yazılar bir ürünü övmek için değil, aynı sorunları yaşayan ekiplere yardımcı olmak için yazıldı. Her yazının sonunda uygulayabileceğiniz somut bir kontrol listesi bulunur.
"Prevention İstemiyoruz" Diyen DBA'ya: Kontrol Külfet mi, Alibi mi?
Kanıt, olay sonrası DBA'yı koruyan tek şeydir. En çok yetkisi olan kişi, en kolay suçlanabilen kişidir.
Okuyun →Üretimden Çıkan Dosyanın Ömrü: O Müşteri Listesi Şu An Nerede?
Kurumların çoğu çıkış anını yönetir. Dosya bir kez çıktıktan sonra hiçbir sistem onun hayatını izlemez.
Okuyun →Milyon Satırlık UPDATE Hattan Geçmiyor: Toplu Veri Düzeltmesi Kimin Kaydında?
En riskli iş, en az kayıtlı iş. Çözüm engellemeyi açmak değil; DBA işi yaparken kararı ve kanıtı kayda geçirmek.
Okuyun →Ajanın Elindeki Anahtar: Bir Kodlama Ajanı Üretimi 9 Saniyede Sildi
Yapay zekâ hata yaptı cümlesi yanlış. Doğrusu: ajana verilen anahtar hata yaptı. Üç katman: zorla, kapıdan geçir, izle.
Okuyun →SIEM'e Yazabileceğiniz Altı Korelasyon Kuralı: DAM ve Yönetişim Birlikte Ne Yakalar?
Kural kurumun kendi platformunda, kendi risk iştahıyla yazılır. Ürün üç şey verir: beklenen hesap raporu, oturum işareti, başlangıç ve bitiş olayları.
Okuyun →Ayrıcalıklı Hesap Olmamalı. Peki Sabah 03:00'te Kim Girdi?
Kalıcı yetkiyi kaldırmak kolay, acil durumu kaldırmak imkânsız. Acil yolu yok etmek yerine kanıtlı hale getirmek gerekir.
Okuyun →DAM Her Şeyi Görür, Hangisinin İzinli Olduğunu Bilmez
DAM her şeyi görür, izinli olanı bilmez. Süreç sistemi izinli olanı bilir, geri kalanı görmez. İki eksik aynı hikâyenin iki yarısı.
Okuyun →Yetkisi Vardı, Gerekçesi Yoktu: Erişim Yönetimi Neden Yetmiyor?
Yetki bir soruyu cevaplar: ne yapabilir. Gerekçe başka bir soruyu: neden yaptı. İkincisi çoğu kurumda hiçbir yerde kayıtlı değil.
Okuyun →Sorgu Sonucunu Yapay Zekâya Yapıştıran DBA: Sorumluluk Kimde?
Kötü niyet yok, kayıt da yok. Hiçbir ürün yapıştırmayı engelleyemez; ama yapıştırılabilecek şeyi azaltabilir.
Okuyun →Kurum Hesabıyla Giriş: Parola, Rol ve Acil Durum Hesabı Nerede Durmalı?
Kimlik doğrulamak kim olduğunu söyler. Ne yapabileceğini söylemez.
Okuyun →Bilet Onaylandı, Peki Çalışan Betik O Bilete mi Bağlı?
Bilet niyeti onaylar. Çalışan metin ise başka yerde durur.
Okuyun →Bir Ürün SOC'a Ne Göndermeli?
Bir sistemin kaydı, o sistemi yönetenin değiştiremeyeceği bir yerde de durmalıdır.
Okuyun →Kurulumunuz Denetime Hazır mı?
Prosedürde yazan bir kontrol, sistem tarafından uygulanmıyorsa kontrol değil temennidir.
Okuyun →Betiğiniz Kimin Değişikliğini Eziyor?
Betik şu satırı değiştir demez, bu nesne artık şudur der. Arada geçen günlerde nesne değişmiş olabilir.
Okuyun →Denetim Bulgusu Nasıl Gerçekten Kapanır?
Hiç kimseyi çevirmemiş bir kapının kilitli olup olmadığı bilinemez.
Okuyun →Denetim İzi Ne Kadar Saklanmalı?
Denetim kaydı kanıt olduğu için uzun, sorgu sonucu dosyası risk olduğu için kısa saklanır.
Okuyun →Denetimden Önce Hangi Kontroller Gevşetildi?
Denetimden iki hafta önce açılmış bir kural, bir yıllık dönem için kanıt üretmez.
Okuyun →Yedeğimiz Var Cümlesi Denetim Sorusunu Cevaplamaz
Yedek verinin fotoğrafıdır. Fotoğrafın öncesinde alınan kararı içermez.
Okuyun →Denetim Örneklemi Neden Hep Yirmi Kalem?
Yirmi kalem, ayrılan sürede incelenebilecek kadar büyük demektir. Bu bir bütçe kararıdır.
Okuyun →Log Yönetimi Denetim Kanıtı Üretmez
Log platformu bir olayın olduğunu söyler. İzinli olup olmadığını söyleyemez.
Okuyun →Kanıtı İmzalayan Anahtar Nerede Durmalı?
Anahtar bir tabloda tutuluyorsa, kaydı değiştirmek isteyen kişi zaten oradadır.
Okuyun →Kaydın Tarihini Kim Söylüyor? RFC 3161 Zaman Damgası
Sunucu saatini değiştirebilen biri, bütün kontrolleri geçen ama tarihi yalan olan bir kanıt üretebilir.
Okuyun →Dış Özet: Kaydın Eski Olduğunu Ne Gösterir?
Değeri olan özet, yazıldığı günden beri kilitli bir depoda durandır.
Okuyun →Kanıt Paketini Denetçi Nasıl Doğrular?
Cümleyi söyleyen taraf ile kaydı tutan taraf aynıysa, o cümle kanıt sayılmaz.
Okuyun →Veritabanı İzleme (DAM) Yönetişim Değildir
İzleme aracı kameradır, yönetişim turnikedir. Bir kurumun ikisine birden ihtiyacı olması, birinin yetersiz olduğu anlamına gelmez.
Okuyun →Yapay Zekanın Yazdığı SQL Üretime Nasıl Gider?
WHERE'siz silmeyi yazan geliştirici duraksar. Aynı ifadeyi üreten yardımcı duraksamaz.
Okuyun →Geçen Çeyrekte Kaç Talep Reddedildi?
Bir onay adımının anlamı hayır diyebilmesinden gelir. Hiç hayır demiyorsa o adım bir kapı değil, bir sayaçtır.
Okuyun →Test Ortamında Gerçek Veri: En Sessiz KVKK Riski
Bir müşteri verisinin silinmesini istedi. Üretimden silindi. Peki test ortamlarındaki kopyalardan?
Okuyun →Kesintilerin Yarısından Fazlası Değişiklikten Geliyor
Bir betik hem yüzde yüz doğru hem de üretimi durduracak kadar tehlikeli olabilir.
Okuyun →Bu İşlemi Kim Yaptı? Paylaşılan Hesapların Atıf Sorunu
Denetim izinin üçüncü özelliği yoksa elinizdeki kayıt bir olay günlüğüdür, denetim izi değil.
Okuyun →CI/CD Hattınız Veritabanı Değişikliğini Neden Tam Kapatmaz?
Hat taşıdığını bilir, taşımadığı hakkında sessizdir. O sessizlik hiçbir şey olmadı gibi okunur.
Okuyun →Tedarikçi Veritabanınıza Bağlandığında Sorumluluk Kimde?
Yıllar önce bitmiş bir projeden kalan hesap hala açık ve hala yetkili. Kimin olduğunu kimse bilmiyor.
Okuyun →"Bizde Süreç Var" Diyen CIO İçin: Yığınınızın Cevaplayamadığı Yedi Soru
Süreç çalışıyor olabilir ama kanıt üretmiyorsa denetimde sonuç aynıdır.
Okuyun →COBIT BAI06 ve ITIL 4: Veritabanı Katmanındaki Beş Kopma Noktası
Çerçeveler kapsama alır, tasarım uygulama sürümü üzerinden yapılır. Kopma tam orada başlar.
Okuyun →Bu Aracı Kendimiz Yazsak Olmaz mı?
Soru yetkinlik sorusu değil. Soru şu: bu sizin çekirdek işiniz mi ve beş yıl bakımını üstlenecek misiniz?
Okuyun →Onay Kurulu Darboğaza Dönünce: İşin Süreçten Kaçtığı An
Kurul aylardır hiçbir talebi reddetmediyse talepler kusursuz değildir; kurulun zamanı yoktur.
Okuyun →Veritabanı Değişiklik Yönetimi Nedir? Sekiz Adımda Uçtan Uca Rehber
Sürecin sekiz adımı, her adımda kimin ne yaptığı ve dört olgunluk seviyesi.
Okuyun →Hangi Kolon Maskelenecek? Maskeleme Kararı Nasıl Verilir
On bir haneli her sayı kimlik numarası değil. Kararı kolon adı mı içerik mi verir?
Okuyun →Yetki Değişikliği: Denetimin En Sessiz Boşluğu
Fazladan verilmiş bir yetki hiçbir şeyi bozmaz; sadece birinin görmemesi gerekeni görmesini sağlar.
Okuyun →PCI DSS'te Veritabanı Tarafı: Hangi Kontroller Sizi Bağlar?
Uygulama ve ağ tarafı olgundur. Sürtünme çıkan yer çoğu zaman veritabanı operasyonudur.
Okuyun →ISO 27001 ve Veritabanı: Dört Kontrolün Karşılığı
Kontrol var ama kanıtı yok. Dört Ek A kontrolünün veritabanı katmanındaki karşılığı.
Okuyun →BDDK Denetiminde Veritabanı Tarafı: Dört Soru, Dört Kanıt
Denetimde takılınan yer kayıt tutulmaması değil, tutulan kaydın soruyu cevaplamaması.
Okuyun →Veritabanı Şema Kayması: Neden Oluşur, Nasıl Görülür
Test ortamında çalışan betik üretimde neden hata verir? Şema kayması ve tespit yolları.
Okuyun →Üretime Giden Sekiz Yol: Hattı Yönetmek Neden Yetmiyor
Hat kuruldu, kapsam eksik kaldı. Üretime giden sekiz yol ve kaçının gerçekten yönetildiği.
Okuyun →Korelasyon Vergisi: Jira ve Veritabanı Logu Neden Yönetişim Değildir
Dört sistem, dört yarım cevap. Kanıtı elle birleştirmenin görünmeyen maliyeti ve tek kayıt modeli.
Okuyun →Denetime Dakikalar İçinde Hazır Olmak: Mühürlü Kanıt Dosyası
Ekran görüntüsü neden zayıf kanıttır ve talep bazlı mühürlü dosya bunun yerine ne koyar?
Okuyun →Çalıştırılan SQL, Onaylanan SQL miydi?
Bilet ne istendiğini, veritabanı günlüğü ne çalıştığını söyler. Peki ikisini ne bağlıyor?
Okuyun →Acil Veritabanı Değişikliği: Hızlı Ama Kontrollü
Acil değişiklik onay atlamak değildir. Ayrı politika, kilitli adım ve ilan yetkisi.
Okuyun →Production'dan Veri Talepleri Nasıl Yönetilir?
Talebi süreçlendirmenin yedi adımı ve maskeleme kararının nasıl verileceği.
Okuyun →KVKK Denetimine Veritabanı Tarafında Hazırlık: 12 Kanıt Kalemi
Denetçinin isteyeceği 12 kanıt kalemi ve her birinin nereden üretileceği.
Okuyun →WHERE'siz UPDATE: Bir Satırlık Felaket ve Dört Katmanlı Savunma
Neden hep aynı hata tekrar eder ve dört katmanlı savunma nasıl kurulur?
Okuyun →SQL Rollback Stratejisi: Üç Veritabanı, Üç Farklı Gerçek
Örtülü commit, işlem sınırları ve idempotent rollback üretimi.
Okuyun →SQL Risk Skorlama: Ortalama Almak Neden Yanlış?
Puan toplayan modeller kritik bulguyu gizler. Bant yaklaşımı nasıl kurulur?
Okuyun →Veritabanında Görevler Ayrılığı: Politikadan Davranışa
Politika belgesinde yazan kural sistemde uygulanmıyorsa yoktur.
Okuyun →Bir Kontrolü Kim Kapatabilir? Ayar Değişikliğinin Denetimi
Yanlış bir talep geri alınabilir. Gevşetilmiş bir kontrolün o süre içinde neyi kaçırdığı geri getirilemez.
Okuyun →Denetim İzi Nasıl Değiştirilemez Hale Gelir?
Ledger defteri, dışarıdaki özet, bağımsız doğrulama ve dürüst sınırlar.
Okuyun →Yazılarda anlatılanları canlı görün
Kontrol listelerini kendi ortamınızda uygulamak isterseniz 30 dakikalık bir demo ile başlayalım.
Demo Planlayın →