Mobil Cihaz Yönetimi (MDM) ve BYOD Politikaları

Mobil cihazlar — akıllı telefonlar ve tabletler — kurumsal e-postaları, VPN kimlik bilgilerini, kimlik doğrulama uygulamalarını ve hassas belgeleri taşır; ancak her gün kuruluşun fiziksel sınırlarının dışına çıkar. Kaybolan veya çalınan bir cihaz, anında veri ihlali riski oluşturur. Çalışanlar iş yerinde kişisel cihazlarını da kullanır (BYOD); böylece kuruluşun kontrol etmediği donanım üzerinde kurumsal ve kişisel veriler bir araya gelir. Mobile Device Management (MDM), cihazlar nerede olursa olsun güvenlik politikalarını uygulamak için BT ekiplerine mobil uç noktalar üzerinde görünürlük ve denetim sağlar.

Birbiriyle ilişkili üç kısaltma, mobil yönetim kapsamını oluşturur. MDM (Mobile Device Management) cihazın tamamını denetler: şifrelemeyi zorunlu kılar, ekranları kilitler, uzaktan silme işlemi gerçekleştirir ve sertifika dağıtımı yapar. MAM (Mobile Application Management) yalnızca belirli kurumsal uygulamaları yönetir — tam cihaz denetiminin uygun olmadığı BYOD senaryolarında kullanışlıdır. EMM (Enterprise Mobility Management), MDM + MAM + Mobile Content Management'ı kapsayan üst terimdir. Modern platformlar (Microsoft Intune, Jamf, VMware Workspace ONE) bu üç yeteneği bütünleştirir ve mobil cihazların yanı sıra dizüstü ve masaüstü bilgisayarları da yönetir.

Politikaların uygulanabilmesi için cihazların önce MDM'e kaydedilmesi gerekir. Kurumsal mülkiyetteki cihazlar toplu hazırlama yoluyla kaydedilebilir: Apple DEP/ABM (Automated Device Enrollment), Android Zero-Touch veya Windows Autopilot, ilk açılışta MDM profilini otomatik olarak atar — çalışan cihaza dokunmadan önce cihaz yönetilmeye başlanır. BYOD kaydı, çalışanın bir Company Portal uygulaması yüklemesini veya bir QR kodu taramasını gerektirir. MDM profili, MDM sunucusunun politikaları göndermesine, cihazı silmesine veya uyumluluk durumunu sorgulamasına olanak tanıyan bir yönetim sertifikası yükler.

Kayıt tamamlandıktan sonra MDM, cihazda güvenlik politikalarını uygular. Passcode/PIN gereksinimleri: minimum uzunluk, karmaşıklık ve başarısız denemelerden sonra kilitleme. Encryption: tam cihaz şifrelemesini zorunlu kılma (FileVault, BitLocker, Android FBE). Ekran kilidi zaman aşımı: işlem yapılmadığında en fazla 5 dakika sonra kilitleme. Jailbreak/root algılama: güvenliği ihlal edilmiş cihazları otomatik olarak işaretleme veya karantinaya alma. Minimum OS sürümü: kullanım ömrü sona ermiş OS sürümlerini çalıştıran cihazların kurumsal kaynaklara erişimini engelleme. Uygulama izin listesi/engelleme listesi: kurumsal cihazlarda yalnızca onaylanmış uygulamalara izin verme.

Uzaktan silme, BT'nin kaybolan veya çalınan bir cihazdaki tüm verileri silmesini sağlar. MDM platformları iki tür sunar: tam silme (fabrika ayarlarına sıfırlama, tüm verilerin silinmesi) ve seçmeli silme (yalnızca kurumsal verilerin (e-posta, VPN profilleri ve yönetilen uygulamalar) kaldırılması; kişisel fotoğrafların ve uygulamaların korunması). BYOD için seçmeli silme çok önemlidir; çünkü çalışanlar kişisel verilerini kaybetmeyi kabul etmemiştir. Uzaktan silmeyi konum izleme ile birleştirmek, silme işlemini başlatmadan önce cihazın gerçekten kaybolup kaybolmadığını veya çalınıp çalınmadığını belirlemeyi sağlayarak yanlışlıkla veri kaybını azaltabilir.

MDM, dijital sertifikaları yönetilen cihazlara sessizce gönderebilir ve kullanıcı müdahalesi olmadan güçlü kimlik doğrulamayı etkinleştirebilir. Kullanım alanları: cihazı ortak bir parola olmadan kurumsal WLAN'a doğrulayan Wi-Fi 802.1X sertifikaları, sertifika tabanlı VPN kimlik doğrulaması için VPN istemcisi sertifikaları ve uçtan uca e-posta güvenliği için e-posta imzalama/şifreleme sertifikaları (S/MIME). Kurumsal PKI tarafından verilen ve MDM aracılığıyla gönderilen sertifikalar, tek bir ortak anahtarın ağdaki her cihaza erişim sağladığı PSK Wi-Fi ağlarının zayıflığını ortadan kaldırır.

Bir BYOD politikası, kişisel cihazların kurumsal kaynaklara nasıl erişebileceğini düzenler. Temel politika unsurları şunlardır: uygunluk (desteklenen OS sürümleri ve cihaz türleri), kayıt gereksinimi (erişimden önce zorunlu MDM veya MAM kaydı), veri ayrımı (kurumsal verilerin yalnızca yönetilen uygulamalarda/kapsayıcılarda tutulması), destek sınırları (BT'nin kişisel cihaz sorunlarına değil, kurumsal uygulamalara yardımcı olması), gizlilik bildirimi (MDM'nin cihazdan hangi verileri topladığı — uygulama envanteri yaygındır, ancak kişisel fotoğraflar toplanmaz) ve çıkış prosedürü (ayrılma durumunda seçmeli silme).

Mobile Threat Defense (MTD) araçları (Lookout, Zimperium, mobil cihazlarda Microsoft Defender for Endpoint), masaüstü bilgisayarlardaki EDR'ye benzer şekilde mobil cihazlara davranışsal tehdit algılama özelliği ekler. MTD şunları algılar: kötü amaçlı uygulamalar, ağ saldırıları (güvenilmeyen Wi-Fi üzerindeki MITM saldırıları), OS düzeyindeki istismarlar ve anormal cihaz davranışları. MTD, MDM ile bütünleşerek bir tehdit algılama olayının cihazı otomatik olarak uyumsuz olarak işaretlemesini ve tehdit çözülene kadar Conditional Access aracılığıyla kurumsal kaynaklara erişimi engellemesini sağlar. Böylece temel MDM uyumluluk politikalarının bıraktığı boşluk kapatılır.

Ofis dışından kurumsal kaynaklara erişen mobil cihazlar, yalnızca belirli uygulama trafiğini tünelleyen bir mobil VPN veya uygulama başına VPN kullanmalıdır. Uygulama başına VPN (MDM tarafından desteklenir), yönetilen uygulamaların trafiğini VPN üzerinden yönlendirirken kişisel uygulamaların trafiğini doğrudan internete gönderir — böylece gizlilik endişelerini ve VPN bant genişliği kullanımını azaltır. Kuruluşlar, Conditional Access politikalarıyla (Azure AD, Okta) kurumsal e-postaya, SharePoint'e veya dahili uygulamalara erişim vermeden önce cihazın MDM'e kayıtlı ve uyumlu olmasını zorunlu kılabilir.

MDM, bir cihaz hakkında önemli miktarda veri toplayabilir: konum geçmişi, yüklü uygulamalar, ağ bağlantıları ve cihaz kullanım istatistikleri. BYOD cihazlarında bu durum, kurumsal güvenlik gereksinimleri ile çalışan gizliliği arasında bir gerilim oluşturur. En iyi uygulamalar şunlardır: kayıt işleminden önce BYOD politikasında MDM'nin ne topladığını açıkça belirtmek, kişisel bölümlere dokunmaktan kaçınmak için BYOD'da yalnızca MAM kullanmak ve kişisel cihazlarda sürekli konum izlemeyi etkinleştirmekten kaçınmak. Bazı yargı bölgelerinde işverenlerin kişisel cihazları izlemesi yasal olarak kısıtlanmıştır. BYOD politikasının kullanıma alınmadan önce hukuki incelemeden geçirilmesi, küresel kuruluşlar için zorunludur.

BYOD'da tam MDM'ye alternatif olarak kapsayıcılı çalışma alanı yaklaşımı kullanılabilir. Samsung Knox, BlackBerry Dynamics ve Microsoft Managed Home Screen gibi çözümler cihaz üzerinde şifrelenmiş, yönetilen bir kapsayıcı oluşturur. Kurumsal uygulamalar ve veriler kapsayıcının içinde, kişisel uygulamalar ise dışında bulunur. BT yalnızca kapsayıcıyı silebilir ve kişisel verileri olduğu gibi bırakabilir. Kapsayıcı, cihaz OS ayarlarından bağımsız olarak kendi PIN'ini, şifrelemesini ve uygulama politikasını uygular; böylece cihaz düzeyinde MDM kaydı gerektirmeden güçlü güvenlik sağlar.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını ne kadar anladığınızı sınayın.

Bu derste şunları öğrendiniz: MDM, uzaktan silme özelliğiyle mobil cihazlarda şifreleme, parola, kilit ve uyumluluk ilkelerini uygular; BYOD ilkeleri, seçmeli silme ve yalnızca MAM ile yönetim kullanarak kurumsal güvenlik ile çalışan gizliliğini dengeler; MDM ile Koşullu Erişim'in birlikte kullanılması ise yalnızca kaydı yapılmış ve uyumlu cihazların kurumsal kaynaklara erişebilmesini sağlar. Sırada ana bilgisayar tabanlı güvenlik duvarlarını ve uygulama izin listesi oluşturmayı inceleyeceğiz.