Hızlı cevap: Kurumsal mobil cihaz güvenliği, çalışanların telefon ve tabletlerinden kurum verisine erişimini yönetmek ve korumaktır. MDM (Mobil Cihaz Yönetimi) cihazın tamamını yönetir, MAM (Mobil Uygulama Yönetimi) yalnızca kurumsal uygulama ve veriyi kontrol eder, UEM (Birleşik Uç Nokta Yönetimi) ise bilgisayar ve mobil cihazları tek merkezden yönetir. BYOD (Kendi Cihazını Getir) senaryosunda kişisel cihazlar kullanıldığı için hem güvenlik hem KVKK açısından ayrı bir politika gerekir.

Neden mobil cihaz güvenliği kritik?

Kurumsal veri artık ofisteki bilgisayarlarda değil, çalışanların cebindeki telefonlarda dolaşıyor. E-posta, kurumsal uygulamalar, dosyalar ve kimlik doğrulama uygulamaları hep mobilde. Bu cihazlar kaybolur, çalınır, halka açık ağlara bağlanır ve kişisel uygulamalarla aynı yerde durur.

Bu yüzden mobil cihaz, kurumun en dağınık ve en zor kontrol edilen saldırı yüzeyidir. Yönetilmeyen bir telefon, kaybolduğunda ya da ele geçirildiğinde doğrudan kurum verisine açılan bir kapı olur.

MDM, MAM ve UEM farkı

Yaklaşım Ne yönetir Ne zaman uygun
MDM Cihazın tamamı (ayarlar, uygulamalar, şifreleme, uzaktan silme) Kurumun sahip olduğu cihazlar
MAM Sadece kurumsal uygulama ve veri, kişisel kısma dokunmaz BYOD, kişisel cihazlar
UEM Bilgisayar ve mobil hepsini tek panelden Karma ve büyük ortamlar

Pratik ayrım şudur. Cihaz kuruma aitse MDM ile tam yönetim mantıklıdır. Cihaz çalışanın kişisel telefonuysa, MAM ile yalnızca kurumsal veriyi kontrol etmek hem güvenlik hem gizlilik açısından daha doğrudur.

BYOD: kendi cihazını getir senaryosu

BYOD, çalışanların kişisel cihazlarını iş için kullanmasıdır. Maliyet ve esneklik avantajı sağlar ama iki risk taşır. Birincisi güvenlik: kişisel cihaz daha az kontrollüdür. İkincisi gizlilik ve KVKK: kurum, çalışanın kişisel cihazındaki özel verilere erişemez ve erişmemelidir.

Doğru BYOD yaklaşımı, kurumsal veriyi kişisel veriden ayırmaktır. Bu genellikle cihazda ayrı bir kurumsal alan (konteyner) ile yapılır. Kurum yalnızca bu alanı yönetir, gerektiğinde yalnızca bu alanı uzaktan siler, çalışanın kişisel fotoğraf ve mesajlarına dokunmaz.

Temel mobil güvenlik kontrolleri

Kontrol Amaç
Cihaz şifreleme ve ekran kilidi Kayıp veya çalınmada veri korunur
Uzaktan kilitleme ve silme Cihaz kaybolunca kurumsal veri silinir
Uygulama ayrımı (konteyner) Kurumsal veri kişiselden ayrılır (BYOD)
Koşullu erişim Yalnızca uyumlu ve güncel cihaz erişir
Jailbreak ve root tespiti Güvenliği kırılmış cihaz engellenir

KAOS ve DSET yaklaşımı

DSET, kurumların mobil cihaz politikalarını hem güvenlik hem KVKK açısından değerlendirir ve mobil uygulamaların güvenlik denetimini yapar. BYOD senaryolarında kurumsal veri ile kişisel verinin doğru ayrıldığını kontrol ederiz, çünkü yanlış kurulmuş bir yönetim çözümü çalışanın kişisel verisini de riske atabilir. Geliştirdiğimiz KAOS güvenlik motoru, mobil uygulama incelemesinde güvensiz veri saklama ve zayıf kimlik doğrulama gibi sorunları raporlar. Amacımız kağıt üzerinde politika değil, sahada doğrulanan koruma.

Bağlantılı okumalar: mobil uygulama sızma testi (OWASP MASVS), IAM kimlik ve erişim yönetimi, KVKK uyum danışmanlığı ve VERBİS, telefonda casus yazılım tespiti, zero trust mimari, VPN güvenliği ve ZTNA.

Sık sorulan sorular

MDM ile MAM arasındaki fark nedir? MDM cihazın tamamını yönetir, yani ayarları, uygulamaları ve gerektiğinde cihazı uzaktan silme yetkisini içerir. Bu, kurumun sahip olduğu cihazlar için uygundur. MAM ise yalnızca kurumsal uygulama ve veriyi kontrol eder, kişisel kısma dokunmaz. Bu yüzden çalışanların kişisel cihazlarını kullandığı BYOD senaryosunda MAM daha doğru bir seçimdir.

BYOD'da kurum çalışanın kişisel verilerini görebilir mi? Doğru kurulmuş bir BYOD çözümünde göremez ve görmemelidir. Kurumsal veri, cihazda ayrı bir alanda (konteyner) tutulur ve kurum yalnızca bu alanı yönetir. Uzaktan silme yapıldığında yalnızca kurumsal alan silinir, çalışanın kişisel fotoğraf, mesaj ve uygulamalarına dokunulmaz. Bu ayrım KVKK açısından da önemlidir.

Çalışanın telefonu kaybolursa ne yapılır? Yönetim çözümü kuruluysa cihaz uzaktan kilitlenir ve kurumsal veri uzaktan silinir. BYOD ise yalnızca kurumsal alan silinir, kişisel veri kalır. Bu yüzden kayıp veya çalınma öncesinde cihaz şifreleme, ekran kilidi ve uzaktan silme yeteneğinin hazır olması gerekir.

Kaynaklar

Mobil cihaz politikanızı güvenlik ve KVKK açısından değerlendirmek ve mobil uygulamalarınızı denetlemek için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.