Mobil Cihaz Yönetimi (MDM) ile BYOD ve Veri Güvenliği

Telefonlar ve tabletler artık kurumsal e-postadan müşteri kayıtlarına, onay süreçlerinden dosya paylaşımına kadar şirket verisinin önemli bir kısmına erişiyor. Buna rağmen birçok işletmede bu cihazlar hâlâ kayıt dışı: hangi telefonda hangi şirket verisinin bulunduğu, cihazda ekran kilidi olup olmadığı ya da cihaz kaybolduğunda ne yapılacağı belirsiz. Mobil cihaz yönetimi bu belirsizliği ortadan kaldırır; güvenliği artırırken sahada ve evden çalışan ekiplerin verimliliğini de destekler. Bu rehberde MDM kavramlarını, BYOD politikasını, uygulama ve veri yönetimini, Microsoft Intune üzerinden adım adım kurulumu ve çalışan mahremiyetini birlikte ele alıyoruz.

MDM, MAM ve UEM: Farklar ve Hangisine İhtiyacınız Var?

Bu üç kavram sıklıkla birbirinin yerine kullanılır, ancak yönetimin kapsamı açısından önemli farklar vardır.

• MDM (Mobile Device Management): Cihazın tamamını yönetir. Kayıt, ekran kilidi ve şifreleme zorunluluğu, işletim sistemi güncellemeleri, Wi-Fi, VPN ve e-posta profilleri, uygulama dağıtımı, uzaktan kilitleme ve silme bu kapsamdadır. Şirkete ait cihazlar için doğal tercihtir.
• MAM (Mobile Application Management): Cihaz yerine uygulamayı ve içindeki kurumsal veriyi yönetir. Kurumsal uygulamadan kişisel uygulamaya kopyala-yapıştır işlemini engellemek, dosyaların yalnızca kurumsal depolamaya kaydedilmesini sağlamak, uygulama açılışında PIN istemek ve gerektiğinde yalnızca kurumsal veriyi silmek mümkündür. Cihaz kaydı gerektirmediği için kişisel telefonlarda en az müdahaleci yöntemdir.
• UEM (Unified Endpoint Management): Telefon, tablet, dizüstü ve masaüstü bilgisayarları tek konsoldan, ortak politikalarla yönetir. Microsoft Intune bu anlamda bir UEM platformudur; Windows ve macOS bilgisayarları da aynı yerden yönetebilir.

Karar için pratik bir çerçeve şöyledir: Cihazlar ağırlıklı olarak şirkete aitse MDM temel alınmalıdır. Çalışanlar kişisel telefonlarından yalnızca e-posta, Teams ve dosyalara erişiyorsa MAM çoğu zaman yeterlidir. Bilgisayar ve mobil cihaz yönetimini tek politikada birleştirmek istiyorsanız UEM yaklaşımı yönetim yükünü belirgin şekilde azaltır. Çoğu işletmede doğru cevap bir karışımdır: şirket cihazlarında MDM, kişisel cihazlarda MAM.

BYOD mu, Şirket Cihazı mı? Politika Oluşturma

Mobil cihaz stratejisinin temeli teknik ayarlar değil, yazılı bir politikadır. Önce hangi sahiplik modelini kullanacağınıza karar verin:

• Yalnızca iş amaçlı şirket cihazı: En yüksek kontrol; saha terminalleri, depo el terminalleri ve paylaşımlı tabletler için uygundur.
• Kişisel kullanıma izin verilen şirket cihazı: Cihaz şirketindir ancak çalışan kişisel uygulamalarını da kullanabilir; iş ve kişisel alan ayrıştırılarak yönetilir.
• BYOD (kendi cihazını getir): Çalışanın kişisel telefonu işte kullanılır; donanım maliyeti düşer ancak kontrol sınırlıdır ve mahremiyet hassasiyeti yüksektir.

Hangi model seçilirse seçilsin, politikada şu başlıklar net olarak yer almalıdır:

1. Politikanın kapsamı: hangi rollerin, hangi kurumsal uygulama ve verilere mobil erişimi olacağı
2. Asgari gereksinimler: desteklenen işletim sistemi sürümleri, ekran kilidi, şifreleme, güncel güvenlik yamaları
3. Şirketin cihazda neleri görebileceği ve kesinlikle göremeyeceği
4. Kayıp veya çalıntı durumunda bildirim süreci ve uygulanacak adımlar
5. İşten ayrılışta kurumsal verinin nasıl kaldırılacağı
6. Destek, cihaz maliyeti ve hat giderlerinin kime ait olduğu
7. Çalışanın bilgilendirilmesi ve politikayı onaylaması

Çalışan cihazlarından toplanan bilgiler kişisel veri niteliği taşıyabileceği için politika, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki aydınlatma yükümlülüğü ve ölçülülük ilkesiyle birlikte ele alınmalıdır. İnsan kaynakları süreçlerindeki uyum adımlarını çalışan verileri ve KVKK rehberimizde ayrıntılı olarak anlattık.

Uygulama Yönetimi ve Kurumsal Uygulama Dağıtımı

Mobil verimlilik, doğru uygulamaların doğru kişilere zahmetsizce ulaşmasıyla başlar. Önce mevcut durumu çıkarın: hangi uygulamalar kullanılıyor, hangileri iş süreçleri için gerçekten gerekli, hangileri aynı işi yapan mükerrer araçlar? Sadeleştirilmiş bir uygulama portföyü hem destek yükünü hem de güvenlik yüzeyini küçültür.

Yönetim platformunda uygulamalar genellikle iki şekilde sunulur:

• Zorunlu uygulamalar: Outlook, Teams, kimlik doğrulama uygulaması veya saha uygulaması gibi, cihaz kaydolduğunda otomatik yüklenen uygulamalar.
• İsteğe bağlı uygulamalar: Şirket Portalı üzerinden kullanıcının kendi seçerek yükleyebildiği onaylı uygulamalar.

Kurumsal dağıtımda dikkat edilmesi gereken diğer noktalar şunlardır:

• Android tarafında Managed Google Play, Apple tarafında Apple Business Manager üzerinden uygulama ve toplu lisans dağıtımı yapılır; böylece lisanslar çalışana değil şirkete bağlı kalır.
• Şirket içinde geliştirilen uygulamalar, genel mağazaya konmadan yalnızca kurum cihazlarına dağıtılabilir.
• Uygulama yapılandırma politikalarıyla sunucu adresi, kullanıcı adı biçimi gibi ayarlar önceden tanımlanır; kullanıcı kurulumla uğraşmaz.
• Uygulama izinleri düzenli gözden geçirilmeli, iş verisine erişen uygulamaların güncel sürümde tutulması sağlanmalıdır.
• Güvenlik riski taşıyan uygulamalar, şirket cihazlarında kısıtlanabilir veya bu uygulamaları barındıran cihazlar uyumsuz olarak işaretlenebilir.

Mobil Veri Güvenliği: Şifreleme, Uzaktan Silme, İş Profili

Mobil veri güvenliği tek bir ayardan değil, birbirini tamamlayan katmanlardan oluşur.

Şifreleme ve ekran kilidi: Güncel iOS ve Android cihazlarda depolama şifrelemesi yerleşik olarak bulunur, ancak korumanın gücü ekran kilidine bağlıdır; kilidi olmayan bir cihazda şifreleme veriyi pratikte korumaz. Bu nedenle güçlü bir ekran kilidi zorunluluğu, şifrelemenin fiilen işe yaramasının ön koşuludur.

Uyumluluk politikaları: Asgari işletim sistemi sürümü, ekran kilidi, şifreleme durumu ve jailbreak veya root tespiti gibi kurallar tanımlanır. Kurallara uymayan cihaz uyumsuz olarak işaretlenir ve kullanıcı bilgilendirilir.

Koşullu erişim: MDM'in asıl gücü, kimlik sistemiyle birlikte çalıştığında ortaya çıkar. Microsoft Entra ID koşullu erişim kurallarıyla, yalnızca uyumlu cihazların veya korumalı uygulamaların kurumsal e-postaya ve dosyalara erişmesine izin verilir. Bu yapıyı güçlü kimlik doğrulamayla birlikte kurmak gerekir; ayrıntılar için MFA ve şifre güvenliği rehberimize göz atabilirsiniz.

İş profili ve ayrıştırma: Android Enterprise iş profili, kişisel telefonda ayrı bir kurumsal alan oluşturur; şirket yalnızca bu alanı yönetir. Apple tarafında kişisel cihazlar için kullanıcı kaydı yöntemi benzer bir ayrım sağlar.

Uzaktan kilitleme ve silme: Şirket cihazı kaybolduğunda cihaz uzaktan kilitlenebilir veya tamamen silinebilir. Kişisel cihazlarda ise tam silme yerine yalnızca kurumsal veri ve uygulamaları kaldıran seçici silme kullanılmalıdır.

Verinin cihazda değil, kurumsal depoda tutulması: Dosyalar OneDrive veya SharePoint gibi yönetilen depolarda tutulduğunda, cihaz kaybı veri kaybına dönüşmez; cihaz yalnızca bir erişim noktası olur.

Yedekleme ve kurtarma: Kurumsal veri merkezi depolarda tutulduğunda yedekleme de merkezden planlanabilir. E-posta, OneDrive ve SharePoint verisinin ayrıca yedeklenmesi, yanlışlıkla silme veya fidye yazılımı gibi senaryolarda geri dönüş imkânı sağlar. Cihaz arızalandığında ya da değiştirildiğinde kayıt profili ve atanmış uygulamalar sayesinde yeni cihaz kısa sürede aynı çalışma düzenine kavuşur; böylece kurtarma, tek tek dosyaları değil kullanıcının tüm çalışma ortamını geri getirir. Bulut tarafındaki seçenekleri bulut yedekleme rehberimizde ele aldık.

Güvenli bağlantı: Sahadan ve evden çalışan kullanıcılar sık sık halka açık kablosuz ağlara bağlanır. Wi-Fi ve VPN profillerini MDM üzerinden dağıtmak, kullanıcının elle ayar yapmasına gerek bırakmadan güvenli bağlantı sağlar; uygulama bazlı VPN ile yalnızca kurumsal uygulamaların trafiği şirket ağına yönlendirilebilir. Mobil çalışmanın verimli olması için ofisteki kablosuz ağın da artan cihaz yoğunluğunu kaldıracak şekilde tasarlanması gerekir; bu konuyu kurumsal Wi-Fi tasarımı yazımızda anlattık.

Adım Adım MDM Kurulumu (Intune Örneği)

Microsoft 365 kullanan işletmelerde Intune, çoğu zaman en doğal seçimdir. Tipik bir kurulum şu adımlarla ilerler:

1. Lisans ve ön koşullar: Intune; Microsoft 365 Business Premium, E3 ve E5 gibi paketlere dahildir. Mevcut lisanslarınızı kontrol edin ve kullanıcıların Entra ID'de doğru gruplarda olduğundan emin olun.
2. Grupların tasarlanması: Şirket cihazları, BYOD kullanıcıları, yöneticiler ve pilot grup gibi politika hedeflerini baştan belirleyin.
3. Platform bağlantıları: iOS ve iPadOS için Apple MDM anında iletme (push) sertifikasını oluşturun; şirket cihazları için Apple Business Manager üzerinden otomatik cihaz kaydını bağlayın. Android için Managed Google Play hesabını bağlayın ve iş profili ile tam yönetilen cihaz kayıt profillerini hazırlayın.
4. Uyumluluk politikaları: Asgari işletim sistemi, ekran kilidi, şifreleme ve root veya jailbreak kurallarını tanımlayın.
5. Yapılandırma profilleri: Wi-Fi, VPN, e-posta ve cihaz kısıtlamalarını profil olarak hazırlayın.
6. Uygulamalar ve uygulama koruma politikaları: Zorunlu ve isteğe bağlı uygulamaları atayın; kişisel cihazlar için kopyala-yapıştır ve farklı kaydet kısıtlarını içeren uygulama koruma politikalarını oluşturun.
7. Koşullu erişim: Önce raporlama modunda deneyin, etkisini gördükten sonra uyumlu cihaz veya korumalı uygulama şartını etkinleştirin.
8. Pilot ve yaygınlaştırma: Küçük bir grupla başlayın, kullanıcı rehberi hazırlayın, geri bildirimle politikaları düzeltip kademeli olarak tüm şirkete yayın.
9. Operasyon: Uyumsuz cihaz ve başarısız uygulama kurulumu raporlarını düzenli izleyin, işten ayrılışları süreçlere bağlayın ve Apple sertifikasını her yıl yenilemeyi takvime ekleyin.

Microsoft 365 lisans yapısını ve geçiş adımlarını Microsoft 365'e geçiş rehberimizde ele aldık.

Sık Yapılan Hatalar ve Çalışan Mahremiyeti

Sahada en sık gördüğümüz hatalar şunlardır:

• Kişisel cihazları tam yönetime almak: Çalışanın telefonunu tamamen yönetmek hem tepki çeker hem de yanlışlıkla tam silme riskini doğurur. Kişisel cihazlarda iş profili veya MAM tercih edilmelidir.
• Koşullu erişim olmadan MDM kurmak: Kayıtsız cihazlar hâlâ e-postaya erişebiliyorsa, yönetim yalnızca kâğıt üzerinde vardır.
• Aşırı kısıtlama: Kamera, dosya paylaşımı veya uygulama kullanımına gereksiz yasaklar, çalışanları onaysız araçlara yöneltir ve gölge BT'yi büyütür.
• Kullanıcı eğitimini atlamak: Cihaz kaydının nasıl yapılacağı, Şirket Portalı'nın ne işe yaradığı, kimlik avı mesajlarının nasıl tanınacağı ve cihaz kaybolduğunda kime haber verileceği anlatılmadığında destek talepleri artar; en iyi politika bile kullanıcı hatasıyla delinir. Kısa bir kayıt rehberi ve tanıtım oturumu bu sorunların çoğunu baştan önler.
• Pilotsuz yaygınlaştırma: Tüm şirkete aynı gün uygulanan politikalar, yardım masasını kilitler ve projeye olan güveni zedeler.
• Ayrılış sürecini unutmak: İşten ayrılan çalışanın cihazındaki kurumsal veri ve oturumlar kapatılmazsa risk devam eder.
• Apple sertifikasını yenilememek: Süresi dolan sertifika, iOS cihazlarla yönetim bağlantısını keser ve cihazların yeniden kaydı gibi zahmetli işlere yol açabilir.

Mahremiyet konusunda şeffaflık, benimsemenin anahtarıdır. Intune gibi platformlar kişisel cihazlarda kişisel fotoğrafları, mesajları, arama kayıtlarını veya tarama geçmişini göstermez; şirket yalnızca cihaz modeli, işletim sistemi sürümü, uyumluluk durumu ve kurumsal uygulamalar gibi yönetim bilgilerini görür. Bunu politikada açıkça yazmak ve çalışanlara anlatmak, direnci büyük ölçüde azaltır. Konum bilgisi gibi hassas özellikler yalnızca şirket cihazlarında, önceden duyurulmuş kayıp cihaz senaryolarıyla sınırlı tutulmalıdır.

Lisans Maliyeti ve Hizmet Sağlayıcı Seçimi

MDM projesinin toplam maliyetini belirleyen başlıca faktörler şunlardır:

• Yönetilecek kullanıcı ve cihaz sayısı, platform çeşitliliği
• Mevcut Microsoft 365 lisansınızda Intune ve koşullu erişimin bulunup bulunmadığı
• Mobil tehdit koruması gibi ek güvenlik bileşenlerine ihtiyaç duyulup duyulmadığı
• Şirket cihazlarının otomatik kayda uygun kanallardan satın alınması
• İlk kurulum, politika tasarımı, pilot ve kullanıcı eğitimi emeği
• Günlük operasyon: uyumsuz cihaz takibi, yeni çalışan ve ayrılış süreçleri, sürüm güncellemeleri

Hizmet sağlayıcı seçerken iOS, Android ve Windows platformlarının tamamında deneyim, pilotla ilerleyen bir yöntem, yazılı politika ve yapılandırma dokümantasyonu, KVKK farkındalığı ve kurulum sonrası operasyon desteği sunulup sunulmadığını sorgulayın. Mobil cihaz yönetimini kimlik, e-posta ve uç nokta güvenliğiyle birlikte kurgulamak, sıfır güven yaklaşımının da temel adımlarından biridir. Bu bütüncül yaklaşımı siber güvenlik hizmetimiz kapsamında uçtan uca yönetiyoruz.

Sonuç

Mobil cihaz yönetimi, şirket verisinin artık masada değil çalışanın cebinde olduğu gerçeğine verilen en somut yanıttır. Doğru sahiplik modelini seçmek, açık bir BYOD politikası yazmak, uygulama ve veri katmanını koşullu erişimle korumak ve süreci pilotla yaygınlaştırmak hem güvenliği hem de çalışan memnuniyetini birlikte artırır. Mevcut mobil cihaz yapınızı değerlendirmek ve size uygun yol haritasını çıkarmak için ücretsiz ön görüşme talep edebilirsiniz.