Kendi Aygıtını Getir (BYOD) trendi, bir siyaset olmaktan çıkıp standart bir uygulamaya dönüştü. BYOD ve Kurumsal Mobilite için global pazarın 2024 yılında 129,2 milyar dolar bedelinde olduğu ve 2030 yılına kadar 331,6 milyar dolara ulaşacağı öngörülüyor. Lakin şahsî aygıtlar, bilhassa yönetilmedikleri yahut makus yönetildikleri vakit, siber güvenlik zincirindeki en zayıf halkalardan biri oluyor. Siber güvenlik şirketi ESET, ferdî aygıt kullanımının kurumsal bir riske dönüşmemesi için nelere dikkat edilmesi gerektiğinin altını çizdi.
BYOD ile ilgili esas güvenlik tasalarından biri, ferdî aygıtlarda standartlaştırılmış muhafazanın olmamasıdır. Şahsî aygıtlar çoklukla uç nokta müdafaası, şifrelenmiş depolama ve hatta parola hijyeni üzere temel muhafazalardan mahrumdur. Bu “eksiklik” bir işletmenin ve savunucularının müdafaası gereken atak yüzeyini genişletir. Bu siber güvenlik özelliklerinden ve kurumsal kısıtlamalardan mahrum olan ferdî aygıtlar, bilhassa de kullanıcılar siber güvenlik eğitimi almamışsa berbat hedefli uygulamalar yahut kimlik avı ilişkileri yoluyla siber tehditlere maruz kalabilir. Ayrıyeten bu aygıtlar işçi olmayan bireyler tarafından kullanılıyor olabilir ve sıklıkla inançlı olmayan kamusal ağlara (kafeler, havaalanları ve ortak çalışma alanları) bağlanırlar; bu da onları fırsatçı akınlar için cazip amaçlar hâline getirir. Gölge BT bir öteki kıymetli faktördür. Çalışanlar üretkenliklerini sürdürmek için ekseriyetle yetkisiz uygulamalar yükler yahut işle ilgili maksatlar için doğrulanmamış bulut hizmetlerini kullanır. Bu durum iş akışlarını hızlandırabilirken tıpkı vakitte iş ortamına denetimsiz bilgi akışları ve potansiyel güvenlik açıkları da getirmektedir.
Her kurumun bir siyaseti olmalı
Etkili BYOD güvenliğinin temeli görünürlüktür. Şirketler öncelikle e-posta sunucuları, dâhili platformlar, paylaşılan şoförler ve bulut tabanlı uygulamalar üzere kurumsal kaynaklara erişen her ferdî aygıtın envanterini çıkarmalıdır. Bir sonraki adım, en az güvenlik standartlarını ve en uygun yapılandırmayı uygulamaktır. Bunlar ortasında zarurî şifreleme, güçlü parola siyasetleri, iki faktörlü kimlik doğrulama ve uç nokta muhafazası sayılabilir. Bu ihtiyaçlar, çalışanların aygıtlarını kurumsal ağlara bağlamadan evvel kabul ettikleri resmî bir BYOD siyasetinde açıkça belirtilmelidir.
Kullanılan yazılımlar şimdiki olmalı
Gölge BT risklerini azaltmak için şirketler, riskli uygulamaları kara listeye almak yahut onaylı araçları beyaz listeye almak üzere uygulama denetim siyasetleri uygulamalıdır. Bilinen güvenlik açıklarını yamalamak ve aygıtları derhal güncellemek, ihlalleri önlemenin en kolay ve tesirli yollarından biridir. Lakin BYOD ortamlarında, yazılımı şimdiki tutma sorumluluğu ekseriyetle çalışana düşer ve bu noktada boşluklar oluşabilir. Taşınabilir Aygıt İdaresi (MDM) tahlilleri burada çok pahalıdır. Bir MDM kullanmak mümkün değilse en azından BT yöneticileri kullanıcılara güncellemeleri yüklemelerini tertipli olarak hatırlatmalı, takip etmesi kolay rehberlik sağlamalı ve güvenlik açıklarının süratle kapatılmasını sağlamak için yama durumunu takip etmelidir. MDM ile kuruluşlar aygıtları uzaktan izleyebilir, güvenlik ayarlarını uygulayabilir, hırsızlık yahut kayıp durumunda bilgileri silebilir ve çalışanların ferdî dijital alanlarını gereğinden fazla işgal etmeden kurumsal siyasetlerle uyumluluğu sağlayabilir.
VPN kullanmak önemli
Çalışanlar ister meskenden ister bir kafeden çalışıyor olsun, halka açık yahut inançlı olmayan Wi-Fi ağlarının kullanılması kıymetli bir risk oluşturur. Düzgün yapılandırılmış bir Sanal Özel Ağ (VPN) kurmak koşuldur. VPN’ler, bilgileri transfer sırasında koruyan ve ortadaki adam hücumları mümkünlüğünü azaltan şifreli tüneller oluşturur. Ayrıca kuruluşlar uzaktan erişimi korumak için Uzak Masaüstü Protokolü (RDP) erişiminin inançlı bir halde yapılandırıldığından emin olmalıdır. Yanlış yapılandırılmış RDP’ler siber hücumlarda sıklıkla kullanılan bir vektör olduğundan şirketler bunların kurulumunu başka açık sistemlerle birebir titizlikle ele almalıdır.
Hassas kurumsal bilgilerin ferdî aygıtlarda saklanması, bilhassa aygıtın kaybolması, çalınması yahut meskendeki öteki biri tarafından erişilmesi durumunda maruz kalma riskini artırır. Bunu ele almak için kuruluşlar parola müdafaası, otomatik kilitleme ve aygıt şifrelemesini mecburî kılan kurallar oluşturmalıdır. Ayrıyeten saklı yahut iş açısından kritik olarak sınıflandırılan datalar hem dinlenme hem de transfer sırasında şifrelenmelidir. Hassas dataları barındıran sistemlere her türlü erişim için çok faktörlü kimlik doğrulama (MFA) gerekli olmalıdır.
Şirketler en zayıf kullanıcı kadar güçlü
En güzel teknik tedbirler alınsa bile bir BYOD siyaseti fakat en zayıf kullanıcısı kadar güçlüdür. Kuruluşlar çalışanlarını, gelişmiş berbat emelli yazılımdan muhafaza ve şifrelemenin yanı sıra uzaktan silme özelliklerini de içermesi gereken çok katmanlı aygıta özel güvenlik yazılımlarıyla donatmalıdır. Nizamlı yedeklemeler ve sık sık güvenlik farkındalığı eğitimi kritik değer taşır. Çalışanlar, iş için şahsî aygıt kullanmanın yüksek risklerini ve hem kendi bilgilerini hem de şirketin bilgilerini korumak için atabilecekleri adımları anlamalıdır.
Şeffaflık çok önemli
Çalışanlar, patronlarının ferdî dijital ömürlerinin ne kadarını görebilecekleri konusunda anlaşılır bir halde tasa duymaktadır. İşletmeler, hangi bilgilere erişecekleri (ve erişmeyecekleri) ve çalışanların saklılığına nasıl hürmet gösterileceği konusunda açık olmalıdır. İş datalarını ferdî datalardan ayırmak üzere zımnilik öncelikli mimarileri destekleyen MDM tahlilleri bu boşluğu doldurmaya yardımcı olabilir.
Kaynak: (BYZHA) Beyaz Haber Ajansı
