Bulut depolama ve e-posta yaygınlaştıkça USB belleğin gündemden düştüğü düşünülür. Oysa sahada durum farklıdır: Üretim hattındaki makineye program yüklemek için bellek kullanılır, muhasebe bağımsız denetçiye dosya verir, satış ekibi fuarda sunum taşır. Aynı küçük cihaz hem zararlı yazılımın içeri girdiği hem de müşteri listesinin dışarı çıktığı bir kapıdır. BT ekiplerinin sorusu çoğu zaman şudur: Tamamen kapatalım mı, yoksa izlemekle mi yetinelim? Bu yazıda iki yaklaşımın ne sağladığını, nerede yetersiz kaldığını ve çoğu işletme için işe yarayan dengeyi anlatıyoruz. Genel çerçeve için uç nokta ve veri güvenliği sayfamıza bakabilirsiniz.
USB neden hâlâ bir risk?
USB belleğin riski iki yönlüdür. İçeri doğru, bulaşmış bir bellek ağa bağlı olmayan bir makineye bile zararlı yazılım taşıyabilir. Dışarı doğru ise, yetkili bir kullanıcı hassas bir dosyayı hiçbir kayıt bırakmadan cebine koyup çıkabilir. Üçüncü bir risk de kayıptır: Şifrelenmemiş bir bellek taksi koltuğunda unutulduğunda içindeki veri artık kurumun kontrolünde değildir.
KVKK açısından da konu somuttur. Kişisel Verileri Koruma Kurumu’nun Kişisel Veri Güvenliği Rehberi, kişisel verilerin taşınabilir bellek, CD ya da DVD gibi ortamlarla aktarılması gerekiyorsa kriptografik yöntemlerle şifrelenmesini ve şifreleme anahtarının farklı bir ortamda tutulmasını önerir. Yani soru yalnızca “izin verelim mi?” değil, “izin verdiğimiz belleği nasıl koruyoruz?” sorusudur. Ayrıntılar için KVKK teknik tedbirler kontrol listesi yazımıza bakabilirsiniz.
Seçenekler: dört yaklaşım
USB kontrolü “aç” ya da “kapat”tan ibaret değildir. Kurumsal uç nokta ve DLP araçları genellikle şu seçenekleri sunar:
| Yaklaşım | Ne sağlar? | Zayıf yanı |
|---|---|---|
| Tamamen engelleme | Veri çıkışını ve bellekten bulaşmayı en baştan keser. | Meşru iş akışlarını durdurur; kullanıcılar kişisel bulut ya da e-posta gibi daha az görünen yollara yönelebilir. |
| Salt okunur erişim | Bellekten dosya okunabilir, belleğe yazılamaz. Dışarı çıkış kapanır. | İçeri doğru zararlı yazılım riski sürer; uç nokta koruması şarttır. |
| Onaylı cihaz listesi | Yalnızca kurumun verdiği, genellikle şifreli belleklere izin verilir. | Cihaz envanterinin ve zimmetin düzenli tutulması gerekir. |
| İzleme ve kayıt | Hangi kullanıcının hangi dosyayı hangi belleğe kopyaladığı görülür. | Kendi başına engellemez; olay olduktan sonra bilgi verir. |
Engellemek mi, izlemek mi?
Engellemek ne zaman doğru?
Bazı ortamlarda USB belleğe ihtiyaç yoktur ve açık bırakmak yalnızca risk üretir. Çağrı merkezi masaları, muhasebe ve insan kaynakları bilgisayarları, sunucular ve etki alanı denetleyicileri tipik örneklerdir. Bu cihazlarda varsayılan politika engelleme olabilir. Klavye, fare ve yazıcı gibi depolama dışı cihazların bu kuraldan ayrı tutulduğundan emin olun; yoksa ilk gün yardım masasının telefonu susmaz.
Engellemenin bir yan etkisi vardır: İhtiyaç ortadan kalkmaz, yön değiştirir. Belleği kullanamayan çalışan dosyayı kişisel e-postasına gönderebilir. Bu yüzden engelleme, meşru bir alternatifle birlikte uygulanmalıdır. Örneğin ekip içi dosya paylaşımı için yetkilendirmesi kurum tarafından yönetilen bir alan sunmak; UnnaBulut DocSafe bu ihtiyaç için tasarlanmıştır.
İzlemek ne zaman doğru?
Tasarım, mühendislik ve saha ekipleri gibi belleği gerçekten iş için kullanan gruplarda tam engelleme sürdürülebilir değildir. Burada hedef, hareketi görünür kılmak ve riskli olanı ayırt etmektir. İzleme; kimin, hangi dosyayı, hangi cihaza, ne zaman kopyaladığını kayıt altına alır. Bir olay şüphesinde ya da bir çalışanın ayrılık sürecinde bu kayıt belirleyici olur; konuyu işten ayrılan çalışan ve veri güvenliği yazımızda ele aldık.
İzlemenin daha gelişmiş hâli içerik farkındalığıdır. Veri sızıntısı önleme (DLP) araçları, belleğe kopyalanan dosyanın içeriğine bakarak karar verebilir: Sunum dosyası geçer, T.C. kimlik numaraları içeren bir tablo için kullanıcı uyarılır ya da aktarım durdurulur. Yaklaşımın temelleri DLP nedir yazımızda.
Çoğu işletme için doğru cevap: ikisi birden
Pratikte sürdürülebilir olan yapı katmanlıdır. Bizim sık önerdiğimiz bir başlangıç politikası şöyledir:
- Varsayılan: Tanımsız USB depolama cihazları salt okunur ya da engelli.
- Onaylı bellekler: Kurumun verdiği, şifreli ve seri numarasıyla tanımlı belleklere yazma izni.
- Riskli gruplar: Hassas veriyle çalışan bilgisayarlarda tam engelleme.
- İzleme: İzin verilen tüm aktarımların kayıt altına alınması.
- İstisna süreci: Denetçiye dosya vermek gibi tek seferlik ihtiyaçlar için onaylı, süreli ve kayıtlı bir istisna yolu.
Bu yapıda kullanıcı çoğu zaman bir engelle karşılaşmaz; yalnızca riskli hareket durdurulur.
Hangi araçla?
Uç nokta güvenliği platformunun cihaz kontrolü
Kurumsal antivirüs platformlarının çoğunda cihaz kontrolü zaten vardır. ESET PROTECT’te cihaz kontrolü en temel katmanda bile yer alır; depolama cihazları için engelleme, salt okunur ve uyarı gibi eylemler seçilebilir, kurallar seri numarası gibi parametrelerle tek bir cihaza kadar daraltılabilir. Bitdefender GravityZone’da cihaz sınıflarına izin verilir ya da engellenir; cihaz kimliği veya ürün kimliğine göre istisnalar tanımlanır. Hızlı ve ek lisans gerektirmeyen bir başlangıçtır.
DLP ile cihaz kontrolü
Safetica gibi DLP platformları bir adım öteye geçer: Onaylı cihazlara izin verir, şifrelemeyi zorunlu kılar, her aktarımı kaydeder ve yalnızca riskli olanı engeller. Karar yalnızca cihaza değil, taşınan verinin kendisine göre verilir. Aynı politika e-posta, bulut ve yazıcı gibi diğer kanalları da kapsar.
Seçim ölçeğe bağlıdır. Amaç yalnızca belleği yönetmekse uç nokta platformunun cihaz kontrolü çoğu zaman yeterlidir. Hassas verinin nereye gittiğini tüm kanallarda görmek istiyorsanız DLP gerekir.
Nereden başlamalı?
- Önce görün. Birkaç hafta boyunca yalnızca kayıt tutun. Hangi ekiplerin, hangi sıklıkla, hangi belleklerle çalıştığını öğrenin.
- Grupları ayırın. Belleğe hiç ihtiyacı olmayan, ara sıra ihtiyacı olan ve sürekli kullanan ekipleri belirleyin.
- Onaylı bellek dağıtın. İhtiyacı olan ekiplere kurumun şifreli belleklerini zimmetleyin.
- Kuralları kademeli sıkılaştırın. Önce uyarı, sonra salt okuma, en son engelleme.
- Çalışanları bilgilendirin. Neden bu kuralın konduğunu anlatan kısa bir duyuru, gereksiz destek taleplerini azaltır.
USB aktarımlarının kaydedilmesi çalışan hareketlerinin izlenmesi anlamına gelir ve KVKK kapsamında bir kişisel veri işleme faaliyetidir. Çalışanların önceden bilgilendirilmesini ve izlemenin hukuki dayanağının güncel mevzuata göre hukuk danışmanınız ve insan kaynakları ekibinizle netleştirilmesini öneririz.
Unna ile USB ve cihaz kontrolü
Önce hangi ekiplerin belleğe gerçekten ihtiyaç duyduğunu ve hangi verinin sizin için kritik olduğunu dinleriz. Mevcut uç nokta platformunuzdaki cihaz kontrolünü izleme modunda açar, birkaç haftalık kayıtları sizinle birlikte değerlendiririz. Kuralları bu verilere göre grup grup yazar, onaylı bellekleri tanımlar ve kademeli olarak sıkılaştırırız. İhtiyaç bellekle sınırlı değilse DLP’yi birlikte planlarız. Başlamak için bize yazın; önce dinleriz.
