Kendi cihazını getiren çalışanlar artıyor
Son yılların en önemli eğilimlerinden birisi olan kendi cihazını getir yaygınlaşırken beraberinde çeşitli tehlikeleri de getiriyor.
Kendi cihazını getir eğilimi (BYOD – Bring Your Own Device) her geçen gün yaygınlaşıyor. Bu eğilimin şirketlerin ekipman harcamalarını azaltmaları, çalışanların daha mobil olması gibi çeşitli faydaları bulunuyor. Ama şirket ağlarını dolayısıyla şirket bilgilerinin de risk altına girmesine neden oluyor. Bazı şirketler bu risklerden kaçınmak için çalışanların kendi cihazlarını kullanmalarını yasaklarken bazıları ise çeşitli politikalar geliştiriyorlar.
Şirketlerin çalışanlarına cihaz vermelerinin en büyük nedenlerinin standardizasyon ve güvenlik olduğunun altını çizen Aruba Networks Sistem Mühendisleri Takım Lideri Oğuzhan Eren sözlerine şöyle devam ediyor: “Bir şirketin çalışanlarına dağıttığı dizüstü bilgisayarlar şirketin güvenlik kriterlerine uygun yazılımlar ile donatılmış, ayarları yapılmış ve detaylı sistem ayarlarına erişimin engellendiği cihazlardır. Bu sayede söz konusu cihazların güvenliği ve yönetimi merkezi olarak takip edilebilir. Fakat bu yöntem günümüzde büyük oranda geçerliliğini yitiriyor. Artık çalışanlar şirket cihazlarına ek olarak kendi cihazlarını kullanıyorlar. Yeni nesil kablolu ve kablosuz ağ altyapıları kullanıcıların kendi cihazların iş yerine getirmeleri ve şirket ağına bağlanmalarına imkan tanıyor. Yeni nesil BYOD altyapıları sayesinde kullanıcılara ait cihazlar yine kullanıcılar tarafından güvenli bir şekilde sisteme tanıtılabiliyor. Bu cihazlar sistem tarafından sürekli izleniyor ve herhangi bir güvenlik problemi oluşturmalarına izin vermeden çalışabiliyorlar.”
Şirket ağına bağlanan cihaz sayısı artıyor
Proline Ağ Çözümleri Yöneticisi Ahmet Eriş ise artan cihaz sayısına dikkat çekiyor: “İç ağlarda çok hızlı bir şekilde artan cihaz çeşitliliği, mobil cihaz sayısı ve bununla paralel gelen güvenlik tehditleri, ağ hizmeti dışında birçok güvenlik unsurunu da bünyesinde barındıran “Kendi Cihazını Getir” kavramının doğuşuna da sebep oldu. Şirket çalışanlarının her an her yerden her şekilde şirket ağına bağlanmaları kulağa güzel gelen bir kavram olsa da bu durumun doğurduğu bazı zorluklar ortaya çıktı. Her çalışanın artık neredeyse 3 cihaz ile şirket ağında dolaştığını düşünürsek bu kadar cihazın yönetiminin zorlaşması kaçınılmaz hale geldi. “Kendi Cihazını Getir” anlayışı burada da devreye girerek özellikle orta ve büyük ölçekli şirketlerde bu yönetim zorluğunu ortadan kaldırdı.”
Politikalar belirlenirken cihaz tipleri de göz önünde tutulmalı
Şirketler açısından çalışanların kendi cihazlarını şirket ağında kullanmalarına izin vermeden önce değerlendirme yapmaları büyük önem taşıyor. Böylece şirketin karşı karşıya kalabileceği riskler önceden tam olarak bilinmese de tahmin edilebiliyor. Infoblox Sistem Mühendisi Altuğ Yavaş, çalışanların kendi cihazlarını kullanmaları konusunda şu bilgileri aktardı: “Kurumun güvenlik risk değerlendirmesi yapılırken, öncelikle, mevcut tehdit algısına ve güncel zaafiyet yönetim bilgilerine bağlı olarak, kurum ağına dışarıdan gelecek olan cihazların kabul edilen ve edilmeyen türleri belirlenmeli ve bu politika etkin ve dinamik bir şekilde hayata geçirmelidir. Bu politikayı hayata geçirirken, DHCP iletişimi tabanlı parmak izi tespit yöntemi ve ağ üzerindeki canlı uç noktaların gerçek zamanlı olarak tespiti kullanılabilecek en temel yöntemler arasındadır. Bu şekilde, yüksek risk içeren kontrolsüz cihazlarla etkin bir şekilde mücadele edilebilir ve kurumun ağına girebilecek zararlı kodlarla ilgili risklerle baş edilebilir. Ayrıca kurum envanterinde olmasa da kullanıcıların kullandığı her türlü IP cihazı kayıt altına alınmalı ve oluşturacakları güvenlik riskleri açısından tehdit algısına dahil edilmelidir.”
Kendi cihazını getiren kullanıcılar için altyapı artık kaçınılmaz hale geldi
İyi bir BYOD politikası, çalışan verimliliğini önemli ölçüde artırdığı gibi, mobilitenin sağladığı avantajlarla işyerinin verimliliğini de yükseltiyor. BYOD politikalarının iyi belirlenmediği ortamlarda, işletmeler BT ekipmanı üzerindeki kontrolünü kaybetme tehlikesiyle karşı karşıya kalabiliyor. Bu durum da hassas ve veri ve şirket kaynaklarının güvenliğinin tehlike altına girmesine neden olabiliyor. Örneğin bir çalışanın cihazını kaybetmesi durumunda cihaz istenmeyen ellerine eline geçebilir ve gizli kalması gereken bilgiler ifşa olabilir.
Uygun politikalar belirlenmediği takdirde BYOD (Bring Your Own Device) kavramı BYOD (Bring Your Own Danger – Kendi Tehlikeni Getir) kavramına dönüşebiliyor. Şirketin BT politikaları çerçevesi dışına çıkan çalışanlar, istenmeyen, illegal ve kopya yazılımları kendi cihazlarında çalıştırabilir ve çalıştıkları şirketi sıkıntıya sokabilirler. Bu durumda şirketlerin ölçeklerine ve ihtiyaçlarına uygun olarak BYOD kuralları geliştirmeleri gerekiyor. Bunun için de güçlü, çok yönlü kablosuz yerel alan ağı kurmaları gerekiyor. Kablosuz ağın olası bant genişliği artışını karşılayabilmesi ve artan kullanıcı ile cihazların yönetimini desteklemesi de büyük önem taşıyor.
Kendi cihazını getir tehlikeye dönüşmesin
Mobil cihazların gelişimi ile birlikte kullanıcıların çoğu taşınması daha kolay, hafif ve ergonomik olan cihazlara yöneldiler. Durum böyle olunca şirket çalışanları da bu mobil cihazlarını ağlarda kullanmaya başladılar. Bu yüzden şirketlerin çalışanlarının kendi cihazlarını kullanabilecekleri altyapıları oluşturmaları kaçınılmaz hale geldi. Kullanılan bu cihazların şirket ağına her noktadan verimli ve performanslı bir şekilde bağlanmaları, bağlanırken de güvenlikten ödün verilmemesi gerekiyor. Bu cihazların özellikle şirket ağına bağlanırken kimlik doğrulama ve yetkilendirme işlemleri unutulmamalı, mutlaka yapılmalıdır. İyi bir BYOD politikası, cihaz tipleri ve bu cihazların kullandığı uygulamalara bağlı olarak geliştirilebilir.
Sürekli erişilebilirliğin en önemli unsuru güvenlik
BT bileşenlerinin iletişimindeki aksama, kurumsal uygulamaların erişilebilirliklerinde de aksamaya yol açtığından, kurumsal ağların sürekli hizmet verir durumda tutulması büyük önem taşıyor. Ağın sürekli erişilebilir tutulmasının en önemli bacaklarından birisi ise güvenlik. Güvenlik unsurları göz ardı edilmiş veya güvenlik unsurlarına yeterince önem verilmemiş bir ağ, her zaman erişilebilirlik riski ile karşı karşıya kalır, bunun paralelinde de birçok güvenlik ihlalleri ortaya çıkar.
Ağ yönetiminin temel unsurlarının başında insan faktörü geliyor. Ağı yönetenden ağı kullanan kişiye kadar güvenlik bilincinin mutlaka oluşturulması gerekiyor. Ayrıca ağı yöneten kişilerin de güvenlik bilgi ve tecrübelerinin yüksek olması büyük önem taşıyor. Bir diğer unsur ise ağ tasarımı. Ağ tasarımı yapılırken mutlaka güvenlik unsurları göz önünde bulundurulmalıdır. Sunucu ve son kullanıcılar mutlaka farklı ağ bölümlerinde olmalıdır. Sunucular da rollerine göre (internete açık, kurumsal uygulama sunucuları, veritabanı sunucuları) farklı ağ bölümlerinde bulunmalıdır. Yine son kullanıcılar da kurumsal kullanıcı ve misafir kullanıcı olarak farklı ağ bölümlerinde yer almalıdır. Farklı ağ bölümleri arasındaki trafik ise bir güvenlik duvarı üzerinden kontrollü olarak geçmelidir.
Ürün seçimi de bir diğer önemli güvenlik unsurudur. Ağ üzerinde konumlandırılacak güvenlik ürünleri seçilirken çok iyi araştırmalar yapılmalı, mutlaka demo yapılarak kurumun ihtiyaçlarına uygun olup olmadığı iyi analiz edilmeli ve öyle karar verilmelidir.
Güvenli bir ağın önemli unsurlarından birisi de izlemedir. Ağ ve bileşenlerinin merkezi olarak mutlaka izlenmesi olay kayıtlarının tutulması gerekmektedir. Ağı oluşturan her bileşen, ağı kullanan her kullanıcı grubu için bir politika oluşturulmalıdır. Kim, ne zaman, nereden, nereye, hangi yetkilerle erişecek belirlenmelidir.
