Kurum cihazı, kişisel cihaz

Açılış sahnesi

Oya gece vardiyasındaki resepsiyonist Kader'le, sabahın yedisinde vardiya değişiminden önce konuşuyor. Kader telefonunu masaya koyup ekranı gösteriyor: otelin rezervasyon sisteminin uygulaması, giriş bilgileri kayıtlı. «Gece ikiden sonra resepsiyonda tek başımayım», diyor. «Bir misafir kat telefonundan aradığında masadan kalkıp odaya gitmem gerekiyor. Gelen rezervasyon değişikliğini kaçırmamak için telefonuma yükledim. Evden de bakıyorum bazen, sabah ekip hazırlıklı gelsin diye.»

Oya bir şey not ediyor: Kader bunu gizlemiyor, aksine işini daha iyi yapmak için yaptığını anlatıyor. Bir de soru: Kader'in telefonu kaybolursa, ya da telefonda bir zararlı yazılım varsa, otelin bütün rezervasyonları kimin elinde olur?

Bu derste ne olacak

İş ile kişisel hayat çoğu çalışanın telefonunda ve bilgisayarında iç içe geçmiş durumda. Kurum işini kişisel bir cihazda yapmak çoğu zaman bir kolaylıktır; kişisel bir işi kurum cihazında yapmak da öyle. İkisi de bir risk taşır, ama farklı riskler. Bu ders bu iki yönü ayırıyor ve bir soruyu daha soruyor: çalışanlar bu kuralları neden deler? İki araştırma bu soruya beklenmedik bir cevap veriyor. Kuralı delen çalışanların önemli bir kısmı güvenliği umursamayanlar değil; tam tersine, işini yapmak ile güvenliği korumak arasında kendi dengesini kurmaya çalışan, güvenliği önemseyen çalışanlar. Kurumsal mobil cihaz yönetiminin tekniğini Siber Güvenlik Akademisi anlatıyor; burada soru, bu dengenin çalışan tarafı.

Kanıt ne diyor

Çalışanların güvenlik kurallarına uymama davranışını inceleyen iki görüşme çalışması, uyum ile uyumsuzluk arasında üçüncü bir davranış buldu.

Sahada

İki yönlü sınır

Delmeyi anlamak

Gri alan

Kurum ile kişisel cihaz arasındaki sınır belirsiz ve kurumdan kuruma tartışmalı. Bazı kurumlar çalışanların kendi cihazlarını kullanmasına izin verir ve onları kurumsal bir yönetim yazılımına bağlar; bu da çalışanın kişisel telefonunda kurumun neyi görebileceği sorusunu doğurur. Bir çalışanın kişisel telefonunu kurumun denetimine açmak, kendi başına bir mahremiyet sorunudur. Kurum cihazında kişisel işin sınırı da net değil: öğle arasında kişisel e-postaya bakmak ile kurum dizüstüsüne bir program kurmak aynı şey değil. Kirlappos ve arkadaşlarının önerisinin de bir sınırı var: her gölge güvenlik uygulamasından öğrenilecek bir şey yoktur, bazıları yalnızca tehlikelidir, ve hangisinin hangisi olduğunu ayırmak uzmanlık ister. Güneşlikteki parola bir ihtiyacı gösteriyordu, ama kendisi bir çözüm değildi. Çalışmaların kapsamı da dar: iki kurumda yapılmış nitel görüşmeler, bir otel resepsiyonuna ya da bir saha ekibine doğrudan uyarlanmış değil. Son olarak, Oya'nın «önce ihtiyacı karşıla» yaklaşımı zaman alır; o arada bir olay olursa, kurum hem ihtiyacı hem riski bilip harekete geçmemiş olur.

Senin işinde

Telefonuna ve kişisel bilgisayarına bir bak: üzerinde kurumun hangi uygulamaları, hangi dosyaları, hangi kayıtlı parolaları var? Her biri için düşün: bu cihaz kaybolsa, o veriye kim ulaşır? Kurum işini kişisel bir cihazda yapıyorsan, bunun kurumun bildiği ve izin verdiği bir yol olup olmadığını öğren; değilse, bunu yöneticine ya da bilgi güvenliği ekibine söyle, ve neden yaptığını da anlat. Senin ihtiyacın kurum için önemli bir bilgidir. Kurum cihazında kişisel bir iş yapacaksan, özellikle bir program kuracak ya da bir dosya indirecek isen, dur; bu cihaz kurumun güvenlik sınırının içinde. Ortak bir parola ya da ortak bir hesap kullanıyorsan, bunun bir risk olduğunu ve her kişiye ayrı bir giriş verilmesi gerektiğini söyle. Bir yöneticiysen, ekibinin kuralı deldiği yerleri bir ceza listesi olarak değil, karşılanmamış ihtiyaçlar listesi olarak oku; ve bilgi güvenliği ekibine götür. Bir kuralı yeniden duyurmadan önce, o kurala uyulmasını imkânsız kılan şeyi düzelt.

Kendin dene

Aklında kalsın

Kurum işini kişisel bir cihazda yapmak kurum verisini kurumun denetimi dışına çıkarır; kişisel bir işi kurum cihazında yapmak kurumun güvenlik sınırına dışarıdan bir risk sokar. İki yön de farklı bir risktir. Görüşme çalışmaları, bu kuralları delen çalışanların önemli bir kısmının güvenliği önemseyen, işini görebilmek için kendi önlemini kuran çalışanlar olduğunu gösterdi. Kurumun işi bu geçici çözümleri bastırmak değil, onlardan öğrenmek ve ihtiyacı güvenli bir resmî yolla karşılamaktır.

Sonraki derse köprü

Oya'nın listesi büyüdükçe bir örüntü beliriyor. Bazı kurallar neredeyse herkes tarafından deliniyor, bazılarına neredeyse herkes uyuyor. Ferhat Bey listenin özetini görünce soruyor: «Neden bazı kurallara uyuluyor da bazılarına uyulmuyor? İnsanları ne ikna ediyor?» Oya bir cevap vermeden önce bu soruyu inceleyen çalışmalara bakmak istiyor. M01-D04 çalışanların güvenlik kurallarını hangi koşullarda çiğnediğine dair bulguları ele alıyor.

Kendini sına

Soru 1 · Kavram

Bu derse göre «gölge güvenlik» nedir?

• A) Kurumun gizli güvenlik birimi.
• B) Güvenliği önemseyen çalışanların, uygulanamaz bulduğu bir kural yerine işi görebilmek için kurduğu ve kurumun görmediği geçici çözümler.
• C) Bir saldırganın gizli araçları.
• D) Kurumun yedekleme sistemi.

Cevap: B. Gölge güvenlik ne tam uyum ne de güvenliği umursamamaktır; işi görmek ile riski yönetmek arasında çalışanın kendi kurduğu uzlaşmadır.

Soru 2 · Kanıt

Kirlappos, Parkin ve Sasse'nin 118 görüşmeye dayanan çalışması kurumlara ne öneriyor?

• A) Gölge güvenlik uygulamalarını bulup cezalandırmayı.
• B) Güvenlik kurallarını tamamen kaldırmayı.
• C) Çalışanların bütün cihazlarını denetlemeyi.
• D) Gölge güvenlik uygulamalarını bastırmak yerine onlardan öğrenmeyi ve onları işi engellemeyen güvenli çözümlere çevirmeyi.

Cevap: D. Yazarlar bu uygulamaların işleyebilir bir güvenlik için bir başlangıç noktası olduğunu söylüyor; bastırmak onları yalnızca daha görünmez kılar.

Soru 3 · Senaryo

Bir saha ekibi tek bir tableti tek bir hesapla kullanıyor ve parolayı herkes bilsin diye aracın güneşliğine yazmış. Hangi değişiklik ihtiyacı riski büyütmeden karşılar?

• A) Parolayı daha uzun yapmak ama yine güneşlikte tutmak.
• B) Tableti kullanmayı yasaklamak.
• C) Ekipteki her kişiye tablete ayrı bir giriş vermek ve parolayı güneşlikten kaldırmak.
• D) Parolayı ekibe her sabah kısa mesajla göndermek.

Cevap: C. Güneşlikteki parola bir ihtiyacı gösteriyor: sabah tableti açan kişinin girebilmesi. Her kişiye ayrı giriş, bu ihtiyacı parolayı ortaya koymadan karşılar.

Soru 4 · Tuzak

Bir genel müdür, kişisel telefonuna kurum uygulaması yükleyen çalışanlara uyarı yazısı gönderilmesini istiyor. Bu yaklaşımın eksiği nedir?

• A) Uyarı yazısı yeterince sert değildir.
• B) Davranışın altındaki karşılanmamış iş ihtiyacını görmüyor; yasak ihtiyacı ortadan kaldırmaz, yalnızca davranışı daha görünmez kılabilir.
• C) Uyarı yazısı yalnız yöneticilere gönderilmelidir.
• D) Kişisel telefonlar kurumun konusu değildir.

Cevap: B. Önce ihtiyacı anlamak ve onu güvenli bir resmî yolla karşılamak, sonra kuralı yeniden duyurmak gerekir; bu derste gece vardiyasına kurumun yönettiği bir telefon verilerek sorun çözüldü.