Şirket Bilgisayarında Kişisel Hesap Kullanmak Riskli mi?

Şirket bilgisayarınızda kişisel e-postanıza bakmanın ya da sosyal medya hesabınıza girmenin büyük bir sorunu yok gibi görünebilir. Çoğu çalışan bunu arada sırada yapar; iş yoğunluğunda kişisel bir konuyu halletmek, bankadan gelen bildirimi kontrol etmek ya da öğle arasında alışveriş siparişini takip etmek. Ne var ki bu alışkanlık, tam olarak nerede ne bıraktığınızı fark etmeden birkaç farklı riski bir arada yaratır.

Meseleyi iki ayrı katmanda ele almak gerekir: birincisi işverenin teknik olarak neye erişebildiği, ikincisi kişisel verilerinizin kurumsal altyapıyla ne zaman ve nasıl iç içe geçtiği. Bu iki katman birbirinden bağımsız değildir; biri gerçekleştiğinde diğeri de çoğunlukla devreye girer.

Hangi adımın sizi gerçekten koruduğunu, hangisinin yalnızca anlık rahatlık sağladığını ayırt etmek bu sorunun özündedir.

İşveren hangi verileri görebilir, hangileri göremez?

Şirket bilgisayarında işverenin izleme yetkisi ülkeden ülkeye, hatta şirketten şirkete farklılaşır; Türkiye'de bu konu hem iş hukuku hem KVKK açısından tartışmalıdır. Buna rağmen teknik gerçek ortadadır: şirket ağı üzerinden geçen trafik, ağ yöneticisi tarafından izlenebilir. HTTPS yaygınlaşmadan önce bu, içeriklere tam erişim anlamına geliyordu; şimdi çoğunlukla hangi alan adına bağlandığınız, ne zaman ve ne sıklıkla bağlandığınız görülür.

Kurumsal cihazlarda tablo biraz farklı işler. Şirket tarafından yönetilen bir bilgisayarda - MDM (Mobile Device Management) çözümleri buna araç sağlar - işveren yüklü uygulamaları, tarayıcı geçmişini, dosya sistemini ve ekranı gerçek zamanlı olarak görebilecek yazılımlar kullanabilir. Bu araçlar şeffaf bir politikayla uygulanıyorsa çalışanın haberi vardır; gizli çalışıyorsa çoğunlukla fark edilmez.

HTTPS bağlantıda içerik şifrelidir, ancak şirket kendi sertifika yetkilisini (CA) cihaza yüklediyse TLS trafiğini açıp inceleyebilir. "SSL inspection" ya da derin paket incelemesi (deep packet inspection) olarak bilinen bu yöntem, büyük kurumlarda özellikle güvenlik ağ geçitlerinde sıkça uygulanır. Kısacası, şirket bilgisayarını kullanıyorsanız ve bağlantı şirket ağından geçiyorsa, tam anlamıyla gizli bir oturum yürütmek teknik olarak güçtür.

Şirketten bağımsız bir ağ kullansanız bile - örneğin şirket cihazından mobil veriye geçseniz bile - cihaza yüklü yazılımlar etkinliğini korur. MDM ajanı ya da DLP (Data Loss Prevention) aracı, trafik yönü ne olursa olsun cihaz üzerindeki politikalar kapsamında çalışmaya devam eder.

Tarayıcı profili ve oturum senkronizasyonu

Güvenlik açısından en çok göz ardı edilen ayrıntı burasıdır. Chrome, Firefox, Edge gibi tarayıcılarda oturum açıldığında yer işaretleri, parolalar, açık sekmeler ve form verileri senkronize edilir. Şirket bilgisayarında kişisel Google hesabınızla Chrome'a giriş yaparsanız, kişisel tarayıcı profiliniz kurumsal cihaza akar; kurumsal cihazda kaydettiğiniz parolalar ve gezinti geçmişi, kişisel Google hesabınıza yazılır.

Bu senkronizasyon iki yönde çalışır. Ev bilgisayarınızda da aynı Chrome profilini kullanıyorsanız, şirkette ziyaret ettiğiniz siteler eve taşınır. Şirketteki tarayıcıya kaydettiğiniz kişisel parola, BT politikası tarayıcıyı yönetiyorsa o politikanın kapsamına girebilir.

Ayrı bir tarayıcı profili oluşturmak bu riski azaltır, ama ortadan kaldırmaz. Profili yanlışlıkla birleştirmek, kişisel hesapla şirket hesabına aynı anda giriş yapmak ya da aynı tarayıcıda farklı profiller arasında sekme açmak, verilerin tekrar karışmasına zemin hazırlar. Üstelik tarayıcı profilleri, kurumsal politika tarafından dışa aktarılabilir ya da izlenebilir olarak işaretlenebilir; bu da profil ayrımının tek başına yeterli olmadığını gösterir.

En az iz bırakan yaklaşım, şirket cihazında kişisel hesap için yalnızca incognito (özel) pencere kullanmaktır. Özel pencerede oturum çerezleri, gezinti geçmişi ve kaydedilen parolalar pencere kapanınca silinir; tarayıcı senkronizasyonu da çalışmaz. Her iş akışı için uygun olmayabilir, ama gerçekten geçici ve acil bir erişim söz konusuysa bu tercih edilecek yoldur.

Kurumsal e-postayı kurtarma adresi olarak kullanmak

Kurumsal e-posta adresini kişisel hesapların kurtarma adresi olarak kullanmak ya da başlangıçta kişisel hesabı kurumsal adresle oluşturmak, pratikte oldukça yaygın bir hatadır. Anlık pratiklik cazip görünür: zaten açık olan e-posta, doğrulama kodunu hemen alır ve kayıt tamamlanır.

Sorun işten ayrıldığınızda ya da kurumsal hesabınız kapatıldığında başlar. Şirket e-postanız kapanır, kişisel hesabınızın tek kurtarma kanalı da kapanmış olur. Sosyal medya, alışveriş platformu, bankacılık, bulut depolama gibi hizmetlere erişim bu nedenle kalıcı olarak kesilebilir; kurtarma süreci çoğu durumda haftalar sürer, bazen hiç sonuçlanmaz.

Telefon numarasını da aynı çerçevede değerlendirmek gerekir. Şirket tarafından tahsis edilen bir hat kişisel hesap doğrulaması için kullanılıyorsa, o hat şirketle birlikte gider. Daha önce kurumsal adres ya da kurumsal numara kullandığınız tüm platformları şimdi kontrol edin; kurtarma kanalını kişisel e-posta ve kişisel telefon numarasıyla güncelleyin. Aktif hesaplardaki bu güncelleme, ileride ciddi bir kurtarma sürecinin önüne geçer.

Kişisel parola yöneticisini şirket cihazında kullanmak

Parola yöneticisi kullanıyorsanız ve bunu şirket cihazına da kurmayı düşünüyorsanız, birkaç ayrıntı önemlidir. Uygulama yerel bir veritabanı kullanıyorsa - yani şifreli kasa yalnızca cihaz diskinde tutuluyorsa - cihaz iade edildiğinde ya da fabrika sıfırlamasına tabi tutulduğunda o veri gidebilir. Bulut senkronizasyonu açıksa kasa kişisel hesabınıza bağlı kalır, cihaz değişiminde kaybolan olmaz; ancak bu kez şirket cihazındaki uygulamanın kasayı senkronize etmesi, kurumsal DLP politikasıyla çakışabilir.

Şirket yönetimindeki bir cihazda, BT ekibi belirli uygulamaları engelleyebilir ya da kurulum iznini kısıtlayabilir. Parola yöneticiniz bu listede değilse sorun yoktur; ama BT politikasının kapsamını bilmiyorsanız kurulumdan önce sormak, ilerideki sürtüşmeleri önler.

Uygulamayı kuramıyorsanız ya da kurmak istemiyorsanız, tarayıcı uzantısı üzerinden çalışan parola yöneticileri alternatif bir yol sunar. Kişisel tarayıcı profilinde etkin olan uzantı, şirket profiline geçişte devre dışı kalır; profil ayrımını titizlikle koruduğunuz sürece bu yöntem işe yarar.

Bankacılık ve hassas finansal işlemler için şirket cihazı

Kısa yanıt: mümkünse kaçının. Uzun yanıt biraz daha nüanslıdır.

Şirket bilgisayarında bankacılık işlemi yapmanın en büyük riski, kasıtlı bir işveren gözetiminden çok, şirket cihazına sızmış bir kötü amaçlı yazılımdır. Kurumsal cihazlar geniş ağlara bağlıdır; çalışanların farklı kaynaklardan belge aldığı, e-posta eklentisi açtığı ortamlar, kişisel cihazlara kıyasla daha geniş bir saldırı yüzeyi yaratır. Bir keylogger ya da ekran kaydedici, şirket BT ekibinin de haberi olmadan devrede olabilir.

SSL inspection aktifse bu tabloya bir boyut daha eklenir. Bankanın HTTPS bağlantısı cihaza yüklü kurumsal sertifika yetkilisi üzerinden geçiyorsa, banka oturum trafiği prensipte şirket ağ güvenlik altyapısından görünür hale gelir. Çoğu kurumda bu trafik ayrıca işlenmez ya da kaydedilmez; ama teknik olarak olası olduğunu bilmek, hangi işlemi nerede yapacağınız konusundaki tercihi netleştirir.

Bankacılık, kişisel yatırım işlemleri, kimlik belgesi gerektiren hizmetler - bunları kişisel cihazdan ya da mobil uygulamadan yapmak hem pratik hem de daha az veri izi bırakan yoldur. Şirket cihazında bu işlemlere başvurmanız gerekiyorsa, mobil veriyle bağlanmak ve incognito pencere kullanmak en azından kurumsal ağ izleme katmanını devre dışı bırakır; cihaz tabanlı riskleri ise değiştirmez.

Cihazı iade ederken kişisel verileriniz ne olur?

Çalışanlar şirket cihazını iade etmeden önce genellikle şu varsayımla hareket eder: fabrika sıfırlaması her şeyi temizler. Bu, çoğu durumda teknik olarak doğrudur; ancak sıfırlama öncesinde bulut senkronizasyonlarını kapatmadıysanız, kişisel verileriniz başka bir yerde kalmaya devam edebilir.

Tarayıcı senkronizasyonu hâlâ açıksa iade öncesinde şunları yapın: tarayıcıdaki kişisel oturumu kapatın, senkronize edilmiş veriyi bu cihazdan temizleyin ve cihazı oturumdan çıkarın. Bunları yapmadan sıfırlama başlatırsanız, cihaz fiziksel olarak silinir ama tarayıcı hesabındaki senkronize veri Google veya Microsoft sunucularında erişilebilir kalmaya devam eder; ne zaman silineceği platformun politikasına bağlıdır.

İndirilen dosyalar, önbellek, form otomatik tamamlama verileri ve Bluetooth eşleştirme geçmişi de elle temizlenebilecek veriler arasındadır. Şirket cihazına indirdiğiniz kişisel belgeleri iade öncesinde silmek ya da kişisel buluta taşımak, bu veriyi kurumsal arşivin dışında tutmanın en doğrudan yoludur. Sıfırlama sorumluluğu BT ekibindeyse, iade öncesinde kendiniz temizleyebileceklerinizi temizleyin ve BT'nin sıfırlama uygulayıp uygulamayacağını önceden sorun.

Şirket bilgisayarını kişisel hesaplar için tamamen yasak ilan etmek, pratikte çalışmayan bir kuraldır. Herkeste zaman zaman acil bir durum çıkar, hızlıca bir şeye bakılması gerekir. Gerçekçi olan, bu kullanımı bilinçli ve sınırlı tutmaktır: nelerin nereye yazıldığını bilmek, kurtarma kanallarını doğru ayarlamak, cihaz iade ederken temiz bırakmak.

Kişisel ve kurumsal dijital varlıkları birbirinden ayrı tutmak; hem işte kalırken hem de ayrılırken sizi korur. İşte kalırken kişisel verilerinizin istem dışı görünürlüğünü azaltır, ayrılırken ise hesap erişimlerinizi kurumsal altyapıya bağımlı kılmadan sürdürebilmenizi sağlar.

Tek bir pratik ölçüt şu sorudur: bu işlemi şirket cihazında yapsaydım ve sonuçları BT ekibi tarafından incelenseydi, rahat hisseder miydim? Yanıt hayırsa, kişisel cihaza geçmek daha iyi bir seçimdir.