Uzaktan Çalışırken Şirket Hesapları Nasıl Korunur?

Uzaktan çalışmak, iş-yaşam dengesini değiştirdiği kadar güvenlik sorumluluklarını da dönüştürüyor. Ofis ortamında şirketin BT ekibi ağı, cihazları ve erişim noktalarını yönetir; evde çalışırken bu sorumlulukların büyük bölümü, farkında olsun ya da olmasın, çalışanın kendisine geçiyor. Şirketin iç sistemleri, bulut uygulamaları ve kurumsal e-posta hesabı; ev ağından, kişisel cihazlardan ve yüklü olan onlarca uygulamadan geçerek erişiliyor.

Güvenlik açığı çoğu zaman kötü niyetten değil, alışkanlıktan kaynaklanıyor. Aynı tarayıcıya kayıtlı kişisel ve iş şifreleri, hiç kapatılmayan oturumlar, herkese açık ev Wi-Fi; bunlar bir araya gelince şirket verisine yetkisiz kapı açıyor. Ev modeminin varsayılan şifresi, ofis duvarının yerini tutmaz.

Ev ağı şirket ağından farklı davranır

Şirket ofisindeki ağ genellikle güvenlik duvarları, ağ izleme araçları ve erişim politikalarıyla çevrilidir. Ev ağında bu katmanların hiçbiri yoktur; modem üreticisinin varsayılan ayarları, çoğu zaman güncellenmemiş yönlendirici yazılımı ve ağa bağlı onlarca kişisel cihaz bu ortamı oluşturur. Akıllı televizyonlar, ses asistanları ve kapı zilleri de aynı ağdadır; bunların güvenlik açıkları, ağdaki diğer cihazları etkileyebilir.

Ev ağı güvenliğini artırmak için yapılabilecekler:

Bunların tamamını aynı anda yapmak zorunda değilsiniz. Yönlendirici şifresini değiştirmek ve misafir ağı oluşturmak, en az zahmetle en çok riski kapatan iki başlangıç adımıdır; ağda hangi cihazların bağlı olduğunu görmek ise zaman zaman sürpriz sonuçlar verebiliyor.

VPN bağlantısı ne korur, neyi korumaz?

VPN (Sanal Özel Ağ), internet trafiğini şifreler ve şirket ağına güvenli bir tünel açar. Ev ağında üretilen trafiğin dışarıdan okunmasını zorlaştırır, çalıştığınız IP adresini maskeler ve şirketin iç sistemlerine sanki ofisten bağlanıyormuşsunuz gibi erişmenizi sağlar. Şirket VPN politikası bu bağlantıyı zorunlu kılıyorsa, iç sistemlere VPN olmadan erişmemek temel bir kural olmalıdır.

Ancak VPN'in sınırlarını bilmek, onu doğru yerde konumlandırmanın önkoşuludur. VPN bağlantısı aşağıdakileri yapmaz:

VPN açıkken tarayıcıya kayıtlı zayıf bir şifre hâlâ zayıf şifredir. Şirket VPN'i iş saatlerinde ve özellikle iç sistemlere erişilirken zorunlu tutulmalı; ama tek başına yeterli olduğu sanılmamalıdır. VPN kullanımının şifre güvenliğini nasıl etkilediği, bu sınırları daha ayrıntılı biçimde ele alıyor.

Kişisel ve iş cihazını ayırmak: kural değil, önlem

Kişisel cihazda şirket hesabına giriş yapmak çoğu şirkette teknik olarak mümkün, ama güvenlik açısından riskli. Cihaz ayrımı yalnızca şirket politikasının dayattığı bürokratik bir kural değildir; kişisel alışkanlıklarla kurumsal verilerin kesişim noktasındaki riski azaltan yapısal bir karardır.

Risk kişisel cihazda şu biçimlerde ortaya çıkabilir:

Şirket politikası kişisel cihaz kullanımına izin veriyorsa, en azından tarayıcı profillerini ayırmak ilk adımdır. Şirket hesaplarına özel bir tarayıcı profili oluşturmak, karma kullanımın en kolay azaltıldığı noktadır; bu profil kişisel profilden bağımsız çalışır ve şifre ile çerez depolama ayrı tutulur. Tarayıcıya kaydedilen şifrelerin güvenliği, senkronizasyon davranışı nedeniyle düşünüldüğünden daha karmaşık bir tablo sunuyor.

Şirket tarafından sağlanan cihaz varsa, bu cihazı yalnızca iş amaçlı kullanmak temel bir önlemdir. Kişisel uygulama indirmek, kişisel sosyal medya hesaplarına bu cihazdan giriş yapmak veya kişisel bulut depolama servislerine senkronizasyon açmak; BT ekibinin kontrol edemediği yüzeyler oluşturur.

Kurumsal hesaplarda şifre yönetimi

Kurumsal hesaplar için şifre yönetimi, kişisel hesaplardan farklı bir boyut taşır. Şirket e-postası, VPN girişi, proje yönetim araçları, dahili intranet ve müşteri verisi içeren CRM sistemleri; her biri ayrı bir hesap ve ayrı bir şifre gerektiriyor. Bu hesapları tek bir şifre veya birbirine yakın varyasyonlarla korumak, bir hesabın ele geçirilmesini zincirleme bir domino etkisine dönüştürüyor.

Uzun ve benzersiz şifre üretmek için kurumsal parola yöneticisi kullanmak, hem yükü hem riski aynı anda azaltıyor. Parola yöneticisi her hesap için bağımsız, yüksek entropili bir şifre saklıyor; sizi hatırlamaktan kurtarıyor ve otomatik doldurma sayesinde kimlik avı sitelerine şifre girme riskini azaltıyor. Şirket kendi kurumsal parola yöneticisini sağlamıyorsa, kişisel bir parola yöneticisiyle iş şifrelerini ayrı bir kasada (vault) tutmak en az karışıklığı sağlayan düzenlemedir.

Şifre gücü açısından tek bir kural yeterli: her kurumsal hesap için 16 karakterin üzerinde, rastgele üretilmiş, o hesaba özgü bir şifre. Aynı şifreyi iki farklı iş uygulamasında kullanmak, birindeki bir veri ihlalini anında diğerine taşıyan mekanizmadır. Aylık hesap güvenlik kontrolü, hangi hesapların şifresini ne sıklıkla gözden geçirmek gerektiğini adım adım gösteriyor.

İki aşamalı doğrulama kurumsal hesaplarda nasıl uygulanmalı?

İki aşamalı doğrulama (2FA), şifre ele geçirilse bile hesaba erişimi engelleyen ikinci bir katman oluşturur. Uzaktan çalışma ortamında bu katman özellikle önem kazanıyor; şifreniz güçlü bile olsa, oltalama saldırısına düşülmesi veya cihaz kaybolması gibi senaryolarda 2FA o anki hasarı sınırlıyor.

Kurumsal hesaplarda 2FA yöntemi seçenekleri genellikle şirket politikasıyla belirlenir. Ama seçim elinizde ise SMS tabanlı doğrulama yerine kimlik doğrulama uygulaması (authenticator app) tercih edilmeli. SMS doğrulama, SIM kopyalama (SIM swap) saldırısına karşı savunmasızdır; kimlik doğrulama uygulaması bu saldırı yüzeyini kapatır. Şirket FIDO2 tabanlı bir doğrulama altyapısına geçmişse, FIDO2'nin nasıl çalıştığı ve neden SMS'ten daha güvenli olduğu bu altyapıyı anlamak için iyi bir başlangıç noktası.

Pratik bir sorun var. Kurumsal hesap için kullandığınız kimlik doğrulama uygulaması kişisel telefonunuzdaysa ve telefon çalınırsa, şirket hesaplarına erişim anında risk altına girer. Bu senaryoya karşı şirket hesabının yedek kurtarma kodlarını güvenli bir yerde saklayın; kağıda yazdırıp güvenli bir çekmeceye koymak veya şifreli bir belgeye eklemek, yedek kod stratejisinin en basit biçimleridir.

Açık kalan oturumlar: görünmez risk

Uzaktan çalışırken en sık atlanan konulardan biri oturum yönetimi. Sabah bilgisayar başına oturmak için giriş yapılıyor, akşam kapanıyor ama oturum kapatılmıyor. Ertesi gün şirket e-postası tarayıcıda açık kalıyor; o arada ev ağına bağlanan başka bir cihaz varsa, aktif oturum farklı bir erişim yüzeyi oluşturuyor.

Oturum yönetimi için alışkanlık kazanılması gereken üç nokta var:

Cihaz kaybolduğunda veya çalındığında uzak oturum kapatma kritik önem taşıyor. Telefon çalındığında hangi hesapların önce korunacağı sorusu, uzaktan çalışanlar için ev cihazı kaybolduğunda da geçerli bir çerçeve sunuyor.

Şirket verilerini iletirken dikkat edilecekler

Uzaktan çalışırken hassas şirket bilgilerinin nasıl iletildiği, sıklıkla üzerinde düşünülmeyen bir alan. Müşteri bilgilerini veya dahili belgeleri kişisel e-posta adresi üzerinden göndermek, iş arkadaşıyla WhatsApp ya da kişisel mesajlaşma uygulaması üzerinden dosya paylaşmak; verinin şirketin kontrol etmediği bir ortama geçmesi anlamına geliyor.

Şirket iletişim araçlarını kullanmak bu nedenle bir formalite değil, veri koruma mekanizmasının parçasıdır. Kurumsal e-posta, onaylanmış dosya paylaşım platformları ve şirketin belirlediği mesajlaşma kanalları bu amaçla tasarlanmış; şirket politikasının dışına çıkan her paylaşım, hem kişisel hem kurumsal bir risk yaratıyor.

Şifre veya erişim bilgisi paylaşmak zorunluysa, bunu güvenli kanallar üzerinden yapmak gerekiyor. Şifre paylaşımının nasıl yapılacağı konusu, bu kararı yönetmenin somut yollarını ele alıyor.

Fiziksel güvenlik: ekran ve kilitli bilgisayar

Siber güvenlik tartışmaları çoğunlukla dijital tehditlere odaklanır, ama uzaktan çalışmanın fiziksel boyutu da gözardı edilmemeli. Kafede çalışırken ekranı görebilecek konumda oturan biri (omuz sörfçülüğü olarak da bilinen bu teknik), kurumsal verilere göz atabilir. Yüksek sesle yapılan video görüşmeleri, yakın çevredeki kişilerin iç bilgileri duymasına yol açabilir.

Kilitli olmayan bilgisayar, kısa bir süre için odadan çıkıldığında bile bir risk noktası oluşturur. Ekran kilidi kısayolu öğrenmek ve bunu alışkanlık haline getirmek, çok küçük bir bedelle ciddi bir riski kapatıyor. Çoğu işletim sisteminde bu kısayol saniyeler içinde yapılandırılabilir ve otomatik kilitleme süresi beş dakika olarak ayarlanabilir. Ofiste BT ekibi bu ayarı merkezi olarak yapılandırırdı; evde bu sorumluluk kişiye ait.

Halka açık alanlarda çalışılıyorsa, ekran için mahremiyet filtresi (privacy screen) kullanmak fiziksel gözetlemeye karşı etkili bir önlem. Bu filtreleri kullanmak şart değil; ama müşteri verileri veya mali bilgilerle çalışılan ortamlarda yatırımı karşılayan bir araç.

Uzaktan çalışmanın getirdiği güvenlik yükü başlangıçta ağır görünebilir. Ancak çoğu önlem, bir kez alışkanlık haline gelince neredeyse sıfır ek zaman gerektiriyor. Yönlendirici şifresini değiştirmek, kurumsal hesaplara özel bir tarayıcı profili oluşturmak veya gün sonu oturumu kapatmak bunların tamamı birkaç dakikalık işlem; ama hesabın ele geçirilmesiyle başlayacak sürecin yükü bunlarla kıyaslanamaz.

Şirketin BT veya güvenlik politikası varsa, bu listeye ek olarak o politikayı referans almak önemli. Politika sizi aşıyorsa rehber olarak kullanılabilir; sizi yetersiz bırakıyorsa bu listedeki adımlar boşluğu kapatmak için iyi bir başlangıç noktası. Dijital kimlik hijyeni kavramı, bu bireysel önlemleri daha geniş bir çerçevede ele alıyor ve sistematik bir yaklaşım için temel oluşturuyor.