BYOD Ağı Tasarlamak

Kişisel cihazların kurumsal ağa alınması bir izin meselesi gibi görünür ve bir mimari kararıdır.

Farkı belirleyen tek gerçek şudur: cihaz kurumun denetiminde değildir. Yaması bilinmez, üzerinde ne çalıştığı bilinmez ve kaybolduğunda kurumun müdahale yetkisi sınırlıdır.

Tasarım bu gerçeği kabul ederek başlar.

Adım 1. Kapsamı Tanımlayın

BYOD tek bir şey değildir. Netleştirilecekler:

Hangi cihaz sınıfları? Telefon ve tablet ile kişisel dizüstü bilgisayar farklı risk taşır. İkincisi genellikle daha geniş erişim ister ve daha çok veri saklar.

Hangi kullanıcılar? Bütün personel mi, belirli gruplar mı?

Hangi kaynaklar? Yalnız posta ve takvim mi, yoksa iç uygulamalar da mı?

Bu üç soru cevaplanmadan yazılan bir politika, uygulamada her istisnayı kabul eder.

Adım 2. Ayrı Bölüm Kurun

BYOD cihazları kurumsal cihazlarla aynı ağ bölümüne konmaz.

Ayrı bir bölüm, misafir ağıyla aynı mantıkla kurulur ama daha fazlasına izin verir. Misafir yalnız internete çıkar; BYOD kullanıcısı belirli kurumsal kaynaklara da ulaşır.

Bölüm içinde istemci ayrımı açılır. Aynı bölümdeki kişisel cihazların birbirini görmesi için bir sebep yoktur.

Adım 3. Kimliği Çözün

İki kimlik ayrı ele alınır ve bu, tasarımın merkezidir.

Kullanıcı kimliği doğrulanır. Çok adımlı doğrulama burada isteğe bağlı değildir; cihaz güvenilir olmadığı için kimlik katmanı tek dayanaktır.

Cihaz kimliği ayrı bir bilgidir. Cihaz kuruma kayıtlı değildir; kayıtlı olmadığı bilgisi de bir girdidir.

Bazı kurumlar BYOD cihazlarına da bir kayıt profili yükletir ve sınırlı bir yönetim kurar. Bu, erişimi genişletmeyi mümkün kılar; karşılığında kullanıcının kişisel cihazına kurum yazılımı girmesidir ve gönüllülük esasına dayanmalıdır.

Ayrımın gerekçesi cihaz ve kullanıcı kimliğinin ayrı tutulması yazısındadır.

Adım 4. Erişimi Daraltın

En önemli tasarım kararı budur.

Klasik yaklaşım cihazı ağa alır ve ağ erişimi verir. Bu, kişisel bir cihazı kurumsal ağın üyesi yapar ve yanal hareket için bir başlangıç noktası üretir.

Daha sağlam yaklaşım, ağ erişimi yerine uygulama erişimi vermektir. Kullanıcı bir vekil ya da uygulama ağ geçidi üzerinden yalnız yetkili olduğu uygulamalara ulaşır; ağın geri kalanını hiç görmez.

Bu, Zero Trust modelinin en somut uygulamalarından biridir ve BYOD, uygulanması en kolay alandır çünkü beklentiler baştan düşüktür.

Adım 5. Veriyi Cihazda Tutmayın

Erişim verilse bile verinin cihazda kalması ayrı bir risktir. Cihaz kaybolduğunda ya da satıldığında kurum verisi onunla gider.

Uygulanabilecekler:

• Tarayıcı üzerinden erişimde dosya indirmenin kapatılması.
• Kurumsal uygulamalarda kopyala-yapıştır kısıtı.
• Yerel önbelleğe alma yerine çevrimiçi erişim.
• Kurumsal veri için ayrı bir kapsayıcı kullanılması.

Bu kontrollerin çoğu ağ katmanında değil, uygulama ve uç nokta katmanında uygulanır. Ağ ekibi tek başına çözemez ve bu, projenin baştan birden çok birimi kapsaması gerektiği anlamına gelir.

Adım 6. Kaydı ve Çıkışı Planlayın

Kayıt. Hangi kullanıcının hangi cihazdan hangi kaynağa eriştiği kaydedilir. Erişim sağlayıcı konumundaysanız mevzuat gereği tutulması gereken kayıtlar ayrıca değerlendirilir.

Çıkış. İki senaryo yazılı olmalıdır. Personel ayrıldığında erişimi nasıl kesilecek? Cihaz kaybolduğunda ne yapılacak?

İkinci senaryo BYOD’a özgü bir zorluk taşır. Kurumun kişisel bir cihazı uzaktan silme yetkisi, ancak kullanıcının önceden onayıyla ve yalnız kurumsal kapsayıcıyla sınırlı olabilir.

Bu yetkinin sınırları, cihaz ağa alınmadan önce yazılı olarak kabul edilmelidir.

Gölge Kullanımı Azaltan Yan Etki

İyi kurulmuş bir BYOD düzeni, gölge BT kullanımını da azaltır.

Çalışan kurumsal veriye kendi cihazından güvenli bir yolla ulaşabiliyorsa, kişisel bulut hesabına dosya kopyalama ihtiyacı ortadan kalkar.

Erişimin kapatıldığı ortamlarda ise ters yönde bir baskı oluşur ve kurumsal veri, bilgi işlemin hiç göremediği yollardan aynı cihazlara yine de ulaşır. Baskı yön değiştirir, kaybolmaz.