Çalışanlar kendi telefonundan şirket verisine erişebilir mi? BYOD, MDM ve MAM

Çalışanların kendi telefonundan kurumsal e-postaya ve dosyalara erişmesi yasak bir şey değil; Türkiye'deki çoğu KOBİ'de bu zaten yıllardır oluyor, sadece kimse yazıya dökmemiş. Sorulması gereken soru erişilip erişilmeyeceği değil, hangi kontrol altında erişildiği. Bunun iki ayrı teknik cevabı var: cihazın tamamını yönetmek (MDM) ya da yalnızca uygulamayı ve içindeki veriyi yönetmek (MAM). Birincisi çalışanın kendi telefonunda genelde hoş karşılanmayan bir kontrol seviyesi ister, ikincisi eksik kurulduğunda hiç devreye girmez. Doğru kurulum tek bir tercih değil, rol bazında verilen bir karardır.

Yönetilmeyen cihazın neden ayrı bir kategori olduğunu rakamlar anlatıyor. Verizon'un 2025 DBIR raporunda bilgi hırsızı (infostealer) zararlı yazılım kayıtları incelendiğinde, kurumsal oturum bilgisi içeren ele geçirilmiş sistemlerin %46'sının yönetilmeyen cihaz olduğu görüldü: hem kişisel hem iş kimlik bilgilerini aynı yerde tutan makineler. Aynı analizde sistemlerin %30'u kurumsal lisanslı cihaz olarak tanımlanabiliyordu. 2026 DBIR'da ise sosyal mühendislik ihlallerinin %41'i e-posta dışı kanallardan geliyor, bunun yaklaşık dörtte biri sosyal medya veya telefon üzerinden. Telefonun ayrı bir başlık olmasının sebebi basit: çok faktörlü doğrulamanın büyük bölümü zaten o cihazda çalışıyor. Tek bir telefonu ele geçiren saldırgan parolayı ve ikinci adımı aynı anda alır.

Cihaz çalışanın, veri hâlâ sizin

KVKK'nın 12. maddesi veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun teknik ve idari tedbirleri alma yükümlülüğü getirir. Donanımın kime ait olduğu bu yükümlülüğü değiştirmez. Satış temsilcinizin kendi telefonundaki WhatsApp yazışmalarında müşteri listesi duruyorsa, o veriyi işleyen sizsiniz; telefonun faturası çalışanın adına diye sorumluluk el değiştirmiyor. Aynı denge ters yönde de geçerli: cihaz çalışanın olduğu için kişisel tarafını görmeyi ya da yönetmeyi talep edemezsiniz. BYOD tartışmasının teknik kısmı buradan doğuyor, iki tarafın da haklı olduğu bir yerde çizgi çekmek gerekiyor.

Konuya bir çerçeveden bakmak isterseniz NIST'in SP 800-124 Rev. 2 dokümanı (Mayıs 2023, 2013 tarihli Rev. 1'in yerini aldı) kurum sahipli ve kişisel cihazları birlikte ele alıyor ve cihazı devreye almadan imhaya kadar tüm yaşam döngüsünü kapsıyor. Dokümanın en işe yarar tarafı kontrol listesi değil, sorulan sıra: hangi veriye mobilden erişilmesi gerekiyor, hangi tehdide karşı, hangi kontrolle. Çoğu şirket bu sıranın sonundan başlıyor ve bir MDM ürünü satın alarak işe koyuluyor.

MDM cihazı yönetir, MAM veriyi

Aradaki fark tek cümleyle şu: MDM cihazı kaydeder ve cihaz seviyesinde politika uygular, MAM ise cihazı hiç kaydetmeden yalnızca kurumsal uygulamanın içindeki veriyi kontrol eder. Kişisel cihazlarda ikincisi çoğu zaman doğru başlangıç noktası.

Microsoft tarafında bunun karşılığı Intune uygulama koruma politikaları. Cihaz kaydı olmadan şunları zorlayabiliyorlar: kurumsal veriye erişmek için uygulama PIN'i veya biyometrik doğrulama, yalnızca "kurumsal" işaretli verinin şifrelenmesi, kes-kopyala-yapıştır ile veri taşımanın kısıtlanması, verinin kişisel depolama alanına ya da kişisel bulut hesabına kaydedilmesinin engellenmesi, Play Integrity kontrolüyle root'lanmış veya jailbreak yapılmış cihazlarda uygulamanın çalışmaması ve gerektiğinde uygulamanın içindeki şirket verisinin uygulamayı silmeden temizlenmesi. Microsoft bu ayarları üç seviyeye ayırmış bir veri koruma çerçevesiyle sunuyor; birinci seviye PIN, şifreleme ve seçmeli silmeyle sınırlı, ikinci seviye veri sızıntısı kontrollerini ve asgari işletim sistemi sürümünü ekliyor, üçüncü seviye yüksek riskli veriye erişen kullanıcılar için.

Sınırlarını da baştan bilmek gerekiyor. Uygulama koruma politikaları yalnızca Intune App SDK ile üretilmiş uygulamalarda çalışıyor: Outlook, Teams, Word, Excel, Edge, OneDrive ve benzerleri. Kayıtlı olmayan cihaza uygulama dağıtamıyor, sertifika profili basmıyor, kurumsal Wi-Fi ve VPN ayarı gönderemiyor. Android'de politikanın cihaza ulaşması için Şirket Portalı uygulamasının kurulu olması gerekiyor. Politika uygulanacak her kullanıcının Intune Plan 1 lisansı olması şart, bu lisans Business Premium ve E3/E5 paketlerinin içinde geliyor. Google Workspace tarafında yürüyorsanız temel yönetim ekran kilidi ve kurumsal hesabın uzaktan kaldırılmasıyla sınırlı; politika kontrolü ve cihazın tamamını silme yetkisi gelişmiş yönetimde açılıyor ve gelişmiş yönetim Business Starter ile Business Standard paketlerinde yok.

Politikayı yazmak yetmiyor, yolu kapatmak gerekiyor

En sık atlanan nokta bu. Uygulama koruma politikası tanımlamak, korumasız yolu kendiliğinden kapatmıyor. Kullanıcı aynı hesapla mobil Safari'den ya da telefonun kendi mail uygulamasından oturum açabiliyorsa, kurduğunuz bütün kısıtlamalar devre dışı kalır. Yolu kapatan şey koşullu erişim politikasıdır: iOS ve Android platformlarında kurumsal kaynaklara yalnızca uygulama koruma politikası uygulanan istemcilerden erişilmesini şart koşarsınız.

Bu tarafta yakın zamanda bir değişiklik oldu, eski yapılandırmayla çalışan şirketleri etkiliyor. Microsoft Entra koşullu erişimdeki "Onaylı istemci uygulaması gerektir" denetimi 30 Haziran 2026 itibarıyla salt okunur duruma geçti. Bu denetimi kullanan mevcut politikalar etkin kaldıkları sürece son kullanıcıda uygulanmaya devam ediyor, ancak yönetici artık o politikaları düzenleyemiyor ya da aynı denetimle yeni politika oluşturamıyor. Yeni politikalarda kullanılması gereken denetim "Uygulama koruma politikası gerektir". Geçişi yaparken bir uyarıyı da hesaba katın: bir uygulama bu denetimi desteklemiyorsa, o uygulamadan kaynaklara erişmeye çalışan kullanıcı engellenir. Bu yüzden değişikliği önce salt rapor modunda açıp kimin etkilendiğine bakmak, cuma akşamı gelen destek çağrılarından ucuza geliyor.

İşletim sisteminin ücretsiz verdiği ayrım

Android ve iOS, kişisel cihazlarda iş ile özel arasındaki sınırı işletim sistemi seviyesinde çiziyor ve bu, satın alacağınız ürüne bağlı değil.

Android Enterprise'ın iş profili, iş uygulamalarını ve verisini cihaz içinde ayrı bir alanda tutuyor. Kurum iş profilindeki uygulamaları, veriyi ve ayarları tam olarak yönetiyor, kişisel profile ise hiç görüş sahibi olmuyor. İş profili kaldırıldığında yalnızca iş tarafındaki veri silinir, kişisel taraf yerinde kalır. Android 15 ile gelen Özel Alan (Private Space) bu ayrımı diğer yönde de güçlendirdi: kullanıcı kişisel profilinin içinde ek kimlik doğrulama arkasında ayrı bir alan oluşturabiliyor. Bu özellik tam yönetilen cihazlarda mevcut değil, şirket sahipli cihazlarda politikayla kapatılabiliyor.

Apple tarafında karşılığı hesap tabanlı kullanıcı kaydı. Kurumsal veri cihazda ayrı bir yönetilen APFS birimine yazılıyor ve yönetici yalnızca o birimdeki uygulamaları, sertifikaları ve politikaları görebiliyor. UDID, IMEI ve MAC adresi gibi cihaz kimliklerine erişemiyor, yönetilen birimin dışındaki uygulamaları yönetemiyor, cihazın tamamını silemiyor ve bu kayıt tipinde gözetimli (supervised) mod açılamıyor. Yönetilen şey kurumun hesapları ve ayarları, kullanıcının kişisel hesabı değil.

"Gerekirse telefonu sileriz" cümlesi programı öldürüyor

BYOD politikalarının çalışan tarafında en çok direnç gördüğü yer uzaktan silme. Haklı bir direnç, çünkü iki farklı işlem aynı isimle anlatılıyor. Tam silme cihazı fabrika ayarlarına döndürür, yani çocuk fotoğrafları da gider. Seçmeli silme yalnızca kurumsal uygulamanın içindeki şirket verisini temizler, uygulamayı bile kaldırmaz. Kişisel cihazlarda varsayılan ikincisi olmalı; tam silme şirketin satın aldığı cihazlara ait bir yetki.

Politikaya bunu teknik terimle değil, çalışanın okuyup anlayacağı bir cümleyle yazın: BT'nin ne göreceği, ne göremeyeceği, hangi durumda ne silineceği. Anlamadan imzalanan politika, ihtiyaç duyduğunuz gün uygulanamayan politikadır.

Çoğu BYOD kaybı saldırıyla değil, istifayla oluyor

Yaşanan olayların büyük bölümü sofistike bir saldırı değil, düzensiz bir çıkış süreci. Ayrılan çalışanın telefonunda müşteri yazışmaları, indirilmiş fiyat listesi, kişisel buluta senkronlanmış bir Excel kalıyor ve kimse bakmıyor. Çıkış kontrol listesi kısa olmalı: parolayı sıfırlamakla yetinmeyip oturum belirteçlerini (token) iptal edin, kurumsal uygulamalarda seçmeli silmeyi tetikleyin, kullanıcıyı erişim gruplarından çıkarın, kurumsal hesabı cihazdan kaldırın. Bir şeyi de kabul edin: ekran görüntüsü alınarak ya da kişisel bir adrese gönderilerek çıkmış veri hiçbir uzaktan silme komutuyla geri gelmiyor. Bu yüzden çıkış anındaki temizlik değil, günlük hayatta uygulanan veri taşıma kısıtları asıl korumayı sağlıyor.

Tam MDM programı kurmayacak şirket için asgari set

Altı madde, sırayla. Ekran kilidi ve biyometrik doğrulama zorunlu. Asgari işletim sistemi sürümü tanımlı ve kurumsal uygulama açılırken kontrol ediliyor, çünkü yama yönetimi mobilde de aynı işi görüyor. Şirket verisi yalnızca yönetilen uygulamaların içinde duruyor, kişisel buluta ve galeriye kayıt kapalı. Kimlik doğrulama passkey ya da mümkün olan yerde oltalamaya dayanıklı bir ikinci adımla yapılıyor. Root'lanmış veya jailbreak yapılmış cihazlarda kurumsal uygulama açılmıyor. Ve bütün bunları anlatan, çalışanın imzaladığı bir sayfalık politika var.

Bu setin çözmediği bir şeyi de söylemek gerekiyor. MAM uygulamanın içindeki veriyi korur, cihazı korumaz. Telefonda uç nokta görünürlüğü yoksa, bir olayda o cihazda ne olduğunu geriye dönük anlatacak kaydınız da yok. Rol yüksek riskliyse (ödeme onayı veren finans kullanıcısı, üretim ortamına yönetici erişimi olan sistem yöneticisi) şirket sahipli cihaz vermek en ucuz seçenek olmaya devam ediyor. Kişisel cihazlarda ne yapıp ne yapamayacağınızı bilmek, aynı zamanda olay müdahale planınızın mobil tarafını gerçekçi yazmanızı sağlıyor. Bunun yanında çalışanların iş verisini kendi hesaplarındaki araçlara taşıması, gölge yapay zeka örneğinde olduğu gibi, aynı sorunun başka bir görünümü.

Başlamak için ürün seçmek gerekmiyor. Bir tabloyla başlayın: hangi rol mobilden hangi veriye erişiyor, bu erişim gerçekten gerekli mi, ve o rol için cihazı mı veriyi mi yönetmek istiyorsunuz. Wedevit olarak bu tabloyu birlikte çıkarıyor, rol bazında MDM ile MAM arasında karar veriyor, politikayı çalışanın imzalayabileceği bir dille yazıyor ve koşullu erişim tarafını kimseyi kapıda bırakmadan önce salt rapor modunda test ediyoruz. Erişim yetkilerini bütün olarak gözden geçirmek istiyorsanız, konunun devamı sıfır güven mimarisinde.