Şirket telefonu ve bilgisayarı izlenir mi? Çalışan ve işveren açısından

Kurumsal cihaz yönetimi nedir?

Şirketler telefon, tablet ve bilgisayarlarını genellikle mobil cihaz yönetimi (MDM) ya da uç nokta yönetimi yazılımlarıyla yönetir. Bu yazılımların temel amacı güvenliktir: şifre kuralı koymak, güncellemeleri zorunlu kılmak, kurumsal uygulamaları dağıtmak ve cihaz kaybolduğunda kurumsal verileri silebilmek.

Yönetim yazılımının neleri görebileceği, nasıl yapılandırıldığına ve cihazın şirket mülkü mü yoksa kişisel cihaz mı olduğuna göre değişir. Genel olarak:

• Cihaz modeli, işletim sistemi sürümü, yüklü kurumsal uygulamalar ve güvenlik ayarları genellikle görülebilir.
• Şirket e-postası, kurumsal bulut dosyaları ve şirket ağı üzerinden geçen trafik kurumun sistemlerinde kayıt altında olabilir.
• Tamamen şirkete ait ve tam yönetimli cihazlarda konum ve daha geniş cihaz bilgisi toplanabilir.
• Kişisel cihazlarda kullanılan iş profili ya da kapsayıcı yapılarda, şirket genellikle yalnızca iş bölümünü yönetir.
• Bilgisayarlarda ek olarak etkinlik izleme, ekran görüntüsü ya da veri sızıntısı önleme yazılımları kurulmuş olabilir.

iPhone’da yönetim profillerinin nasıl göründüğünü iPhone yapılandırma profili ve MDM rehberimizde ayrıntılı anlattık.

Bilinmesi gereken önemli bir nokta da şudur: Kurumsal yönetim yazılımları, uçtan uca şifreli mesajlaşma uygulamalarındaki kişisel yazışmaları genellikle doğrudan okuyamaz. Ancak şirket ağı üzerinden hangi hizmetlere bağlanıldığı, şirket cihazına yüklenmiş ek izleme araçları ya da ekran görüntüsü alan yazılımlar farklı bir tablo ortaya çıkarabilir. Bu nedenle “hangi yazılım kurulu ve nasıl yapılandırılmış?” sorusu, genellemelerden daha belirleyicidir.

Çalışan açısından: neyi kontrol edebilirsiniz?

• Yönetim bilgisi: Telefonda ayarlar menüsündeki “cihaz yönetimi”, “profiller” ya da “iş profili” bölümleri cihazı hangi kuruluşun yönettiğini gösterir.
• Şirket politikası: İşe girişte imzaladığınız belgeler, bilgi güvenliği politikası ya da kişisel veri aydınlatma metni hangi verilerin işlendiğini anlatmalıdır. Bunları insan kaynakları ya da bilgi işlem biriminden isteyebilirsiniz.
• Kişisel cihaz: Kendi telefonunuza iş hesabı eklerken hangi yetkilerin istendiğini okuyun; tam cihaz yönetimi isteniyorsa bunun gerekçesini sorun.
• Ayrım: Özel yazışma, bankacılık ve sağlık gibi kişisel işlemleri şirket cihazından yapmayın.

Dikkat edilmesi gereken asıl durum, kurumsal yönetimle açıklanamayan izlemedir: Kişisel telefonunuza sizden habersiz kurulmuş bir uygulama, kurum adı taşımayan bir yönetim profili ya da iş dışı hesaplarınıza erişim. Bu belirtiler meşru kurumsal yönetimle değil, casus yazılımla ilgili olabilir; ayrıntı için telefon casus yazılım belirtileri rehberimize bakın.

İşveren açısından: hangi ilkeler gözetilmeli?

Türkiye’de çalışanlara ait kişisel verilerin işlenmesi Kişisel Verilerin Korunması Kanunu (KVKK) çerçevesinde değerlendirilir. Bu çerçevede genel olarak öne çıkan ilkeler şunlardır:

• Aydınlatma ve şeffaflık: Çalışanlar hangi verilerin, hangi amaçla ve ne kadar süreyle işlendiği konusunda bilgilendirilmelidir.
• Amaçla sınırlılık ve ölçülülük: İzleme, belirli ve meşru bir amaca (bilgi güvenliği, veri sızıntısının önlenmesi gibi) hizmet etmeli ve bu amaç için gerekenle sınırlı tutulmalıdır.
• İş ve özel alanın ayrımı: Kişisel cihazlarda iş profili gibi ayrıştırılmış çözümler, özel alana müdahaleyi azaltır.
• Erişim ve saklama: Toplanan kayıtlara kimin, hangi koşulda erişeceği ve ne kadar saklanacağı tanımlanmalıdır.

Bu ilkelerin somut uygulaması şirketin yapısına, sektörüne ve cihazın mülkiyetine göre değişir. Kesin değerlendirme için şirketinizin hukuk danışmanıyla ya da bir avukatla çalışmanızı öneririz. Gizli ve bildirimsiz izlemenin, özellikle kişisel cihazlarda ve özel yazışmalarda, ciddi hukuki sorunlara yol açabileceğini de unutmayın; genel çerçeve için casus yazılımın hukuki boyutu yazımıza bakabilirsiniz.

İşten ayrılırken ve cihaz iadesinde

Kurumsal cihaz konusu iş ilişkisi sona erdiğinde de önem taşır. Çalışan açısından, şirket telefonunu ya da bilgisayarını iade etmeden önce kişisel hesaplardan (kişisel e-posta, bulut, mesajlaşma, sosyal medya) çıkış yapmak ve bu hesapların bağlı cihaz listelerinden şirket cihazını kaldırmak gerekir. Kişisel cihazına iş profili kurulmuş bir çalışan, ayrılırken iş profilinin kaldırıldığını ve cihazda kurumsal yönetim kalmadığını kontrol etmelidir.

İşveren açısından ise iade edilen cihazların kurumsal verilerden güvenli biçimde temizlenmesi, yeniden dağıtılmadan önce sıfırlanması ve eski çalışanın kurumsal hesaplara erişiminin kapatılması gerekir. Cihazda önceki kullanıcının kişisel verileri kalmışsa bunların nasıl ele alınacağı da önceden tanımlanmış olmalıdır. Hem çalışan hem işveren için ortak ilke aynıdır: kimin neye, ne zamana kadar erişebileceği açık ve yazılı olmalıdır.

Şirket cihazlarında dışarıdan gelen tehdit

Konunun bir de diğer yüzü var: Şirket cihazları yalnızca işveren tarafından değil, rakipler ya da kötü niyetli üçüncü kişiler tarafından da hedef alınabilir. Özellikle yönetici ve kritik pozisyondaki çalışanların cihazları casus yazılım için cazip hedeflerdir. Kurumsal casus yazılım taraması hizmetimizde şirket telefonları, bilgisayarları ve ofis ağı, kurumun bilgisi ve onayıyla incelenir. Üst düzey yöneticiler için ek önlemleri yönetici cihaz güvenliği rehberimizde bulabilirsiniz.