Kurumsal DLP yazılımları ile USB port kilitleme ve veri sızıntısı önleme: CAD çizimi, müşteri verisi ve ticari sırları koruma stratejileri rehberi. İnceleyin.
Hızlı Özet (TL;DR)
Bir işletmenin en değerli varlıkları; yıllarca süren Ar-Ge yatırımlarıyla tasarlanan 3D CAD/CAM çizimleri, kalıp tasarımları, üretim reçeteleri, maliyet tabloları ve müşteri portföyüdür. Bu kritik verilerin çalınması için dışarıdan gelen karmaşık siber korsanlara gerek yoktur; işten ayrılmak üzere olan bir çalışanın, rakip firmaya transfer olan bir mühendisin veya taşeron bir personelin bilgisayara takacağı küçük bir USB bellek, şirketin tüm ticari sırlarını saniyeler içinde dışarı kaçırmaya yeterlidir. DLP (Data Loss Prevention - Veri Sızıntısı Önleme) sistemleri, fiziksel portları akıllı politikalarla kilitleyerek ve veri hareketlerini içerik düzeyinde denetleyerek bu sızıntıyı kaynağında engeller.
İçeriden Gelen Tehdit (Insider Threat): Neden Güvenlik Duvarı Tek Başına Yetmez?
Kurumsal siber güvenlik yatırımlarında bütçenin büyük kısmı dışarıdan gelecek saldırıları durdurmak için güvenlik duvarı ve antivirüs sistemlerine ayrılır. Oysa küresel veri ihlali raporlarına göre, sanayi ve teknoloji şirketlerindeki fikri mülkiyet (Intellectual Property) hırsızlıklarının %60’ından fazlası içerideki yetkili kullanıcılar (Insider Threat) tarafından gerçekleştirilmektedir.
Bir Ar-Ge mühendisi veya satış yöneticisi, görevi gereği zaten ortak dosya sunucusu ve yedekleme sistemindeki gizli klasörlere erişim yetkisine sahiptir. Bu personel istifa etmeden önceki son haftasında 10 yıllık teknik resim arşivini (SolidWorks, Catia, AutoCAD dosyalarını) veya tüm müşteri fiyat teklif listesini cebindeki 128 GB’lık bir taşınabilir diske kopyaladığında, ne güvenlik duvarı ne de standart antivirüs bunu bir “saldırı” olarak görür. Çünkü işlemi yapan kişi yetkili kullanıcıdır ve veri ağ üzerinden değil, doğrudan bilgisayarın USB portundan dışarı çıkmaktadır.
Basit Windows GPO / BIOS Kısıtlaması ile Kurumsal DLP Arasındaki Fark
Birçok işletmede BT departmanları USB portlarını bilgisayarın BIOS ekranından kapatmaya veya Windows Group Policy (GPO) üzerinden tamamen devre dışı bırakmaya çalışır. Ancak bu ilkel yöntem sahada iki büyük soruna yol açar:
- Operasyonel Kilitlenme veya Kolay Aşılma: BIOS veya standart GPO ile USB kapatıldığında ya klavye, fare, barkod okuyucu, e-imza/mali mühür token’ları da çalışmaz hale gelir ya da USB depolama tamamen açılmak zorunda kalır. Üstelik akıllı telefonu MTP (Medya Aktarım Protokolü) modunda şarj kablosuyla bilgisayara bağlayan veya Bluetooth/AirDrop kullanan bir kullanıcı basit GPO engelini kolayca aşabilir.
- Görünürlük ve Kanıt Eksikliği: Standart Windows kısıtlamalarında kimin, hangi gün, hangi seri numaralı USB belleği bilgisayara taktığı ve hangi dosyaları dışarı kopyalamaya çalıştığı merkezi olarak raporlanamaz.
Kurumsal Uç Nokta DLP (Endpoint DLP) ve Cihaz Kontrolü (Device Control) yazılımları ise işletim sistemi çekirdeğinde (Kernel Driver) çalışarak bilgisayara takılan donanımın Cihaz Sınıfı Kimliğini (Device Class GUID), Üretici ve Ürün Kimliğini (VID / PID) ve Donanım Seri Numarasını milisaniyeler içinde okur. Böylece aynı fiziksel USB portuna takılan USB klavyeye, fareye ve mali mühür/e-imza çipine izin verirken, taşınabilir bellekleri, harici diskleri ve akıllı telefonların dosya aktarım modunu kesin olarak bloklar.
DLP’nin USB ve Çevre Birimi Güvenliğinde Sunduğu Esnek Politikalar
Tüm USB portlarını körü körüne kapatmak bazen üretim ve saha operasyonlarını aksatabilir; bu nedenle modern DLP çözümleri departman, kullanıcı ve cihaz bazlı esnek yönetim kuralları sunar:
| Politika Türü | Teknik Çalışma Mantığı | İdeal Kullanım Senaryosu |
|---|---|---|
| Tam Blokaj (Full Block) | Klavye, fare ve e-imza (HID / SmartCard) hariç hiçbir USB depolama, MTP telefon, CD/DVD ve Bluetooth dosya aktarımını tanımaz | Üretim sahası bilgisayarları, Ar-Ge tasarım istasyonları ve finans terminalleri |
| Salt Okunur Erişim (Read-Only) | USB bellekten bilgisayara dosya okunabilir (virüs taramasından geçerek), ancak bilgisayardan USB’ye tek bir bayt bile yazılamaz | Müşteriden veya tedarikçiden gelen dosyayı açması gereken ama dışarı veri çıkaramayacak birimler |
| Beyaz Listeli ve Şifreli USB (Hardware Whitelist) | Yalnızca BT departmanının seri numarasını sisteme tanımladığı ve donanımsal/BitLocker To Go ile şifrelediği kurumsal USB’ler çalışır | İnterneti olmayan CNC tezgahlarına G-Code taşıyan operatörler ve saha servis mühendisleri |
| İçerik ve Uzantı Filtreleme (Content-Aware DLP) | Beyaz listeli USB takılsa dahi .dwg, .step, .sldprt gibi CAD dosyalarının veya içinde TC Kimlik / IBAN geçen Excel’lerin kopyalanması engellenir | Üst yönetim ve dış denetim/müşavirlik paylaşım süreçleri |
| Gölge Kopyalama (File Shadowing & Audit) | Yetkili bir personel onaylı USB belleğe dosya kopyaladığında, kopyalanan dosyanın birebir kopyası gizlice merkez DLP sunucusuna da arşivlenir | Adli bilişim, KVKK denetimi ve savunma sanayii siber güvenlik izlenebilirliği |
USB Dışındaki Sızıntı Kanallarının Kapatılması: Web, E-Posta ve Ekran Görüntüsü
USB portlarını kilitlediğinizde, kötü niyetli bir çalışan veriyi dışarı çıkarmak için alternatif kanallara yönelir. Tam kapsamlı bir DLP mimarisi fiziksel portların yanı sıra şu dijital çıkış kapılarını da denetler:
1. Web Yüklemeleri, Bulut Depolama ve WhatsApp Web Kontrolü
Çalışanın şirket bilgisayarından WeTransfer, Google Drive, Yandex Disk, Dropbox, kişisel Gmail/Hotmail veya WhatsApp Web / Telegram üzerinden dışarıya dosya yüklemesi (File Upload) DLP tarayıcı ve ağ uzantılarıyla denetlenir. İlgili kanallar ya güvenlik duvarı (Firewall) uygulama kontrolüyle tamamen kapatılır ya da DLP tarafından dosya içeriği taranarak gizli proje dosyalarının yüklenmesi anında kesilir.
2. Yazıcı (Print) ve Ekran Görüntüsü (Screen Capture) Koruması
Hassas müşteri listelerinin veya savunma sanayii şartnamelerinin kağıda basılarak çantada dışarı çıkarılmasını önlemek için Yazıcı DLP kuralı devreye alınır; yetkisiz yazdırma işlemleri engellenir veya basılan her sayfanın üzerine silinmez Kullanıcı Adı / Tarih Filigranı (Watermark) basılır. Ayrıca gizli teknik resim açıkken PrintScreen tuşuna basılması, ekran kırpma aracı kullanılması veya üçüncü parti ekran kaydetme programlarının çalışması DLP tarafından engellenir.
3. Veri Sınıflandırma (Data Classification) ve Parmak İzi (Fingerprinting)
DLP yazılımı dosyaları yalnızca uzantısına göre değil, içindeki verinin anlamına göre tanır. Bir personel Musteri_Listesi.xlsx dosyasının adını ve uzantısını Yemek_Listesi.txt veya .jpg olarak değiştirse bile, DLP motoru dosyanın gerçek MIME tipini (Magic Bytes), içindeki düzenli ifadeleri (TCKN, Kredi Kartı, Telefon, “HİZMETE ÖZEL” ibaresi) ve doküman parmak izini okuyarak hileyi yakalar.
Sızıntı Anında Erken Uyarı, Yasal Loglama ve KVKK Uyumu
Bir personel yetkisiz bir dosyayı USB belleğe veya web sitesine kopyalamaya çalıştığında; işlem milisaniyeler içinde engellenir, kullanıcının ekranında “Bu işlem Şirket Bilgi Güvenliği ve KVKK Politikası gereği engellenmiş ve raporlanmıştır” uyarısı belirir. Aynı saniyede sistem yöneticisinin paneline bilgisayar adı, kullanıcı adı, takılan USB’nin marka/seri numarası ve kopyalanmaya çalışılan dosyanın tam yoluyla birlikte acil alarm düşer. Tüm bu kayıtlar KVKK ve 5651 yasal loglama altyapısıyla bütünleştirilerek olası iş hukuku ve ticari sır davalarında kesin delil niteliği taşır.
Kurumsal veri sızıntısı önleme, CAD/CAM çizim güvenliği ve USB port kontrol mimarisi için DLP Çözümleri sayfamızı inceleyin.
Sıkça Sorulan Sorular
Çalışanların telefonlarını bilgisayarın USB portundan şarj etmesini de engellemek zorunda mıyız?
Akıllı telefonlar bilgisayarın USB portuna standart bir data kablosuyla takıldığında yalnızca elektrik çekmez; aynı zamanda yüksek kapasiteli bir harici disk (MTP/PTP protokolü) ve hatta ikinci bir kontrolsüz internet hattı (USB Tethering / Kişisel Erişim Noktası) olarak çalışır. Çalışan telefonunu şarja taktığı bahanesiyle şirket Wi-Fi ve güvenlik duvarını tamamen atlayıp kendi mobil interneti üzerinden gigabaytlarca veriyi dışarı sızdırabilir. Kurumsal DLP yazılımı, USB portundaki veri pinlerini yazılımsal olarak bloke ederek telefonun veri alışverişini ve internet paylaşımını %100 kapatır; böylece güvenli ortam sağlanır.
CNC tezgahlarına USB ile program (G-Code) taşıyan operatörler DLP varken nasıl çalışır?
İmalat sahasında ağa bağlı olmayan CNC tezgahları için Seri Numarası Tanımlı Kurumsal USB (Hardware ID Whitelisting) yöntemi uygulanır. Şirket BT birimi tarafından alınan örneğin 5 adet endüstriyel USB belleğin donanım seri numaraları DLP yönetim paneline “CAM Aktarım Belleği” olarak kaydedilir. CAM mühendisi ve CNC bilgisayarları yalnızca bu 5 onaylı USB belleği tanır; dışarıdan getirilen hiçbir yabancı USB çalışmaz. Üstelik bu onaylı belleklere yalnızca .nc, .tap gibi takım yolu dosyalarının yazılmasına izin verilir, ana 3D tasarım dosyalarının (.sldprt, .step) kopyalanması yine engellenir.
DLP yazılımı kurmak KVKK kapsamında çalışanların kişisel gizliliğini ihlal eder mi?
Mülkiyeti şirkete ait olan kurumsal bilgisayarlarda, önceden çalışanlara tebliğ edilmiş ve imzalatılmış “Bilgi Güvenliği, İnternet ve Kurumsal Cihaz Kullanım Politikası” ile “KVKK Çalışan Aydınlatma Metni” bulunduğu sürece DLP ve USB port kontrolü uygulamak tamamen yasaldır. Aksine, 6698 sayılı KVKK Madde 12 uyarınca Veri Sorumlusu olan şirket, bünyesindeki kişisel verilerin ve ticari sırların yetkisiz kişilerce dışarı çıkarılmasını önlemek için her türlü teknik tedbiri (DLP, erişim kısıtlaması, loglama) almakla kanunen yükümlüdür.