yerleşik şifreleme yönetimi

Yerel şifrelemenin yönetimi, işletim sistemleri, cihazlar ve platformlarda zaten yerleşik olan şifreleme özelliklerini kontrol etmek anlamına gelir. Çoğu kuruluş için buna Windows BitLocker, macOS FileVault, Android dosya tabanlı şifreleme, iOS veri koruma, kurtarma anahtarları, cihaz politikaları ve raporlama dahildir.

Amaç basittir: bir dizüstü bilgisayar, telefon, tablet veya çıkarılabilir sürücü kaybolursa, çalınırsa, onarılırsa, kullanımdan kaldırılırsa ya da yetkisiz erişime uğrarsa hassas verilerin korunmaya devam ettiğinden emin olmak.

Yerel şifreleme güçlüdür çünkü zaten platformun bir parçasıdır. Ancak yine de yönetilmesi gerekir. Açık politikalar, kurtarma anahtarı depolama, uyumluluk kontrolleri ve kullanıcı rehberliği olmadan, yerleşik şifreleme tutarsız hâle gelebilir veya bir sorun olduğunda kurtarılması zorlaşabilir.

Yerel Şifrelemenin Yerine Getirmesi Gereken Güvenlik Görevi

Yerel şifreleme, bekleyen verileri korur. Bu, doğru kimlik doğrulama, kurtarma anahtarı veya kilit açma yöntemi mevcut olmadıkça bir cihazda depolanan verilerin okunamaz kalması anlamına gelir.

NIST, depolama şifrelemesini dizüstü bilgisayarlar, mobil cihazlar ve çıkarılabilir ortamlar gibi son kullanıcı cihazlarında depolanan bilgilere erişimi kısıtlamanın bir yolu olarak tanımlar. Depolama şifreleme rehberi ↗, tam disk şifrelemesi, birim şifrelemesi ve dosya düzeyinde şifrelemeyi anlamak için güçlü bir başlangıç noktasıdır.

CISA, özellikle kayıp cihazlar, çıkarılabilir sürücüler ve kurtarma planlaması için cihazlarda depolanan verilerin korunması ↗ sayfasında benzer pratik rehberlik sunar.

Uygulamada yerel şifreleme dört riske karşı yardımcı olur:

• Kayıp bir dizüstü bilgisayarın iş dosyalarını açığa çıkarması.
• Çalınan bir telefonun iş verilerine erişim sağlaması.
• Kullanımdan kaldırılmış bir sürücünün imha sonrasında okunabilir olması.
• Bir kullanıcının kimlik bilgilerini unutması ve güvenli kurtarmaya ihtiyaç duyması.

Şifrelemenin kendisi yalnızca bir parçadır. Yönetim katmanı, korumanın tutarlı olup olmadığına karar verir.

Yerel Şifreleme Yönetimi Kontrol Haritası

Yerel şifrelemenin yönetimini düşünmenin en kolay yolu, onu tek bir anahtar yerine bir dizi kontrol olarak ele almaktır.

Bu tablo, “şifreleme kullanılabilir” ile “şifreleme gerçekten yönetiliyor” arasındaki farktır.

Windows: BitLocker ve Cihaz Şifrelemesini Yönetin

Windows'ta yerel şifreleme genellikle BitLocker veya otomatik cihaz şifrelemesi anlamına gelir.

Microsoft'un BitLocker genel bakışı ↗, BitLocker'ın özellikle cihazlar kaybolduğunda, çalındığında veya kullanımdan kaldırıldığında birimleri çevrimdışı erişime karşı koruduğunu açıklar. Yönetilen ortamlar için önemli olan yalnızca BitLocker'ı açmak değildir. Doğru politika, kurtarma yöntemi ve raporlama sürecinin yerinde olduğundan emin olmaktır.

Pratik bir Windows şifreleme politikası şunları tanımlamalıdır:

• hangi sürücülerin şifrelenmesi gerektiğini;
• yalnızca TPM korumasının yeterli olup olmadığını;
• daha yüksek riskli kullanıcılar için PIN'lerin gerekli olup olmadığını;
• kurtarma anahtarlarının nerede yedeklendiğini;
• kurtarma anahtarlarını kimlerin alabileceğini;
• başarısız veya askıya alınmış şifrelemenin nasıl raporlandığını.

Kurtarma planlaması önemlidir. Microsoft'un BitLocker kurtarma genel bakışı ↗ , kurtarma parolaları, kurtarma anahtarları, anahtar paketleri ve veri kurtarma aracıları dahil olmak üzere farklı kurtarma seçeneklerini açıklar. Ekipler, gerçek bir kilitlenme yaşanmadan önce hangi seçeneğe izin verildiğini belgelendirmelidir.

macOS ve Apple Cihazları: FileVault ve Veri Korumasını Yönetin

macOS'ta yerel şifrelemenin odağında FileVault bulunur. Apple'ın cihaz yönetimiyle FileVault yönetimi rehberi ↗, kuruluşların FileVault'u nasıl zorunlu kılabileceğini, kullanıcı ertelemelerini nasıl kontrol edebileceğini, kurtarma anahtarlarının kullanıcılara gösterilip gösterilmeyeceğini nasıl yönetebileceğini ve kişisel kurtarma anahtarlarını cihaz yönetimi aracılığıyla nasıl emanete alabileceğini açıklar.

iPhone, iPad ve daha yeni Apple platformlarında şifreleme, Veri Koruması ile yakından bağlantılıdır. Apple'ın Şifreleme ve Veri Koruması genel bakışı ↗, bir cihaz kaybolduğunda, çalındığında veya güvenliği ihlal edildiğinde Apple cihazlarının kullanıcı ve kurumsal verileri nasıl koruduğunu açıklar.

Apple ortamları için yönetim şu konulara odaklanmalıdır:

• uygun olduğunda kurulum sırasında FileVault'u zorunlu kılmak;
• kurtarma anahtarlarını onaylı yönetim sistemine emanete almak;
• kullanımdan sonra kurtarma anahtarlarını döndürmek;
• hangi kullanıcıların şifrelenmiş birimlerin kilidini açabileceğini doğrulamak;
• cihaz geçişi veya yeniden atama sırasında ne olacağını belgelendirmek.

Temel risk, “Apple cihazları şifrelidir” varsayımının kuruluşun kurtarma ve raporlamayı kontrol altında tuttuğu anlamına geldiğini düşünmektir. Bunlar ayrı sorulardır.

Android: Şifrelemeyi Cihaz Politikasıyla Yönetin

Android cihazlar da yerel şifreleme içerir. Android'in dosya tabanlı şifrelemesi, farklı dosyaların farklı anahtarlarla şifrelenmesine olanak tanır ve Android Açık Kaynak Projesi bu modeli dosya tabanlı şifreleme belgelerinde ↗ açıklar.

İş cihazlarında şifreleme yönetimi genellikle Android Enterprise üzerinden gerçekleştirilir. Google'ın Android yönetimi ↗ rehberi, kuruluşların bir yönetim çözümü aracılığıyla ekran kilidi ve depolama şifrelemesi gibi güvenlik politikalarını zorunlu kılabileceğini açıklar.

Android şifreleme yönetimi şunları tanımlamalıdır:

• hangi cihazların iş kullanımı için izinli olduğunu;
• cihazın tamamen yönetilen mi yoksa iş profilli BYOD mu olduğunu;
• hangi ekran kilidi gücünün gerekli olduğunu;
• kayıp cihazların nasıl kilitlendiğini veya silindiğini;
• uyumluluk durumunun nasıl izlendiğini;
• eski cihazların hâlâ güvenlik gereksinimlerini karşılayıp karşılamadığını.

Android şifrelemesi; cihaz kaydı, kilit ekranı politikası, güncelleme gereksinimleri ve uzaktan silmeyle eşleştirildiğinde en güçlü hâle gelir.

Anahtar Yönetimi Asıl Yönetim Sorunudur

Şifreleme anahtarlara bağlıdır. Bu kulağa açık gelebilir, ancak birçok şifreleme programı anahtar yönetimi zayıf olduğu için başarısız olur.

NIST'in anahtar yönetimi yönergeleri ↗, kriptografik anahtar malzemesinin planlanmasını, korunmasını, yaşam döngüsünü ve yönetişimini kapsar. Yerel şifrelemede pratik soru genellikle şudur: kurtarma anahtarları nerede depolanır ve bunları kim kullanabilir?

İyi bir kurtarma anahtarı süreci şu soruları yanıtlamalıdır:

1. Anahtar nerede emanete alınıyor? 2. Anahtar otomatik mi yoksa manuel olarak mı depolanıyor? 3. Kim alabilir? 4. Alma işlemi günlüğe kaydediliyor mu? 5. Anahtar kullanımdan sonra döndürülüyor mu? 6. Cihaz kullanımdan kaldırıldığında ne olur? 7. Yönetim sistemi değişirse ne olur?

Kurtarma anahtarlarını ekran görüntülerinde, elektronik tablolarda, paylaşılan sürücülerde veya kişisel notlarda bırakmayın. Kurtarma erişimi denetlenmeli, günlüğe kaydedilmeli ve sınırlandırılmalıdır.

Pratik Bir Yaygınlaştırma Sırası

Yerel şifrelemenin yönetimi, aşamalı olarak uygulandığında daha kolaydır.

Adım 1: Cihaz envanteri çıkarın

İş verilerini depolayabilecek dizüstü bilgisayarları, masaüstü bilgisayarları, telefonları, tabletleri ve çıkarılabilir sürücüleri listeleyin.

Adım 2: Gerekli kapsamı tanımlayın

Hangi cihaz türlerinin yerel şifreleme kullanması gerektiğine ve hangi istisnalara izin verildiğine karar verin.

Adım 3: Platform politikalarını seçin

Geniş çaplı dağıtımdan önce BitLocker, FileVault, Android ve diğer platform kurallarını ayarlayın.

Adım 4: Kurtarma anahtarı emanetini yapılandırın

Kullanıcılar kurtarma anahtarlarına bağımlı hâle gelmeden önce bu anahtarların onaylı sistemde depolandığından emin olun.

Adım 5: Küçük bir grupla pilot uygulama yapın

Kurtarmayı, politika çakışmalarını, cihaz geçişini ve kullanıcı iletişimini test edin.

Adım 6: Kademeli olarak zorunlu kılın

Pilot sorunları çözüldükten sonra yalnızca raporlama modundan zorunlu uygulamaya geçin.

Adım 7: Sürekli izleyin

Şifreleme durumunu, askıya alınmış korumayı, başarısız emaneti, yönetilmeyen cihazları ve kurtarma olaylarını inceleyin.

Bu sıra, en yaygın hatayı önler: kurtarma test edilmeden önce şifrelemeyi geniş çapta etkinleştirmek.

Liderliğe Ne Raporlanmalı

Güvenlik liderlerinin her teknik ayara ihtiyacı yoktur. Kapsam, risk ve hazırlık konusunda net bir görünüme ihtiyaçları vardır.

Yararlı bir yerel şifreleme raporu şunları göstermelidir:

• şifrelenmiş yönetilen cihazların yüzdesi;
• kurtarma anahtarı eksik cihazların sayısı;
• askıya alınmış veya başarısız şifrelemeye sahip cihazlar;
• kapsam dışındaki yüksek riskli kullanıcılar veya ekipler;
• raporlama dönemindeki kurtarma olayları;
• kullanımdan kaldırılmayı veya silinmeyi bekleyen cihazlar;
• politika istisnaları ve sahipleri.

Şifreleme kapsamını yöneticilere veya müşterilere açıklamanız gerekiyorsa, yerel şifreleme politikanızı Pi ile paydaşlara hazır bir sunuma dönüştürebilirsiniz ↗. Kapsamı, riskleri, kurtarma hazırlığını ve sonraki adımları raporlamak için kullanın; ancak sunumu teknik ayrıntı yığınına dönüştürmeyin.

Yerel Şifreleme Ne Zaman Yeterli Değildir

Yerel şifreleme depolanan verileri korur, ancak her güvenlik sorununu çözmez.

Şunların yerini almaz:

• kimlik ve erişim yönetimi;
• uç nokta tespit ve müdahale;
• yedekleme ve felaket kurtarma;
• yama yönetimi;
• veri kaybını önleme;
• oltalama koruması;
• bulut erişim kontrolleri;
• güvenli cihaz imhası.

Ayrıca, yetkili bir kullanıcı cihazın kilidini açtıktan ve dosyalara normal şekilde eriştikten sonra verileri korumaz. Sistem çalışır durumdayken ve kullanıcının kimliği doğrulandığında, başka kontrollere de ihtiyaç vardır.

Yerel şifreleme, tüm güvenlik stratejisi olarak değil, temel bir kontrol olarak ele alınmalıdır.

Sonuç

Yerel şifrelemenin yönetimi, yerleşik şifrelemeyi güvenilir hâle getirmekle ilgilidir. BitLocker, FileVault, Android şifrelemesi veya Apple Veri Korumasını etkinleştirmek yalnızca başlangıçtır.

Olgun bir program kapsamı tanımlar, politikaları uygular, kurtarma anahtarlarını emanete alır, kurtarma erişimini sınırlar, uyumluluğu izler ve bir cihaz kaybolduğunda, kilitlendiğinde, taşındığında veya kullanımdan kaldırıldığında ne olacağını test eder.

En iyi şifreleme programı, en güçlü onay kutusuna sahip olan değildir. Koruma, kurtarma ve raporlamanın kuruluş bunlara gerçekten ihtiyaç duyduğunda birlikte çalıştığı programdır.