[TR] Kurumsal Bilgisayarlarda Kişisel Microsoft Hesaplarını Engellemenin Önemi

Kurumsal BT ekiplerinin sık karşılaştığı sorunlardan bazıları ilk bakışta oldukça basit görünür. Ancak olayın arka planı incelendiğinde küçük gibi görünen bir kullanıcı hatasının aslında ciddi güvenlik, veri yönetimi ve operasyonel karmaşa oluşturduğu ortaya çıkar.

Özellikle iş amaçlı kullanılan Windows cihazlarda kişisel Microsoft hesaplarının oturum açmaya açık bırakılması bu tür sorunların başlıca nedenlerinden biridir.

Düşünün ki BT destek ekibine bir çağrı geliyor. Kullanıcı şirket dosyalarına erişemediğini söylüyor. OneDrive ortada yok. Masaüstü her zamankinden tamamen farklı görünüyor. İlk etapta bu durum profil bozulması, eşitleme problemi ya da kullanıcı kaynaklı yanlışlık gibi görünebilir. Ancak inceleme sonunda asıl sebep ortaya çıkıyor: Kullanıcı, kurumsal hesabı yerine cihazda kendi kişisel @hotmail hesabıyla oturum açmış.

Bu tek hata bile kısa sürede birden fazla probleme yol açabiliyor. Sistem üzerinde iki ayrı kullanıcı profili oluşuyor. İki farklı OneDrive yapısı devreye giriyor. Bazı dosyalar kurumsal tenant yerine yanlış hesaba kaydediliyor. Sonuç olarak hem kullanıcı ne olup bittiğini anlayamıyor hem de BT ekibi gereksiz yere zaman ve emek harcamak zorunda kalıyor.

Sorunun Temelinde Ne Var?

Windows işletim sistemi varsayılan veya zayıf şekilde yapılandırılmış ortamlarda kişisel Microsoft hesaplarıyla oturum açılmasına çoğu zaman izin verebilir. Bu durum ev kullanıcıları için normal olabilir ancak kurumsal cihazlarda ciddi bir zafiyet noktasıdır.

Bir cihaz iş amaçlı tahsis edildiyse üzerinde yalnızca kurumsal kimliklerin kullanılmasına izin verilmesi gerekir. Çünkü kişisel hesapların devreye girmesi şu riskleri beraberinde getirir:

• Kurum dışı hesaplarla veri eşitleme yapılması
• Dosyaların yanlış OneDrive alanına kaydedilmesi
• Kurumsal verilerin takibinin zorlaşması
• Kullanıcı profili karmaşası
• Destek süreçlerinin uzaması
• Güvenlik ve uyumluluk politikalarının ihlal edilmesi

Aslında burada mesele yalnızca “yanlış hesapla giriş yapılması” değildir. Esas problem kurumsal cihaz üzerinde gereksiz bir seçeneğin açık bırakılmasıdır. Güvenlikte çoğu zaman en etkili yaklaşım riskli davranışı sonradan düzeltmeye çalışmak değil daha en baştan bu davranışın mümkün olmasını engellemektir.

Neden Kişisel Hesaplar Kurumsal Cihazlarda Sorun Oluşturur?

Kurumsal BT yapılarında kimlik yönetimi son derece kritiktir. Kullanıcının hangi hesaba sahip olduğu, hangi kaynağa erişebileceği, verilerin nerede tutulduğu ve hangi güvenlik politikalarının uygulanacağı bu kimlik üzerinden belirlenir. Eğer cihaz üzerinde kişisel Microsoft hesapları kullanılabiliyorsa kurumun merkezi kontrol mekanizması zayıflamaya başlar.

Örneğin bir kullanıcı kurumsal hesabı yerine kişisel hesabıyla oturum açtığında bazı ayarlar ve senkronizasyon süreçleri iş hesabından bağımsız çalışır. Kullanıcı kendi OneDrive alanını kullanmaya başlayabilir. Belgeler, masaüstü içerikleri veya çeşitli dosyalar yanlış bulut ortamına gidebilir. Böylece veri yönetimi kurumsal sınırların dışına taşar.

Bu tarz olaylar özellikle aşağıdaki ortamlarda daha sık ve daha tehlikeli sonuçlar doğurur;

MSP tarafından yönetilen ortamlar

Birden fazla müşterinin cihaz ve kullanıcı yönetimini üstlenen MSP’ler için standartlaştırma çok önemlidir. Kullanıcıların kişisel hesap kullanabilmesi destek süreçlerini zorlaştırır ve merkezi yönetimi bozar.

Küçük işletmeler

Küçük işletmelerde BT süreçleri genellikle daha az yapılandırılmış olur. Bu nedenle kullanıcılar farkında olmadan kişisel hesaplarla oturum açabilir ve veri karışıklığı daha sık yaşanabilir.

Ortak kullanılan bilgisayarlar

Paylaşımlı cihazlarda bir kullanıcının kişisel hesabını sisteme eklemesi sonraki kullanıcılar için de karmaşık ve riskli bir ortam oluşturabilir.

Kimlik karmaşasını azaltmak isteyen kurumlar

Kurumsal güvenlik politikalarının temel hedeflerinden biri kimlik dağınıklığını azaltmaktır. Kişisel hesaplar bu düzeni doğrudan bozar.

Bu Risk Nasıl Önlenir?

Bu sorunu önlemenin en pratik yollarından biri Windows üzerinde kişisel Microsoft hesaplarıyla kimlik doğrulamayı devre dışı bırakmaktır. Bunun için Registry üzerinden uygulanabilen basit ama etkili bir yapılandırma kullanılabilir.

Yapılması gereken işlem şu şekildedir:

İlk olarak Registry Editor yönetici yetkisiyle açılır. Ardından aşağıdaki kayıt yolu izlenir:

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\MicrosoftAccount

Bu anahtar altında DisableUserAuth isimli bir DWORD değeri oluşturulur ya da varsa düzenlenir ve değeri 1 olarak ayarlanır.

Bu ayar etkinleştirildiğinde cihaz üzerinde tüketici tipi, yani kişisel Microsoft hesaplarıyla kimlik doğrulama engellenmiş olur.

Bu Ayar Ne Yapar, Ne Yapmaz?

Bu yapılandırmanın doğru anlaşılması önemlidir. Çünkü bazı yöneticiler yanlışlıkla bunun tüm Microsoft hesaplarını engellediğini düşünebilir.

Yaptığı şey

Bu ayar cihazda kişisel Microsoft hesapları ile oturum açılmasını veya kimlik doğrulama yapılmasını engeller.

Yapmadığı şey

Bu ayar Entra ID, Microsoft 365 iş hesabı veya diğer kurumsal hesapların kullanımını engellemez. Yani kurumun resmi iş hesapları bu değişiklikten etkilenmez.

Bu nedenle çözüm oldukça dengelidir. Kullanıcıların işlerini yapmasını engellemeden, yalnızca kurumsal düzende gereksiz ve riskli olan seçeneği ortadan kaldırır.

Güvenlikte Bazen En İyi Yöntem, Kötü Seçeneği Ortadan Kaldırmaktır

Sistem güvenliği dendiğinde çoğu kişinin aklına ileri seviye güvenlik duvarları, kimlik koruma çözümleri, saldırı tespit sistemleri veya karmaşık güvenlik mimarileri gelir. Oysa gerçek hayatta birçok olay, çok daha basit nedenlerle ortaya çıkar. Kullanıcının yanlış hesapla oturum açması gibi küçük görünen bir hata; veri kaybına, destek yüküne ve güvenlik açıklarına dönüşebilir.

İşte bu yüzden hardening yani sistem sıkılaştırması her zaman karmaşık olmak zorunda değildir. Bazen en iyi hardening yaklaşımı, kullanıcıya yanlış bir tercih yapma şansı vermemektir.

Kurumsal cihaz bir iş cihazıysa kişisel hesapların orada yeri olmamalıdır. Çünkü her açık seçenek, potansiyel bir hata ihtimalidir. Her hata ihtimali ise BT ekipleri için zaman kaybı, kurum için ise kontrol kaybı anlamına gelir.