Kısa yanıt: Sophos Endpoint, veri sızıntısını yalnızca ağ trafiğinde değil, fiziksel ve yazılım katmanında da durdurmak için iki ayrı politika sunar. Peripheral Control (cihaz kontrolü) USB bellek, harici disk, Bluetooth ve benzeri çevre birimlerinin erişimini sınırlar; Application Control ise güvenlik tehdidi olmayan ama kurum politikasına aykırı yazılımların (örneğin izinsiz uzak erişim araçları, onaylanmamış bulut senkronizasyon istemcileri) çalışmasını engeller. İkisi de Sophos Central konsolundan, ek bir ajan kurulmadan yönetilir.
Bu iki politika sıkça karıştırılıyor çünkü ikisi de “izinsiz olanı engelle” mantığıyla çalışıyor. Ama kapsadıkları risk farklı: biri fiziksel taşınabilir ortamı, diğeri kurulu ya da çalıştırılan yazılımı hedefliyor. Bir KVKK denetiminde ya da veri sızıntısı incelemesinde ikisinin de ayrı ayrı sorulması bu yüzden şaşırtıcı değil.
Peripheral Control cihaz erişimini nasıl sınırlıyor?
Politika üç moddan birinde çalışır: kontrol tamamen kapalı, yalnızca izleme (cihazlara izin verilir ama aktivite loglanır) veya tip bazında kontrol. Üçüncü modda USB bellek, harici depolama, optik sürücü, disket, Bluetooth, kızılötesi, modem, wireless ağ adaptörü ve MTP/PTP (telefon, tablet, medya oynatıcı gibi) cihaz tiplerinin her biri için ayrı ayrı Allow, Block veya — depolama cihazlarında — Read Only seçilebiliyor.
Pratikte en sık kullanılan kombinasyon, depolama cihazlarını Read Only’e çekip yazma erişimini kapatmak; çalışan dosyayı okuyabiliyor ama USB belleğe kopyalayamıyor. Wireless ve modem tiplerini engellemek ağ bağlantısını kesebileceği için bu ikisi genelde dokunulmadan bırakılıyor. Belirli cihazların — örneğin BT ekibinin kullandığı şifreli bir USB bellek modeli — genel kuraldan muaf tutulması gerektiğinde, model ID veya instance ID bazında istisna tanımlanabiliyor; bu da kural tüm şirkete uygulanırken tek tek cihaza esneklik bırakıyor.
Application Control hangi yazılımları hedefliyor?
Application Control, antivirüs imzasının kapsamadığı bir alanı kapatıyor: kötü amaçlı olmayan ama kurum için risk taşıyan yazılımlar. Tipik örnekler arasında izinsiz uzaktan erişim araçları, onaylanmamış bulut senkronizasyon istemcileri, VPN istemcileri veya tarayıcı eklentileri sayılabiliyor. Sophos bu yazılımları kategorilere ayırıp düzenli güncellenen bir liste olarak sunuyor; listede olmayan bir yazılım için Sophos’a ekleme talebi gönderilebiliyor.
Politika iki modda çalışıyor: Detect, zamanlanmış taramalarda uygulamaları tespit edip raporluyor ama engellemiyor; Block ise kullanıcı uygulamayı çalıştırmaya çalıştığında erişimi kesiyor. Sophos’un önerdiği kurulum sırası burada önem taşıyor — önce Detect modunda birkaç hafta çalıştırıp raporlardan hangi uygulamaların gerçekten kullanıldığını görmek, sonra gerekli olanları istisna listesine alıp geri kalanı Block’a çevirmek. Bu sıra atlanıp doğrudan Block’a geçilirse, meşru bir iş aracının aniden çalışmaz hale gelip destek hattının şikayetle dolması olası bir sonuç.
Pratik karşılığı: nereden başlamalı?
İki politikayı aynı anda, tüm cihaz gruplarında birden devreye almak riskli. Önce sınırlı bir pilot grupta — BT ekibi ya da tek bir departman — Detect/izleme modunda çalıştırıp iki-üç haftalık veriyle gerçek kullanım haritasını çıkarmak, sonra kalan gruplara kademeli genişletmek daha az sürtünme yaratıyor. Peripheral Control tarafında da benzer bir yaklaşım geçerli: önce izleme modunda hangi cihazların bağlandığı görülüyor, kurallar buna göre belirleniyor.
Bu iki politika, Sophos DLP ile de tamamlayıcı çalışıyor — DLP dosya içeriğine (örneğin bir tabloda TC kimlik numarası formatı) bakarken, Peripheral Control taşıma kanalını kapatıyor. Sadece içerik taraması yapıp taşıma kanalını açık bırakmak, ya da tersine sadece kanalı kapatıp içerik hassasiyetine hiç bakmamak, veri güvenliği açısından eksik bir tablo bırakıyor.
Kimler için önemli?
Bu iki politika ek lisans gerektirmiyor; Sophos Endpoint lisansına dahil geliyor. Bu yüzden karar genelde bütçe değil, yapılandırma zamanı meselesi oluyor. Özellikle sağlık, finans, hukuk gibi düzenlenmiş sektörlerde ya da müşteri verisiyle çalışan kurumlarda, “hangi çalışan hangi cihaza veri kopyalayabilir” ve “hangi yazılımların kurulu makinelerde çalışmasına izin veriliyor” soruları bir KVKK teknik tedbir denetiminde doğrudan karşımıza çıkıyor.
Mevcut Sophos Endpoint lisansına sahip kurumlar için bu politikaları devreye almak ek maliyet çıkarmıyor; lisans yenileme sürecinde de mevcut kapsamda kalıyor. Yapılandırmanın kurumun mevcut cihaz ve yazılım envanterine göre nasıl kurgulanacağını değerlendirmek için teklif alın sayfasından iletişime geçilebilir.
Sık sorulan sorular
Peripheral Control ve Application Control ayrı lisans mı gerektiriyor? Hayır, ikisi de Sophos Endpoint lisansının standart kapsamında yer alıyor; ek satın alma gerekmiyor.
Block moduna geçmeden önce ne kadar süre Detect’te kalınmalı? Sabit bir kural yok ama kurumun rutin iş döngüsünü (aylık raporlama, dönemsel işler dahil) kapsayacak kadar — genelde birkaç hafta — izleme yapılması öneriliyor; aksi halde ara sıra kullanılan meşru bir araç gözden kaçabilir.
USB bellekleri tamamen mi kapatmak gerekiyor? Zorunlu değil. Read Only seçeneği, okuma erişimini açık tutup yazma/kopyalama erişimini kapatarak orta yol sunuyor — çoğu kurum için tam kapatmaktan daha az sürtünme yaratıyor.
Belirli bir çalışana ya da cihaza istisna tanımlanabilir mi? Evet, Peripheral Control’de model ID veya instance ID bazında istisna eklenebiliyor; Application Control’de de belirli uygulamalar istisna listesine alınarak genel kuraldan muaf tutulabiliyor.
Kaynaklar: Sophos Central Admin — Peripheral Control Policy · Sophos Central Admin — Application Control Policy