Gerçekten MDM’e İhtiyacınız Var mı? · MDMWiki

“MDM alalım mı?” sorusu çoğu kuruluşta ya bir güvenlik denetiminden sonra ya da kaybolan bir telefonun ardından gündeme gelir. İki durumda da karar aceleyle verilir ve iki tipik hata yapılır: ya ihtiyaç olmadığı halde ağır bir yönetim katmanı kurulur ve kullanıcı direnciyle sönümlenir, ya da gerçekten gerekli olduğu halde “biz küçüğüz” denerek ertelenir.

Bu rehber, kararı çalışan sayısına değil riske, yükümlülüklere ve operasyon yüküne dayandıran bir çerçeve sunar. Önce MDM nedir? rehberini okuduysanız kavramlar tanıdık gelecektir.

Kuruluş büyüklüğü neden tek başına yeterli ölçüt değil?

“50 kişinin altındaysanız MDM gerekmez” türü kurallar sık duyulur ve yanıltıcıdır. Çalışan sayısı, yönetilecek cihaz sayısıyla bile her zaman örtüşmez:

12 kişilik bir lojistik firmasının 40 tane el terminali olabilir; hepsi tek bir uygulamaya kilitli çalışmak zorundadır.
200 kişilik bir yazılım şirketinde cihazların çoğu çalışanın kendi telefonudur ve iş verisi yalnızca bir e‑posta uygulamasındadır.
8 kişilik bir klinik, hasta verisi içeren tabletler taşıyor olabilir ve yasal yükümlülükleri büyük bir hastaneden farksızdır.

Bu üç kuruluşun MDM ihtiyacı birbirinden tamamen farklıdır ve çalışan sayısı bunların hiçbirini açıklamaz. Doğru ölçütler aşağıda.

Karar çerçevesi: beş soru

Aşağıdaki beş soruya verdiğiniz cevaplar, ihtiyacınızın olup olmadığını ve varsa ne kadar derin olduğunu büyük ölçüde belirler.

1. Cihazlarda hangi veri var ve kaybolursa ne olur?

Soru “gizli veri var mı?” değil; “bu cihaz bugün kaybolsa ne yapmak zorunda kalırım?” sorusudur.

Yalnızca kurumsal e‑posta ve takvim varsa ve bunlar sunucu tarafında merkezi olarak kesilebiliyorsa risk görece düşüktür.
Müşteri listeleri, sözleşmeler, sağlık ya da finans verisi, kaynak kodu, iç ağ erişimi sağlayan VPN yapılandırması varsa, cihazı uzaktan kilitleyip silebilmek bir tercih değil zorunluluktur.
Kişisel veri işleniyorsa, veri ihlali bildirim yükümlülükleriniz olabilir; “cihaz şifreliydi ve uzaktan silindi” diyebilmek ile diyememek arasındaki fark büyüktür.

2. Hangi yükümlülüklere tabisiniz?

Kişisel verilerin korunması mevzuatı, sektörel düzenlemeler (finans, sağlık, telekom), müşteri sözleşmelerindeki güvenlik şartları ve ISO 27001 gibi sertifikasyonlar, çoğu zaman “taşınabilir cihazlarda şifreleme, erişim kontrolü ve uzaktan silme” gibi somut kontroller ister. Bu kontrolleri kâğıt üzerinde değil, denetlenebilir biçimde kanıtlamanız gerekiyorsa MDM pratikte tek ölçeklenebilir yoldur.

3. Cihazlar kime ait ve nasıl kullanılıyor?

Sahiplik, hem ihtiyacın derinliğini hem de uygulanabilecek yönetim modunu belirler.

Durum	Tipik ihtiyaç
Kuruluşa ait, yalnızca iş için kullanılan cihazlar	Tam yönetim; sıfırdan otomatik kurulum, güvenlik temel çizgisi, kayıp senaryosu
Kuruluşa ait, kişisel kullanıma da izin verilen cihazlar	Cihaz düzeyinde temel politikalar + iş/kişisel ayrımı (Android’de kuruluşa ait cihazda work profile)
Çalışanın kendi cihazı (BYOD)	Yalnızca iş alanının yönetimi; gizlilik sınırları net olmalı (Android work profile, Apple User Enrollment) ya da yalnızca uygulama düzeyinde koruma (MAM)
Tek amaçlı / paylaşımlı cihazlar (kiosk, el terminali)	Kilitli mod, uzaktan destek, yoğun operasyon araçları

BYOD ağırlıklı bir yapıda, cihazı hiç kaydetmeden yalnızca iş uygulamalarını koruyan uygulama yönetimi (MAM) yaklaşımı yeterli olabilir; Microsoft Intune gibi ürünler MDM ve MAM’ı birlikte ya da ayrı ayrı kullanmaya izin verir. Bu, “MDM mi, hiç mi?” ikilemine iyi bir üçüncü seçenektir.

4. Operasyon yükü bugün kime düşüyor?

MDM’in sık gözden kaçan faydası güvenlik değil, zamandır. Şu işlerin bugün nasıl yapıldığını sayın:

Yeni cihazın kurulumu: hesap açma, Wi‑Fi, VPN, e‑posta, uygulamalar, sertifikalar.
İşten ayrılan kişinin cihazının geri alınması ve temizlenmesi.
Uygulama güncellemeleri ve zorunlu işletim sistemi yükseltmeleri.
Parola sıfırlama ve kilit açma talepleri.
“Bu cihazda hangi sürüm var?” envanter soruları.

Bu işler ayda birkaç kez yapılıyorsa manuel yöntem tolere edilebilir. Haftada birkaç kez yapılıyorsa, sıfırdan otomatik kurulum (Android zero-touch, Apple Automated Device Enrollment, Windows Autopilot) ve merkezi uygulama dağıtımı kendi maliyetini hızla geri öder.

5. Cihazlar olmadan iş duruyor mu?

Saha satış, teslimat, depo, üretim ve hizmet sektöründe cihaz bir “kolaylık” değil, iş sürecinin kendisidir. Arızalı bir el terminalinin yedeğinin on dakikada hazır olup olmaması doğrudan gelir kaybıyla ölçülür. Bu tür kuruluşlarda MDM, güvenlik aracı olmaktan önce operasyonel süreklilik aracıdır.

MDM’in gereksiz ya da erken olduğu durumlar

Dürüst olmak gerekirse, MDM her kuruluş için öncelik değildir. Aşağıdaki koşulların çoğu sizin için geçerliyse, tam kapsamlı bir yönetim katmanı kurmadan önce daha hafif önlemlerle ilerleyebilirsiniz:

Cihaz sayısı azdır ve hepsi aynı ofiste, aynı birkaç kişinin elindedir.
İş verisi yalnızca bulut uygulamalarında yaşar ve cihazda kalıcı kopya oluşmaz; erişim, kimlik sağlayıcı tarafında tek adımda kesilebilir.
Cihazlar yalnızca web tabanlı araçlara erişir ve hiçbir yerel yapılandırma (VPN, sertifika, Wi‑Fi profili) gerekmez.
Yasal ya da sözleşmesel bir denetim yükümlülüğünüz yoktur ve yakın vadede olması beklenmez.
BYOD kullanımı var ama iş verisi yalnızca birkaç uygulamada; uygulama düzeyinde koruma (MAM) ihtiyacı karşılıyor.

Bu durumda bile asgari bir temel çizgiyi, yazılı bir cihaz politikası ve kimlik sağlayıcı tarafında çok faktörlü doğrulama ile sağlamanız gerekir. MDM’in olmaması, politikasızlık anlamına gelmemelidir.

MDM’in açıkça gerekli olduğu durumlar

Aşağıdakilerden bir tanesi bile geçerliyse MDM’i ertelemenin maliyeti, kurmanın maliyetinden büyük olma eğilimindedir:

Cihazlarda kişisel, finansal ya da sağlık verisi işleniyor ve bu veri cihazda kalıcı olabiliyor.
Bir denetim, sertifikasyon ya da müşteri sözleşmesi taşınabilir cihaz kontrollerini kanıtlanabilir biçimde istiyor.
Kuruluşa ait cihazlar saha ekiplerinde, mağazalarda ya da müşteriye dönük noktalarda kullanılıyor.
Tek amaçlı (kiosk) ya da paylaşımlı cihazlarınız var.
Yılda onlarca cihaz alınıp dağıtılıyor ve bu iş bir ya da iki kişinin elinde darboğaz oluşturuyor.
İç ağa erişim sağlayan VPN ya da sertifika tabanlı kimlik doğrulama cihaz üzerinde yaşıyor.

Üç kısa örnek

Küçük danışmanlık şirketi, 15 kişi, tamamen BYOD. İş verisi bulut ofis paketinde; cihazda kalıcı veri yok. Karar: Şimdilik tam MDM yerine uygulama düzeyinde koruma ve kimlik sağlayıcıda cihaz uyumluluğu koşulları. Yeniden değerlendirme eşiği: ilk kurumsal müşteri güvenlik anketi.

Saha servis firması, 25 teknisyen, kuruluşa ait Android tabletler. Tabletler servis uygulaması, formlar ve fotoğraf çekimi için kullanılıyor; arıza halinde yedek cihazın saatler içinde sahada olması gerekiyor. Karar: Tam yönetilen Android cihazlar, zero-touch ile otomatik kayıt, uygulama kilitleme ve uzaktan destek. Burada MDM bir güvenlik aracı olmaktan çok operasyon aracıdır.

Hasta kabul tabletleri olan özel klinik, 10 cihaz. Cihaz sayısı az ama veri hassas ve yükümlülükler ağır. Karar: Özel amaçlı (kiosk) mod, şifreleme ve uzaktan silme kanıtlanabilir biçimde yapılandırılır; yönetim, cihaz sayısından bağımsız olarak gereklidir.

Karar verdikten sonra

“Evet, ihtiyacımız var” dediyseniz ürün seçimine hemen geçmeyin. İki şey önce gelir:

Senaryolarınızı adlandırın: Hangi cihazlar hangi sahiplik modelinde, hangi modda yönetilecek? Bu karar sonradan değiştirilmesi en pahalı karardır; nedenini Yanlış yönetim modu seçimi neden pahalıya mal olabilir? rehberinde bulabilirsiniz.
Donanım almadan önce planlayın: Alacağınız cihazların, seçtiğiniz kayıt yöntemini ve yönetim modunu desteklediğinden emin olun.

“Hayır, şimdilik değil” dediyseniz bu kararı yazılı hale getirin, asgari temel çizgiyi tanımlayın ve yeniden değerlendirme eşiğinizi takvime alın.