Veri Sızıntısına (DLP) Karşı GPO ile USB Bellekleri Engelleme veya Salt Okunur (Read-Only) Yapma Stratejisi

KVKK ve ticari sırların korunması söz konusu olduğunda en büyük fiziksel tehdit, personelin cebinde getirdiği küçük bir USB flash bellektir. Bir personel şirketin 5 yıllık müşteri veri tabanını veya finansal tablolarını 10 saniyede USB belleğe kopyalayıp dışarı çıkarabilir. Aynı şekilde dışarıdan getirilen virüslü bir USB bellek, şirket bilgisayarına takıldığı anda ağa zararlı yazılım bulaştırabilir. Active Directory Group Policy (GPO) kullanarak çıkarılabilir depolama aygıtlarını (Removable Storage) nasıl zırhladığımızın rehberi.

1. İki Farklı Kurumsal Yaklaşım

• Tam Engelleme (Deny All Access): USB bellek takıldığı anda Windows "Erişim Engellendi" der; diski hiçbir şekilde açmaz. (En yüksek güvenlik).
• Salt Okunur Kılma (Read-Only Access): Kullanıcı USB belleğin içindeki dosyaları okuyabilir ve bilgisayarına kopyalayabilir; ancak bilgisayardan USB belleğe tek bir dosya dahi yazamaz! (İş akışını aksatmayan esnek kurumsal model).

2. GPO ile Salt Okunur (Read-Only) USB Politikası

GPO Yolu:
Computer Configuration -> Policies -> Administrative Templates -> System -> Removable Storage Access

1. "Removable Disks: Deny write access" -> ENABLED
   (Kullanıcılar USB bellekten dosya okuyabilir; ancak USB'ye yeni dosya kopyalayamaz, silemez veya format atamaz!)
   
2. "Removable Disks: Deny execute access" -> ENABLED
   (USB bellek içindeki hiçbir .exe veya .bat komut dosyası çalıştırılamaz! Bu ayar USB tabanlı fidye yazılımlarını anında durdurur).

3. Belirli Departmanlar İçin Beyaz Liste (İstisna) Tanımlama

Pazarlama veya üst yönetim gibi USB kullanmak zorunda olan departmanlar için güvenlik filtresi (Security Filtering) kullanılır:

• GPO üzerinde G_USB_Izinli_Personel grubu hariç (Deny Apply GPO) tutulur.
• Diğer tüm şirket bilgisayarlarında USB yazma kısıtlaması kesintisiz uygulanır.

Karşılaşılan Kritik Hatalar ve Çözüm İpuçları

• Klavye ve Farelerin Kilitlenmesi Yanılgısı: "USB'yi engellersek USB klavye ve fareler de çalışmaz mı?" Bu çok yaygın bir endişedir. GPO kuralı USB Portunu değil; yalnızca Removable Storage (Çıkarılabilir Depolama) sınıfını kilitler. USB klavye, fare, barkod okuyucu veya web kameraları sorunsuz çalışmaya devam eder.
• Akıllı Telefonların (MTP/WPD) Açık Kalması: Personel flash bellek yerine Android veya iPhone telefonunu USB kablosuyla bağlayıp dosyaları telefonun hafızasına atabilir! Bu açığı kapatmak için aynı menüdeki "WPD Devices: Deny write access" kuralı da aktif edilmelidir.

Mühendis Notu

USB kısıtlamasını devreye aldığınız gün personelinize şirket içi güvenli dosya paylaşım alternatiflerini (OneDrive veya şirket içi güvenli dosya sunucusu) açıkça gösterin. İnsanlara alternatif bir yol sunmadan kapıyı kapatırsanız personelin işi aksar; alternatif gösterdiğinizde ise güvenlik kurumsal bir kültüre dönüşür.