USB Engelleme Politikası GPO ile Nasıl Uygulanır?

GPO kullanarak USB port ve depolama aygıtlarına erişimi engellemek, veri sızıntılarını önler ve KVKK/5651 uyumluluğunu sağlar.

BLUF: GPO (Group Policy Object) kullanarak USB port ve depolama aygıtlarına erişimi engellemek, kurum içi veri sızıntılarını önlemek ve KVKV/5651 uyumluluğunu sağlamak için en yaygın Windows‑tabanlı yöntemdir. Doğru yapılandırma, sadece okuma‑yazma izinlerini sınırlandırmakla kalmaz, aynı zamanda denetim ve raporlama süreçlerini de güçlendirir

USB Engelleme Politikası nedir?

USB engelleme politikası, bir organizasyonun bilgi güvenliği çerçevesinde, USB‑tabanlı taşınabilir depolama aygıtlarının (flash bellek, harici disk, telefon vb.) sistemlere bağlanmasını sınırlayan veya tamamen engelleyen teknik ve idari kurallar bütünüdür. Türkiye’de KVKK (Kişisel Verilerin Korunması Kanunu) ve 5651 sayılı İnternet Ortamında Yayınlanan Bilgilerin Düzenlenmesi ve Bu Bilgilerin Korunması Hakkında Kanun, kişisel ve özel verilerin yetkisiz aktarımını önlemek için veri denetim mekanizmaları talep eder; USB engelleme bu kapsamda kritik bir kontrol noktasıdır.

Politika, genellikle üç seviyede uygulanır:

• Donanım seviyesi: BIOS/UEFI ayarlarıyla fiziksel portları devre dışı bırakma.
• İşletim sistemi seviyesi: Windows GPO, kayıt defteri (registry) ve güvenlik şablonlarıyla erişim izinlerini yönetme.
• Uygulama seviyesi: Endpoint yönetim çözümleriyle cihaz‑özel politikalar ve izleme.

Bu katmanların birleşimi, yetkisiz veri çıkışını önlerken, aynı zamanda denetim izlerini (log) tutarak olay sonrası incelemelere olanak tanır

USB Engelleme Kapsamı nasıldır?

USB engelleme politikası, sadece veri depolama aygıtlarını değil, aynı zamanda klavye, fare, webcam gibi USB‑tabanlı giriş/çıkış birimlerini de kapsayabilir. Kapsam belirlenirken şu faktörler göz önünde bulundurulur:

• Aygıt türü: Removable Disk (hafıza aygıtı), Human Interface Device (HID), Imaging Device (kamera) gibi sınıflandırmalar.
• Erişim düzeyi: Okuma‑yazma (tam erişim), sadece okuma (read‑only), tamamen erişim yok (deny).
• Kullanıcı grubu: Yönetici, normal kullanıcı, dış kaynaklı personel gibi farklı izin seviyeleri.
• Zamanlama: Belirli saatlerde (örneğin iş dışı saatlerde) kısıtlama, ya da acil durumlarda geçici olarak devre dışı bırakma.

Windows GPO’da “Removable Disks: Deny write access” gibi ayarlar, cihazın sadece okunabilir olmasını sağlar; “All Removable Storage classes: Deny all access” ise tamamen bağlantıyı keser. Ancak yalnızca GPO yeterli değildir; politikaların etkinliğini izlemek ve uyumluluğu belgelemek için merkezi bir denetim platformu gerekir. Arin Agent, Windows bilgisayarları için USB kontrolü, politika dağıtımı ve KVKK/5651 uyum raporlamasını tek bir panelde sunar; böylece kapsamlı bir denetim zinciri oluşturulur

USB Engelleme Yükümlülükleri nelerdir?

KVKK’nın “kişisel verilerin işlenmesi” bölümünde, veri sorumlularının veri güvenliğini sağlamak için teknik ve idari tedbirler alması zorunludur (Madde 7). USB aygıtları üzerinden veri sızıntısı, bu yükümlülüğün ihlali anlamına gelir ve şu adımları içerir:

1. Risk analizi: USB kullanımının getirdiği tehditleri değerlendirme ve risk skorlaması yapma.
2. Politika oluşturma: Yetkisiz erişimi önleyecek net kurallar tanımlama.
3. Uygulama ve denetim: GPO, MDM veya endpoint yönetim araçlarıyla politikayı teknik olarak hayata geçirme.
4. Olay yönetimi: USB‑ile ilgili bir ihlal tespit edildiğinde, BTK‑USOM’un “Olay Bildirimi” prosedürlerine uygun olarak raporlama.
5. Süreklilik ve güncelleme: Politikanın periyodik olarak gözden geçirilmesi ve yeni cihaz tiplerine göre güncellenmesi.

Bu adımların eksikliği, KVKK’nın 12. maddesinde belirtilen “uygunsuz veri işleme” durumuna yol açar ve idari para cezalarıyla sonuçlanabilir. Arin Agent, risk skoru hesaplama, politika yönetimi ve USOM tehdit akışı entegrasyonu sayesinde bu yükümlülüklerin otomatik olarak yerine getirilmesini destekler

USB Engelleme İhlallerine verilen cezalar nelerdir?

Türkiye’de veri güvenliği ihlalleri, KVKK ve 5651 kapsamında iki ana yaptırım türüne tabi tutulur:

• İdari para cezaları: KVKK’nın 12. maddesi, “kişisel verilerin korunmasına ilişkin yasal yükümlülüklerin ihlali” durumunda, kurum başına 1.000.000 TL’ye kadar para cezası öngörür. Özellikle “veri sızıntısı” ve “uygunsuz veri aktarımı” durumları, USB üzerinden gerçekleştiğinde bu maddeye doğrudan bağlanabilir.
• Yaptırım ve lisans iptali: 5651 sayılı kanun, internet ortamında yasa dışı içerik yayılmasıyla ilgili ihlallerde, hizmet sağlayıcıların lisansını askıya alabilir veya iptal edebilir. USB üzerinden yasa dışı içerik transferi, bu kapsamda “yayın sorumluluğu” ihlali olarak değerlendirilebilir.

Ek olarak, BTK‑USOM’un “Acil Durum Bildirimi” prosedürüne uymayan kurumlar, ek güvenlik önlemleri (örneğin zorunlu denetim, sistem izole etme) ve itibar kaybı yaşamaktadır. Bu riskleri azaltmak için, yalnızca GPO ile kısıtlama değil, aynı zamanda merkezi izleme ve raporlama da gerekir. Arin Agent, USB‑engelleme loglarını otomatik olarak toplar, uyumluluk raporları oluşturur ve olası ihlallerde anlık uyarı verir; böylece cezai yaptırımların önüne geçmek mümkün olur

GPO ile USB Engelleme Nasıl Yapılır?

1. Domain Controller’da GPO oluşturma

• Group Policy Management konsolunu açın.
• “Yeni GPO” seçin, adını USB_Engelleme olarak belirleyin.

2. GPO’yu ilgili OU’ye bağlama

• USB kontrolü uygulanacak bilgisayarların bulunduğu OU (Organizational Unit) üzerine sürükleyin.

3. Politika ayarlarını yapılandırma

• Computer Configuration → Policies → Administrative Templates → System → Removable Storage Access yolunu izleyin.
• Removable Disks: Deny write access seçeneğini Enabled yapın (okuma‑yazma yasak).
• All Removable Storage classes: Deny all access seçeneğini Enabled yaparsanız, tamamen bağlanmayı engellersiniz.

4. Kayıt defteri (registry) üzerinden ek kısıtlama (isteğe bağlı)

• HKLM\Software\Policies\Microsoft\Windows\RemovableStorageDevices anahtarına Deny_All DWORD değeri 1 ekleyin.

5. GPO’nun uygulanmasını test etme

• gpupdate /force komutunu çalıştırın.
• Test bilgisayarında bir USB bellek takıp, “Yazma izni reddedildi” mesajının gelmesini doğrulayın.

6. Log ve denetim ayarları

• Computer Configuration → Policies → Windows Settings → Security Settings → Advanced Audit Policy Configuration → Object Access altında Audit Removable Storage seçeneğini Success/Failure olarak etkinleştirin. Bu, USB bağlama olaylarını güvenlik günlüğüne kaydeder.

Dikkat edilmesi gerekenler:

• Yanlış yapılandırma tüm USB aygıtlarını (örneğin klavye) devre dışı bırakabilir; bu durumda “Device Installation Restrictions” altındaki “Allow installation of devices using drivers that match these device setup classes” listesine HID sınıfını eklemek gerekir.
• Performans etkisi: Çok sayıda GPO birleştirildiğinde oturum açma süresi uzayabilir; gereksiz politikaları kaldırmak önemlidir.

Bu adımlar, temel USB engelleme ihtiyacını karşılar. Ancak politika yönetimi, raporlama ve uyumluluk denetimi için tek başına GPO yeterli olmayabilir. Arin Agent, GPO‑tabanlı USB kısıtlamalarını merkezi bir konsoldan izler, politika değişikliklerini anlık olarak senkronize eder ve KVKK/5651 uyum raporlarını otomatik oluşturur

USB Engelleme Politikaları ile Diğer Çözümler Nasıl Karşılaştırılır?

GPO, basit ortamlar ve tek seferlik kısıtlamalar için yeterli bir araçtır. Ancak kurumlar, KVKK ve 5651 gibi düzenlemeler kapsamında tam denetim, risk analizi ve uyumluluk raporlaması talep ettiklerinde, tek başına GPO yetersiz kalır. Arin Agent, bu eksikliği kapatır: USB kontrolü, politika yönetimi, risk skoru ve USOM tehdit akışı entegrasyonu sayesinde, yalnızca teknik engelleme değil aynı zamanda yasal uyumluluk da sağlanır

USB Engelleme Politikalarının İzlenmesi ve Raporlanması nasıl yapılır?

1. Olay toplama

• Windows Security Log’da “Audit Removable Storage” etkinleştirildiğinde, her USB bağlama/çıkartma olayı bir kimlik (Event ID 4663 vb.) ile kaydedilir.
• Arin Agent, bu logları ajan üzerinden toplar, merkezi sunucuya gönderir ve gerçek zamanlı analiz yapar.

2. Risk skoru hesaplama

• Her USB olayı, kullanıcı profili, cihaz zimmeti ve erişim düzeyiyle eşleştirilir.
• Şüpheli bir deneme (örneğin, bir yönetici hesabının “Deny write” politikası altında yazma denemesi) yüksek risk skoru alır; sistem otomatik olarak bir güvenlik alarmı oluşturur.

3. USOM tehdit akışı entegrasyonu

• Arin Agent, BTK‑USOM’un güncel tehdit listelerini (malware, veri sızıntısı taktikleri) periyodik olarak çeker.
• USB üzerinden gelen bir dosya, USOM listesinde yer alan bir zararlı imzasıyla eşleşirse, anlık uyarı ve izole etme prosedürü tetiklenir.

4. Uyumluluk raporu

• Haftalık/aylık raporlar, “USB erişim denetimi”, “İhlal sayısı”, “Risk skoru dağılımı” ve “KVKK/5651 uyum durumu” bölümlerini içerir.
• Raporlar PDF ve Excel formatında dışa aktarılabilir; denetim birimleri ve yöneticiler için imzalı onay süreci desteklenir.

5. Olay yanıtı

• Bir ihlal tespit edildiğinde, Arin Agent’ın “Uzak Ekran” özelliğiyle ilgili bilgisayara anlık bağlanılır, oturum kaydı alınır ve gerekirse cihaz “Kısıtlı Mod”a alınır.

Sık sorulan sorular

GPO ile USB engelleme nasıl etkinleştirilir?

Group Policy Management Console’da yeni bir GPO oluşturup, Computer Configuration > Policies > Administrative Templates > System > Removable Storage Access yolunu izleyerek ilgili izinleri “Deny” olarak ayarlayın.

Sadece okuma izinlerini nasıl sınırlayabilirim?

“Removable Disks: Deny write access” ayarını etkinleştirerek cihazların sadece okunmasını, yazma işlemlerinin engellenmesini sağlayabilirsiniz.

USB engelleme sonrası denetim nasıl yapılır?

Event Viewer’da System logları ve “Audit Policy” ayarlarıyla USB bağlama olayları izlenebilir; ayrıca raporlama için PowerShell scriptleri kullanılabilir.

BIOS/UEFI üzerinden ek koruma ekleyebilir miyim?

Evet; BIOS/UEFI ayarlarından USB portları fiziksel olarak devre dışı bırakmak, GPO seviyesindeki önlemlere ek bir katman oluşturur.

İlgili yazılar

Güvenlik

Kurumsal antivirüs programları nasıl seçilmeli?

12 Eylül 2026