Mobil güvenlik denince akla genellikle kaybolan telefonlar, zayıf şifreler ya da kötü amaçlı uygulamalar gelir. Oysa acentelerde veri sızıntılarının önemli bir kısmı çok daha sıradan anlarda yaşanır: Bir çalışanın müşterinin poliçe ekranının görüntüsünü alıp yanlış kişiye göndermesi, kopyaladığı kimlik numarasının panoda unutulması ya da paylaş menüsünden bir teklif belgesinin kişisel bulut klasörüne düşmesi.
Bu davranışların hiçbiri kötü niyet taşımaz. Çoğu, işi hızlandırmak için yapılan alışkanlıklardır. Bu yazıda mobil cihazlarda gündelik özelliklerin oluşturduğu sızıntı noktalarını tek tek ele alıyor, her biri için hem yazılım tarafında hem ekip tarafında alınabilecek önlemleri InsureHub'ın yazılım sağlayıcı perspektifinden sıralıyoruz.
Sızıntı noktası 1: Ekran görüntüsü
Risk
Ekran görüntüsü hızlı ve pratiktir. Bir müşteri kartını, teklif karşılaştırma ekranını ya da poliçe özetini ekip arkadaşına göstermek için ekran görüntüsü almak çok yaygındır. Ancak bu görüntü telefonun galerisine kaydedilir, çoğu zaman otomatik olarak kişisel bulut yedeğine aktarılır ve uygulamanın yetki kontrolünün tamamen dışına çıkar. Galeri, uygulamanın ne silebildiği ne de izleyebildiği bir alandır.
Kontrol
- Kimlik numarası, tam adres ve belge görüntüsü içeren hassas ekranlarda ekran görüntüsü almanın engellenmesi ya da uyarı verilmesi
- Uygulama arka plana alındığında, son uygulamalar ekranında içeriğin bulanıklaştırılması
- Ekip içinde bilgi paylaşımı için ekran görüntüsü yerine kaydın kendisine yönlendiren uygulama içi paylaşımın tercih edilmesi
Ekran görüntüsünü her yerde engellemek kullanılabilirliği düşürebilir. Bu nedenle kısıtlamayı hassas ekranlarla sınırlamak, dengeli bir yaklaşımdır.
Sızıntı noktası 2: Pano (kopyala-yapıştır)
Risk
Çalışan, müşterinin kimlik numarasını ya da plakasını bir alandan kopyalayıp başka bir yere yapıştırır. İş biter, ama kopyalanan bilgi panoda kalır. Sonradan açılan başka bir uygulama panoya erişebilir, çalışan farkında olmadan bu bilgiyi bir mesaja yapıştırabilir ya da bazı cihazlarda pano içeriği diğer cihazlarla eşitlenebilir.
Kontrol
- Hassas alanların kopyalanmasını sınırlamak ya da kopyalanan değeri kısa bir süre sonra panodan temizlemek
- Uygulama içinde bir alandan diğerine bilgi taşımak için kopyalamayı gereksiz kılan otomatik doldurma kullanmak
- Örneğin trafik sorgusunda girilen plaka ve ruhsat bilgilerinin kasko akışına uygulama içinde aktarılabilmesi; böylece çalışanın bilgiyi kopyalayıp yapıştırmasına gerek kalmaz. Trafik ve kasko ayrı sorgu akışları olmaya devam eder, yalnızca ortak bilgi yeniden yazılmaz.
Sızıntı noktası 3: Paylaş menüsü
Risk
PDF teklif formu ya da poliçe belgesi oluşturulduğunda paylaş menüsü onlarca seçenek sunar: mesajlaşma uygulamaları, e-posta, kişisel bulut, not uygulamaları. Bu seçeneklerin her biri belgeyi acente yazılımının kontrolünden çıkarır. Yanlış kişiye dokunmak ya da belgeyi geçici olarak kişisel bir klasöre kaydetmek, tek bir hareketle olur.
Kontrol
- Müşteriye belge iletimi için acentenin belirlediği kanalların uygulama içinden sunulması
- Belgeyi paylaşmadan önce alıcının müşteri kaydındaki iletişim bilgisiyle eşleştiğinin gösterilmesi
- Paylaşım için oluşturulan geçici dosyaların işlem sonrasında cihazdan silinmesi
- Hangi belgenin, kim tarafından, hangi müşteriye gönderildiğinin işlem kaydına düşmesi
Sızıntı noktası 4: Bildirim önizlemeleri ve klavye önerileri
Daha az fark edilen iki nokta daha vardır. Birincisi, kilit ekranında görünen bildirim önizlemeleridir; müşteri adı ve poliçe bilgisi içeren bir bildirim, telefon masada dururken herkes tarafından okunabilir. İkincisi, akıllı klavyelerin öğrendiği kelimelerdir. Sık yazılan kimlik numaraları ya da adresler klavye önerilerinde görünmeye başlayabilir. Hassas alanlarda klavye öğrenmesini kapatan alan ayarları, bu riski azaltır.
Sızıntı noktası 5: Ortak klasörler ve indirilenler
Bir listeyi dışa aktarmak ya da bir belgeyi açmak için telefonun indirilenler klasörünü kullanmak da yaygın bir alışkanlıktır. Bu klasör çoğu zaman diğer uygulamaların erişimine açıktır ve içerik aylarca orada kalabilir. Acente uygulamasının belgeleri kendi korumalı alanında açması, dışa aktarma gereken durumlarda ise bunu yetkiye bağlaması ve kayıt altına alması, bu riski büyük ölçüde azaltır. Yöneticiler için pratik bir öneri, toplu dışa aktarma yetkisini yalnızca ihtiyaç duyan rollerle sınırlamaktır. Sahadaki bir temsilcinin günlük işini yapmak için müşteri listesinin tamamını telefonuna indirmesine genellikle gerek yoktur.
Benzer şekilde, bazı çalışanlar belgeleri sonradan bulabilmek için kişisel not uygulamalarına ya da kendi e-posta adreslerine gönderir. Bu davranışın arkasında çoğu zaman uygulama içinde arama yapmanın zor olması yatar. Kayda bağlı belgelerin uygulama içinden kolayca bulunabilmesi, kişisel kopya oluşturma ihtiyacını da ortadan kaldırır.
Ekip tarafında yapılacaklar
Yazılım kontrolleri önemli olsa da sızıntıların çoğu alışkanlıkla ilgilidir. Bu nedenle ekip için kısa ve akılda kalıcı kurallar belirlemek gerekir:
- Müşteri bilgisi içeren ekranların görüntüsü alınmaz; bilgi paylaşmak gerekiyorsa ekip arkadaşına kaydın kendisi gösterilir.
- Kimlik numarası, plaka gibi bilgiler mesajlaşma uygulamalarına yapıştırılmaz.
- Teklif ve poliçe belgeleri yalnızca uygulamanın sunduğu kanallarla müşteriye iletilir.
- Telefonun galerisi haftada bir kontrol edilir; iş amaçlı kalmış görüntüler silinir.
- Kilit ekranı bildirim önizlemeleri gizli moda alınır.
Yöneticinin bakış açısı: Görünürlük
Acente yöneticisi açısından asıl sorun, bu sızıntıların görünmez olmasıdır. Bir ekran görüntüsünün nereye gittiğini ya da panodan neyin kopyalandığını bilmek mümkün değildir. Bu yüzden önlemin büyük kısmı, riski baştan azaltan tasarım tercihlerinde yatar. Uygulama içi paylaşım kanallarının kayıt altına alınması, hassas ekranlarda ek kontroller ve rol bazlı yetkilendirme ile her çalışanın yalnızca gerekli bilgiyi görmesi, sızıntı yüzeyini doğal olarak küçültür.
Ayrıca işlem kayıtları, bir olay yaşandığında geriye dönük inceleme yapılabilmesini sağlar. Hangi belgenin kim tarafından ne zaman paylaşıldığını görebilmek, hem sorunu çözmek hem de benzer durumları önlemek için gerekli bilgiyi verir.
Değerlendirme listesi
Bir mobil sigorta uygulaması değerlendirirken şu soruları sormak, gözden kaçan sızıntı noktalarını görünür kılar:
- Hassas ekranlarda ekran görüntüsü davranışı nasıl yönetiliyor?
- Uygulama arka plana alındığında içerik gizleniyor mu?
- Belge paylaşımı uygulama içinden yapılabiliyor ve kayıt altına alınıyor mu?
- Paylaşım için oluşturulan dosyalar sonrasında temizleniyor mu?
- Bildirimlerde hangi bilgiler görünüyor?
Bu soruların yanıtları, uygulamanın gündelik kullanımda veriyi nasıl koruduğunu gösterir. Veri güvenliğini acente yazılımının bütünü içinde değerlendirmek isterseniz InsureHub demo hesabıyla kendi ekranlarınızı ve paylaşım alışkanlıklarınızı birlikte inceleyebiliriz.