MDM Nedir? Kurumsal Cihaz Yönetimine Başlangıç · MDMWiki

Bir kuruluşun elindeki telefon, tablet ve bilgisayarların sayısı birkaç düzineyi geçtiğinde aynı sorular tekrar tekrar sorulmaya başlar: Bu cihazda hangi uygulamalar var? Ekran kilidi açık mı? Kaybolursa içindeki veriye ne olacak? Yeni işe başlayan kişiye cihazı kim, nasıl hazırlayacak? Mobil cihaz yönetimi (MDM), bu soruların her cihaz için tek tek değil, merkezi olarak ve otomatik biçimde cevaplanmasını sağlayan teknolojidir.

Bu makale, MDM’i hiç bilmeyen bir okuyucunun kavramsal zemini kurması için yazıldı. Ürün seçimi, yönetim modları ve platform detayları ayrı rehberlerde ele alınır.

MDM’in tanımı

MDM, bir kuruluşun cihazlarını uzaktan, merkezi bir konsoldan ve işletim sisteminin resmi yönetim arayüzlerini kullanarak yapılandırmasını, güvenlik politikası uygulamasını, uygulama dağıtmasını ve gerektiğinde cihazı kilitlemesini ya da silmesini sağlayan sistemlerin genel adıdır.

Burada üç kelime özellikle önemlidir:

Uzaktan: Cihaz sahadayken, farklı bir şehirdeyken ya da kullanıcı yoldayken yönetilir. Fiziksel erişim gerekmez.
Merkezi: Politika bir kez tanımlanır; yüzlerce cihaza aynı anda ve tutarlı biçimde uygulanır.
Resmi yönetim arayüzleri: MDM sihirli bir şey yapmaz. Android, iOS/iPadOS, macOS ve Windows; işletim sistemi düzeyinde “bir yönetim sunucusuna bağlanma ve ondan politika alma” yeteneğini kendi içinde barındırır. MDM sunucusu bu yeteneği kullanır. Örneğin Windows, yerleşik bir yönetim istemcisi ile MDM protokolünü destekler; Apple cihazlar yönetim profilleri ve yönetim komutlarıyla çalışır; Android ise Android Enterprise programı ve cihaz politika denetleyicisi (DPC) uygulamalarıyla yönetilir.

Bu nedenle MDM’in neyi yapabildiği, aslında işletim sisteminin neye izin verdiğiyle sınırlıdır. Bir MDM üreticisi, platformun sunmadığı bir kontrolü kendi başına ekleyemez.

Temel kavramlar

MDM dünyasında sürekli karşılaşacağınız terimler şunlardır. Her biri ilerleyen rehberlerde ayrıntılı ele alınır; burada yalnızca birbirleriyle ilişkisi önemlidir.

Kayıt (enrollment). Bir cihazın yönetim sunucusuna bağlanması ve “yönetilen cihaz” durumuna geçmesi. Kayıt yöntemi (QR kodu, otomatik kayıt, kullanıcı tarafından manuel kayıt vb.) sonradan değiştirmesi en zor kararlardan biridir; çünkü bazı yöntemler yalnızca cihaz ilk kurulumdayken kullanılabilir.

Yönetim modu / sahiplik modeli. Cihazın kuruluşa mı yoksa kullanıcıya mı ait olduğu ve yönetimin cihazın tamamını mı yoksa yalnızca iş alanını mı kapsadığı. Android’de “work profile” ve “fully managed”, Apple’da “User Enrollment” ve “denetimli (supervised) cihaz” gibi ayrımlar bu kavramın platforma özgü karşılıklarıdır.

Politika. Cihaza uygulanan kurallar bütünü: parola zorunluluğu, şifreleme, kamera kısıtı, Wi‑Fi profili, VPN ayarı, izin verilen uygulamalar gibi.

Uyumluluk (compliance). Cihazın tanımlı politikalara gerçekten uyup uymadığının sürekli kontrolü ve uymayan cihazlara ne yapılacağı (uyarı, erişim engelleme, veri silme).

Uygulama yönetimi. İş uygulamalarının kuruluma zorlanması, güncellenmesi, yapılandırılması ve kaldırılması. Android’de yönetilen Google Play, Apple’da Apple Business Manager üzerinden uygulama lisansları bu işin altyapısıdır.

Uzaktan eylemler. Kilitleme, parola sıfırlama, konum isteme (yalnızca platform ve mod izin veriyorsa), kurumsal veriyi silme ya da cihazı tamamen fabrika ayarlarına döndürme.

MDM, EMM ve UEM arasındaki fark

Bu üç kısaltma çoğu zaman birbirinin yerine kullanılır ve bu bir hata sayılmaz; ancak tarihsel olarak farklı kapsamları anlatırlar.

Terim	Açılımı	Kapsam
MDM	Mobile Device Management	Cihazın kendisi: kayıt, politika, kilitleme, silme
EMM	Enterprise Mobility Management	MDM + uygulama yönetimi (MAM) + içerik ve kimlik entegrasyonu
UEM	Unified Endpoint Management	EMM + bilgisayarlar (Windows, macOS, Linux) + diğer uç noktalar; tek konsol

Pratikte bugün satılan çoğu ürün UEM kapsamındadır: aynı konsoldan hem telefonları hem de dizüstü bilgisayarları yönetir. Microsoft Intune gibi hizmetler Android, iOS/iPadOS, macOS, Windows ve Linux’u tek yerden yönetir; “MDM” kelimesi ise sektörde hâlâ genel bir şemsiye terim olarak yaşamaya devam eder. MDMWiki’de de “MDM” kelimesi, aksi belirtilmedikçe bu geniş anlamda kullanılır.

MDM neleri yapabilir?

Platformlar arasında farklar olsa da, modern bir MDM/UEM çözümünden beklenebilecek yetenekler şunlardır:

Cihazı sıfırdan hazır hale getirmek. Kutudan çıkan cihazın, kullanıcı hiçbir ayar yapmadan kurumsal uygulamalar ve ayarlarla açılması. Android’de zero-touch kaydı, Apple’da Automated Device Enrollment ve Windows’ta Autopilot bu işe yarar.
Güvenlik temel çizgisi uygulamak. Parola/biyometrik zorunluluğu, disk şifreleme, ekran kilidi süresi, işletim sistemi güncelleme politikası.
Ağ ve kimlik ayarlarını dağıtmak. Wi‑Fi, VPN, sertifika ve e‑posta profilleri.
Uygulama dağıtmak ve yapılandırmak. Zorunlu uygulamalar, kullanıcının seçebileceği uygulama kataloğu, yönetilen uygulama yapılandırması, izin verilen/engellenen uygulama listeleri.
İş ve kişisel veriyi ayırmak. Özellikle çalışanın kendi cihazında (BYOD), kuruluşun yalnızca iş verisine dokunabilmesi.
Kiosk / tek amaçlı kullanım. Cihazın yalnızca belirli uygulamalara kilitlenmesi (depo el terminali, saha tableti, müşteri kioskları).
Kayıp ve çalıntı senaryoları. Uzaktan kilitleme, mesaj gösterme, kurumsal veriyi ya da tüm cihazı silme.
Envanter ve raporlama. Model, işletim sistemi sürümü, uyumluluk durumu, yüklü uygulamalar.

MDM neleri yapamaz?

MDM’in sınırlarını bilmek, yapabildiklerini bilmek kadar önemlidir. Beklentilerin yanlış kurulduğu projeler çoğunlukla bu noktada başarısız olur.

İşletim sisteminin izin vermediğini yapamaz. Örneğin kişisel bir cihazdaki work profile içinden kullanıcının kişisel uygulamalarını göremez ya da kişisel fotoğraflarını silemez; bu, platformun gizlilik tasarımıdır. Android work profile tam olarak iş ve kişisel alanı ayırmak için vardır; Apple User Enrollment de benzer biçimde yönetimi yalnızca kuruluşa ait hesap ve verilerle sınırlar.
Her kısıtı her modda uygulayamaz. Apple’da pek çok güçlü kısıt yalnızca denetimli (supervised) cihazlarda çalışır; Android’de kiosk benzeri kilitleme yalnızca tam yönetilen (fully managed) ya da özel amaçlı (dedicated) cihazlarda mümkündür.
Kayıt yöntemini sonradan sihirle değiştiremez. Bazı modlara geçiş, cihazın fabrika ayarlarına döndürülmesini gerektirir. Bu konu, Yanlış yönetim modu seçimi neden pahalıya mal olabilir? rehberinde ayrıntılı ele alınır.
Ağ güvenliğinin ya da kimlik yönetiminin yerine geçmez. MDM, kimlik sağlayıcı (Entra ID, Google Workspace vb.), e‑posta güvenliği ve uç nokta koruma ürünleriyle birlikte çalışır; onları ikame etmez.
Kullanıcı eğitimi ve süreç yerine geçmez. Cihaz teslim, iade ve kayıp bildirimi süreçleri tanımlı değilse en iyi MDM bile boşlukta kalır.

Hangi cihaz aileleri yönetilebilir?

Android

Android cihazlar Android Enterprise programı altında yönetilir. Google’ın tanımladığı dört çözüm kümesi vardır: kişisel cihazda work profile, kuruluşa ait cihazda work profile, tam yönetilen cihaz (fully managed) ve özel amaçlı cihaz (dedicated). Eski “device admin” yaklaşımı Android 9’dan itibaren kurumsal kullanım için kullanımdan kaldırılmıştır; Google, kuruluşların work profile ya da fully managed modlara geçmesini önerir.

Dört kümenin pratik farkı aşağıdaki tabloda özetlenmiştir. Hücrelerdeki ifadeler Google’ın Android Enterprise genel bakış ve cihaz sağlama belgelerine dayanır; ayrıntılar MDM ürününe ve Android sürümüne göre değişebilir.

Ölçüt	Work profile (kişisel cihaz)	Work profile (kuruluşa ait cihaz)	Tam yönetilen	Özel amaçlı (dedicated)
Cihazın sahibi	Çalışan	Kuruluş	Kuruluş	Kuruluş
Kişisel kullanım	Evet, tamamen özel	Evet, cihaz düzeyinde bazı politikalarla	Hayır	Hayır
Kuruluşun gördüğü alan	Yalnızca iş profili	İş profili + sınırlı cihaz politikaları	Tüm cihaz	Tüm cihaz
Kayıt anı	Kurulu cihaza sonradan eklenebilir	İlk kurulum sihirbazında	Yeni ya da sıfırlanmış cihazda	Yeni ya da sıfırlanmış cihazda
Kiosk / kilitli görev	Hayır	Hayır	Evet	Evet (tasarım amacı)
Tipik senaryo	BYOD	COPE	Yalnızca iş telefonu/tableti	El terminali, kiosk, dijital tabela

Cihazın sahibi kim?

Çalışan (BYOD)
Kişisel cihazda work profile Kuruluş yalnızca iş profilini yönetir; kişisel alan görünmez.
Kuruluş
Kişisel kullanıma izin verilecek mi?
- Evet
  Kuruluşa ait cihazda work profile (COPE) İlk kurulum sihirbazında eklenir; Android 11 ve sonrası.
- Hayır
  Cihaz tek bir amaca mı kilitlenecek?
  - Evet
    Özel amaçlı cihaz (dedicated) Tam yönetilen cihazın alt kümesi; kilitli görev modu.
  - Hayır
    Tam yönetilen cihaz Yeni ya da sıfırlanmış cihazda sağlanır.

Şekil 1 Android Enterprise yönetim modu seçiminde temel karar akışı. Akış yalnızca başlangıç noktası verir; kayıt yöntemi ve üretici yetenekleri ayrıca değerlendirilmelidir. Kaynak: Android Enterprise overview (Google)

Android tarafında cihaz üreticisi de önemli bir değişkendir: Samsung Knox gibi üreticiye özgü katmanlar, platformun sunduğu yönetimin üzerine ek yetenekler ekleyebilir. Bu yetenekler yalnızca o üreticinin cihazlarında çalışır.

Apple (iPhone, iPad, Mac, Apple TV, Apple Vision Pro)

Apple cihazlar, Apple’ın MDM protokolü ve yönetim profilleriyle yönetilir. Apple Business Manager (ya da eğitim kurumları için Apple School Manager), cihazların kuruluşa ait olduğunun beyan edildiği ve Automated Device Enrollment ile uygulama lisanslarının yönetildiği hizmettir. Apple’da yönetimin derinliğini belirleyen en önemli kavram denetim (supervision): Automated Device Enrollment ile kaydedilen cihazlar otomatik olarak denetimli olur ve kuruluşa ek kısıt ve yapılandırma kontrolü verir.

Windows

Windows Pro, Enterprise ve Education sürümleri, yerleşik bir yönetim istemcisiyle MDM protokolünü destekler; üçüncü taraf MDM sunucuları da bu protokolü kullanabilir. Bir Windows cihazın hangi hesaba ve yönetim servisine bağlı olduğunu yerel olarak görmek için şu komut yeterlidir:

dsregcmd /status

Çıktıdaki AzureAdJoined, DomainJoined ve MdmUrl satırları, cihazın kimlik ve MDM kayıt durumunu gösterir. Yapılandırma, Configuration Service Provider (CSP) adı verilen politika arayüzleriyle yapılır. Windows Autopilot, yeni cihazların yeniden imajlanmadan, kutudan çıktığı haliyle kuruluşa hazır hale getirilmesini sağlar. Microsoft belgelerine göre bir Windows cihaz aynı anda yalnızca bir MDM sunucusuna kayıtlı olabilir.

Diğer uç noktalar

macOS, Apple yönetim modelinin parçasıdır. Linux ve bazı özel amaçlı cihazlar (el terminalleri, sağlam tabletler, Android tabanlı POS ve kiosklar) da ürüne bağlı olarak yönetilebilir; bu cihazlarda üreticinin Android Enterprise uyumluluğu ve desteklenen işletim sistemi sürümü belirleyicidir.

Yaygın senaryolar

MDM ihtiyacı çoğunlukla şu senaryolardan birinden doğar:

Çalışan telefonları (COPE veya fully managed): Kuruluşun verdiği telefonda e‑posta, mesajlaşma ve iş uygulamaları; kişisel kullanıma izin verilip verilmeyeceği kararına göre mod seçilir.
Çalışanın kendi cihazı (BYOD): Kişisel cihazda yalnızca iş alanının yönetilmesi; kullanıcı gizliliğinin korunması.
Saha ve depo cihazları (dedicated / kiosk): Tek bir uygulamaya kilitli el terminalleri, teslimat tabletleri, üretim hattındaki tabletler.
Müşteriye dönük cihazlar: Mağaza kioskları, dijital tabela, otel ve restoran tabletleri.
Paylaşımlı cihazlar: Vardiyalı çalışanların ortak kullandığı cihazlar; oturum bazlı kullanım.
Dizüstü bilgisayar filosu: Windows ve Mac cihazların sıfırdan dağıtımı, güncelleme ve uyumluluk yönetimi.

Her senaryo farklı bir sahiplik modeli, kayıt yöntemi ve politika seti gerektirir. Senaryoyu doğru adlandırmak, ürün seçiminden önce yapılması gereken ilk iştir.

Yaygın yanlış anlamalar

“MDM, çalışanı izleme aracıdır.” Yanlış ve çoğu modda teknik olarak mümkün de değil. Kişisel cihazlardaki iş alanı yönetiminde kuruluş kişisel uygulamaları, mesajları ve fotoğrafları göremez. Kuruluşa ait ve tam yönetilen cihazlarda daha fazla görünürlük vardır; ancak bu durumda cihaz zaten kuruluşundur ve platformlar bu durumu kullanıcıya açıkça bildirir.

“Kurulduktan sonra her şey yönetilebilir.” Hayır. Yönetim modu ve kayıt yöntemi, cihaz ilk kurulumdayken belirlenir ve bazı değişiklikler cihazın sıfırlanmasını gerektirir.

“Bir kez kurulunca iş biter.” MDM bir ürün değil, bir operasyondur: işletim sistemi güncellemeleri, yeni cihaz modelleri, ayrılan çalışanların cihazlarının geri alınması ve politika gözden geçirmeleri sürekli devam eder.

“Küçük kuruluşların MDM’e ihtiyacı yoktur.” Çalışan sayısı tek başına belirleyici değildir. On cihazlık bir saha ekibinin kiosk ihtiyacı, yüz kişilik bir ofisin ihtiyacından daha acil olabilir. Bu konu Gerçekten MDM’e ihtiyacınız var mı? rehberinde ele alınır.

“Tüm MDM ürünleri aynı işi yapar.” Ürünler aynı platform arayüzlerini kullansa da kapsam, platform derinliği, kayıt otomasyonu, raporlama ve destek kalitesi ciddi biçimde farklılaşır.

Kısa sözlük

Terim	Kısa açıklama
BYOD	Bring Your Own Device; çalışanın kendi cihazının iş için kullanılması
COPE	Corporate-Owned, Personally Enabled; kuruluşa ait, kişisel kullanıma izin verilen cihaz
Fully managed	Android’de cihazın tamamının kuruluş tarafından yönetildiği mod
Dedicated device	Tek amaca adanmış, genellikle kiosk benzeri kilitlenmiş Android cihaz (eski adıyla COSU)
Work profile	Android’de iş uygulama ve verilerini ayıran, kuruluşun yönettiği ayrı alan
Supervised	Apple cihazlarda kuruluşa ek kontrol veren denetimli durum
ADE	Automated Device Enrollment; Apple cihazların ilk kurulumda otomatik kaydı
ABM	Apple Business Manager; Apple cihaz ve uygulama lisanslarının kurumsal portalı
Autopilot	Windows cihazların kutudan çıkar çıkmaz kuruluşa hazırlanması
CSP	Configuration Service Provider; Windows MDM politika arayüzü
DPC	Device Policy Controller; Android’de yönetim politikalarını uygulayan uygulama
Zero-touch	Android cihazların ilk açılışta otomatik olarak kaydedilmesi

Sonraki adımlar

MDM’in ne olduğunu ve sınırlarını öğrendiniz. Öğrenme yolunun bir sonraki adımı, kuruluşunuzun gerçekten bir MDM’e ihtiyaç duyup duymadığına karar vermektir: Gerçekten MDM’e ihtiyacınız var mı?

Teknik tarafı merak ediyorsanız, yönetim modu kararının neden geri alınması zor olduğunu anlatan Yanlış yönetim modu seçimi neden pahalıya mal olabilir? rehberi iyi bir devam noktasıdır.