Veri Sınıflandırma ve DLP ile Veri Sızıntısını Önleme

Bir çalışanın müşteri listesini kişisel e-posta adresine göndermesi, yanlış kişiye iletilen bir maaş tablosu ya da herkese açık bırakılmış bir paylaşım bağlantısı... Birçok veri sızıntısı karmaşık dış saldırılardan değil, gündelik iş akışındaki kontrolsüz veri hareketlerinden doğar. Bunu önlemenin yolu, önce elinizdeki verinin ne olduğunu ve ne kadar hassas olduğunu bilmekten, ardından bu bilgiyi erişim kuralları ve teknik kontrollerle desteklemekten geçer. Bu rehberde Ümraniye Bilişim danışmanları olarak sahada uyguladığımız sırayı izliyoruz: sınıflandırma, envanter, erişim yönetimi ve son olarak veri kaybı önleme (DLP).

Veri Sınıflandırma Seviyeleri: Genel, Dahili, Gizli, Çok Gizli

Veri sınıflandırma, kurumdaki bilgileri ifşa edildiklerinde doğuracakları zarara göre gruplara ayırmaktır. Amaç her dosyayı etiketlemek değil, koruma çabasını doğru yere yoğunlaştırmaktır. Çoğu KOBİ için dört seviyeli bir yapı hem anlaşılır hem de yeterlidir:

• Genel (Herkese Açık): Web sitesindeki ürün bilgileri, basın bültenleri, yayımlanmış kataloglar. İfşa olması zarar doğurmaz.
• Dahili (Kuruma Özel): İç prosedürler, toplantı notları, organizasyon şeması. Dışarı çıkması istenmez ama ciddi zarar doğurmaz.
• Gizli: Müşteri ve tedarikçi listeleri, teklifler, sözleşmeler, fiyatlandırma, çalışanların kişisel verileri. İfşası maddi kayıp, itibar zararı veya yasal yükümlülük doğurur.
• Çok Gizli: Sağlık ve biyometrik veriler gibi özel nitelikli kişisel veriler, birleşme ve satın alma dokümanları, kaynak kodu, kritik sistemlerin yönetici parolaları ve şifreleme anahtarları. Erişim isim bazında ve kayıt altında olmalıdır.

Seviye sayısını artırmak cazip görünse de pratikte ters teper: kullanıcılar altı yedi seçenek arasında karar veremez ve her şeyi ya en düşük ya da en yüksek seviyeye işaretlemeye başlar. Her seviye için kısa ve somut örnekler vermek, soyut tanımlardan çok daha iyi sonuç verir.

KVKK açısından önemli bir not: 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki kişisel veriler en az Gizli, özel nitelikli kişisel veriler ise Çok Gizli seviyesinde ele alınmalıdır. Sınıflandırma politikası, Kanun kapsamında alınması gereken teknik ve idari tedbirlerin de omurgasını oluşturur; bu konuyu KVKK uyum rehberimizde ayrıntılı ele aldık.

Veri Envanteri ve Sınıflandırma Politikası Oluşturma

Bulamadığınız veriyi sınıflandıramaz, sınıflandıramadığınız veriyi de koruyamazsınız. Bu nedenle ilk iş bir veri envanteri çıkarmaktır. Envanter için şu soruların yanıtı başlangıç için yeterlidir:

1. Hangi veri türlerini işliyoruz? Müşteri kayıtları, finans, insan kaynakları, üretim ve proje dosyaları gibi.
2. Bu veriler nerede duruyor? Dosya sunucusu, ERP, CRM, Microsoft 365, dizüstü bilgisayarlar, USB bellekler ve kişisel telefonlar dahil.
3. Verinin sahibi kim? Bu kişi BT değil, iş birimindeki sorumlu yöneticidir.
4. Kimler erişiyor ve veri kurum dışına hangi kanallarla çıkıyor?
5. Ne kadar süre saklanıyor ve nasıl imha ediliyor?

Envanter çıkarılırken en sık rastladığımız sürpriz kopyaların çokluğudur: aynı müşteri listesinin ERP'de, bir satış temsilcisinin masaüstünde, bir paylaşım klasöründe ve eski bir e-posta ekinde durması. Her kopya ayrı bir sızıntı noktasıdır.

Ardından bir iki sayfalık, herkesin okuyup anlayabileceği bir sınıflandırma politikası yazın. Politikada seviyelerin tanımı ve örnekleri, her seviye için izin verilen depolama yerleri, paylaşım ve şifreleme kuralları, etiketlemenin kim tarafından ve ne zaman yapılacağı ile istisna süreci yer almalıdır. Varsayılan seviyeyi Dahili olarak belirlemek iyi bir başlangıçtır: kullanıcı hiçbir şey seçmezse belge en azından dışarıya açık sayılmaz.

Erişim Yönetimi: En Az Yetki ve Rol Tabanlı Erişim

Sınıflandırma neyin korunacağını söyler; erişim yönetimi ise kimin neye dokunabileceğini belirler. Temel ilke en az yetki prensibidir: her kullanıcı işini yapmaya yetecek kadar erişime sahip olmalı, fazlasına değil.

Uygulamada bu, kişi bazlı değil rol tabanlı erişim (RBAC) ile sağlanır. Muhasebe, satış, insan kaynakları ve üretim planlama gibi roller tanımlanır, klasör ve uygulama yetkileri bu rollere bağlanır, kullanıcılar da ilgili gruplara eklenir. Active Directory veya Microsoft Entra ID üzerindeki güvenlik grupları bu iş için çoğu zaman yeterlidir.

Erişim yönetiminde dikkat edilmesi gereken noktalar:

• İşe giriş, departman değişikliği ve ayrılış süreçleri: En büyük yetki birikimi, departman değiştiren çalışanın eski yetkilerinin kaldırılmamasıyla oluşur. İnsan kaynakları ile BT arasında yazılı bir süreç kurun.
• Periyodik yetki gözden geçirmesi: Veri sahipleri belirli aralıklarla kendi alanlarına kimin erişebildiğini onaylamalıdır.
• Yönetici hesaplarının ayrılması: BT personeli günlük işini standart hesapla yapmalı, yönetici hesabını yalnızca gerektiğinde kullanmalıdır.
• Herkese açık yetkiler ve anonim bağlantılar: Dosya sunucularında Everyone grubuna verilmiş yetkiler ve bulutta herkese açık paylaşım bağlantıları düzenli olarak taranmalıdır.
• Güçlü kimlik doğrulama: Gizli ve Çok Gizli veriye erişen tüm hesaplarda çok faktörlü doğrulama zorunlu olmalıdır.

Bu yaklaşım, her erişim talebini ayrı ayrı doğrulayan Zero Trust mimarisinin de temel yapı taşıdır.

DLP Nedir? E-posta, Uç Nokta ve Bulutta Sızıntı Önleme

Veri kaybı önleme (Data Loss Prevention, DLP), hassas verinin yetkisiz biçimde kurum dışına çıkmasını tespit eden ve politikaya göre engelleyen, kullanıcıyı uyaran ya da olayı kayıt altına alan teknolojilerin genel adıdır. DLP, verinin içeriğine (T.C. kimlik numarası, IBAN, kredi kartı numarası gibi kalıplar veya anahtar kelimeler) ve sınıflandırma etiketine bakarak karar verir. Bu yüzden sınıflandırma yapılmadan kurulan DLP ya hiçbir şeyi yakalamaz ya da her şeyi engeller.

DLP üç ana kanalda çalışır:

• E-posta DLP: Giden e-postalarda ve eklerde hassas içerik arar. Örneğin çok sayıda kimlik numarası içeren bir Excel dosyasının kurum dışına gönderilmesini engelleyebilir veya kullanıcıdan gerekçe isteyebilir.
• Uç nokta DLP: Bilgisayar üzerinde çalışır; USB belleğe kopyalama, yazdırma, kişisel bulut depolama sitelerine yükleme ve panoya kopyalama gibi hareketleri denetler.
• Bulut DLP: SharePoint, OneDrive, Teams ve diğer SaaS uygulamalarındaki hassas dosyaları tarar, dış paylaşımı kısıtlar. Kurumun onaylamadığı bulut uygulamalarının kullanımını görünür kılan CASB çözümleri de bu kategoride değerlendirilir.

Bu üç kanala ek olarak, internet çıkışındaki trafiği inceleyen ağ tabanlı denetimler de tamamlayıcı bir katman olarak kullanılabilir. İçerik denetimi yapabilen yeni nesil güvenlik duvarları, kişisel dosya paylaşım sitelerine yapılan yüklemeleri ve olağan dışı büyüklükteki veri çıkışlarını görünür kılar; bu konuyu güvenlik duvarı rehberimizde ele aldık.

Microsoft 365 kullanan işletmelerde Microsoft Purview duyarlılık etiketleri ve DLP ilkeleri, lisans kapsamına bağlı olarak bu kanalların önemli bir kısmını tek bir yönetim noktasından karşılayabilir. Ayrı bir ürün satın almadan önce mevcut lisansınızın neleri kapsadığını kontrol etmek çoğu zaman gereksiz harcamayı önler.

DLP Kurulum Adımları ve Politika Ayarlama

DLP projelerinin başarısız olmasının en yaygın nedeni, ilk gün engelleme moduyla canlıya alınmalarıdır. Önerdiğimiz sıra şöyledir:

1. Kapsamı daraltın: İlk aşamada iki ya da üç kritik veri türü seçin; örneğin T.C. kimlik numarası, IBAN ve Gizli etiketli belgeler.
2. Hassas bilgi türlerini tanımlayın: Hazır kalıpları kullanın, kuruma özel olanları (proje kodları, müşteri numarası formatı) ekleyin.
3. İzleme modunda başlayın: Politikaları birkaç hafta yalnızca kayıt tutacak şekilde çalıştırın. Hangi kuralların ne sıklıkla tetiklendiğini ve hangi iş süreçlerinin etkilendiğini görün.
4. İş birimleriyle birlikte ayarlayın: Muhasebenin bankaya veya insan kaynaklarının mali müşavire düzenli gönderdiği dosyalar gibi meşru akışları tespit edip onaylı kanal veya istisna tanımlayın.
5. Kademeli yaptırım uygulayın: Önce kullanıcıya ipucu gösterin, sonra gerekçe isteyerek izin verin, en son en hassas veri türlerinde tam engellemeye geçin.
6. Olay müdahale sürecini belirleyin: Bir DLP uyarısını kimin, ne kadar sürede inceleyeceğini ve hangi durumda yöneticiye veya KVKK sorumlusuna iletileceğini yazılı hale getirin.
7. Kullanıcıları bilgilendirin: Politikanın amacını ve kullanıcıdan ne beklendiğini kısa bir eğitimle anlatın. İpucu mesajlarının kendisi de iyi bir farkındalık aracıdır.

Teknik kontroller ne kadar iyi kurulursa kurulsun, sızıntıların önemli bir kısmı dikkatsizlikten doğar. Bu nedenle farkındalık çalışmasını tek seferlik bir sunum olarak değil, iş rutininin parçası olarak ele alın: işe girişte etiketleme kurallarının anlatılması, yanlış alıcıya gönderim ve herkese açık bağlantı gibi gerçek örneklerle kısa hatırlatmalar, departmana göre uyarlanmış senaryolar ve çalışanların şüpheli bir durumu çekinmeden bildirebileceği açık bir kanal. Kimlik avı e-postaları da veri sızıntısının sık görülen başlangıç noktalarından biri olduğu için bu eğitimleri kimlik avı farkındalığı çalışmalarıyla birlikte planlamak verimli olur.

Sık Yapılan Hatalar ve Yanlış Pozitiflerle Baş Etme

DLP'nin en büyük düşmanı yanlış pozitiflerdir. Meşru işleri sürekli engelleyen bir sistem kısa sürede ya kapatılır ya da kullanıcılar onu atlatmanın bir yolunu bulur. Sahada en sık gördüğümüz hatalar şunlardır:

• Her şeyi Gizli işaretlemek: Etiketin anlamı kalmaz, uyarılar görmezden gelinir.
• Tek bir eşleşmede engellemek: Tek bir kimlik numarası içeren imzalı bir sözleşme ile binlerce kayıt içeren bir liste aynı risk değildir. Eşik değerlerini ve güven seviyelerini kullanın.
• Şifreli ve sıkıştırılmış dosyaları unutmak: Parola korumalı arşivler içerik denetiminden kaçabilir; bu dosya türleri için ayrı bir kural belirleyin.
• Kişisel cihazları kapsam dışında bırakmak: Kurumsal veriye telefondan erişiliyorsa mobil cihaz yönetimi ve uygulama koruma ilkeleri de planın parçası olmalıdır.
• Sahipsiz politika: DLP'yi kurup uyarıları kimsenin incelemediği bir posta kutusuna yönlendirmek sızıntıyı önlemez, yalnızca kayda geçirir.

Yanlış pozitifleri azaltmak için kuralları birden fazla kanıtı birleştirerek güçlendirin. Yalnızca on bir haneli bir sayı yerine, kontrol hanesi doğrulanan ve yakınında kimlik numarası ifadesi geçen içerikleri yakalamak isabeti belirgin biçimde artırır. Tetiklenen kuralları düzenli aralıklarla gözden geçirip ayarlamak, DLP'yi canlı tutmanın tek yoludur.

Maliyet Faktörleri ve Çözüm Seçimi

Veri sınıflandırma ve DLP'nin maliyeti tek bir ürün fiyatından değil, birkaç kalemin toplamından oluşur:

• Lisans: Mevcut e-posta ve ofis platformunuzun lisansı DLP özelliklerini kapsıyor mu, yoksa ek lisans veya ayrı bir ürün mü gerekiyor?
• Kapsam: Yalnızca e-posta mı, yoksa uç noktalar ve bulut da mı? Kullanıcı ve cihaz sayısı maliyeti doğrudan etkiler.
• Keşif ve sınıflandırma emeği: Envanter çıkarma, politika yazma ve mevcut verinin etiketlenmesi projenin en çok zaman alan kısmıdır.
• Ayar ve işletme: İzleme dönemindeki kural ayarları ve sonrasında uyarıların düzenli incelenmesi sürekli bir iş yüküdür.
• Eğitim: Kullanıcıların etiketlemeyi doğru yapması için kısa ama tekrarlanan eğitimler gerekir.

Çözüm seçerken şu kriterlere bakın: Microsoft 365, Google Workspace veya dosya sunucusu gibi mevcut altyapınızla yerel entegrasyon, Türkçe içerik ve yerel veri türleri desteği, uç nokta ajanının bilgisayar performansına etkisi, raporların KVKK denetimlerinde kanıt olarak kullanılabilecek nitelikte olması ve yönetim konsolunun ekibinizin kapasitesine uygunluğu. Sağlık gibi özel nitelikli veri işleyen sektörlerde e-posta ve uç nokta DLP'si genellikle ilk aşamada birlikte ele alınmalıdır; bu alandaki yaklaşımımızı sağlık sektörü sayfamızda bulabilirsiniz.

Sonuç

Veri sızıntısını önlemek tek bir ürün satın almakla değil, verinizi tanımak, erişimi daraltmak ve veri hareketlerini akıllıca denetlemekle mümkündür. Doğru sırayla ilerleyen bir proje hem KVKK yükümlülüklerini karşılamayı kolaylaştırır hem de iş akışlarını gereksiz yere yavaşlatmaz. Siber güvenlik hizmetlerimiz kapsamında envanterden DLP ayarına kadar tüm süreci birlikte yürütebiliriz; mevcut durumunuzu değerlendirmek için ücretsiz ön görüşme talep edin.