Pek çok şirket veri güvenliğine bir ürün satın alarak başlar: bir DLP aracı, bir şifreleme çözümü ya da bir bulut güvenlik paketi. Birkaç ay sonra ise aynı soruyla karşılaşılır: “Neyi engelleyeceğiz?” Çünkü hangi verinin hassas olduğu, kimin sorumluluğunda bulunduğu ve hangi kanallardan dışarı çıkabileceği tanımlanmadan hiçbir araç doğru kararı veremez. Bu rehberde, veri güvenliğinin temeli olan veri sınıflandırma sürecini adım adım anlatıyoruz. Sınıflandırma tamamlandıktan sonraki aşama olan teknik koruma için DLP ve şifreleme sayfamıza göz atabilirsiniz.
Veri sınıflandırma nedir?
Veri sınıflandırma, kurumdaki bilgilerin gizlilik, bütünlük ve erişilebilirlik ihtiyaçlarına göre gruplandırılması ve her grup için uygulanacak koruma kurallarının belirlenmesidir. Basit bir ifadeyle her belge ve kayıt için “Bu bilgi yanlış kişinin eline geçerse ne olur?” sorusunun cevabını önceden vermek ve buna göre davranmaktır. Sınıflandırma; kimin erişebileceğini, nasıl saklanacağını, nasıl paylaşılacağını, şifrelenip şifrelenmeyeceğini ve ne zaman imha edileceğini belirleyen ortak bir dil yaratır.
Neden önce sınıflandırma?
- Kaynakları doğru yere harcarsınız: Her şeyi aynı sıkılıkta korumak hem pahalıdır hem de iş akışını yavaşlatır.
- DLP kuralları anlam kazanır: “Gizli etiketli belge kurum dışına şifresiz gönderilemez” gibi net kurallar yazılabilir.
- Kullanıcılar ne yapacağını bilir: Belgenin üzerindeki etiket, çalışana o bilgiyle nasıl davranacağını söyler.
- Uyum süreçleri kolaylaşır: KVKK kapsamındaki kişisel veri envanteri ve ISO/IEC 27001’in bilgi varlıklarının sınıflandırılması beklentisi aynı çalışmadan beslenir.
Adım 1: Sade bir seviye şeması belirleyin
En sık yapılan hata çok sayıda seviye tanımlamaktır. Kullanıcı bir belgeyi kaydederken birkaç saniyede karar verebilmelidir. Çoğu kurum için dört seviye yeterlidir:
- Genel: Kamuya açık olabilecek bilgiler; web sitesi metinleri, yayımlanmış broşürler.
- Kurum içi: Çalışanların erişebildiği ama dışarıyla paylaşılması gerekmeyen bilgiler; iç duyurular, prosedürler.
- Gizli: Belirli ekiplerle sınırlı tutulması gereken, sızması zarar verecek bilgiler; müşteri listeleri, teklifler, sözleşmeler, kişisel veriler.
- Çok gizli: Sızması ciddi ve geri dönüşü zor zarar doğuracak bilgiler; birleşme ve satın alma dosyaları, ürün formülleri, özel nitelikli kişisel veriler.
Her seviyenin yanına kısa bir tanım, birkaç örnek ve o seviyede beklenen davranışları (kimlerle paylaşılabilir, şifreleme zorunlu mu, yazdırılabilir mi) yazın.
Adım 2: Veri envanteri çıkarın
Hangi verilerin nerede bulunduğunu öğrenmeden sınıflandırma kâğıt üzerinde kalır. İş birimleriyle kısa görüşmeler yaparak şu soruları yanıtlayın: Hangi tür bilgiler üretiliyor ve kullanılıyor? Nerede saklanıyor; dosya sunucusu, bulut depolama, e-posta, ERP, CRM, kişisel bilgisayarlar? Kimlerle paylaşılıyor? Ne kadar süre tutuluyor? Bu görüşmeleri otomatik tarama araçlarıyla desteklemek, unutulmuş klasörlerdeki kimlik numaraları veya banka bilgileri gibi sürprizleri ortaya çıkarır.
Adım 3: Veri sahiplerini atayın
Her veri grubunun bir iş sahibi olmalıdır: müşteri verileri için satış veya pazarlama yöneticisi, çalışan verileri için İK yöneticisi, finansal veriler için finans yöneticisi gibi. Veri sahibi; sınıflandırma seviyesine, erişim yetkilerine ve saklama süresine karar veren kişidir. BT ise bu kararları teknik olarak uygular. Sorumluluğun tamamen BT’ye bırakılması, sınıflandırmanın iş gerçekliğinden kopmasına yol açar.
Adım 4: Etiketleme yöntemini seçin
Etiketleme üç şekilde yapılabilir ve çoğu zaman üçü birlikte kullanılır:
- Kullanıcı tabanlı: Çalışan, belgeyi oluştururken veya gönderirken etiketi seçer. Bilinçlendirme sağlar ama tutarlılık kullanıcıya bağlıdır.
- Varsayılan etiket: Yeni belgelere otomatik olarak “Kurum içi” gibi bir başlangıç etiketi atanır; kullanıcı gerektiğinde yükseltir.
- Otomatik ve önerilen etiket: İçerik analiziyle kimlik numarası, IBAN veya kart numarası tespit edilen belgeye etiket önerilir ya da doğrudan uygulanır.
Etiketin yalnızca görsel bir üst bilgi değil, belgenin meta verisine işlenen bir bilgi olması önemlidir. Böylece belge e-postayla gönderildiğinde, buluta yüklendiğinde veya USB’ye kopyalandığında koruma araçları etiketi okuyabilir.
Adım 5: Her seviye için koruma kurallarını eşleyin
Sınıflandırmanın amacı korumayı yönlendirmektir. Örnek bir eşleştirme şöyle olabilir: “Genel” için kısıt yok; “Kurum içi” için dış paylaşımda uyarı; “Gizli” için yalnızca şifreli dış gönderim ve herkese açık bağlantı yasağı; “Çok gizli” için belge düzeyinde şifreleme, yazdırma ve kopyalama kısıtı, yalnızca adı belirlenmiş kişilere erişim. Bu kurallar daha sonra DLP politikalarına, şifreleme ve erişim kontrolü ayarlarına dönüşür. Erişim tarafını kimlik ve erişim yönetimi ile birlikte kurgulamak, etiketin “kimler açabilir” sorusunu da yanıtlamasını sağlar.
Adım 6: Eğitin, ölçün, iyileştirin
Kısa bir eğitim ve tek sayfalık bir rehber, sınıflandırmanın kabulü için çoğu zaman yeterlidir. Ardından düzenli olarak ölçün: Belgelerin ne kadarı etiketli? Otomatik etiket önerileri kullanıcılar tarafından ne sıklıkla değiştiriliyor? Hangi birimlerde hassas veri etiketsiz duruyor? Bu göstergeler, şemanın ve kuralların zaman içinde ayarlanmasına yol gösterir.
Kişisel veriler için ek bir katman
Sınıflandırma şemasında kişisel verileri ayrıca işaretlemek faydalıdır. Bir belge ticari açıdan “Kurum içi” seviyesinde olsa bile içinde çalışanların veya müşterilerin kimlik, iletişim ya da sağlık bilgileri varsa farklı kurallara tabi olabilir. Pek çok kurum bunun için ana seviyelerin yanına “Kişisel veri” ve “Özel nitelikli kişisel veri” gibi alt etiketler ekler. Böylece hem bilgi güvenliği hem de veri koruma ekipleri aynı etiket altyapısını kullanır; KVKK kapsamındaki talepler ve olay incelemelerinde ilgili verilerin hızlıca bulunması kolaylaşır.
Saklama ve imha da sınıflandırmanın parçasıdır
Korunacak en güvenli veri, artık tutmanıza gerek olmayan ve usulüne uygun imha edilmiş veridir. Her seviye ve veri türü için saklama süresi belirlemek, süresi dolan verilerin silinmesini ve ömrünü tamamlayan disklerin güvenli biçimde imha edilmesini sağlar. Bu yaklaşım hem saldırı yüzeyini daraltır hem de KVKK kapsamındaki saklama ve imha yükümlülüklerini destekler.
Sık yapılan hatalar
- Sekiz on seviyeli, kullanıcının ayırt edemediği karmaşık şemalar
- Sınıflandırmayı tamamen BT projesi olarak görüp iş birimlerini sürece katmamak
- Etiketlemeyi yalnızca yeni belgelere uygulayıp eski arşivi taramamak
- Etiketleri koruma kurallarına bağlamamak; etiketin yalnızca bir yazı olarak kalması
- Şemayı bir kez yazıp iş süreçleri değiştikçe güncellememek
Sonuç
Veri sınıflandırma, ilk bakışta bürokratik bir iş gibi görünse de doğru kurulduğunda tüm veri güvenliği yatırımlarının verimliliğini belirler. Sade bir şema, net veri sahipliği, otomatik etiketleme desteği ve etiketlere bağlanmış koruma kurallarıyla sızıntı riskini somut biçimde azaltabilirsiniz. Racoun’un teknoloji birimi Pedante Bilişim, Racurity markasıyla bu süreci uzman çözüm ortaklarımız aracılığıyla uçtan uca yürütüyor. Teknik koruma katmanları için DLP ve şifreleme hizmetimizi, uyum boyutu için KVKK uyum danışmanlığı sayfamızı inceleyebilir ya da ücretsiz bir ilk görüşme planlayabilirsiniz.
Sık sorulan sorular
Küçük bir şirketin veri sınıflandırmaya ihtiyacı var mı?
Evet, ancak ölçeğe uygun biçimde. Küçük bir şirket için üç veya dört seviyeli sade bir şema, kişisel ve ticari açıdan hassas verilerin nerede tutulduğunu gösteren bir liste ve bu verilerin paylaşımına dair birkaç net kural iyi bir başlangıçtır.
Veri sınıflandırma ile KVKK kişisel veri envanteri aynı şey mi?
Aynı şey değildir ama birbirini besler. Kişisel veri envanteri yalnızca kişisel verileri, işleme amaçlarını ve saklama sürelerini kapsar. Veri sınıflandırma ise ticari sırlar dahil tüm bilgileri hassasiyetlerine göre gruplar. İki çalışmayı birlikte yürütmek zaman kazandırır.
Otomatik etiketleme ne kadar güvenilir?
Kimlik numarası, IBAN veya kart numarası gibi yapısal veriler için oldukça güvenilirdir. Sözleşme veya strateji belgesi gibi bağlamsal içerikte ise yanılma payı artar. Bu yüzden otomatik etiketi önce öneri olarak sunmak ve sonuçları izleyerek kuralları ayarlamak en sağlıklı yoldur.
Racoun ile konuşun: İstanbul merkezli ekibimizle Türkiye genelindeki markalara hizmet veriyoruz. WhatsApp üzerinden yazabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.
