DLP Veri Sızıntısı Önleme ve Şifreleme

Veri sızıntısı önleme (DLP – Data Loss Prevention), kurumunuzdaki hassas verilerin nerede bulunduğunu tespit eden, bu verileri sınıflandıran ve e-posta, bulut paylaşımı, USB bellek, web yüklemesi veya yazıcı gibi kanallardan izinsiz çıkışını izleyen, uyaran ya da engelleyen teknoloji ve süreçlerin bütünüdür. Şifreleme ise DLP’nin tamamlayıcısıdır: bir veri kontrol dışına çıksa bile yetkisiz kişilerin okuyamamasını sağlar. Racoun’un teknoloji birimi Pedante Bilişim, bu hizmeti siber güvenlik markası Racurity ile; uzman çözüm ortaklarımızın altyapısını Racurity güvencesiyle, tek muhatapla sunar.

Kimler için gerekli?

Her kurumun korunması gereken verisi vardır; değişen yalnızca türü ve hacmidir. DLP özellikle şu yapılar için önceliklidir:

Müşteri, hasta, öğrenci veya çalışan bilgisi gibi kişisel verileri yoğun olarak işleyen kurumlar
Kredi kartı, banka ve finansal veriler işleyen e-ticaret, finans ve sigorta şirketleri
Ürün tasarımı, formül, teklif, fiyat listesi gibi ticari sırları olan üretim ve Ar-Ge firmaları
BDDK, SPK gibi düzenleyicilerin denetimine tabi ya da kurumsal müşterilerinden bilgi güvenliği taahhüdü istenen şirketler
Uzaktan ve hibrit çalışan, verileri bulut paylaşım servislerinde tutan ekipler

Riskler: veri nasıl sızar?

Veri sızıntılarının önemli bir kısmı kötü niyetle değil, dikkatsizlikle olur: yanlış alıcıya gönderilen bir tablo, “bağlantıya sahip herkes” ayarıyla paylaşılan bir klasör, kişisel e-postaya iletilen bir teklif dosyası ya da kaybolan şifresiz bir dizüstü bilgisayar. Buna ayrılmak üzere olan bir çalışanın müşteri listesini yanına alması gibi içeriden tehditler ve fidye yazılımı gruplarının şifrelemeden önce verileri dışarı çıkararak şantaj yapması gibi dış tehditler eklenir. Sonuç; itibar kaybı, müşteri güveninin sarsılması, sözleşmesel yaptırımlar ve KVKK kapsamında idari süreçler olabilir. DLP bu kanalları görünür kılar, şifreleme ise kaçınılmaz kazalarda verinin değerini ortadan kaldırır.

Hizmet kapsamı

Veri keşfi ve sınıflandırma

Korumanın ilk adımı neyi koruduğunuzu bilmektir. Dosya sunucuları, bulut depolama, e-posta arşivleri ve veri tabanları taranarak T.C. kimlik numarası, IBAN, kart numarası, sağlık bilgisi gibi hassas veri türlerinin nerede bulunduğu çıkarılır. Ardından “Genel, Kurum İçi, Gizli, Çok Gizli” gibi sade bir sınıflandırma şeması tasarlanır. Etiketler kullanıcılar tarafından elle, içerik analiziyle otomatik veya önerilen etiket şeklinde uygulanabilir; etiket, belgeyle birlikte taşınarak hangi kanalda nasıl davranılacağını belirler.

Uç nokta DLP

Dizüstü ve masaüstü bilgisayarlarda hassas dosyaların USB belleğe kopyalanması, kişisel bulut hesaplarına yüklenmesi, yetkisiz uygulamalara yapıştırılması veya yazdırılması izlenir. Politikaya göre işlem kayıt altına alınır, kullanıcıya gerekçe sorulur ya da engellenir.

E-posta DLP

Giden e-postalardaki ek ve içerikler taranır. Örneğin çok sayıda kimlik numarası içeren bir dosyanın kurum dışına gönderilmesi engellenebilir, belirli etiketli belgeler yalnızca şifreli olarak iletilebilir veya kullanıcıya “bu ileti hassas veri içeriyor” uyarısı gösterilebilir. Bu katmanı e-posta güvenliği çözümleriyle birlikte kurgularız.

Bulut ve SaaS DLP

Bulut depolama ve iş birliği araçlarında herkese açık bağlantılar, dış kullanıcılarla paylaşılan hassas dosyalar ve yetkisiz uygulamalara yüklenen veriler tespit edilir. Gerekirse paylaşım kısıtlanır, bağlantı süresi sınırlandırılır veya dosya karantinaya alınır. Bu yaklaşım, CASB (bulut erişim güvenliği aracısı) çözümleriyle daha da genişletilebilir.

Disk, dosya ve e-posta şifreleme

Tüm dizüstü bilgisayarlarda tam disk şifreleme ve kurtarma anahtarlarının merkezi olarak saklanması, kaybolan cihazın bir veri ihlaline dönüşmesini önler. Hassas etiketli belgelerde dosya düzeyinde şifreleme ve hak yönetimi ile belge kurum dışına çıksa bile yalnızca yetkili kişiler tarafından açılabilir, kopyalama veya yazdırma kısıtlanabilir. Sunucularda ve yedeklerde durağan veri şifrelemesi, ağ üzerindeki trafikte ise aktarım şifrelemesi (TLS) yapılandırılır.

Olay yönetimi ve raporlama

DLP uyarıları bir panelde toplanır, önem derecesine göre sınıflandırılır ve inceleme süreci tanımlanır. Dilerseniz olaylar SIEM ve SOC tarafına aktarılarak diğer güvenlik olaylarıyla ilişkilendirilir.

Teknik detaylar: içerik tanıma ve politika tasarımı

DLP çözümleri hassas veriyi farklı yöntemlerle tanır: düzenli ifadeler ve doğrulama algoritmalarıyla (örneğin kart numaraları için Luhn kontrolü) yapısal veriler; anahtar kelime sözlükleri ve yakınlık kurallarıyla bağlamsal veriler; belge parmak izi ile kuruma özgü form ve şablonlar; tam veri eşleştirmeyle müşteri veri tabanındaki gerçek kayıtlar; makine öğrenmesi tabanlı sınıflandırıcılarla sözleşme, kaynak kodu veya özgeçmiş gibi belge türleri. Politika tasarımında asıl mesele doğru dengeyi kurmaktır. Çok gevşek kurallar sızıntıyı kaçırır, çok sıkı kurallar ise iş akışını durdurur ve kullanıcıları kontrolleri aşmanın yollarını aramaya iter. Bu nedenle politikaları her zaman önce yalnızca izleme modunda çalıştırır, gerçek trafikteki yanlış pozitifleri ayıklar, ardından uyarı ve gerekçe isteme, en son engelleme aşamasına geçeriz.

DLP ve KVKK ilişkisi

KVKK, veri sorumlularından kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin eden teknik ve idari tedbirleri almalarını bekler. Kurulun yayımladığı rehber niteliğindeki belgelerde de veri sınıflandırma, erişim kontrolü, şifreleme ve kayıt tutma gibi tedbirler öne çıkar. DLP ve şifreleme bu tedbirlerin teknik ayağını güçlü biçimde destekler; ancak tek başına “uyum” anlamına gelmez. Kişisel veri envanteri, aydınlatma süreçleri ve saklama-imha politikasıyla birlikte ele alınmalıdır. Bu bütünlük için KVKK uyum danışmanlığı hizmetimizle uyum sürecinizi destekliyoruz; hukuki değerlendirmeler için ayrıca hukuki destek almanızı öneriyoruz.

Hangi metrikleri izliyoruz?

Bir DLP programının işe yarayıp yaramadığını görmek için engellenen olay sayısından fazlasına bakmak gerekir. Hassas veri içeren dosyaların ne kadarının etiketli olduğunu, herkese açık paylaşım bağlantılarının zaman içindeki değişimini, şifrelenmemiş cihaz sayısını, uyarı sonrası kullanıcıların işlemden vazgeçme eğilimini ve yanlış pozitif oranını düzenli raporlarız. Bu göstergeler hem politikaların ayarlanmasına hem de yönetime sunulan risk raporlarına temel oluşturur.

Süreç

Keşif: Hassas veri türleri, bulundukları yerler ve veri akışları çıkarılır.
Sınıflandırma şeması: İş birimleriyle birlikte sade ve uygulanabilir bir etiket yapısı belirlenir.
Politika tasarımı: Kanal bazında hangi verinin nasıl korunacağı tanımlanır.
İzleme modu: Politikalar engelleme yapmadan çalıştırılır, sonuçlar analiz edilir.
Kademeli yaptırım: Uyarı, gerekçe isteme ve engelleme adımlarına geçilir; şifreleme devreye alınır.
Eğitim ve işletme: Kullanıcılar etiketleme konusunda bilgilendirilir, olaylar düzenli incelenir, politikalar güncellenir.

Neden Pedante Bilişim ve Racurity?

DLP projeleri en çok, teknolojinin iş süreçlerinden kopuk kurulduğunda başarısız olur. Racurity ile uzman çözüm ortaklarımız aracılığıyla DLP ve şifreleme altyapısını kurarken satış, finans, İK ve hukuk birimlerinin gerçek iş akışlarını merkeze alırız. Microsoft 365 ortamında Microsoft Purview gibi teknolojilerle çalışabildiğimiz gibi farklı uç nokta ve bulut altyapılarına da uyum sağlarız. Tasarımdan işletmeye kadar tek muhatap olarak sorumluluk alırız.

Sık yapılan hatalar

Veri keşfi ve sınıflandırma yapmadan doğrudan engelleme kuralları yazmak
Onlarca etiketten oluşan, kullanıcının anlamadığı karmaşık sınıflandırma şemaları
Politikaları izleme modunda denemeden yaptırıma almak ve iş akışlarını kesmek
Uyarıları toplayıp hiç incelememek
Dizüstü bilgisayarlarda disk şifrelemeyi açıp kurtarma anahtarlarını merkezi olarak saklamamak
DLP’yi yalnızca e-postayla sınırlayıp bulut paylaşımlarını ve USB kanalını unutmak

İlgili hizmetler

DLP, kimin hangi veriye erişebileceğini belirleyen kimlik ve erişim yönetimi (IAM) ile birlikte en etkili sonucu verir. Cihaz tarafında uç nokta güvenliği (EDR/XDR), ömrünü tamamlayan diskler için güvenli veri imha, uyum tarafında ISO 27001 danışmanlığı hizmetlerimize göz atabilirsiniz. Tüm başlıklar için siber güvenlik hizmetlerimizi inceleyebilir, verilerinizin nerede durduğunu birlikte görmek için ücretsiz bir ilk görüşme planlayabilirsiniz.

Tüm bilişim hizmetlerimizi görmek için kurumsal BT çözümleri sayfamıza göz atabilirsiniz.

Sık sorulan sorular

DLP çalışanları izlemek anlamına mı gelir?

DLP, kişileri değil hassas verinin hareketini izler. Yine de kayıt tutulduğu için çalışanların bilgilendirilmesi, kullanım politikasının yazılı hale getirilmesi ve izleme kapsamının orantılı tutulması gerekir. Bu konuda iç politikalarınızı hukuki destekle birlikte gözden geçirmenizi öneriyoruz.

DLP kurmak iş akışlarını yavaşlatır mı?

Politikalar doğrudan engelleme moduyla devreye alınırsa yavaşlatabilir. Biz önce izleme modunda gerçek trafiği analiz ediyor, yanlış pozitifleri ayıklıyor ve çoğu durumda engellemek yerine kullanıcıya uyarı gösterip gerekçe isteyen yumuşak kurallarla başlıyoruz.

Veri sınıflandırma için tüm belgeleri tek tek etiketlemek mi gerekir?

Hayır. Yeni belgeler için varsayılan etiketler, içerik analizine dayalı otomatik etiketleme ve önerilen etiketler kullanılır. Mevcut arşiv ise tarama araçlarıyla taranarak hassas veri içeren dosyalar öncelikli olarak ele alınır.

Disk şifreleme açıksa ayrıca DLP’ye gerek var mı?

Evet. Disk şifreleme, cihaz kaybolduğunda veya çalındığında veriyi korur; ancak cihaz açıkken yetkili kullanıcının bir dosyayı e-postayla, USB ile ya da buluta yükleyerek dışarı çıkarmasını engellemez. DLP bu kanalları denetler; ikisi farklı riskleri karşılar.

DLP KVKK uyumunu tek başına sağlar mı?

Hayır. DLP ve şifreleme KVKK’nın beklediği teknik tedbirlerin önemli bir parçasıdır, ancak uyum; kişisel veri envanteri, aydınlatma ve açık rıza süreçleri, saklama ve imha politikası gibi idari tedbirleri de kapsar. Uyum sürecinizi destekliyor, hukuki değerlendirme için ayrıca destek almanızı öneriyoruz.

Kişisel cihazlardan çalışan kullanıcılar için DLP uygulanabilir mi?

Uygulanabilir. Kurum verisine yalnızca uygulama düzeyinde koruma politikalarıyla erişim verilerek kurumsal veri kişisel uygulamalara kopyalanamaz hale getirilebilir; koşullu erişimle yönetilmeyen cihazlarda yalnızca tarayıcıdan, indirme yapılamayan erişim tanımlanabilir.

İletişim

Merkez ofisimiz: Atatürk Mah., Sait Cordan Sk. No:10, 34758 Ataşehir / İstanbul. İstanbul’daki firmalarla yüz yüze, Türkiye genelindeki markalarla online toplantı ve planlı ziyaretlerle çalışıyoruz. 0551 044 08 69 numaralı WhatsApp hattımızdan yazabilir, toplantı planlayabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.