Microsoft Purview Information Protection, kurumsal bilgilerin hassasiyetlerine göre sınıflandırılmasını ve uygun koruma mekanizmalarıyla yönetilmesini sağlar. Hassasiyet etiketleri, şifreleme ve kullanım hakları bu yaklaşımın önemli bileşenleridir.
Kurumsal veriler yalnızca oluşturuldukları sistemlerde kalmaz. Belgeler indirilir, e-postayla gönderilir, farklı cihazlarda açılır ve iş ortaklarıyla paylaşılır. Bu hareketlilik, korumanın yalnızca klasör veya posta kutusu erişimine dayanmasını yetersiz bırakabilir.
Önceki bölümde içeriğin nasıl tanınacağını ve sınıflandırılacağını ele aldık. Bu bölümde ise sınıflandırma kararının kullanıcı deneyimine, erişim haklarına ve veri koruma davranışlarına nasıl dönüştürüldüğünü inceleyeceğiz.
Microsoft Purview Information Protection blog yazısı içinde aşağıda ki bilgilere ulaşacaksınız.
1. Microsoft Purview Information Protection Nedir?
Information Protection, kurumsal verinin tanınması, sınıflandırılması ve korunması için kullanılan Purview yeteneklerini kapsar. Hassasiyet etiketleri, bu yaklaşımın uygulanmasında merkezi bir rol oynar. Microsoft Purview Information Protection
Örneğin bir belgenin hassasiyet seviyesi belirtilebilir; yapılandırılan etikete göre görsel işaretleme, şifreleme veya kullanım kısıtlamaları uygulanabilir.
Kurumsal açıdan başlangıç sorusu, hangi etiketi oluşturacağımızdan önce hangi bilgiyi neden korumamız gerektiğidir. Müşteri kayıtları, personel belgeleri ve ürün tasarımları farklı kullanım ve paylaşım koşullarına sahip olabilir.
Bu nedenle Information Protection çalışması, BT yapılandırmasının yanında veri sahiplerinin ve ilgili iş birimlerinin kararlarını da gerektirir.
2. Koruma Neden İçerikle Birlikte Değerlendirilmelidir?
Bir dosyanın belirli bir klasörde bulunması, erişimin o klasör üzerinden yönetilmesini sağlar. Ancak dosya başka bir konuma kopyalandığında veya kurum dışına gönderildiğinde yeni bir erişim durumu ortaya çıkar.
Information Protection yaklaşımında desteklenen içeriklere uygulanan etiket ve şifreleme, bilginin farklı konumlarda kullanılmasını da kapsayacak şekilde değerlendirilebilir.
Bu yaklaşımın amacı, paylaşımı bütünüyle durdurmak değildir. Kurumun iş birliği ihtiyacını, verinin hassasiyetine uygun koşullarla yürütmesini sağlamaktır.
Örneğin iş ortağıyla paylaşılması gereken bir sözleşme ile yalnızca kurum içinde kullanılacak bir maliyet çalışması aynı koruma yapılandırmasına ihtiyaç duymayabilir.
3. Sensitivity Labels — Hassasiyet Etiketleri
Hassasiyet etiketi, içeriğin kurumun sınıflandırma yaklaşımındaki yerini belirtir. Kurum kendi kategorilerine uygun etiketler oluşturabilir.
Etiket, dosya veya e-posta metadata’sında saklanır. Yapılandırmasına göre sınıflandırma bilgisiyle birlikte koruma ayarları da uygulanabilir. Hassasiyet etiketleri hakkında
Ancak etiket adı, teknik korumanın kendisi değildir. “Gizli” adının verilmesi, içeriğin otomatik olarak şifrelendiği veya kurum dışına gönderilmesinin engellendiği anlamına gelmez.
Etiketin hangi ayarları uygulayacağı ayrıca belirlenmelidir.
Aşağıdaki tablo, kurum için örnek bir etiket yaklaşımı göstermektedir. Bu adlar ve davranışlar hazır bir zorunlu şema değil, planlama örneğidir.
| Etiket | Kurumsal anlamı | Örnek koruma yaklaşımı |
|---|---|---|
| Genel | Paylaşımı kurum tarafından onaylanmış içerik | Sınıflandırma bilgisi; şifreleme uygulanmadan kullanım |
| Kurum İçi | Kurum içindeki çalışma süreçlerine yönelik içerik | Görsel işaretleme; ihtiyaca göre kurum içi erişim kısıtlaması |
| Gizli | Belirli kişiler veya gruplarla paylaşılması gereken hassas içerik | Şifreleme ve tanımlı kullanıcı veya grup hakları |
| Çok Gizli | Dar kapsamlı erişim gerektiren yüksek hassasiyetli içerik | Sınırlı erişim grubu, gerekli kullanım hakları ve paylaşım kontrolleri |
Etiketlerin sayısı kadar açıklamaları da önemlidir. Kullanıcı, etiketi hangi durumda seçeceğini ve seçimin iş akışını nasıl etkileyeceğini anlayabilmelidir.
4. Görsel İşaretleme ile Şifreleme Arasındaki Fark
Etiketler, desteklenen uygulamalarda üst bilgi, alt bilgi veya filigran gibi görsel işaretler uygulayabilir. Bunlar kullanıcıya içeriğin hassasiyetini hatırlatır.
Ancak görsel işaretleme, tek başına yetkisiz erişimi engellemez. Şifreleme ve erişim hakları ayrı koruma mekanizmalarıdır. Görsel işaretlerin desteği de uygulama ve içerik türüne göre değişir; örneğin belgelerdeki filigran davranışı e-postayla aynı değildir. Etiketlerin koruma ve işaretleme yetenekleri
Kurumun “Bu içeriğe Gizli yazısı eklendi” ile “Bu içeriği yalnızca yetkili kişiler açabilir” ifadelerini birbirinden ayırması gerekir.
5. Şifreleme ve Kullanım Hakları
Hassasiyet etiketlerinde şifreleme yapılandırıldığında, kimlerin içeriğe erişebileceği ve hangi işlemleri yapabileceği belirlenebilir.
Desteklenen senaryolarda görüntüleme, düzenleme veya diğer kullanım hakları tanımlanabilir. İzinler yönetici tarafından belirlenebilir ya da uygun etiket yapılandırmasında kullanıcıya izin seçme imkânı verilebilir. Hassasiyet etiketleriyle şifreleme
Örneğin kurum içindeki proje ekibinin belgeyi düzenlemesi, iş ortağının ise yalnızca görüntülemesi istenebilir. Bu ihtiyaç, kullanılan uygulama ve paylaşım senaryosuyla birlikte test edilmelidir.
Şifreleme yapılandırması, desteklenen istemcilerde kimlik doğrulama ve kullanım haklarıyla birlikte çalışır. Çevrimdışı erişim, izin süresi ve mevcut erişimin davranışı da planlamaya dahil edilmelidir.
Koruma ayarları, bilginin bütün yöntemlerle dışarı çıkarılmasını kesin olarak önleyen bir garanti şeklinde değerlendirilmemelidir. Kullanıcı eğitimi ve diğer veri güvenliği kontrolleri önemini korur.
6. Etiket Oluşturmak ile Etiketi Yayımlamak
Etiketin oluşturulması ve kullanıcıya sunulması farklı aşamalardır.
Önce etiketin kapsamı ve koruma ayarları tanımlanır. Ardından etiketler, label policy — etiket politikası aracılığıyla seçilen kullanıcılara veya gruplara yayımlanır. Politika, desteklenen uygulamalarda hangi etiketlerin kullanılabileceğini belirler. Etiket oluşturma ve yayımlama
Bu nedenle etiketi portalda oluşturmak, bütün kullanıcıların uygulamalarında hemen görünmesini sağlamaz.
Kurumun yayımlama planında aşağıdaki konular açık olmalıdır:
- Hangi kullanıcılar hangi etiketleri kullanacak?
- Etiketlerin açıklamaları yeterli mi?
- Varsayılan veya zorunlu etiketleme gerekiyor mu?
- Daha düşük hassasiyet seviyesine geçişte gerekçe istenecek mi?
- Değişiklikler hangi testlerden sonra yayımlanacak?
Etiketler ve politikalar çoğaldıkça yönetim karmaşıklığı artabilir. Başlangıçta anlaşılır ve ihtiyaca uygun bir yapı hedeflenmelidir.
7. Manuel, Önerilen ve Otomatik Etiketleme
Etiketleme yaklaşımı, kullanıcı kararını ve otomasyonu farklı biçimlerde birleştirebilir.
- Manuel etiketlemede kullanıcı, içeriğin iş bağlamına göre etiketi seçer. Bu yaklaşımın başarısı, etiket açıklamalarına ve kullanıcı eğitimine bağlıdır.
- Önerilen etiketlemede desteklenen uygulama, belirlenen koşullara göre kullanıcıya bir etiket önerir.
- Otomatik etiketlemede ise desteklenen kapsamda tanımlı koşullar karşılandığında etiket uygulanabilir. Office uygulaması içindeki etiketleme ile hizmet tarafındaki otomatik etiketleme farklı kapsam ve davranışlara sahiptir. Otomatik hassasiyet etiketleme
Hizmet tarafındaki otomatik etiketleme politikalarının simülasyon sonuçları, uygulamaya geçmeden önce incelenmelidir. Yanlış eşleşmeler, etiket önceliği ve mevcut etiketlerle etkileşim değerlendirilmelidir.
Önceki makalede açıkladığımız hassas bilgi türleri ve sınıflandırıcılar, desteklenen yapılandırmalarda bu koşulların oluşturulmasına yardımcı olur.
8. Kullanıcı Uygulamalarında Etiketleme
Word, Excel, PowerPoint ve Outlook gibi desteklenen Office uygulamalarında hassasiyet etiketleri kullanıcı iş akışına dahil edilebilir. Ancak özellik desteği uygulama sürümü, platform ve yapılandırmaya göre farklılık gösterebilir. Office uygulamalarında hassasiyet etiketleri
Kurumun yalnızca yönetici ekranını test etmesi yeterli değildir. Kullanıcıların belge oluşturma, düzenleme, paylaşma ve açma işlemleri de doğrulanmalıdır.
Örneğin masaüstünde çalışan bir senaryo, web veya mobil uygulamada farklı davranabilir. İş ortaklarının kullandığı uygulamalar da dış paylaşım testlerine dahil edilmelidir.
Hassasiyet etiketleri, desteklenen Teams, Microsoft 365 Groups ve SharePoint alanlarında da kullanılabilir. Bu kapsamda gizlilik, dış kullanıcı erişimi ve paylaşım gibi ortam ayarları yönetilebilir.
Ancak bir çalışma alanına etiket uygulanması, içindeki bütün dosyalara aynı etiketin otomatik olarak uygulanması anlamına gelmez. Ortamı koruyan ayarlar ile dosyaya uygulanan etiket ayrı mekanizmalardır. Gruplar ve siteler için hassasiyet etiketleri
Örneğin “Gizli” olarak etiketlenen bir proje alanından indirilen belgenin şifreli olacağı varsayılmamalıdır. Belgenin kendi etiketleme ve koruma durumu ayrıca değerlendirilmelidir.
Bu ayrım, kurumun paylaşım beklentileriyle teknik yapılandırmanın uyumlu olmasını sağlar.
10. Yerel Dosya Kaynakları Nasıl Değerlendirilir?
Information Protection kapsamı yalnızca kullanıcıların Office uygulamalarındaki işlemlerinden oluşmaz. Microsoft Purview Information Protection scanner, desteklenen yerel veri depolarındaki dosyaların keşfedilmesi ve etiketleme çalışmalarında kullanılabilir.
Tarayıcının erişeceği kaynaklar, çalışma izinleri, desteklenen dosya türleri ve uygulanacak davranışlar ayrıca yapılandırılır. Information Protection scanner
Bu nedenle bütün yerel dosya sunucularının Purview’a otomatik olarak dahil olduğu varsayılmamalıdır.
Hibrit ortamlarda veri kaynaklarını ayrı değerlendirme yaklaşımını Supervisory Review Hibrit ve Karşılaştırma makalemizde de ele almıştık.
11. Information Protection ile DLP Arasındaki İlişki
Information Protection ve DLP, ilişkili ancak farklı kontrol ihtiyaçlarını karşılar.
Information Protection, içeriğin sınıflandırılması ve uygun koruma ayarlarının uygulanmasına odaklanır. DLP ise belirli veri kullanım ve paylaşım davranışlarını politika koşullarıyla değerlendirir.
Örneğin bir belge “Gizli” etiketi taşıyabilir. Kurum ayrıca bu belgenin belirli alıcılara paylaşılması veya belirli yöntemlerle aktarılması hakkında DLP kuralları oluşturabilir.
Etiket, politika kararında kullanılabilecek bir bilgi sağlar. Ancak yalnızca etiket uygulanması, bütün paylaşım davranışlarının yönetildiği anlamına gelmez.
DLP yaklaşımının temelini Exchange Server Data Loss Prevention makalemizde açıklamıştık. Purview DLP bölümünde bu ilişkiyi daha ayrıntılı inceleyeceğiz.
12. Etiketleme, Saklama ve Hukuki Koruma
Bir belgenin hassasiyet etiketi taşıması, saklama süresinin belirlendiği veya hukuki koruma altına alındığı anlamına gelmez.
Kurumun sınıflandırma, saklama ve inceleme kararları ayrı değerlendirilmelidir. Aynı belge hassasiyet etiketiyle korunurken uygun saklama kurallarıyla yönetilebilir; bir inceleme kapsamında ayrıca koruma ihtiyacı ortaya çıkabilir.
Veri yaşam döngüsünün temelini Exchange Server Messaging Records Management makalemizde ele almıştık. İnceleme kapsamındaki koruma kararlarını ise Supervisory Review Dava Yönetimi bölümünde açıklamıştık.
Bu mekanizmaların kurum politikalarında ayrı amaçlarla tanımlanması gerekir.
13. Kurumlar İçin Uygulama Senaryoları
13.1 Personel Belgeleri
İnsan kaynakları belgeleri belirli görevli kişilerle sınırlandırılabilir. Etiketin kimlere erişim sağlayacağı, yedek sorumlular ve dış hizmet sağlayıcılarla paylaşım ihtiyacı birlikte değerlendirilmelidir.
Öneri: Bir kişinin görev değişikliğinin erişim sürekliliğini nasıl etkileyeceği başlangıçta planlanmalıdır.
13.2 İş Ortağıyla Paylaşılan Sözleşmeler
Sözleşmenin kurum dışındaki belirli kişiler tarafından görüntülenmesi veya düzenlenmesi gerekebilir.
Öneri: İç ve dış kullanıcıların ihtiyaçları ayrı tanımlanmalı; kimlik doğrulama, uygulama desteği ve paylaşım deneyimi pilot çalışmada test edilmelidir.
13.3 Ürün Tasarımları ve Proje Belgeleri
Proje içerikleri dar bir ekip tarafından kullanılırken diğer iş birimleri yalnızca belirli çıktılara ihtiyaç duyabilir.
Öneri: Proje alanının erişim ayarlarıyla belgelerin etiket ve şifreleme ayarları birlikte değerlendirilmelidir.
13.4 Kurum Genelinde Etiketleme
Kurum, bütün çalışanların içerik hassasiyetini belirtmesini isteyebilir.
Öneri: Etiket sayısı anlaşılır tutulmalı; kullanıcıların günlük iş örnekleriyle seçim yapması sağlanmalıdır. Zorunlu veya otomatik davranışlar, test sonuçlarına göre devreye alınmalıdır.
14. Başlangıç ve İşletim Planı
Information Protection çalışması için aşağıdaki sıra izlenebilir:
- Veri kategorilerini tanımlamak: Hangi bilgiler hangi hassasiyet seviyesinde?
- İş sahiplerini belirlemek: Sınıflandırma ve paylaşım kararlarından kim sorumlu?
- Etiket yapısını tasarlamak: Adlar, açıklamalar ve kapsamlar nasıl olacak?
- Koruma davranışlarını belirlemek: İşaretleme, şifreleme ve kullanım hakları ne sağlayacak?
- Yayımlama planını hazırlamak: Hangi kullanıcılar hangi politikaları alacak?
- Pilot uygulama yapmak: İç ve dış kullanıcı senaryoları nasıl sonuçlanıyor?
- Kullanıcıları bilgilendirmek: Etiket seçimi ve erişim sorunları nasıl yönetilecek?
- Değişiklikleri takip etmek: Etiketler, politikalar ve kullanıcı kapsamı ne zaman gözden geçirilecek?
Etiketin silinmesi veya ayarlarının değiştirilmesi, daha önce etiketlenmiş bütün içeriklerin aynı anda yeni duruma geçtiği varsayımıyla yapılmamalıdır. Mevcut içeriklere ve şifreleme davranışına etkisi ayrıca değerlendirilmelidir.
Rol ve erişim sorumluluklarının belirlenmesinde Supervisory Review Güvenlik ve Yetkilendirme makalesindeki ilkelerden yararlanılabilir.
15. Information Protection’dan Data Loss Prevention’a
Exchange Server Compliance Management etiketi altındaki çalışmalarımızda olduğu gibi Purview’da da veri koruma, teknik özelliklerle kurumsal kararların birlikte uygulanmasına dayanır.
Hassasiyet etiketi, içeriğin nasıl değerlendirildiğini belirtir. Yapılandırılan koruma ayarları ise bu kararın erişim ve kullanım davranışlarına yansımasını sağlar.
Kurumun başarılı bir uygulama için anlaşılır etiketler oluşturması, kullanıcı senaryolarını test etmesi ve paylaşım ihtiyaçlarını koruma kurallarıyla birlikte değerlendirmesi gerekir.
Bir sonraki bölümde bu koruma yaklaşımını, hassas verinin kullanım ve paylaşım davranışlarını yöneten DLP politikalarıyla tamamlayacağız.
