Microsoft Purview Communication Compliance, kurumsal iletişimlerde tanımlanan politika koşullarına uyan içeriklerin belirlenmesini ve yetkili kişiler tarafından incelenmesini destekler. İletişim kaynakları, algılama koşulları ve inceleme iş akışı birlikte yapılandırılır.
Kurumlar e-posta, sohbet ve farklı iş birliği araçları üzerinden yoğun iletişim yürütür. Bu iletişimlerin belirli kurumsal standartlar doğrultusunda değerlendirilmesi gerekebilir. Ancak bütün mesajların aynı kapsamda ele alınması veya teknik eşleşmelerin doğrudan ihlal kabul edilmesi doğru bir yaklaşım değildir.
Önceki Supervisory Review serimizde iletişim gözetiminin süreç, rol, güvenlik ve denetim boyutlarını ayrıntılandırmıştık. Bu bölümde ise aynı ihtiyacın Microsoft Purview Communication Compliance üzerinde nasıl karşılandığını inceleyeceğiz ve bu makalemiz içinde aşağıda ki başlıkları paylaşacağız.
1. Microsoft Purview Communication Compliance Nedir?
Communication Compliance, desteklenen iletişimlerde potansiyel riskleri belirlemeye ve bunları inceleme sürecine almaya yardımcı olan bir Purview çözümüdür.
Hazır veya özel politikalarla belirlenen koşullar değerlendirilir. Eşleşen içerikler, görevlendirilen inceleyiciler tarafından araştırılarak uygun işlem uygulanabilir. Microsoft Purview Communication Compliance hakkında
Kurumsal iletişim kurallarına aykırı olabilecek ifadeler, hassas bilgi paylaşımı veya belirli gözetim ihtiyaçları bu kapsamda değerlendirilebilir.
Ancak bir mesajın politikayla eşleşmesi, ihlalin kesinleştiğini göstermez. Mesajın bağlamı, iş amacı ve ilgili diğer bilgiler yetkili kişiler tarafından değerlendirilmelidir.
2. Supervisory Review ile Arasındaki İlişki
Supervisory Review, iletişimlerin belirlenmiş kurallar ve sorumluluklar doğrultusunda incelenmesini ifade eden gözetim yaklaşımıdır. Communication Compliance ise bu yaklaşımı destekleyebilen ürün yetenekleri sağlar.
Kurumun neden inceleme yapacağını, kimlerin görevli olacağını ve hangi kararların alınabileceğini süreç tanımlar. Ürün yapılandırması, bu hedefin desteklenen kaynaklarda uygulanmasına yardımcı olur.
Bu nedenle Communication Compliance’ın etkinleştirilmesi, gözetim sürecinin bütün kurumsal kararlarının tamamlandığı anlamına gelmez.
Kavramsal temel için Exchange Server Supervisory Review Nedir, operasyonel sorumluluklar için ise Süreç ve Roller makalelerimizden yararlanılabilir.
3. Hangi İletişim Kaynakları İncelenebilir?
Communication Compliance; Exchange Online, Teams, Viva Engage ve desteklenen Copilot veya yapay zekâ etkileşimleri gibi kaynakları kapsayabilir. Uygun bağlantılarla belirli üçüncü taraf iletişimleri de değerlendirilebilir.
Kanalın desteklenmesi, içindeki bütün içerik türlerinin aynı kapsamda işlendiği anlamına gelmez. Mesaj, ek, bağlantılı dosya ve diğer içeriklerin desteği ayrı doğrulanmalıdır. Communication Compliance kanal desteği
| Kaynak | İnceleme alanı | Değerlendirme noktası |
|---|---|---|
| Exchange Online | Politika kapsamındaki e-postalar ve desteklenen ekler | Posta kutusu, kullanıcı ve iletişim yönü kapsamı doğrulanmalıdır. |
| Microsoft Teams | Desteklenen sohbet ve kanal iletişimleri | Kullanıcı, kanal ve içerik türlerinin kapsamı birlikte değerlendirilmelidir. |
| Viva Engage | Desteklenen özel mesajlar ve topluluk iletişimleri | Hizmet hazırlığı ve kanal gereksinimleri kontrol edilmelidir. |
| Copilot ve diğer yapay zekâ kaynakları | Desteklenen istem ve yanıt etkileşimleri | Uygulama desteği, veri toplama hazırlığı ve ücretlendirme ayrı doğrulanmalıdır. |
| Üçüncü taraf iletişimleri | Desteklenen bağlantılarla alınan iletişim verileri | Bağlantının veri kapsamı ve aktarım sürekliliği test edilmelidir. |
Yerel Exchange Server ortamındaki bütün e-postaların otomatik olarak kapsandığı varsayılmamalıdır. Teams desteğiyle yerel posta kutusundaki e-postaların incelenmesi de aynı konu değildir.
Bu mimari ayrımı Supervisory Review Hibrit ve Karşılaştırma makalemizde ele almıştık.
4. Politika Hangi Kararları İçerir?
Communication Compliance politikasında inceleme amacı, kullanıcı kapsamı, iletişim kaynakları, koşullar ve reviewer atamaları belirlenir.
Hazır şablonlar başlangıç sağlayabilir. Özel politikalarla kurumun ihtiyacına uygun koşullar oluşturulabilir. Desteklenen kapsamda anahtar kelimeler, hassas bilgi türleri ve sınıflandırıcılardan yararlanılabilir. Communication Compliance politikaları
Örneğin kurumun amacı şöyle tanımlanabilir:
“Belirli müşteri iletişimlerinde, kurumun kabul edilebilir iletişim standartları açısından değerlendirilmesi gereken içerikleri incelemeye almak.”
Bu hedefin teknik yapılandırmaya dönüşmesi için hangi kullanıcıların ve kaynakların dahil edileceği açıklanmalıdır.
Grup türlerinin kapsam davranışı da kontrol edilmelidir. Bir grubu seçmek, her durumda grubun bütün üyelerinin kişisel iletişimlerini aynı biçimde kapsamayabilir.
5. Örnekleme Oranı Nasıl Değerlendirilmelidir?
Politikada, koşullarla eşleşen içeriklerin incelemeye alınacak yüzdesi yapılandırılabilir. Bu oran, politikanın seçtiği eşleşmeler üzerinden değerlendirilmelidir. Politika koşulları ve inceleme yüzdesi
Örneğin belirli bir yüzde kullanılması, kurumun bütün iletişimlerinin aynı oranda incelendiği anlamına gelmez. Önce kullanıcı, kanal ve koşul kapsamı devreye girer.
Kurumun örnekleme kararında risk, inceleyici kapasitesi ve ilgili gereksinimler birlikte ele alınmalıdır. Her kurum için geçerli tek bir zorunlu yüzde bulunduğu varsayılmamalıdır.
Ayrıca düşük inceleme hacmi, düşük riskin kesin göstergesi değildir. Politika kapsamının veya koşulların yetersiz olması da az sayıda bulgu oluşturabilir.
6. Sınıflandırıcılar ve Dil Desteği
Sınıflandırıcılar, belirli iletişim özelliklerinin tanınmasına yardımcı olabilir. Ancak sonuçları kullanıcının niyetini kesin olarak belirleyen kararlar şeklinde değerlendirilmemelidir.
Kurumun dil, sektör terimleri ve iletişim alışkanlıklarını temsil eden testler yapması gerekir. Alıntılanan bir ifade, eğitim örneği veya müşteri şikâyeti farklı bağlamlar oluşturabilir.
Dil ve algılama desteği seçilen sınıflandırıcıya göre doğrulanmalıdır. İnceleyiciye sunulan çeviri özelliği, algılama mekanizmasının aynı dil desteğine sahip olduğunu tek başına göstermez.
Hassas veri tanıma kalitesi ve yanlış eşleşmeler, politika geliştirme çalışmasının düzenli parçası olmalıdır.
7. İnceleme ve İşlem Akışı
Politika eşleşmeleri, yetkili inceleyicilerin değerlendireceği bulgular oluşturur. İnceleme sırasında mesaj ayrıntıları, desteklenen bağlam bilgileri ve ilgili geçmiş işlemler değerlendirilebilir.
Uygun kapsamda etiketleme, başka inceleyiciye yönlendirme, kullanıcıya bildirim ve çözümleme gibi işlemler kullanılabilir. İnceleme ve iyileştirme işlemleri
Kurumun karar gerekçelerini tutarlı hale getirmesi önemlidir. “Sorun yok” veya “İnceleme gerekli” gibi sonuçların hangi koşullarda seçileceği açıklanmalıdır.
Ürün içindeki bir bulgunun çözümlenmesi, varsa insan kaynakları veya hukuki sürecin de tamamlandığı anlamına gelmez. Bu süreçlerin sahipleri ve takip yöntemi ayrıca belirlenmelidir.
8. eDiscovery’ye Aktarım
Daha kapsamlı araştırma gerektiğinde Escalate for investigation işlemiyle seçilen mesajlar için eDiscovery vakası oluşturulabilir. İlgili izinler ve ürün koşulları karşılanmalıdır. Araştırmaya yönlendirme
Bu işlem, kullanıcının bütün verilerinin otomatik olarak toplanması veya bütün ilgili kaynaklarda hold oluşturulması anlamına gelmez.
Yeni araştırmada kaynaklar, erişim yetkileri ve koruma ihtiyacı ayrıca değerlendirilmelidir. Communication Compliance bulgusunun durumuyla eDiscovery vakasının durumu da ayrı takip edilmelidir.
Bu ilişkinin süreç boyutunu Supervisory Review Dava Yönetimi makalemizde açıklamıştık.
9. Mahremiyet ve Görevlerin Ayrılması
Communication Compliance, varsayılan kullanıcı adı pseudonymization yaklaşımı, rol tabanlı erişim ve denetim kayıtları gibi mahremiyeti destekleyen kontroller sunar. Politika yapılandırma ile mesaj inceleme görevleri ayrılabilir. Communication Compliance mahremiyet yaklaşımı
Pseudonymization, bütün mesaj içeriğinin anonim hale getirildiği anlamına gelmez. Mesaj gövdesinde veya eklerde kişiyi tanımlayan bilgiler bulunabilir.
Kurum, incelemenin amacını, kapsamını, erişim gerekçelerini ve çalışanlara yönelik bilgilendirme süreçlerini kendi yükümlülükleri doğrultusunda belirlemelidir.
Görev dağılımında aşağıdaki ayrım değerlendirilebilir:
- Politika ve teknik hazırlık.
- İlk içerik değerlendirmesi.
- İleri araştırma.
- Hukuki veya idari karar.
- Sürecin denetimi.
Teknik izinler ilgili rol gruplarıyla eşleştirilmelidir. Reviewer atamaları bireysel kullanıcılar üzerinden yapılır; güncel başlangıç rehberinde reviewer’ların Exchange Online posta kutusuna sahip olması gerektiği belirtilmektedir. Başlangıç ve yapılandırma gereksinimleri
10. DLP ve Insider Risk Management ile İlişkisi
DLP, hassas verinin belirli kullanım ve paylaşım davranışlarını yönetir. Communication Compliance, iletişimlerin politika temelli inceleme sürecini destekler.
Bir müşteri listesinin dışarı gönderilmesini sınırlandırmak ile müşteri yazışmasının iletişim standartlarına uygunluğunu değerlendirmek farklı ihtiyaçlardır. DLP yaklaşımının temelini Exchange Server Data Loss Prevention makalemizde ele almıştık.
Insider Risk Management ise farklı etkinlik ve sinyallerin daha geniş risk bağlamında değerlendirilmesine yardımcı olur. Desteklenen entegrasyonlarda Communication Compliance sinyallerinden yararlanılabilir. Çözümler arasındaki ilişki
Bu ürünlerin aynı kurumsal programda bulunması, görevlerinin aynı olduğu anlamına gelmez. Her birinin kontrol hedefi ve inceleme sorumluluğu açıklanmalıdır.
11. Raporlama ve Denetim İzleri
Communication Compliance raporları; politika eşleşmeleri, inceleme etkinlikleri ve süreç eğilimlerinin değerlendirilmesini destekler. Politika ve inceleme işlemleri için denetim bilgileri de kullanılabilir. Communication Compliance raporları ve denetimi
Kurum yalnızca eşleşme sayısını takip etmemelidir. Bekleyen incelemeler, tamamlanma süreleri ve uygulanan işlemler de gözden geçirilmelidir.
Denetim kayıtlarının amacıyla mesaj içeriğinin korunması ayrı değerlendirilmelidir. Bir politika değişikliğinin kaydı, ilgili bütün iletişimlerin içerik olarak aynı süreyle tutulduğunu göstermez.
Bu ayrımı Supervisory Review Veri ve Denetim Boyutu makalemizde ele almıştık.
12. Lisanslama ve Başlangıç Hazırlığı
Kullanıcı kapsamı için uygun lisanslar, gerekli roller ve denetim hazırlığı doğrulanmalıdır. Belirli Microsoft 365 dışı yapay zekâ verileri için tüketim bazlı ücretlendirme gerekebilir; bütün kaynaklar aynı ücretlendirme koşuluna sahip değildir. Communication Compliance başlangıç rehberi
Yeni politika oluşturulması, geçmişteki bütün iletişimlerin otomatik olarak yeniden inceleneceği anlamına gelmez. Politikanın etkinleşme ve veri işleme davranışı test edilmelidir.
Kurumun teknik hazırlık kadar inceleyici kapasitesini de planlaması gerekir. Bulguların düzenli değerlendirilemediği bir yapı, hedeflenen gözetim sürecini sürdüremeyebilir.
13. Kurumlar İçin Uygulama Senaryoları
Bu senaryolarda teknik eşleşme, incelemenin başlangıcıdır. Nihai değerlendirme, kurumun yetkili karar süreciyle yapılmalıdır.
| Senaryo | İnceleme ihtiyacı | Önerilen yaklaşım |
|---|---|---|
| Müşteri İletişimleri | Belirli iletişim standartlarına uygunluğun değerlendirilmesi | Kullanıcı ve kanal kapsamı belirlenmeli; inceleyicilerin sektörel bağlamı değerlendirebilmesi sağlanmalıdır. |
| Uygunsuz İletişim İddiası | Potansiyel tehdit veya taciz içeren ifadelerin araştırılması | Dil desteği ve yanlış eşleşmeler test edilmeli; mesajlar bağlamıyla incelenmelidir. |
| Hassas Bilgi İçeren Mesajlar | Belirli bilgilerin iletişimlerde kullanımının değerlendirilmesi | Tanıma koşulları doğrulanmalı; DLP ile inceleme sürecinin görevleri ayrı belirlenmelidir. |
| İleri Araştırma Gerektiren Bulgu | İlk mesajın ötesindeki içeriklerin araştırılması | eDiscovery kapsamı, erişim ve hold ihtiyacı ayrıca değerlendirilmelidir. |
14. Başlangıç ve İşletim Planı
Communication Compliance çalışması için aşağıdaki sıra izlenebilir:
- Gözetim amacını tanımlamak: Hangi iletişim riskleri değerlendirilecek?
- Kurumsal sorumlulukları belirlemek: Politika ve inceleme kararlarını kim verecek?
- Kullanıcı ve kaynak kapsamını seçmek: Hangi iletişimler dahil edilecek?
- Algılama koşullarını doğrulamak: Dil, sınıflandırıcı ve hassas bilgi türleri uygun mu?
- İnceleme oranını planlamak: Gereksinimler ve ekip kapasitesi uyumlu mu?
- Pilot uygulama yapmak: Beklenen içerikler bulunuyor mu?
- Karar ölçütlerini hazırlamak: Bulgular nasıl değerlendirilecek ve yönlendirilecek?
- Mahremiyet ve erişimi test etmek: Yetkiler görev kapsamıyla sınırlı mı?
- Raporları gözden geçirmek: Bekleyen işler ve yanlış eşleşmeler nasıl yönetilecek?
Süreç işletimini Supervisory Review Yönetim Planı ve Gelecek makalesindeki yaklaşım üzerine kurabiliriz.
15. İletişim Gözetiminden Kurum İçi Risklere
Exchange Server Compliance Management etiketi altındaki çalışmalarımızda olduğu gibi iletişim gözetimi de teknik kontrollerle kurumsal sorumlulukların birlikte yürütülmesine dayanır.
Communication Compliance, belirlenen iletişimlerin politika koşullarıyla değerlendirilmesini ve yetkili kişilerce incelenmesini destekler. Başarılı kullanım için doğru kapsam, yönetilebilir bulgu hacmi ve gerekçeli kararlar gerekir.
Bir sonraki bölümde iletişimlerin ötesindeki etkinlik ve sinyalleri ele alarak Insider Risk Management çözümünü inceleyeceğiz.
