Microsoft Purview Compliance Manager, kurumun uyum çalışmalarını değerlendirmeler, kontroller ve iyileştirme görevleri üzerinden takip etmesini sağlar. Sorumluların belirlenmesi, uygulama durumlarının izlenmesi ve destekleyici kanıtların kaydedilmesi bu yaklaşımın önemli parçalarıdır.
Bir kurumda güvenlik ve uyum araçlarının bulunması, bütün gereksinimlerin karşılandığını tek başına göstermez. Hangi kontrolün neden uygulandığı, kim tarafından işletildiği ve çalıştığının nasıl doğrulandığı da açıklanmalıdır.
Önceki bölümlerde veri koruma, iletişim incelemesi ve kurum içi risk araştırması gibi operasyonel çözümleri ele aldık. Bu bölümde ise bu çalışmaların kontrol ve kanıt yönetimi açısından nasıl takip edilebileceğini inceleyeceğiz.
Microsoft Purview Compliance Manager makalesi içinde aşağıda ki konu başlıklarına odaklanacağız.
1. Microsoft Purview Compliance Manager Nedir?
Compliance Manager, kurumun uyum gereksinimlerini değerlendirmesine ve bunlara yönelik çalışmaları yönetmesine yardımcı olan bir Purview çözümüdür.
Hazır veya özel değerlendirmeler üzerinden kontroller takip edilebilir. İyileştirme görevleri sorumlulara atanabilir; uygulama ve test bilgileri, açıklamalar ve kanıtlar kaydedilebilir. Microsoft Purview Compliance Manager hakkında
Örneğin kurumun belirli veriler için saklama yaklaşımı oluşturması gerekebilir. Teknik politika başka bir Purview çözümünde uygulanırken, bu çalışmanın sorumlusu ve kontrol durumu Compliance Manager’da takip edilebilir.
Bu nedenle ürünü yalnızca bir puan ekranı olarak değerlendirmek yeterli değildir. Asıl değer, gereksinimlerle yapılan çalışmalar arasında izlenebilir bir ilişki kurulmasıdır.
2. Compliance Management ile Compliance Manager Arasındaki Fark
Compliance Management, kurumun genel uyum yönetimi faaliyetlerini ifade eder. Microsoft Purview Compliance Manager ise bu faaliyetlerin belirli bölümlerini destekleyen üründür.
Uyum yönetimi; mevzuatın değerlendirilmesini, kurum politikalarının hazırlanmasını, sorumlulukların belirlenmesini ve kontrollerin işletilmesini kapsar. Ürün, bu çalışmaların düzenlenmesine yardımcı olur.
Dolayısıyla Compliance Manager’ın kullanılması, kurumun bütün uyum süreçlerinin otomatik olarak yürütüldüğü anlamına gelmez.
Bu geniş yönetim çerçevesini daha önce Exchange Server Compliance Management makalemizde ele almıştık. Yeni seride aynı yaklaşımı Purview çözümleriyle birlikte değerlendiriyoruz.
3. Assessment — Değerlendirme
Assessment, belirli bir düzenleme, standart veya politika için ilgili kontrollerin bir araya getirildiği değerlendirme yapısıdır.
Değerlendirme oluşturulurken kullanılacak şablon ve hizmet kapsamı belirlenir. Aynı düzenleme için farklı kurumsal kapsamları temsil eden değerlendirmeler oluşturulabilir. Compliance Manager değerlendirmeleri
Örneğin kurum, belirli bir gereksinimi Microsoft 365 ortamı için değerlendirirken başka bir çalışmada farklı bulut hizmetlerini de kapsama alabilir.
Burada kapsamın açıklanması önemlidir. Bir değerlendirmede ilerleme sağlanması, kapsam dışında kalan bütün sistemlerin de aynı durumda olduğunu göstermez.
Kurumun değerlendirme açıklamasında hizmetleri, sorumlu ekipleri ve sınırları belirtmesi yararlı olacaktır.
4. Regulations ve Hazır Şablonlar
Compliance Manager, farklı düzenleme ve standartlar için kontrol eşleştirmeleri içeren şablonlar sağlar. Kuruma özgü ihtiyaçlar için özel şablonlar da oluşturulabilir.
Şablonların kullanılabilirliği lisans anlaşmasına bağlıdır. Bir şablonun listede görünmesi, bütün kullanım haklarının mevcut olduğunu tek başına göstermez. Compliance Manager düzenlemeleri ve şablonları
Hazır şablon, kurumun başlangıç çalışmasını kolaylaştırır. Ancak ilgili gereksinimin kuruma uygulanıp uygulanmadığı, kapsamı ve yorumlanması ayrıca değerlendirilmelidir.
Örneğin bir düzenlemenin seçilmesi, o düzenlemedeki bütün gereksinimlerin kurumun her birimi için aynı şekilde geçerli olduğu anlamına gelmez.
Şablon, kontrol çalışmasının başlangıç noktasıdır; kuruma özgü değerlendirme ve doğrulamanın yerine geçmez.
5. Controls — Kontroller ve Paylaşılan Sorumluluk
Kontrol, bir gereksinimin nasıl karşılanacağının değerlendirilmesini sağlayan çerçevedir. Teknik ayarlar, kurumsal süreçler ve insan sorumlulukları bu kapsamda ele alınabilir.
Compliance Manager’da kontroller, Microsoft tarafından yönetilen, kurum tarafından yönetilen ve paylaşılan sorumluluk içeren yapılarla değerlendirilir. Compliance Manager temel kavramları
Bu ayrım, bulut hizmetlerinin kullanımında önemlidir. Microsoft’un hizmet altyapısıyla ilgili bir kontrolü yerine getirmesi, kurumun kullanıcı erişimi veya iç süreç sorumluluklarını ortadan kaldırmaz.
Kurum hangi görevin kendisine ait olduğunu açıkça belirlemelidir. “Hizmet sağlayıcı yönetiyor” ifadesi, kurumun kendi yapılandırmalarını doğrulama ihtiyacını karşılamaz.
6. Improvement Actions — İyileştirme Görevleri
Improvement actions, kontrollerin uygulanmasına yönelik önerilen çalışmaları takip etmek için kullanılır.
Görevler kullanıcılara atanabilir; uygulama ve test durumu, açıklamalar ve kanıtlar kaydedilebilir. Bazı görevler otomatik test ve izlemeyi desteklerken bazıları kurum tarafından manuel değerlendirme gerektirir. İyileştirme görevleriyle çalışma
Kurumun bir görevi değerlendirirken şu soruları yanıtlaması yararlı olacaktır:
- Hangi gereksinim karşılanıyor?
- Uygulamanın sahibi kim?
- Hangi sistem veya süreç değiştirilecek?
- Başarı nasıl test edilecek?
- Hangi kanıtlar saklanacak?
- Çalışma ne zaman yeniden gözden geçirilecek?
Görevin tamamlandı olarak işaretlenmesi, kontrolün her koşulda etkili çalıştığını tek başına göstermez. Uygulama ve doğrulama bilgileri birlikte bulunmalıdır.
7. Otomatik Test ve İzleme Nasıl Değerlendirilmelidir?
Compliance Manager, desteklenen iyileştirme görevlerinde Microsoft çözümlerinden ve uygun bağlantılardan gelen sinyallerle otomatik değerlendirme yapabilir.
Purview çözümleri, Microsoft Secure Score ve Defender for Cloud gibi kaynaklar bu otomasyonu destekleyebilir. Kullanılan kaynak ve değerlendirme kapsamı göreve göre değişir. Otomatik test ve izleme
Ancak otomatik test, kurumun bütün iş süreçlerinin veya hukuki yükümlülüklerinin otomatik olarak doğrulandığı anlamına gelmez.
Örneğin teknik bir ayarın varlığı tespit edilebilir. Bu ayarın kurumun bütün kullanıcılarını doğru kapsayıp kapsamadığı ve günlük süreçlerde beklenen sonucu üretip üretmediği ayrıca değerlendirilebilir.
Otomasyonun hangi koşulu test ettiği açıkça anlaşılmalıdır.
8. Evidence — Kanıt Yönetimi
Uyum çalışmalarında “kontrol uygulandı” ifadesinin desteklenmesi gerekir. Politika belgeleri, test sonuçları, yapılandırma çıktıları ve onay kayıtları kanıt olarak değerlendirilebilir.
Compliance Manager, iyileştirme görevlerinde kanıt ve açıklamaların tutulmasını destekler. Görevlerde kanıt ve durum takibi
Kurum açısından önemli olan yalnızca dosya yüklemek değildir. Kanıtın hangi kontrolü desteklediği, hangi döneme ait olduğu ve kim tarafından doğrulandığı anlaşılmalıdır.
Örneğin eski bir ekran görüntüsü, bugün geçerli yapılandırmayı göstermeyebilir. Bir politika belgesinin bulunması da politikanın uygulandığını tek başına kanıtlamaz.
Kanıtların güncelliği ve erişim yetkileri düzenli gözden geçirilmelidir. Hassas yapılandırma veya kişisel veri içeren belgelerin gereksiz kişilerle paylaşılmaması gerekir.
Denetim izlerinin önemini Supervisory Review Veri ve Denetim Boyutu makalemizde ele almıştık.
9. Compliance Score — Uyum Puanı Neyi Gösterir?
Compliance score, kontrol kapsamındaki önerilen iyileştirme görevlerinin tamamlanmasındaki ilerlemeyi ölçer. Görevlerin puana etkisi, risk azaltma potansiyellerine göre farklılaşabilir.
Puan, önceliklendirme ve ilerleme takibi için kullanılabilir. Ancak hukuki uygunluk garantisi veya bağımsız sertifikasyon sonucu değildir. Compliance Manager puanlama yaklaşımı
Örneğin yüksek puan, kurumun bütün faaliyetlerinin mevzuata uygun olduğunu göstermez. Seçilen değerlendirmeler, kapsam dışındaki sistemler ve kontrol etkinliği ayrıca ele alınmalıdır.
Kurumun hedefi yalnızca puanı artırmak olmamalıdır. Gerçek riskleri azaltan, uygulanmış ve doğrulanmış kontroller oluşturulmalıdır.
Farklı dönemlerdeki puanlar karşılaştırılırken değerlendirme kapsamının değişip değişmediği de kontrol edilmelidir. Yeni gereksinimlerin eklenmesi, aynı çalışmalar devam etse bile görünümü etkileyebilir.
10. Compliance Manager ile Secure Score Aynı mı?
İki çözüm arasında desteklenen otomasyon ilişkileri bulunabilir. Ancak Compliance Score ile Microsoft Secure Score aynı ölçüm değildir.
Compliance Manager, değerlendirme ve kontrol çalışmalarındaki ilerlemeyi takip eder. Secure Score kaynaklı sinyaller, belirli iyileştirme görevlerinin otomatik testine katkıda bulunabilir.
Kurum bu puanları birbirinin yerine kullanmamalıdır. Her puanın hangi kapsamı ve yöntemi temsil ettiği açıklanmalıdır.
Yönetim raporlarında puanın yanında tamamlanan çalışmalar, kalan riskler ve kapsam sınırlamaları da gösterilmelidir.
11. Diğer Purview Çözümleriyle İlişkisi
Compliance Manager, operasyonel ürünlerin yerine geçmez. Bu ürünlerle yürütülen çalışmaların kontrol ve kanıt boyutunu destekleyebilir.
Aşağıdaki tablo, örnek kurumsal ilişkileri göstermektedir. Satırlar, her kontrolün üründe otomatik test edildiği anlamına gelmez.
| Çalışma alanı | Operasyonel ihtiyaç | Compliance Manager açısından takip |
|---|---|---|
| Information Protection | Hassasiyet etiketleri ve koruma yaklaşımı oluşturmak | İlgili kontrolün sorumlusu, uygulama durumu ve test kanıtları |
| Data Loss Prevention | Hassas verinin kullanım ve paylaşımını yönetmek | Politika kapsamının ve doğrulama çalışmalarının takibi |
| Data Lifecycle Management | Saklama ve silme kurallarını uygulamak | Saklama kararları, uygulama sorumluluğu ve kanıtların takibi |
| Communication Compliance | İletişim inceleme sürecini yürütmek | Gözetim kontrolünün tanımı, süreç belgeleri ve doğrulama bilgileri |
| Audit ve eDiscovery | Etkinlikleri ve ilgili içerikleri araştırmak | Araştırma hazırlığına ilişkin kontrol ve test çalışmalarının takibi |
Örneğin DLP kontrolünün teknik temelini Exchange Server Data Loss Prevention makalemizde açıklamıştık. Compliance Manager açısından ise bu kontrolün sorumluluğu ve doğrulama durumu ayrıca takip edilebilir.
12. Yetkilendirme ve Görevlerin Ayrılması
Compliance Manager, rol tabanlı erişim kullanır. Okuma, katkı, değerlendirme ve yönetim görevleri için farklı erişim düzeyleri bulunur. Belirli değerlendirmeler veya düzenlemeler için erişim kapsamı oluşturulabilir. Compliance Manager başlangıç ve izinleri
Kurumun kontrolü uygulayan kişiyle test sonucunu değerlendiren kişinin sorumluluklarını ayırması yararlı olacaktır.
Örneğin teknik ekip bir politikayı yapılandırırken uyum ekibi gerekli kanıtların yeterliliğini değerlendirebilir. Kontrol sahibi ise devam eden işletimden sorumlu olabilir.
Görev ataması, kişinin ilgili teknik sistemlerde bütün yönetici yetkilerine sahip olduğu anlamına gelmez. Compliance Manager erişimiyle operasyonel ürün izinleri ayrı yönetilmelidir.
Bu yaklaşımı Supervisory Review Süreç ve Roller ve Güvenlik ve Yetkilendirme makalelerimizde ele almıştık.
13. Lisanslama ve Şablon Kapsamı
Compliance Manager’a erişim, değerlendirme yönetimi ve kullanılabilir şablonlar lisans anlaşmasına göre farklılık gösterebilir.
Premium düzenleme şablonları için ek kullanım hakları gerekebilir. Aynı düzenleme için birden fazla değerlendirme oluşturulmasıyla farklı premium şablonların etkinleştirilmesi aynı lisans ölçütü değildir. Düzenleme şablonlarının lisanslanması
Bu nedenle kurum, değerlendirme planını hazırlarken hangi şablonları kullanacağını ve mevcut haklarını kontrol etmelidir.
Şablonlara erişim hakkı, ilgili DLP veya eDiscovery gibi operasyonel çözümlerin bütün lisans gereksinimlerini otomatik olarak karşılamaz.
14. Kurumlar İçin Uygulama Senaryoları
14.1 Denetim Hazırlığı
Kurum, farklı ekiplerde bulunan kontrol bilgilerini bir araya getirmek isteyebilir.
Öneri: Kontrollerin sahipleri, geçerli kanıtlar ve test durumları ortak bir yöntemle takip edilmelidir. Denetim öncesinde yalnızca belge toplamak yerine yıl boyunca güncel kayıt tutulmalıdır.
14.2 Microsoft 365 Kontrollerinin Gözden Geçirilmesi
Veri koruma ve saklama yapılandırmalarının değerlendirilmesi gerekebilir.
Öneri: Otomatik test edilebilen görevlerle manuel doğrulama gerektiren çalışmalar ayrılmalıdır. Teknik ayarın varlığı kadar gerçek kapsamı da kontrol edilmelidir.
14.3 Birden Fazla Hizmetin Değerlendirilmesi
Kurum, aynı gereksinimi farklı bulut hizmetleri için takip etmek isteyebilir.
Öneri: Hizmet kapsamları ve sorumluluklar açıkça belirtilmeli; desteklenen bağlantılar ve otomasyon gereksinimleri doğrulanmalıdır.
14.4 Kuruma Özgü Kontrol Çerçevesi
Hazır şablonların yanında iç politika veya sözleşme gereksinimleri bulunabilir.
Öneri: Özel değerlendirme yaklaşımı, kurumun kontrol sahipleriyle birlikte hazırlanmalıdır. Gereksinimin metniyle uygulanacak görevin ilişkisi anlaşılır olmalıdır.
15. Başlangıç ve İşletim Planı
Compliance Manager çalışması için aşağıdaki sıra izlenebilir:
- Gereksinimleri belirlemek: Hangi düzenleme, standart ve kurum politikaları değerlendirilecek?
- Kapsamı açıklamak: Hangi hizmetler ve iş birimleri dahil?
- Şablonları ve lisansları doğrulamak: Gerekli değerlendirme hakları mevcut mu?
- Kontrol sahiplerini atamak: Uygulama, test ve takip sorumlulukları kimde?
- İyileştirme görevlerini önceliklendirmek: Hangi çalışmalar daha kritik riskleri azaltıyor?
- Kanıt yöntemini belirlemek: Hangi belgeler ve test sonuçları yeterli kabul edilecek?
- Otomasyonu doğrulamak: Hangi koşullar otomatik test ediliyor?
- İlerlemeyi gözden geçirmek: Geciken görevler ve kontrol eksikleri nasıl yönetilecek?
- Değişiklikleri takip etmek: Yeni gereksinimler ve sistem değişiklikleri değerlendirmelere nasıl yansıtılacak?
Süreç tamamlandıktan sonra değerlendirmeler güncelliğini korumalıdır. Kontrolün bir kez başarılı test edilmesi, değişen ortamda sürekli etkili kalacağını göstermez.
16. Uyum Çalışmalarından Veri Yönetişimine
Exchange Server Compliance Management etiketi altındaki çalışmalarımızda olduğu gibi uyum yönetimi de teknoloji, sorumluluk ve kanıtların birlikte değerlendirilmesine dayanır.
Compliance Manager, gereksinimleri kontrollere ve takip edilebilir çalışmalara dönüştürmeye yardımcı olur. Başarılı kullanım için kapsamın doğru belirlenmesi, sorumluların atanması ve kanıtların güncel tutulması gerekir.
Bir sonraki bölümde kontrol takibinden kurumsal verinin keşfedilmesi ve iş bağlamıyla yönetilmesine geçerek Data Map ve Unified Catalog çözümlerini inceleyeceğiz.
Serinin sıradaki makalesi: Microsoft Purview Data Map ve Unified Catalog.
