Kurumsal e-posta sistemleri; müşteri bilgilerini, çalışan verilerini, iş kararlarını ve önemli yazışmaları bir arada barındırır. Bu içeriklerin denetim veya inceleme amacıyla araştırılması gerektiğinde, yalnızca doğru veriyi bulmak yeterli değildir. Veriye kimlerin erişebildiği, hangi kapsamda inceleme yapıldığı ve sonuçların nasıl paylaşıldığı da önem taşır.
Exchange Server eDiscovery, bu çalışmaların teknik altyapısını destekler. Ancak güvenli ve denetlenebilir bir süreç için teknik yeteneklerin; onay mekanizmaları, erişim kuralları, mahremiyet ilkeleri ve kurumsal politikalarla birlikte uygulanması gerekir.
Exchange Server eDiscovery Mimari Yapı ve Çalışma Prensipleri makalemizde arama, koruma ve dışa aktarım bileşenlerini incelemiştik. Bu yazıda ise bu yeteneklerin hangi güvenlik ve yönetişim koşulları altında kullanılacağını ele alıyoruz.
Ayrıca Exchange Server ile Microsoft Purview arasındaki kapsam farklarını ve SIEM, DLP, IRM gibi tamamlayıcı teknolojilerin sürece nasıl katkı sağlayabileceğini kavramsal düzeyde değerlendiriyoruz.
1. Güvenlik, Yönetişim ve Uyum Boyutu
eDiscovery yetkileri, hassas içeriklerin bir arada incelenmesine olanak verebilir. Bu nedenle arama yapabilmek kadar, bu yetkinin hangi amaçla ve hangi sınırlar içinde kullanılacağını belirlemek de gereklidir.
Temel yaklaşım; talebi tanımlamak, uygun kapsamı belirlemek, işlemleri yetkili kişilere yaptırmak ve sonuçların kullanımını kontrol altında tutmaktır.
1.1 En Az Ayrıcalık, Görev Ayrımı ve Onay Süreçleri
En az ayrıcalık ilkesi, kişilere yalnızca görevlerini gerçekleştirmeleri için gereken erişimlerin verilmesini ifade eder. Bir kişinin sistemi yönetmesi, her incelemenin içeriğine erişmesi gerektiği anlamına gelmez.
Benzer şekilde, arama yapmaya yönelik teknik yetki ile belirli bir araştırmayı yürütmek için verilen kurumsal onay birbirinden ayrılmalıdır.
Örneğin yetkili bir denetim kapsamında, belirli bir müşteri işlemine ait yazışmaların araştırıldığını düşünelim. Süreç aşağıdaki sorumluluklarla düzenlenebilir:
- Talep sahibi: Araştırılacak konuyu, ilgili dönemi ve beklenen çıktıyı açıklar.
- Onaylayan birim: Talebin gerekçesini, kapsamını ve uygulanacak koşulları değerlendirir.
- Yetkili uygulayıcı: Onaylanan kapsam doğrultusunda aramayı gerçekleştirir.
- İnceleme ekibi: Sonuçların taleple ilgisini ve paylaşılabilecek içeriği değerlendirir.
- Teslim sorumlusu: Çıktının doğru kişilere, belirlenen yöntemle ulaştırılmasını sağlar.
Bu görevlerin tamamının farklı kişiler tarafından yürütülmesi her kurumda mümkün olmayabilir. Ancak sorumluluklar açıkça belirlenmeli; hassas işlemlerde ek kontrol veya ikinci onay ihtiyacı değerlendirilmelidir.
Bu onay sürecinin ürün tarafından kendiliğinden oluşturulduğu varsayılmamalıdır. Kurumun iş akışları ve kayıtlarıyla desteklenmesi gerekir.
1.2 Denetim Kayıtları ve Chain of Custody
Denetim kayıtları, belirli işlemlerin kim tarafından ve ne zaman yapıldığının araştırılmasına yardımcı olur. Ancak kayıtların kapsamı, kullanılan platforma, sürüme ve yapılandırmaya bağlıdır.
Bu nedenle her eDiscovery işleminin bütün ayrıntılarıyla otomatik kaydedildiği varsayılmamalı; kurumun ihtiyaç duyduğu izlerin gerçekten oluştuğu doğrulanmalıdır.
Chain of Custody, verinin toplanmasından teslimine kadar geçtiği aşamaların ve sorumluların belgelenmesini ifade eder. Sistem günlükleri bu zincirin bir parçasıdır; tamamı değildir.
Örneğin Exchange’ten dışa aktarılan bir dosyanın daha sonra hangi bilgisayara kopyalandığı veya kime teslim edildiği, ayrıca kayıt altına alınması gereken bilgiler olabilir.
Talep ve onay bilgileri, arama kapsamı, hazırlanan çıktı, erişen kişiler ve teslim yöntemi birlikte belgelendiğinde, incelemenin nasıl yürütüldüğü daha açık şekilde anlatılabilir.
1.3 Çalışan Mahremiyeti, Orantılılık ve Şeffaflık
Bir inceleme yürütülmesi, çalışanların bütün yazışmalarının sınırsız biçimde araştırılmasını veya paylaşılmasını gerektirmez. Arama kapsamı, değerlendirilmiş amaçla bağlantılı ve ölçülü olmalıdır.
Örneğin belirli bir tedarikçi işlemi araştırılırken, ilgili çalışanların bütün geçmiş yazışmalarını geniş bir ekiple paylaşmak gereksiz veri erişimi oluşturabilir. İlgili kişiler, tarih aralığı ve konu üzerinden kapsam belirlemek daha kontrollü bir başlangıç sağlar.
Arama sonuçlarında başka çalışanlara, müşterilere veya incelemeyle ilgisi olmayan kişilere ait bilgiler bulunabilir. Sonuçların tamamı, yalnızca teknik olarak erişilebilir olduğu için paylaşılmamalıdır.
Çalışanların bilgilendirilmesi, incelemenin hukuki dayanağı ve uygulanacak erişim koşulları, ilgili mevzuat ve somut olay dikkate alınarak hukuk, insan kaynakları ve uyum ekipleriyle değerlendirilmelidir.
1.4 Regülasyon Gereksinimlerinin Sürece Yansıtılması
KVKK, uygulanabildiği durumlarda GDPR ve ilgili sektörel düzenlemeler; kişisel verilerin işlenmesi, erişimi, güvenliği ve saklanması bakımından farklı yükümlülükler doğurabilir. Her düzenlemenin her kuruma aynı şekilde uygulandığı varsayılmamalıdır.
eDiscovery, kurumun ilgili verileri bulmasına ve değerlendirmesine yardımcı olur. Ancak hangi içeriğin korunacağına, paylaşılacağına veya silineceğine tek başına karar vermez.
Örneğin bir kişisel veri başvurusunu yanıtlarken, bulunan e-postaların tamamının başvuru sahibine gönderilmesi gerekmeyebilir. Talebin kapsamı ve başka kişilerin hakları değerlendirilerek uygun yanıt hazırlanmalıdır.
Dolayısıyla eDiscovery özelliğinin etkin olması, tek başına mevzuata uyum sağlandığını göstermez. Teknoloji, kurumun değerlendirme ve kontrol süreçlerini destekler.
1.5 Sınır Ötesi Veri Aktarımı ve Veri Konumu
Bir incelemede verinin nerede tutulduğu kadar, kimlerin nereden eriştiği ve çıktıların nereye gönderildiği de önemlidir.
Bu konular üç ayrı senaryo üzerinden değerlendirilebilir:
- Barındırma: Verinin veya inceleme kopyalarının hangi ülkede ve hizmette tutulduğu.
- Uzaktan erişim: Başka bir ülkedeki ekip veya hizmet sağlayıcının içeriğe erişmesi.
- Teslim ve aktarım: Çıktıların yurt dışındaki bir inceleme ekibine veya platforma gönderilmesi.
Örneğin posta kutuları kurum içinde tutulsa bile, dışa aktarılan dosyanın yurt dışındaki bir inceleme hizmetine gönderilmesi ayrıca değerlendirilmelidir.
Bu işlemlerin aktarım niteliği, uygulanabilir koşulları ve gerekli güvenceleri ilgili mevzuata göre belirlenmelidir. Yalnızca verinin bulunduğu sunucuya bakmak, bütün süreci açıklamak için yeterli değildir.
2. Dışa Aktarılan Verinin Güvenliği
Arama tamamlandığında, verinin korunmasına ilişkin sorumluluk sona ermez. Dışa aktarılan dosya, kaynak sistemin dışına çıkan yeni bir kopyadır ve ayrıca yönetilmelidir.
2.1 Güvenli Depolama ve Erişim
Çıktılar, erişimi sınırlandırılmış ve kurumun güvenlik koşullarına uygun bir konumda tutulmalıdır. Ortak kullanılan, erişimi belirsiz klasörler veya kontrolsüz kişisel cihazlar inceleme verileri için uygun olmayabilir.
Dosyanın kimler tarafından görüntülenebileceği, indirilebileceği veya başka bir yere kopyalanabileceği belirlenmelidir. Şifreleme ve erişim kayıtları gibi kontroller, kullanılan altyapının yeteneklerine göre uygulanmalıdır.
PST biçiminde dışa aktarım, dosyanın kendiliğinden güvenli veya değiştirilemez olduğu anlamına gelmez. Dosya biçimi ile güvenlik kontrolü ayrı konulardır.
2.2 Kontrollü Teslim ve Kopya Yönetimi
Örneğin bir denetim çıktısı hukuk ekibine teslim edilecekse, alıcılar ve aktarım yöntemi önceden belirlenmelidir. Dosyayı geniş bir e-posta grubuna göndermek, gereksiz kopyalar oluşturabilir.
Teslim edilen sürüm, teslim tarihi ve alıcı bilgileri kaydedilmelidir. Çalışma sırasında oluşan geçici kopyaların nerede bulunduğu da takip edilmelidir.
İnceleme tamamlandığında erişimler ve kopyalar yeniden değerlendirilmelidir. Silme veya saklamaya devam etme kararı; devam eden koruma gerekçeleri, kurum politikaları ve ilgili yükümlülükler dikkate alınarak verilmelidir.
3. Exchange Server ve Microsoft Purview Arasındaki Kapsam Farkları
Exchange Server’ın yerel In-Place eDiscovery özellikleri ile Microsoft Purview eDiscovery aynı hizmet değildir. Kullanılan veri kaynakları, yönetim araçları, yetkiler ve lisans koşulları farklılık gösterir.
3.1 Kurum İçi Exchange Server
Exchange Server’ın yerel eDiscovery yetenekleri, desteklenen Exchange içeriklerinde arama, koruma ve sonuç toplama süreçlerini destekler. Ana posta kutuları, arşiv posta kutuları ve desteklenen ortak klasör içerikleri bu çerçevede değerlendirilir.
Altyapının işletilmesi, kapasite, güncelleme ve güvenlik sorumlulukları kurumun işletme modeli içinde karşılanır. Gerekli kullanıcı ve erişim lisansları ayrıca kontrol edilmelidir.
Bu yapının mimari ayrıntıları, Exchange Server eDiscovery Mimari Yapı ve Çalışma Prensipleri makalemizde ele alınmıştır.
3.2 Microsoft Purview eDiscovery
Microsoft Purview eDiscovery, Microsoft 365 tarafındaki desteklenen içeriklerin araştırılması için kullanılır. Exchange Online ile birlikte SharePoint Online, OneDrive ve Microsoft Teams gibi hizmetlerdeki ilgili veriler de kapsamda değerlendirilebilir.
Dosya bazlı çalışma, inceleme kümeleri, filtreleme ve analiz gibi yeteneklerin kullanılabilirliği; ilgili özelliğe, lisansa ve verilen yetkilere bağlıdır. Bütün Microsoft 365 aboneliklerinin aynı eDiscovery yeteneklerini sunduğu varsayılmamalıdır.
Ürün adları ve özellik kapsamları zaman içinde değişebildiğinden, bir geçiş veya tasarım kararı öncesinde güncel hizmet açıklamaları kontrol edilmelidir.
3.3 Hibrit Ortamda Arama ve Koruma
Hibrit Exchange yapısının kurulmuş olması, kurum içindeki ve buluttaki posta kutularının otomatik olarak tek bir eDiscovery aramasında kapsandığı anlamına gelmez.
Güncel desteklenen yaklaşımda, kurum içindeki posta kutuları için Exchange Server’ın yerel eDiscovery araçları; Exchange Online içeriği için Microsoft Purview kullanılır. Önceki çapraz ortam arama yeteneklerine dayanılarak güncel tasarım yapılmamalıdır.
Örneğin bir denetim kapsamındaki çalışanların bir bölümü kurum içinde, bir bölümü bulutta bulunuyorsa; aramalar ve gerekli koruma işlemleri ilgili ortamlar için ayrı planlanmalı, sonuçlar aynı inceleme talebi altında ilişkilendirilmelidir.
İncelemenin kaydı, hangi kaynakların hangi araçlarla araştırıldığını ve kapsam dışında kalan alanları açıkça göstermelidir.
3.4 Maliyet ve İşletme Sorumlulukları
Bulut hizmeti kullanılması, kurumun bütün güvenlik ve işletme sorumluluklarını ortadan kaldırmaz. Yetkilendirme, politika yönetimi, inceleme süreçleri, çıktı güvenliği ve kullanıcı lisansları kurum tarafından ele alınmaya devam eder.
Toplam maliyet değerlendirmesinde lisans, geçiş, depolama, veri aktarımı, eğitim, entegrasyon ve işletme giderleri birlikte düşünülmelidir. Bir modelin her kurum için daha ucuz veya daha güvenli olduğu peşinen söylenemez.
Platform seçimi ve uzun vadeli yatırım kararları, serinin stratejik yaklaşım makalesinde ayrıca değerlendirilmektedir.
4. Alternatif ve Tamamlayıcı Platformlarla İlişki
Bir kurumun bütün inceleme ihtiyaçlarını tek bir ürünle karşılaması gerekmeyebilir. Veri toplama, uzun süreli saklama ve ayrıntılı inceleme aşamalarında farklı platformlar birlikte kullanılabilir.
4.1 Kurumsal Arşivleme Platformları
Enterprise Vault, Proofpoint, Mimecast ve Smarsh gibi ürün aileleri, arşivleme ve iletişim kayıtlarının yönetimi alanında değerlendirilebilecek örneklerdir. Ancak destekledikleri kaynaklar, dağıtım modelleri ve inceleme yetenekleri ürün ve sürüme göre değişir.
Seçim yapılırken aşağıdaki sorular cevaplanmalıdır:
- İhtiyaç duyulan e-posta ve diğer iletişim kaynakları destekleniyor mu?
- Veriler hangi yöntemle toplanıyor ve hangi sistemde tutuluyor?
- Saklama, koruma ve erişim kuralları nasıl uygulanıyor?
- İnceleme için hangi biçimlerde çıktı alınabiliyor?
- Mevcut sistemlerden veri taşımanın maliyeti ve kapsamı nedir?
Bir ürünün kullanılması, geçmişte toplanmamış verileri otomatik olarak tamamlamaz veya bütün regülasyon gereksinimlerini kendiliğinden karşılamaz.
4.2 İnceleme ve Analiz Platformları
Relativity ve Nuix gibi platformlar, toplanan içeriklerin işlenmesi, incelenmesi ve analiz edilmesi için değerlendirilebilir.
Örneğin farklı kaynaklardan elde edilen büyük bir veri kümesinde, ilgili içeriklerin etiketlenmesi, tekrarların değerlendirilmesi ve inceleme ekipleri arasında görev paylaşımı yapılması gerekebilir.
Bu tür bir aktarımda yalnızca dosyaların açılabilmesi yeterli değildir. Desteklenen biçimler, üst verilerin korunması, hata raporları ve kaynakla ilişkilendirme bilgileri kontrol edilmelidir.
Bir dosyanın dışa aktarılmış olması, her inceleme platformuna kayıpsız veya ek işlem gerektirmeden alınabileceğini göstermez.
5. SIEM, DLP ve IRM Entegrasyon Noktaları
Bu teknolojiler eDiscovery ile aynı görevi yapmaz. Farklı aşamalarda gözlem, önleme veya erişim kontrolü sağlayarak süreci destekleyebilirler.
5.1 SIEM: Güvenlik İzleme ve Olay İlişkilendirme
SIEM sistemleri, uygun kaynaklardan alınan güvenlik ve denetim kayıtlarını merkezi olarak değerlendirmeye yardımcı olur. Kullanılabilir günlüklerin toplanması için desteklenen bağlayıcılar, günlük toplama yöntemleri veya ilgili arabirimler gerekebilir.
Örneğin eDiscovery yetkisi verilmesiyle aynı dönemde gerçekleşen şüpheli oturum açma olayları birlikte incelenebilir. Dosya erişim kayıtları mevcutsa, inceleme çıktılarının beklenmedik erişimleri de araştırılabilir.
Burada aktarılan veri çoğunlukla olay ve işlem kayıtlarıdır. Bütün e-posta içeriklerinin SIEM’e gönderilmesi veya her aramanın otomatik olarak alarm üretmesi beklenmemelidir.
5.2 DLP: Hassas Verinin Paylaşımını Kontrol Etmek
DLP, desteklenen konum ve kanallarda hassas verilerin uygunsuz paylaşımını tespit etmeye veya önlemeye yardımcı olur. eDiscovery ise belirli bir inceleme için ilgili veriyi araştırır.
Örneğin bir incelemede müşteri bilgilerinin kontrolsüz paylaşıldığı görülürse, bu bulgu ilgili DLP politikalarının gözden geçirilmesine girdi sağlayabilir. Ancak eDiscovery sonucunun otomatik olarak bir DLP kuralına dönüştüğü varsayılmamalıdır.
Dışa aktarılan bir dosyanın e-posta, uç nokta veya başka bir kanal üzerinden paylaşılması sırasında DLP uygulanıp uygulanamayacağı da kullanılan çözümün kapsamına bağlıdır.
5.3 IRM ve Bilgi Koruma: Kullanım Yetkilerini Sınırlandırmak
IRM ve ilişkili bilgi koruma özellikleri, desteklenen içeriklerde görüntüleme, kopyalama veya paylaşım gibi kullanım haklarının sınırlandırılmasına yardımcı olabilir.
Ancak bu kontrollerin bütün dosya biçimlerine aynı şekilde uygulanabildiği düşünülmemelidir. Özellikle bir PST çıktısının, içindeki bütün mesajlarla birlikte otomatik olarak hak yönetimi korumasına girdiği varsayılmamalıdır.
İnceleme çıktıları için dosya şifreleme, güvenli depolama, alıcı doğrulama ve erişim sınırlaması gibi kontroller birlikte değerlendirilmelidir. Seçilen yöntemin, yetkili inceleme ekibinin çalışmasını engellemeden uygulanabildiği de doğrulanmalıdır.
6. Sonuç
Exchange Server eDiscovery’nin güvenli kullanımı, yalnızca arama yetkisi vermek veya sonuçları dışa aktarmakla tamamlanmaz. Talebin onaylanması, kapsamın sınırlandırılması, çalışan ve müşteri mahremiyetinin gözetilmesi, çıktıların korunması ve teslim sürecinin belgelenmesi gerekir.
Microsoft Purview, kurumsal arşivleme platformları, inceleme araçları ve SIEM, DLP, IRM gibi teknolojiler bu yapıyı farklı yönlerden destekleyebilir. Ancak her bağlantının veri kapsamı, destek koşulları ve sorumlulukları açıkça belirlenmelidir.
Bu yaklaşım, kurumun denetim ve inceleme taleplerine daha kontrollü yanıt vermesine yardımcı olur. Uyumun sürdürülebilirliği ise ürün özellikleriyle birlikte kurumun politikalarına, uygulamalarına ve düzenli kontrollerine bağlıdır.
Konunun temel kavramları için Exchange Server eDiscovery Nedir? makalemizi; teknik bileşenlerin ilişkisi için Exchange Server eDiscovery Mimari Yapı ve Çalışma Prensipleri makalemizi inceleyebilirsiniz.
Platform seçimi, başarı ölçümü ve gelişim planı ise Exchange Server eDiscovery Stratejik Yaklaşım ve Gelecek Perspektifi makalemizin konusudur.
