Kurumsal eDiscovery süreçlerinde başarı, yalnızca ilgili e-postaları bulmakla ölçülmez. Aramanın doğru kaynaklarda yapılması, gerekli içeriklerin korunması ve sonuçların kontrollü biçimde incelemeye hazırlanması da önemlidir. Exchange Server’da bu süreci; rol tabanlı yetkilendirme, içerik dizinleme, arama, Hold ve dışa aktarım bileşenleri birlikte destekler.
Exchange Server eDiscovery Nedir? makalemizde, elektronik veri keşfinin kurumsal ve regülasyon odaklı kullanımını ele almıştık. Bu yazıda ise aynı sürecin Exchange Server içerisindeki mimari yapısına ve temel çalışma prensiplerine odaklanıyoruz.
Amacımız kurulum adımlarını veya komutları ayrıntılı biçimde anlatmak değil; bir inceleme talebinin hangi bileşenlerden geçerek araştırılabilir ve değerlendirilebilir bir sonuca dönüştüğünü açıklamaktır. Microsoft 365 tarafındaki Microsoft Purview eDiscovery yetenekleri ise Exchange Server’ın yerel özelliklerinden ayrı değerlendirilmelidir.
1. Exchange Server eDiscovery Mimarisine Genel Bakış
Exchange Server eDiscovery mimarisini, birbirini tamamlayan beş temel bileşen üzerinden değerlendirebiliriz:
- Yetkilendirme: Arama ve koruma işlemlerini hangi kişilerin gerçekleştirebileceğini belirler.
- İçerik dizinleme: Desteklenen içeriklerin aranabilir hale gelmesine yardımcı olur.
- Arama kapsamı ve ölçütleri: Hangi kaynakların, hangi konu ve dönem için inceleneceğini tanımlar.
- Hold mekanizmaları: Gerektiğinde, kapsamdaki içeriklerin silinme veya değiştirilme sonrasında korunmasını destekler.
- Sonuçların toplanması ve dışa aktarılması: İlgili verilerin inceleme için hazırlanmasını sağlar.
Bu bileşenlerin her biri farklı bir sorumluluk üstlenir. Arama yapmak, tek başına içeriği korumaya almak anlamına gelmez. Benzer şekilde, bir veriyi korumak da onun incelemeyle ilgili olduğunu veya talep edilen bütün bilgilerin bulunduğunu göstermez.
1.1 Temel Çalışma Akışı
Örneğin yetkili bir denetim kapsamında, belirli bir müşteri işlemine ait yazışmaların araştırıldığını düşünelim. Genel çalışma akışı şu şekilde ilerler:
- Talep ve kapsam belirlenir: İlgili kişiler, tarih aralığı, konu ve araştırılacak kaynaklar netleştirilir.
- Yetkiler kontrol edilir: İşlemleri gerçekleştirecek kişilerin uygun rollere sahip olduğu doğrulanır.
- Koruma ihtiyacı değerlendirilir: Gerekli durumlarda, ilgili içeriklerin korunması arama çalışmalarının tamamlanması beklenmeden ele alınır.
- Arama yapılır: Belirlenen kaynaklar ve ölçütlerle ilgili içerikler araştırılır.
- Sonuçlar kontrol edilir: Aramanın kapsamı, hatalar ve ek değerlendirme gerektiren öğeler incelenir.
- İlgili içerikler toplanır: İncelemeye hazırlanacak sonuçlar uygun yöntemle kopyalanır veya dışa aktarılır.
- İşlem ve teslim bilgileri kaydedilir: Sonuçların nasıl hazırlandığı ve kimlere teslim edildiği belgelenir.
Bu akışın başlangıç noktası teknik ekran değil, açıkça tanımlanmış bir taleptir. Teknik yapı, kurumun ilgili ekiplerince belirlenen ihtiyacı uygulamaya dönüştürür.
2. Rol Tabanlı Erişim ve Discovery Management
Exchange Server, eDiscovery yetkilendirmesinde RBAC (Role-Based Access Control) modelini kullanır. Kullanıcının gerçekleştirebileceği işlemler, kendisine atanan yönetim rolleri ve bu rollerin kapsamıyla belirlenir.
Discovery Management, eDiscovery görevleri için kullanılan yerleşik rol gruplarından biridir. Bu yapı içerisinde arama ve hukuki koruma görevlerine yönelik roller bulunur. Ancak bir kişinin Exchange yöneticisi olması, bütün eDiscovery görevlerini otomatik olarak gerçekleştirebildiği anlamına gelmez.
Yetkilendirme yapılırken yalnızca bir gruba üyelik vermekle yetinilmemelidir. Kişinin arama yapması, koruma uygulaması, sonuçları görüntülemesi veya çıktı alması için gereken erişimler görevine göre değerlendirilmelidir.
- En az ayrıcalık: Kişiye, görevi için gerekli yetkiler verilmelidir.
- Görev ayrımı: Talebi onaylayan, aramayı gerçekleştiren ve sonuçları inceleyen kişiler farklı olabilir.
- Kapsam kontrolü: Teknik erişim, onaylanmış inceleme ihtiyacıyla birlikte değerlendirilmelidir.
- Gözden geçirme: Verilen yetkiler, ihtiyaç değiştiğinde veya görev sona erdiğinde yeniden kontrol edilmelidir.
Örneğin belirli bir müşteri işlemini araştıran ekibin, kurumun bütün çalışanlarına ait yazışmalara sınırsız erişmesi gerekmeyebilir. Yetki ve inceleme kapsamı, ilgili talebi karşılayacak şekilde tasarlanmalıdır.
3. İçerik Dizinleme, Arama Altyapısı ve Kapsam
3.1 İçerik Dizinleme Nasıl Çalışır?
Exchange Server In-Place eDiscovery, arama işlemlerinde Exchange Search tarafından oluşturulan içerik dizinlerinden yararlanır. Dizinleme, desteklenen içeriklerin arama sırasında daha verimli bulunmasını sağlar.
Bunu bir kitabın dizinine benzetebiliriz. Aradığımız konuyu bulmak için bütün sayfaları sırayla okumak yerine, hazırlanmış dizinden yararlanırız. Ancak dizin eksikse veya bazı içerikler işlenememişse, arama sonuçlarını değerlendirirken bunu dikkate almamız gerekir.
Arama hızı; veri miktarı, sorgunun kapsamı, dizinleme durumu ve sistem kaynakları gibi koşullara bağlıdır. Bu nedenle her ortam için aynı sürede sonuç alınacağı varsayılmamalıdır.
3.2 Hangi Kaynaklar Aranabilir?
Exchange Server içerisinde arama kapsamı; desteklenen özellikler ve yapılandırmaya göre birincil posta kutularını, arşiv posta kutularını ve ortak klasörleri (Public Folder) içerebilir.
Bu kapsam, kurumun bütün dijital verilerinin otomatik olarak aranabildiği anlamına gelmez. Dosya sunucuları, bağımsız uygulamalar veya Microsoft 365 hizmetlerinde tutulan diğer içerikler ayrıca değerlendirilmelidir.
Örneğin denetime konu bir onay e-postada bulunurken, onayın dayandığı belge farklı bir dosya sisteminde tutuluyor olabilir. Yalnızca Exchange üzerinde yapılan arama, bu belgenin bütün sürümlerini kapsamayabilir.
3.3 Arama Kapsamı ve Ölçütleri Nasıl Belirlenir?
Aramalarda ilgili posta kutuları seçilebilir; tarih aralığı, gönderici, alıcı, anahtar kelime ve öğe türü gibi ölçütlerden yararlanılabilir.
Ancak doğru ölçütler yalnızca teknik ekip tarafından tahmin edilmemelidir. İncelenen işlemi bilen ekiplerin bilgisi, arama kapsamının hazırlanmasında önem taşır.
Örneğin bir müşteri işlemi yazışmalarda hem müşteri adıyla hem de işlem numarasıyla anılıyor olabilir. Yalnızca müşteri adını aramak, ilgili bazı mesajların bulunamamasına neden olabilir. Çok genel bir kelime seçmek ise incelemeyle ilgisiz sonuçları artırabilir.
Bu nedenle ilk sonuçlar değerlendirilmeli, gerekli olduğunda ölçütler gerekçesi kaydedilerek güncellenmelidir. Bilinen bir örnek mesajın sonuçlarda bulunup bulunmadığını kontrol etmek de aramanın değerlendirilmesine yardımcı olabilir.
4. In-Place Hold, Litigation Hold ve Arşivleme İlişkisi
Bir incelemede ilgili veriyi bulmak kadar, ihtiyaç devam ederken erişilebilir kalmasını sağlamak da önemlidir. Exchange Server’daki Hold mekanizmaları, belirlenen kapsamdaki içeriklerin korunmasını destekler.
Buradaki temel ayrım şudur: Hold, kullanıcının mesaj üzerinde hiçbir işlem yapamaması anlamına gelmez. Kullanıcı bir öğeyi silebilir veya değiştirebilir; uygun koruma uygulandığında, kapsamdaki silinen içeriklerin ve değişiklik öncesi sürümlerin korunması sağlanabilir.
4.1 In-Place Hold
In-Place Hold, seçilen posta kutularındaki içerikleri korumak için kullanılabilir. Sorguya dayalı uygulandığında, belirli ölçütlere uyan öğeler hedeflenebilir.
Örneğin belirli bir denetim kapsamında, tanımlanmış döneme ve konuya ait yazışmaların korunması istenebilir. Bu yaklaşımda sorgunun doğru hazırlanması ve korumanın beklenen kapsamda çalıştığının doğrulanması önemlidir.
4.2 Litigation Hold
Litigation Hold, sorguya dayalı içerik seçimi yerine posta kutusu genelinde koruma yaklaşımı sunar. Süreli veya süresiz uygulanabilir; kapsamı ve depolama üzerindeki etkisi birlikte değerlendirilmelidir.
Hold için tanımlanan süre, yalnızca ayarın açıldığı tarihten başlayan bir sayaç gibi düşünülmemelidir. Süreli korumada öğenin alınma veya oluşturulma tarihi de belirleyicidir.
Her iki mekanizma da daha önce kalıcı olarak kaybolmuş verileri kendiliğinden geri getirmez. Bu nedenle koruma ihtiyacının zamanında değerlendirilmesi gerekir.
4.3 Arşivleme ve Saklama Politikalarıyla İlişkisi
Arşiv posta kutusu, eski mesajların erişilebilir bir alanda tutulmasına yardımcı olur. Hold ise koruma ihtiyacını karşılar. Mesajın arşivde bulunması, tek başına silinmeye karşı korunduğunu göstermez.
Posta kutusuna uygulanan ilgili Hold özellikleri, ana posta kutusuyla birlikte arşiv posta kutusunu da kapsayabilir. Saklama, taşıma ve silme kuralları bu koruma durumuyla birlikte değerlendirilmelidir.
Bir içeriğin normal saklama süresinin dolması, devam eden koruma ihtiyacı varken otomatik olarak imha edilmesi gerektiği anlamına gelmez. İmha kararı, geçerli yükümlülükler ve koruma gerekçeleri değerlendirilerek verilmelidir.
Bu özellikler, kurumun saklama ve inceleme süreçlerini destekler. Tek başlarına mevzuata uyum veya hukuki kabul garantisi oluşturmazlar.
5. Kota, Performans ve Desteklenen İçerikler
5.1 Kota ve Limitler
eDiscovery çalışmalarında arama kapsamı, eş zamanlı işlemler, sonuçların toplanacağı alan ve korunan verinin büyümesi birlikte planlanmalıdır.
Limitler; kullanılan Exchange Server sürümüne, yapılandırmaya ve gerçekleştirilen işlemin türüne bağlıdır. Bu nedenle tahmin, önizleme, kopyalama ve dışa aktarım işlemleri için tek bir genel sonuç sayısı verilmesi doğru değildir.
- Arama kapsamı: İncelemeye dahil edilen posta kutuları ve sorgunun genişliği değerlendirilmelidir.
- Sonuçların toplanacağı alan: Discovery Search Mailbox kapasitesi, yapılacak çalışma için yeterli olmalıdır.
- Korunan veri: Silinen veya değiştirilen içeriklerin korunması, ek depolama ihtiyacı oluşturabilir.
- Dışa aktarım alanı: Çıktıların yazılacağı konumun kapasitesi ve erişim izinleri kontrol edilmelidir.
Uygulama öncesinde ilgili sürümün desteklenen sınırları kontrol edilmeli; işlem sonrasında hata ve tamamlanma bilgileri incelenmelidir.
5.2 Performansı Etkileyen Faktörler
- Dizinleme durumu: İşlenemeyen veya henüz dizinlenmemiş içerikler, aramanın değerlendirilmesini etkileyebilir.
- Veri hacmi: Büyük posta kutuları ve geniş tarih aralıkları işlem süresini artırabilir.
- Sistem kaynakları: Arama, kopyalama ve dışa aktarım çalışmaları sunucu, depolama ve bağlantı kaynaklarını kullanır.
- Sorgunun niteliği: Gereksiz derecede geniş ölçütler, hem işlem yükünü hem de incelenecek sonuç miktarını artırabilir.
Ölçütleri daraltırken amaç yalnızca hız kazanmak olmamalıdır. İncelemeyle ilgili verilerin kapsam dışında bırakılmaması da gözetilmelidir.
5.3 Desteklenen Veri Türleri ve Arama Sınırları
Aramalar; posta kutusundaki e-posta, takvim, kişi, görev ve not gibi öğeleri, ayrıca desteklenen ek dosyaların aranabilir içeriklerini kapsayabilir.
Ancak bir dosya uzantısının yaygın olması, içindeki bütün bilgilerin mutlaka aranabildiğini göstermez. Şifre koruması, desteklenmeyen biçimler, bozuk dosyalar, görüntü olarak taranmış belgeler veya işleme sınırları nedeniyle bazı içerikler tam olarak dizinlenemeyebilir.
Örneğin bir belgenin görüntüsü e-posta eki olarak bulunabilir; ancak görüntünün içindeki müşteri numarası metin aramasında sonuç vermeyebilir.
Bu nedenle “aramada bulunamadı” ile “sistemde mevcut değil” aynı anlama gelmez. Kritik incelemelerde, işlenemeyen içerikler ve arama hataları ayrıca değerlendirilmelidir.
6. Sonuçların Toplanması, Dışa Aktarım ve Denetim İzleri
6.1 Arama Sonuçlarının Değerlendirilmesi
Bir öğenin arama sonucunda bulunması, onun incelemeyle kesin olarak ilgili olduğunu göstermez. Sonuçlar yetkili ekipler tarafından değerlendirilmelidir.
Örneğin bir denetimde aranan işlem numarası, mesajın asıl içeriğinde değil, önceki yazışmanın alıntısında bulunabilir. Benzer şekilde, ilk mesajda verilen bir onay daha sonraki yazışmada değiştirilmiş olabilir.
Bu nedenle mesajlar, ekleri ve ilgili yazışma bağlamıyla birlikte incelenmelidir. Sonuç sayıları, bilinen örnekler ve hata bilgileri de kontrol edilerek çalışmanın kapsamı değerlendirilmelidir.
6.2 Discovery Search Mailbox ve Dışa Aktarım
Exchange Server’ın In-Place eDiscovery akışında, seçilen arama sonuçları bir Discovery Search Mailbox’a kopyalanabilir. Burada toplanan içerikler, uygun yetki ve araçlarla PST biçiminde dışa aktarılabilir.
PST, inceleme için veri taşımada kullanılabilen bir biçimdir. Ancak dosyanın bu biçimde oluşturulması, kendiliğinden şifreli, değiştirilemez veya güvenli teslim edilmiş olduğu anlamına gelmez.
Dosyanın tutulacağı konum, erişim yetkileri, aktarım yöntemi ve teslim alacak kişiler ayrıca belirlenmelidir. Dışa aktarım sırasında oluşan hata ve raporlar da kontrol edilmelidir.
6.3 Denetim İzleri ve Teslim Zinciri
Exchange’in denetim kayıtları, yapılandırma ve işlem türüne bağlı olarak yönetim faaliyetlerinin ve belirli erişimlerin izlenmesine yardımcı olur. Ancak eDiscovery sürecindeki her adımın ve dışa aktarılan dosya üzerindeki bütün işlemlerin otomatik kaydedildiği varsayılmamalıdır.
Chain of Custody, verinin kim tarafından, ne zaman, hangi işlemle alındığını ve kimlere teslim edildiğini açıklayan kayıt zinciridir. Bu zincir, yalnızca Exchange günlüklerinden oluşmaz; kurumun toplama, aktarım, erişim ve teslim kayıtlarıyla da desteklenmelidir.
En azından aşağıdaki bilgiler belgelenmelidir:
- Talebin kapsamı ve ilgili onay bilgileri.
- Aranan kaynaklar, kullanılan ölçütler ve çalışma tarihleri.
- Sonuçların değerlendirilmesinde görülen hatalar veya sınırlamalar.
- Oluşturulan çıktıların kim tarafından, nerede hazırlandığı.
- Çıktıların kimlere ve hangi yöntemle teslim edildiği.
Bu yaklaşım, incelemenin nasıl yürütüldüğünün açıklanmasını kolaylaştırır ve veri bütünlüğünün değerlendirilmesine katkı sağlar. Hukuki kabul ise yalnızca kullanılan ürün veya dosya biçimiyle belirlenmez.
7. Sonuç
Exchange Server eDiscovery mimarisi; yetkilendirme, içerik dizinleme, arama kapsamı, koruma ve dışa aktarım bileşenlerinin birlikte çalışmasına dayanır.
Kurumsal açıdan önemli olan yalnızca bir aramayı çalıştırmak değildir. Doğru kaynaklarda arama yapıldığını, gerekli korumanın değerlendirildiğini, sonuçların kontrol edildiğini ve çıktıların yetkili kişilere kontrollü biçimde teslim edildiğini gösterebilmektir.
Bu yapı, kurumların denetim ve inceleme taleplerine daha düzenli yanıt vermesine yardımcı olur. Başarı ise teknik özelliklerin yanında, açık sorumluluklara ve uygulanabilir süreçlere bağlıdır.
Konunun güvenlik, yetkilendirme, mahremiyet ve entegrasyon boyutlarını Exchange Server eDiscovery Güvenlik, Uyum ve Entegrasyon Perspektifi makalemizde ele alıyoruz.
Platform seçimi, başarı ölçütleri ve kurumsal gelişim planı için ise Exchange Server eDiscovery Stratejik Yaklaşım ve Gelecek Perspektifi makalemizi inceleyebilirsiniz.
