Exchange Server eDiscovery, yalnızca bir inceleme başladığında kullanılacak teknik bir özellik olarak düşünülmemelidir. Kurumun hangi verilere sahip olduğunu, bu verileri nasıl koruduğunu ve yetkili taleplere nasıl yanıt vereceğini önceden planlaması da aynı derecede önemlidir.
Stratejik yaklaşımın amacı, her veriyi süresiz saklamak veya bütün incelemeleri tek bir ürüne bağlamak değildir. Amaç; kurumun yükümlülüklerine, risklerine ve çalışma biçimine uygun, sürdürülebilir bir veri keşfi süreci oluşturmaktır.
Serinin önceki yazılarında eDiscovery’nin mimari yapısını ve çalışma prensiplerini, ardından güvenlik, uyum ve entegrasyon boyutlarını ele almıştık. Bu makalede ise bu yeteneklerin kurumsal kararlara, başarı ölçütlerine ve gelişim planına nasıl dönüştürülebileceğine odaklanıyoruz.
1. Stratejik Yaklaşım: Üründen Önce İhtiyacı Belirlemek
eDiscovery stratejisinin başlangıç noktası ürün adı veya lisans paketi değil, kurumun cevaplaması gereken sorulardır.
- Hangi tür denetim, inceleme veya kişisel veri talepleriyle karşılaşıyoruz?
- İlgili bilgiler hangi sistemlerde ve kimlerin sorumluluğunda bulunuyor?
- Hangi verilerin korunması, hangilerinin belirlenen koşullarda silinmesi gerekiyor?
- Bir talebi karşılamak için hangi ekiplerin birlikte çalışması gerekiyor?
- Mevcut yapımızın bilinen eksikleri ve kapsam dışında kalan kaynakları neler?
Örneğin belirli müşteri işlemleri düzenli olarak denetleniyorsa, bu işlemlere ait yazışmaların nerede bulunduğu önceden bilinmelidir. Her denetimde ilgili çalışanları yeniden aramak ve kişisel dosyaları toplamak, kişilere bağımlı ve tekrarlayan bir iş yükü oluşturur.
Strateji, bu belirsizliği azaltmayı hedeflemelidir. Başarı yalnızca veriyi bulma hızıyla değil, sürecin açıklanabilir ve tekrarlanabilir olmasıyla da değerlendirilmelidir.
1.1 Kurum İçi, Bulut ve Hibrit Yapı Kararları
Kurum içinde kalma, buluta geçme veya hibrit yapıyı sürdürme kararı, yalnızca eDiscovery özelliklerine bakılarak verilmemelidir. Bu karar, kurumun genel bilgi teknolojileri ve veri yönetimi yaklaşımıyla birlikte değerlendirilmelidir.
Karşılaştırmada aşağıdaki başlıklar öne çıkar:
- Veri kaynakları: İnceleme ihtiyacı yalnızca Exchange içeriğini mi, yoksa başka iletişim ve belge sistemlerini de mi kapsıyor?
- Uygulanabilir yükümlülükler: Veri konumu, erişim ve aktarım bakımından hangi koşullar karşılanmalı?
- İşletme kapasitesi: Altyapıyı, yetkileri ve inceleme süreçlerini yönetecek ekip ve uzmanlık mevcut mu?
- Hizmet sürekliliği: Ürün sürümlerinin destek durumu, güncellemeler ve kurtarma planı nasıl yönetiliyor?
- Toplam maliyet: Lisans, geçiş, depolama, entegrasyon, eğitim ve işletme giderleri birlikte nasıl değişiyor?
- Çıkış ve taşınabilirlik: Platform değiştiğinde kayıtlar, koruma ihtiyaçları ve inceleme çıktıları nasıl taşınacak?
Kurum içi barındırma, bütün güvenlik ve uyum ihtiyaçlarının kendiliğinden karşılandığını göstermez. Bulut kullanımı da kurumsal sorumlulukları ortadan kaldırmaz.
Hibrit yapı ise tek başına bütün kaynaklarda ortak arama yapılabildiği anlamına gelmez. İlgili araçların güncel kapsamı ve sınırlamaları dikkate alınarak, kaynaklar arasında koordineli bir inceleme planı oluşturulmalıdır.
1.2 Saklama ve İmha Politikalarıyla Uyum
Aranabilir verinin bulunması, bu verinin ne kadar süre tutulması gerektiği sorusuna tek başına cevap vermez. Saklama gerekçeleri ve süreleri, veri kategorisine ve kurumun tabi olduğu koşullara göre tanımlanmalıdır.
KVKK ve uygulanabildiği durumlarda GDPR gibi düzenlemeler değerlendirilirken; amaçla bağlantılı işleme, gerekli süreyle sınırlı saklama ve ilgili kişilerin hakları birlikte ele alınmalıdır. Sektörel düzenlemeler veya başka hukuki gerekçeler de belirli kayıtların tutulmasını gerektirebilir.
Kurumun saklama yaklaşımı, aşağıdaki sorulara cevap verebilmelidir:
- Veri kategorisi: Hangi tür kayıt veya içerik ele alınıyor?
- Gerekçe: Bu içeriğin tutulmasını gerektiren iş ihtiyacı veya yükümlülük nedir?
- Süre ve başlangıç noktası: Süre hangi olay veya tarihten itibaren hesaplanıyor?
- Sorumlu: Kararı kim veriyor ve uygulamayı kim takip ediyor?
- İstisnalar: Devam eden bir inceleme veya koruma kararı var mı?
- İmha koşulu: Gerekçeler sona erdiğinde hangi süreç uygulanıyor?
Örneğin bir müşteri işlemine ait kayıtlar için belirlenen normal saklama süresi dolmuş olabilir. Ancak aynı kayıtlarla ilgili devam eden bir inceleme nedeniyle geçerli bir koruma ihtiyacı bulunuyorsa, bu durum ayrıca değerlendirilmelidir.
Bu nedenle saklama ve imha kararları, yalnızca posta kutusundaki teknik süre ayarlarına bırakılmamalıdır.
1.3 Süreç Sahipliği ve Kurumsal Sorumluluk
eDiscovery, yalnızca bilgi işlem ekibinin sorumluluğunda yürüyen bir faaliyet değildir. Talebin gerekçesi, veri kapsamı ve sonuçların kullanımı farklı ekiplerin katkısını gerektirebilir.
Kurum, aşağıdaki sorumlulukları açıkça belirlemelidir:
- Talebi kabul eden ve kapsamı netleştiren ekip.
- Hukuki ve uyum değerlendirmesini yapan yetkililer.
- Teknik arama ve koruma işlemlerini yürüten kişiler.
- İçeriği inceleyen ve paylaşılacak sonuçları belirleyen ekip.
- Süreci kapatan, erişimleri ve kopyaları yeniden değerlendiren sorumlu.
Hassas işlemlerde ikinci kontrol veya ek onay uygulanması değerlendirilebilir. Bu yaklaşım, tek bir kişinin hatasının fark edilmeden bütün süreci etkilemesi riskini azaltmaya yardımcı olur.
Yetkilendirme ve güvenli teslimin ayrıntıları, serinin güvenlik ve uyum makalesinde ele alınmıştır.
1.4 Dışa Aktarılan Verinin Yaşam Döngüsü
Bir inceleme çıktısı oluşturulduğunda, kaynak sistemin dışında yeni bir veri kopyası oluşur. Bu kopyanın sorumlusu, erişim koşulları ve saklama gerekçesi belirlenmelidir.
İncelemenin kapanması, bütün çıktıların otomatik olarak silineceği anlamına gelmez. Devam eden yükümlülükler ve koruma kararları kontrol edildikten sonra, saklamaya devam etme veya güvenli imha kararı verilmelidir.
Geçici çalışma kopyaları, teslim edilen sürümler ve farklı ekiplerde tutulan dosyalar bu değerlendirmeye dahil edilmelidir. Kurum, hangi çıktının nerede bulunduğunu ve hangi kararla tutulduğunu açıklayabilmelidir.
2. Stratejiyi Zayıflatan Yanılgılar
2.1 “eDiscovery Varsa Yedekleme ve Arşivleme Yeterince Karşılanmıştır”
eDiscovery; ilgili veriyi tespit etme, koruma, toplama ve incelemeye hazırlama süreçlerini destekler. Ancak sistem kurtarma için hazırlanmış bir yedekleme planının veya kullanıcıların geçmiş mesajlarına eriştiği arşiv yapısının yerine geçmez.
Benzer şekilde, her yedek veya arşiv sisteminin Exchange eDiscovery tarafından doğrudan aranabildiği varsayılmamalıdır. Kullanılabilir veri kaynakları ve bunlara erişim yöntemleri ayrıca belirlenmelidir.
Stratejik yaklaşımda bu mekanizmaların görevleri birbirinden ayrılmalı ve aralarındaki ilişki belgelenmelidir.
2.2 “Hold Açıldıysa Saklama Politikası Tamamdır”
Hold, tanımlanan kapsamdaki içeriğin korunması için kullanılan teknik bir mekanizmadır. Kurumsal saklama politikası ise hangi verinin neden, ne kadar süre ve hangi koşullarda tutulacağını açıklayan daha geniş bir çerçevedir.
Koruma süreli veya süresiz olabilir. Ancak gerekçesi, kapsamı, sorumlusu ve gözden geçirme koşulları bilinmelidir. Hold’un kaldırılması da kontrolsüz bir teknik işlem olarak ele alınmamalıdır.
Bu nedenle sorun, korumanın uzun sürmesi değil; neden sürdüğünün veya ne zaman yeniden değerlendirileceğinin belirsiz olmasıdır.
2.3 “Aramada Çıkmadıysa Veri Yoktur”
Arama sonucunda bir içeriğin bulunamaması; verinin mevcut olmamasından kaynaklanabileceği gibi kapsam, ölçüt, dizinleme veya içerik işleme sınırlamalarından da kaynaklanabilir.
Stratejik açıdan önemli olan, bu belirsizliklerin raporlanmasıdır. İncelenemeyen kaynaklar veya ek değerlendirme gerektiren içerikler, sonuçların dışında sessizce bırakılmamalıdır.
Teknik sınırlamaların ayrıntıları mimari ve çalışma prensipleri makalesinde açıklanmaktadır.
2.4 “Yeni Ürün veya Yapay Zekâ Süreci Kendiliğinden Olgunlaştırır”
Daha gelişmiş bir platform; eksik veri envanterini, belirsiz sorumlulukları veya hatalı saklama kararlarını kendiliğinden düzeltmez.
Yeni yetenekler, tanımlanmış bir ihtiyaca ve doğrulanabilir faydaya göre değerlendirilmelidir. Önce sürecin hangi bölümünde sorun yaşandığı belirlenmeli, ardından teknoloji yatırımı ele alınmalıdır.
3. Ölçümleme ve Başarı Kriterleri
eDiscovery sürecinin başarısını yalnızca aramanın kaç dakikada tamamlandığıyla ölçmek yeterli değildir. Doğru kapsam, sonuç kalitesi, erişim kontrolü ve teslim sürecinin açıklanabilirliği de değerlendirilmelidir.
3.1 Yasal Süre, SLA ve OLA Ayrımı
Mevzuat veya yetkili talep kaynaklı süreler, kurumun ilgili talebe hangi koşullarda ve hangi sürede yanıt vermesi gerektiğiyle ilgilidir. Bu süreler, kurum içindeki bir hizmet hedefiyle değiştirilemez.
SLA (Service Level Agreement), taraflar arasında tanımlanan hizmet düzeyi taahhütlerini ifade eder. OLA (Operational Level Agreement) ise bu hizmeti destekleyen kurum içi ekiplerin görev ve çalışma hedeflerini düzenlemek için kullanılabilir.
Örneğin talebin değerlendirilmesi, teknik arama, içerik incelemesi ve yanıt hazırlığı için ayrı iç hedefler belirlenebilir. Bu hedefler, dışarıya verilecek yanıtın geçerli süresini karşılayacak şekilde planlanmalıdır.
Ölçüm, yalnızca teknik aramayı değil, talebin kabulünden kontrollü teslimine kadar geçen toplam süreyi de kapsamalıdır.
3.2 Kullanılabilecek Başarı Göstergeleri
Aşağıdaki göstergeler, kurumun kendi başlangıç durumuna göre hedef belirlemesine yardımcı olabilir:
- Talep hazırlığı: Kapsamı ve onayı tamamlanmış taleplerin oranı.
- Yanıt süresi: Değerlendirme, arama, inceleme ve teslim aşamalarında geçen süre.
- Test başarısı: Kontrollü denemelerde, önceden bilinen ilgili içeriklerin bulunma oranı.
- Hata takibi: İşlem hatalarının ve incelenemeyen kaynakların kaydedilip değerlendirilme durumu.
- Koruma kontrolü: Gerekli koruma kararlarının uygulanması ve doğrulanması.
- Yetki yönetimi: Erişimlerin düzenli gözden geçirilmesi ve gereksiz yetkilerin kaldırılması.
- Teslim kaydı: Çıktıların alıcı, sürüm ve teslim yöntemiyle belgelenmesi.
- Kapanış kontrolü: Çıktıların, geçici kopyaların ve devam eden saklama gerekçelerinin değerlendirilmesi.
Kontrollü bir testte bilinen mesajların bulunması, gerçek bir incelemedeki bütün verilerin eksiksiz bulunduğunu tek başına kanıtlamaz. Ancak sürecin çalışmasını değerlendirmek ve iyileştirmek için somut bir gösterge sağlar.
3.3 Uyum Skorları ve Denetim Bulgularını Yorumlamak
Kurum içi kontrol puanları ve denetim sonuçları, gelişimi takip etmek için kullanılabilir. Ancak herhangi bir skor, tek başına KVKK, GDPR veya sektörel düzenlemelere uygunluk belgesi değildir.
Benzer şekilde daha az bulgu, her zaman daha düşük risk anlamına gelmez. Denetimin kapsamı daralmış veya bazı sorunlar henüz görünür hale gelmemiş olabilir.
Bu nedenle bulguların sayısıyla birlikte önem derecesi, tekrar etmesi, giderilme durumu ve kontrolün gerçekten çalışıp çalışmadığı değerlendirilmelidir.
4. Standartlar, Referans Modeller ve Kurumsal Politikalar
eDiscovery süreçlerini geliştirmek için farklı referanslardan yararlanılabilir. Ancak referans model, uygulama rehberi, uluslararası standart ve bağlayıcı mevzuat aynı nitelikte değildir.
4.1 EDRM
Electronic Discovery Reference Model (EDRM), elektronik veri keşfinin aşamalarını ve bunların ilişkisini anlamak için kullanılan bir referans modeldir.
İlgili kaynakların belirlenmesi, koruma, toplama, işleme, inceleme, analiz ve sunuma hazırlama gibi faaliyetleri ortak bir çerçevede değerlendirmeye yardımcı olur. Bu faaliyetler her durumda tek yönde ilerleyen sabit bir sıra oluşturmaz; yeni bulgular önceki adımların yeniden ele alınmasını gerektirebilir.
Kurum açısından faydası, hangi aşamanın hangi ekip ve araç tarafından karşılandığını görünür hale getirmesidir.
4.2 The Sedona Principles
The Sedona Principles, elektronik bilgilerin korunması ve sunulmasına ilişkin rehber ilkeler ve yorumlar içerir. Uygun kapsam, makul çaba ve orantılılık gibi konuların değerlendirilmesinde yararlanılabilir.
Bu ilkeler, hazırlandıkları hukuki bağlam dikkate alınarak ele alınmalıdır. Türkiye’de uygulanacak mevzuatın veya somut bir incelemenin gerektirdiği değerlendirmenin yerine geçmezler.
4.3 ISO/IEC 27050 Serisi
ISO/IEC 27050, elektronik keşifle ilgili kavramları, süreçleri ve hazırlık konularını ele alan uluslararası standartlar serisidir.
Kurumların teknik imkânlarla süreç hazırlığını birlikte değerlendirmesine yardımcı olabilir. Ancak bir standarda atıf yapmak, kullanılan ürünün o standarda uygun olduğunu veya kurumun bütün yükümlülüklerini karşıladığını göstermez.
4.4 Kurumsal Politikalara Dönüştürmek
Referanslardan alınan yaklaşım, kurumun günlük işleyişine çevrilmelidir. Talep kabulü, kaynak envanteri, saklama, koruma, erişim, teslim ve kapanış süreçleri yazılı olarak tanımlanmalıdır.
Politikaların yalnızca dokümanda bulunması yeterli değildir. İlgili ekiplerin bu politikaları uygulayabildiği, kontrollü testler ve düzenli gözden geçirmelerle değerlendirilmelidir.
5. Kısa, Orta ve Uzun Vadeli Yol Haritası
Yol haritası, bütün kurumlar için aynı takvim veya aynı ürün listesinden oluşmaz. Öncelikler; mevcut risklere, talep sıklığına, veri kaynaklarına ve ekip kapasitesine göre belirlenmelidir.
5.1 Kısa Vadede: Mevcut Durumu Görünür Hale Getirmek
- Çalışma: Veri kaynakları, mevcut yetkiler, koruma uygulamaları ve bilinen eksikler belirlenir.
- Sorumlular: BT, hukuk, uyum ve ilgili veri sahibi iş birimleri.
- Beklenen çıktı: Kaynak envanteri, sorumluluk listesi ve önceliklendirilmiş eksik listesi.
- Tamamlanma ölçütü: Hangi kaynakların aranabildiğinin, hangilerinin ek işlem gerektirdiğinin ve taleplerin kime iletileceğinin açıklanabilmesi.
Bu aşamada kontrollü bir test talebi hazırlanabilir. Amaç ürün yeteneklerini sergilemek değil, kurumun mevcut sürecindeki boşlukları görmektir.
5.2 Orta Vadede: Süreci Standartlaştırmak ve Denemek
- Çalışma: Talep, onay, koruma, arama, inceleme ve teslim adımları ortak iş akışına bağlanır.
- Sorumlular: Süreç sahibi ekip, teknik uygulayıcılar ve bilgi güvenliği.
- Beklenen çıktı: Uygulanabilir prosedürler, kontrol listeleri ve belgelenmiş test sonuçları.
- Tamamlanma ölçütü: Örnek bir talebin belirlenen rollerle yürütülmesi; hataların, sürelerin ve teslim bilgilerinin kaydedilmesi.
Bu aşamada gerekli entegrasyonlar da belirlenebilir. Her bağlantı için aktarılacak veri, amaç, sorumlu ve destek koşulları açık olmalıdır. Entegrasyon sayısını artırmak, tek başına bir başarı hedefi değildir.
5.3 Uzun Vadede: Ölçmek, Geliştirmek ve Gerektiğinde Genişletmek
- Çalışma: Tekrarlayan sorunlar, maliyetler, kaynak kapsamı ve inceleme ihtiyaçları dönemsel olarak değerlendirilir.
- Sorumlular: Süreç sahibi yönetim, BT, hukuk, uyum ve bilgi güvenliği.
- Beklenen çıktı: Ölçümlere dayanan iyileştirme ve yatırım planı.
- Tamamlanma ölçütü: Belirlenen risklerin azaltılması ve gelişimin önceki dönemle karşılaştırılabilmesi.
Yeni platform, bulut hizmeti veya analiz özelliği ihtiyacı bu değerlendirmelerin sonucu olarak ortaya çıkmalıdır. Her kurumun aynı ürüne geçmesi veya aynı otomasyon seviyesine ulaşması gerekmez.
6. Gelecek Perspektifi: Daha Fazla Veri, Daha Kontrollü İnceleme
6.1 Mevcut İmkânlar ve Gelişim Beklentileri
Kurumsal iletişim, e-postanın yanında sohbet, belge paylaşımı ve iş uygulamalarına da dağılmaktadır. Bu nedenle stratejinin yalnızca posta kutularını değil, incelemeyle ilgili diğer kaynakların nasıl ele alınacağını da değerlendirmesi gerekir.
Bugün kullanılabilen çoklu kaynak arama, inceleme ve analiz özellikleri platforma ve lisansa göre farklılık gösterir. Bunlar geleceğe ilişkin beklentilerden ayrı ele alınmalıdır.
Geleceğe yönelik planlama ise artan veri hacmi, yeni iletişim kanalları, değişen ürün yetenekleri ve inceleme ekiplerinin kapasitesi üzerinden yapılmalıdır. Henüz doğrulanmamış bir özellik, mevcut kontrolün yerine konulmamalıdır.
6.2 Yapay Zekâ ve Otomasyona Yaklaşım
Otomasyon ve yapay zekâ destekli özellikler, mevcut oldukları platformlarda içeriklerin önceliklendirilmesi veya inceleme iş yükünün azaltılması için değerlendirilebilir. Ancak bu yetenekler ilgili platformun güncel kapsamı ve kullanım koşulları doğrulanarak ele alınmalıdır.
Bu tür araçların kullanılması, eksik kapsam veya hatalı değerlendirme riskini kendiliğinden ortadan kaldırmaz. Elde edilen sonuçların kontrol edilmesi ve önemli kararların yetkili kişiler tarafından değerlendirilmesi gerekir.
Kurumun şu sorulara cevap verebilmesi önemlidir:
- Hangi veri, hangi amaçla işleniyor?
- Araç hangi konuda öneri veya çıktı üretiyor?
- Sonuçların doğruluğu nasıl kontrol ediliyor?
- Hatalı veya eksik çıktı oluştuğunda kim sorumluluk alıyor?
- Veri erişimi, konumu ve aktarımı hangi koşullarda gerçekleşiyor?
Yeni teknolojinin değeri, yalnızca sunduğu özellik sayısıyla değil, tanımlanmış bir ihtiyacı kontrollü ve ölçülebilir şekilde karşılamasıyla değerlendirilmelidir.
7. Sonuç
Exchange Server eDiscovery için stratejik yaklaşım; kaynakları tanımak, sorumlulukları belirlemek, saklama ve koruma kararlarını açıklayabilmek ve sürecin çalışmasını düzenli olarak değerlendirmek anlamına gelir.
Platform seçimi, otomasyon ve yeni analiz yetenekleri bu yaklaşımı destekleyebilir. Ancak teknoloji yatırımı, kurumsal süreçlerin ve uygulanabilir yükümlülüklerin yerine geçmez.
İyi hazırlanmış bir yapı, yalnızca talep geldiğinde veri arayan değil; hangi verinin nerede olduğunu, nasıl korunduğunu ve sonuçların hangi yöntemle hazırlandığını açıklayabilen bir kurum oluşturmayı hedefler.
Serinin temel kavramları için Exchange Server eDiscovery Nedir? makalemizi inceleyebilirsiniz.
Teknik bileşenlerin ilişkisi Exchange Server eDiscovery Mimari Yapı ve Çalışma Prensipleri yazımızda; yetkilendirme, mahremiyet, güvenli teslim ve tamamlayıcı teknolojiler ise Exchange Server eDiscovery Güvenlik, Uyum ve Entegrasyon Perspektifi yazımızda ele alınmaktadır.
