Exchange Server Uyum Yönetimi ve Microsoft Purview, kurumsal verilerin korunması, iletişimlerin denetlenmesi ve uyum süreçlerinin yönetilmesi açısından birlikte değerlendirilmesi gereken iki önemli başlıktır. Ancak bu alanda kullanılan kavramlar, zaman zaman aynı ürünün farklı isimleri gibi algılanabilmektedir.
Compliance Management, Supervisory Review, Communication Compliance ve Compliance Manager ifadeleri benzer konularda karşımıza çıkmasına rağmen farklı kapsamları tanımlar. Microsoft Purview ise bu kavramların bir bölümüne yönelik çözümleri bünyesinde barındıran daha geniş bir ürün ailesidir.
Önceki makalelerimizde Exchange Server üzerinde veri saklama, arşivleme, denetim kayıtları, eDiscovery ve iletişim gözetimi konularını ele aldık. Bu makaleyle birlikte mevcut bilgileri Microsoft Purview ürün ailesine bağlayan yeni bir seriye başlıyoruz.
İlk adımımız, ürünlere ve yapılandırma ekranlarına geçmeden önce kavramların birbirleriyle ilişkisini açıklamak olacaktır.
Exchange Server Uyum Yönetimi ve Microsoft Purview makalesi içinde aşağıda ki başlıkları bulacaksınız.
1. Uyum Yönetimi Neden Tek Bir Özellikten Oluşmaz?
Kurumsal bir e-posta altyapısında uyum ihtiyacı, yalnızca mesajların saklanmasıyla karşılanamaz. Kurumun hangi veriyi koruyacağını, hangi sürelerle saklayacağını, kimlerin erişebileceğini ve gerektiğinde nasıl inceleyeceğini belirlemesi gerekir.
Örneğin, müşteri bilgilerini içeren bir e-postanın kurum dışına gönderilmesi, geçmiş yazışmaların bir inceleme için korunması ve yönetici işlemlerinin denetlenmesi farklı ihtiyaçlardır. Bu ihtiyaçların her biri ayrı teknik kontroller ve operasyonel süreçler gerektirebilir.
Bu nedenle uyum yönetimi; teknoloji, kurum politikaları, çalışan sorumlulukları ve kontrol mekanizmalarının birlikte ele alındığı bir yönetim alanıdır.
Bir saklama politikası oluşturmak teknik bir işlemdir. Bu politikanın hangi kayıtları kapsayacağına, süresine ve istisnalarına karar vermek ise kurumun uyum yönetiminin parçasıdır. Benzer şekilde, bir inceleme aracının bulunması, incelemenin kim tarafından ve hangi yetkiyle yürütüleceği sorusunu tek başına çözmez.
Bu bütünün Exchange Server tarafındaki bileşenlerini Exchange Server Compliance Management makalemizde ele almıştık.
2. Compliance Management Ne Anlama Gelir?
Compliance Management, Türkçe karşılığıyla uyum yönetimi; kurumun tabi olduğu gereklilikleri belirlemesi, bunlara yönelik kontroller oluşturması ve kontrollerin işleyişini takip etmesidir.
Bu gereklilikler mevzuattan, sözleşmelerden, sektör standartlarından veya kurumun kendi politikalarından kaynaklanabilir. Kapsam yalnızca BT sistemlerinden oluşmaz; insan kaynakları, hukuk, bilgi güvenliği ve iş birimlerinin sorumluluklarını da içerir.
Exchange Server bağlamında kullanılan Compliance Management ifadesi ise mesajlaşma altyapısındaki uyum yeteneklerinin birlikte değerlendirilmesini anlatır. Arşivleme, saklama, veri kaybını önleme, denetim ve hukuki inceleme gibi işlevler bu çerçevede ele alınır. Microsoft da Exchange Server’ın mesajlaşma politikası ve uyum özelliklerini birden fazla bileşen üzerinden açıklamaktadır. Exchange Server mesajlaşma politikası ve uyum özellikleri
Dolayısıyla “Exchange Server Compliance Management kullanıyoruz” ifadesini değerlendirirken hangi özelliklerin yapılandırıldığını ve hangi süreçlerin işletildiğini ayrıca sorgulamak gerekir.
Verilerin yaşam döngüsüne ilişkin daha dar bir kapsamı ifade eden Messaging Records Management konusunu da Exchange Server Messaging Records Management makalemizde incelemiştik. Mesajların saklama ve arşivleme kurallarıyla yönetilmesi, uyum yönetiminin önemli bir bileşenidir; ancak bütününü oluşturmaz.
3. Supervisory Review Bu Yapının Neresinde Yer Alır?
Supervisory Review, belirlenen iletişimlerin kurum politikaları ve ilgili gereklilikler doğrultusunda yetkili kişiler tarafından incelenmesini ifade eden gözetim yaklaşımıdır.
Bu inceleme sürecinde kapsamın belirlenmesi, inceleyicilerin atanması, bulguların değerlendirilmesi ve alınan kararların gerekçeleriyle kaydedilmesi önem taşır. Gerektiğinde bulgu başka bir ekibe veya daha kapsamlı bir araştırmaya aktarılabilir.
Örneğin, müşteriyle yapılan bir yazışmanın kurumun iletişim kurallarına uygunluğu değerlendirilebilir. Buradaki amaç yalnızca mesajın bir kopyasını tutmak değildir; iletişimi tanımlı bir inceleme sürecinden geçirmektir.
Bu yaklaşımın temelini Exchange Server Supervisory Review Nedir makalemizde, operasyonel sorumluluklarını ise Süreç ve Roller bölümünde açıklamıştık.
Burada ürün adı ile inceleme yaklaşımını ayırmak gerekir. Bir kurumda Supervisory Review sürecinin yürütülmesi, kullanılan Exchange Server ortamında bu sürecin bütün aşamalarını sağlayan tek bir yerleşik özelliğin bulunduğu anlamına gelmez. Kullanılan araçlar, entegrasyonlar ve inceleme akışı ayrıca değerlendirilmelidir.
Uyum yönetimi kurumun genel kontrol çerçevesini oluştururken Supervisory Review, bu çerçevenin iletişim gözetimiyle ilgili süreçlerinden biridir.
4. Microsoft Purview Nedir?
Microsoft Purview, veri güvenliği, veri yönetişimi ve uyum ihtiyaçlarına yönelik çözümleri bir araya getiren Microsoft ürün ailesidir.
Kapsamı e-posta ile sınırlı değildir. Kurumsal verinin keşfedilmesi, sınıflandırılması, korunması ve yönetilmesi gibi farklı ihtiyaçlara yönelik çözümler içerir. Hangi verilerin kapsanacağı ise kullanılan çözümün desteklediği kaynaklara ve yapılandırmaya bağlıdır. Microsoft Purview ürün ailesi
Bu nedenle Purview’ı değerlendirirken önce kurumun ihtiyacını tanımlamak gerekir. Hassas bir belgenin korunmasıyla geçmiş iletişimlerin hukuki incelemeye hazırlanması, aynı ürün ailesindeki farklı çözümleri ilgilendirebilir.
Ortak bir yönetim portalı, bu çözümlere erişimi kolaylaştırır. Bununla birlikte politika kapsamı, yetkilendirme ve işletim sorumlulukları çözüm bazında ele alınmalıdır.
Serimizin sonraki bölümünde ürün ailesinin çözüm haritasını ayrıntılandıracağız. Bu makalede ise Purview’ın, uyum yönetimini destekleyen araçları da içeren geniş bir yapı olduğunu konumlandırmamız yeterlidir.
5. Supervisory Review ile Communication Compliance Arasındaki İlişki
Microsoft Purview Communication Compliance, iletişimlerde tanımlanan politika koşullarına uyan içeriklerin belirlenmesini ve yetkili inceleyiciler tarafından değerlendirilmesini destekleyen bir çözümdür. Politikalar ve inceleme iş akışları, iletişim gözetiminin operasyonel olarak yürütülmesine yardımcı olur. Microsoft Purview Communication Compliance
Bu nedenle Supervisory Review yaklaşımı ile Communication Compliance arasında güçlü bir ilişki vardır. Ancak bir inceleme sürecini tanımlayan kavram ile bu süreci destekleyen ürünün kapsamını ayrı değerlendirmek gerekir.
Kurumun gözetim hedefi, hangi iletişimlerin neden inceleneceğini belirler. Ürün yapılandırması ise bu hedefin desteklenen veri kaynakları ve politika koşulları içinde nasıl uygulanacağını tanımlar.
Bir iletişimin inceleme için işaretlenmesi de tek başına ihlal kararı değildir. Bağlamın değerlendirilmesi, gerekçenin kaydedilmesi ve gerektiğinde ilgili ekiplere aktarılması gerekir.
Bu ürünle mevcut gözetim yaklaşımı arasındaki geçiş konularını Microsoft Purview Geçiş Stratejileri makalemizde ele almıştık. Yeni seride Communication Compliance bölümünü bu temelin üzerine kuracağız.
6. Compliance Management ile Compliance Manager Arasındaki Fark
İsim benzerliği nedeniyle en sık karışan başlıklardan biri Compliance Management ile Microsoft Purview Compliance Manager arasındaki ilişkidir.
Compliance Management, kurumun uyum yönetimi faaliyetlerini ifade eder. Compliance Manager ise bu faaliyetlerin belirli bölümlerini yönetmeye yardımcı olan, Purview ailesi içindeki bir çözümdür.
Compliance Manager’da değerlendirmeler, kontroller ve iyileştirme görevleri üzerinden çalışma yürütülür. Görevler sorumlulara atanabilir; uygulama ve test durumları, açıklamalar ve kanıtlar takip edilebilir. Microsoft Purview Compliance Manager
Örneğin kurumun bir kontrolü uygulaması gerekiyorsa, bu kontrolün sorumlusu, tamamlanma durumu ve destekleyici belgeleri burada izlenebilir. Kontrolün teknik uygulaması ise başka bir sistem veya Purview çözümü üzerinde gerçekleştirilebilir.
Uyum puanı da bu çalışmaların ilerleyişini değerlendirmeye yardımcı olur. Kurumun bütün hukuki yükümlülükleri yerine getirdiğini gösteren bir sertifika olarak yorumlanmamalıdır.
Communication Compliance iletişim incelemesine odaklanırken Compliance Manager, uyum çalışmalarındaki görev ve kontrollerin takibini destekler. Kurum aynı uyum programı içinde her iki çözümden de yararlanabilir.
7. Aynı Kurumsal Olay Neden Birden Fazla Kontrol Gerektirir?
Bir çalışanın müşteri bilgilerini içeren bir dosyayı kurum dışındaki bir alıcıyla paylaştığını düşünelim.
Bu olayla ilgili sorular birbirinden farklıdır:
- Paylaşım nasıl sınırlandırılmalıydı? Veri koruma politikaları değerlendirilir.
- Dosya ve iletişim hangi kapsamda incelenmeli? Olayın niteliğine göre inceleme süreci belirlenir.
- Hangi kullanıcı işlemleri gerçekleşti? İlgili denetim kayıtları araştırılır.
- İçeriğin korunması gerekiyor mu? Koruma ve hukuki inceleme ihtiyacı değerlendirilir.
- Kontrol neden yeterli olmadı? Politika, eğitim ve iyileştirme sorumlulukları gözden geçirilir.
Bu örnek, uyum yönetiminin tek bir ürün ekranından ibaret olmadığını gösterir. Her kontrol farklı bir soruya yanıt verir; araştırmanın kapsamına göre birlikte kullanılabilir.
Veri sızıntısını önlemeye yönelik yaklaşımı Exchange Server Data Loss Prevention makalemizde, denetim kayıtlarının önemini Exchange Server Audit Logging yazısında açıklamıştık.
Bir bulgunun hukuki incelemeye dönüşmesi durumundaki sorumlulukları ise Supervisory Review Dava Yönetimi bölümünde ele almıştık. Yeni seride bu ihtiyaçların Purview çözümleriyle nasıl karşılanacağını inceleyeceğiz.
8. Exchange Server’dan Purview’a Geçerken Neler Yeniden Değerlendirilmelidir?
Exchange Server üzerinde edinilen uyum bilgisi, Purview çalışmalarına önemli bir temel sağlar. Saklama, arşivleme, gözetim ve denetim ihtiyaçları devam eder. Ancak bunların yeni ortamda hangi kapsamda karşılandığı ayrıca doğrulanmalıdır.
Kurumun öncelikle verinin bulunduğu yerleri, kullanılacak çözümleri ve sorumlulukları belirlemesi gerekir. Yerel Exchange Server, Exchange Online ve diğer veri kaynaklarının aynı politika tarafından otomatik olarak kapsandığı varsayılmamalıdır.
Benzer şekilde, mevcut ayarların aktarılması kadar yeni kontrollerin test edilmesi de önemlidir. Politikanın hedeflenen kullanıcıları ve verileri kapsayıp kapsamadığı, beklenen işlemi üretip üretmediği ve inceleyicilerin görevlerini yerine getirip getiremediği kontrol edilmelidir.
Bu değerlendirmelerin altyapı tarafını Supervisory Review Hibrit ve Karşılaştırma makalemizde incelemiştik. Yeni seride portal, yetkilendirme ve lisanslama bölümünde başlangıç hazırlıklarını ayrıntılandıracağız.
9. Microsoft Purview Serisinde Nasıl İlerleyeceğiz?
Exchange Server Compliance Management etiketi altında yayımladığımız makaleler, mesajlaşma altyapısındaki uyum ihtiyaçlarını ve bunlara yönelik mekanizmaları ele aldı. Supervisory Review serisi ise iletişim gözetiminin süreç, rol, güvenlik ve denetim boyutlarını ayrıntılandırdı.
Microsoft Purview serisinde bu temeli ürün ailesinin daha geniş kapsamına taşıyacağız. Mevcut tanımları tekrar etmek yerine her çözümün amacını, sınırlarını, kullanım senaryolarını ve diğer çözümlerle ilişkisini inceleyeceğiz.
Bu makalede kurduğumuz ayrım, serinin tamamı için temel olacaktır: Uyum yönetimi kurumsal çerçeveyi, Supervisory Review iletişim gözetimi yaklaşımını, Microsoft Purview ise bu ihtiyaçları destekleyen çözümlerin de bulunduğu ürün ailesini ifade eder.
