Microsoft Purview Data Loss Prevention — DLP, hassas bilgilerin uygunsuz paylaşılması veya kullanılması riskini azaltmaya yönelik politika ve kontrol mekanizmaları sağlar. E-posta, dosya paylaşımı ve uç nokta işlemleri gibi farklı alanlarda, tanımlanan koşullara göre koruyucu aksiyonlar uygulanabilir.
Kurumsal veriler günlük iş akışlarında sürekli hareket eder. Müşteri listeleri gönderilir, belgeler paylaşılır ve dosyalar farklı cihazlarda kullanılır. Bu işlemlerin bir bölümü işin gereğidir; bir bölümü ise yanlış alıcı, uygun olmayan paylaşım yöntemi veya yetkisiz kullanım nedeniyle risk oluşturabilir.
DLP çalışmasının amacı, kurumun izin verdiği iş akışlarını korurken hassas verinin uygunsuz kullanımını sınırlandırmaktır.
Önceki bölümlerde hassas verinin tanınmasını, sınıflandırılmasını ve Information Protection ile korunmasını ele aldık. Bu bölümde ise bu bilgilerin kullanım ve paylaşım davranışlarını yöneten DLP politikalarına nasıl dönüştürüldüğünü inceleyeceğiz.
Microsoft Purview Data Loss Prevention blog yazısı içinde aşağıdaki bilgilere ulaşacaksınız.
1. Microsoft Purview DLP Nedir?
Microsoft Purview DLP, hassas içeriğin belirlenmesini ve ilgili kullanımın politika koşullarıyla değerlendirilmesini destekler. Koşullar karşılandığında izleme, kullanıcı bildirimi veya desteklenen engelleme aksiyonları uygulanabilir. Microsoft Purview DLP hakkında
Örneğin müşteri bilgileri içeren bir dosyanın kurum dışına paylaşılması ile aynı dosyanın yetkili ekip tarafından kurum içinde kullanılması farklı değerlendirmeler gerektirebilir.
Burada yalnızca dosyanın içeriği değil, paylaşımın gerçekleştiği konum ve işlem de önemlidir.
DLP yaklaşımının Exchange Server tarafındaki temelini Exchange Server Data Loss Prevention makalemizde açıklamıştık. Purview’da bu yaklaşımı farklı veri konumları ve kullanıcı etkinlikleri üzerinden ele alıyoruz.
2. DLP Hangi İhtiyacı Karşılar?
“Data Loss Prevention” ifadesindeki veri kaybı, bu bağlamda öncelikle hassas bilginin uygunsuz biçimde paylaşılması veya dışarı çıkarılması riskini ifade eder.
DLP, silinen dosyayı geri getiren bir yedekleme çözümü değildir. Verinin saklama süresini belirlemek veya hukuki inceleme için korunmasını sağlamak da ayrı kontrol ihtiyaçlarıdır.
Bu nedenle kurumun aşağıdaki soruları ayırması gerekir:
- Hassas bilgi nasıl paylaşılabilir?
- Hangi kullanıcı işlemleri sınırlandırılmalıdır?
- İçerik ne kadar süre saklanmalıdır?
- Bir araştırmada hangi veriler korunmalıdır?
- Veri kaybı veya kesinti durumunda nasıl kurtarma yapılmalıdır?
Saklama yaklaşımını Exchange Server Messaging Records Management makalemizde, yedekleme ile arşivleme arasındaki ayrımı ise Backup VS In-Place Archiving yazısında ele almıştık.
3. Microsoft Purview DLP Nerelerde Kullanılır?
Purview DLP; Exchange Online, SharePoint, OneDrive, Teams ve desteklenen uç nokta cihazları gibi farklı konumlarda kullanılabilir. Diğer kaynaklar ve kullanım alanları için gereken bağlantılar, hazırlıklar ve özellik kapsamı ayrıca değerlendirilir.
Bütün konumlarda aynı koşullar ve aksiyonlar bulunmaz. Bir e-posta politikasıyla cihaz üzerindeki dosya kopyalama kontrolü farklı yapılandırmalar gerektirir. DLP konumları ve kapsamı
Aşağıdaki tablo, temel kullanım alanlarını özetlemektedir.
| Konum | Kurumsal ihtiyaç | Değerlendirme noktası |
|---|---|---|
| Exchange Online | Hassas bilgilerin e-postayla paylaşılmasını yönetmek | Alıcı, içerik, ekler ve desteklenen politika aksiyonları |
| SharePoint ve OneDrive | Hassas dosyalara erişim ve paylaşımı yönetmek | Site veya hesap kapsamı, paylaşım durumu ve erişim davranışı |
| Teams | Sohbet ve kanal mesajlarındaki hassas bilgi paylaşımını yönetmek | Mesajlar ile SharePoint veya OneDrive üzerinde saklanan dosyaların kapsamını ayrı ele almak |
| Uç nokta cihazları | Hassas dosyaların cihaz üzerindeki kullanımını yönetmek | Cihaz hazırlığı, işletim sistemi desteği ve izlenecek etkinlikler |
Yerel Exchange Server ortamının, Exchange Online için oluşturulan politikayla otomatik olarak kapsandığı varsayılmamalıdır. Hibrit mimari ve veri akışı ayrıca doğrulanmalıdır. Bu değerlendirme yaklaşımını Supervisory Review Hibrit ve Karşılaştırma makalemizde açıklamıştık.
4. DLP Politikası Hangi Bileşenlerden Oluşur?
DLP politikasında kapsam, kurallar, koşullar, istisnalar ve aksiyonlar birlikte değerlendirilir.
Kapsam, politikanın hangi konumlara ve kullanıcılara uygulanacağını belirler. Kurallar, hangi koşullarda hangi işlemin gerçekleştirileceğini tanımlar.
Desteklenen konumlarda hassas bilgi türleri, hassasiyet etiketleri ve paylaşım koşulları gibi ölçütler kullanılabilir. Eşleşme sayısı ve güven düzeyi de ilgili koşulların parçası olabilir. DLP politika bileşenleri
Örneğin kurumun hedefi şöyle tanımlanabilir:
“Müşteri bilgisi içeren dosyaların onaylanmamış dış alıcılarla paylaşılmasını sınırlandırmak.”
Bu hedef teknik yapılandırmaya dönüştürülürken müşteri bilgisinin nasıl tanınacağı, dış alıcının nasıl değerlendirileceği ve hangi aksiyonun uygulanacağı belirlenmelidir.
Hazır bir şablon kullanılması, bu kurumsal kararların yerine geçmez.
5. Information Protection ile DLP Birlikte Nasıl Çalışır?
Information Protection, içeriğin sınıflandırılması ve uygun koruma ayarlarının uygulanmasına odaklanır. DLP ise belirli kullanım ve paylaşım davranışlarını değerlendirir.
Örneğin bir dosya “Gizli” etiketi taşıyabilir. Desteklenen DLP yapılandırmasında bu etiket, paylaşım koşullarıyla birlikte değerlendirilebilir. DLP koşulları ve etiketler
Ancak etiket uygulanması, tek başına bütün paylaşım kanallarının yönetildiği anlamına gelmez. Benzer şekilde DLP de yalnızca etiketli dosyalarla çalışmak zorunda değildir; uygun koşullarda içeriğin hassas bilgi özelliklerinden yararlanabilir.
Kurum, tanıma yöntemiyle kontrol hedefini birlikte tasarlamalıdır. Yanlış tanımlanan bir hassas bilgi türü, DLP tarafında gereksiz uyarı veya engellemeler oluşturabilir.
6. Kullanıcı Bildirimi, Engelleme ve Override
DLP’de uygulanabilecek aksiyonlar konuma ve kurala göre değişir. Desteklenen senaryolarda kullanıcıya policy tip — politika ipucu gösterilebilir, işlem engellenebilir veya belirlenen koşullarda kullanıcının gerekçeyle devam etmesine izin verilebilir. DLP koruyucu aksiyonları
Override, kullanıcının yapılandırılmış istisna davranışı üzerinden engeli aşabilmesini ifade eder. Bu imkân, her senaryoda ayrı bir yönetici onayı alındığı anlamına gelmez.
Kurum, gerekçeyle devam etmenin hangi durumlarda kabul edileceğini belirlemelidir. Kaydedilen gerekçelerin kim tarafından ve nasıl değerlendirileceği de işletim planında bulunmalıdır.
Kullanıcıya gösterilen mesaj anlaşılır olmalıdır. Hangi işlemin sınırlandırıldığı ve güvenli alternatifin ne olduğu açıklanmalıdır. Gereksiz teknik ayrıntılar, kullanıcının doğru karar vermesini zorlaştırabilir.
7. Endpoint DLP: Cihaz Üzerindeki Veri Kullanımı
Endpoint DLP, desteklenen cihazlarda hassas dosyaların kullanımına ilişkin etkinlikleri izlemeyi ve sınırlandırmayı destekler.
USB’ye kopyalama, yazdırma, panoya kopyalama veya belirli uygulama ve tarayıcı işlemleri, desteklenen kapsamda değerlendirilebilir. Kullanılabilir etkinlikler ve aksiyonlar işletim sistemi ile yapılandırmaya göre farklılık gösterebilir. Cihazların hizmete dahil edilmesi ve gerekli hazırlığın tamamlanması gerekir. Endpoint DLP hakkında
Örneğin bir müşteri dosyasının e-postayla gönderilmesi Exchange Online kontrolünü ilgilendirirken, aynı dosyanın USB’ye kopyalanması uç nokta kontrolünü gerektirebilir.
Kurumun cihaz envanteri, uygulama kullanımı ve iş süreçleri birlikte değerlendirilmelidir. E-posta politikasının bulunması, cihazdaki bütün dosya hareketlerinin kontrol edildiğini göstermez.
8. Simülasyon Modu Neden Önemlidir?
DLP politikasının doğrudan engelleme davranışıyla kurum geneline uygulanması, meşru iş akışlarını etkileyebilir.
Simülasyon modu, politika eşleşmelerinin ve olası etkilerinin değerlendirilmesini sağlar. Bu aşamada engelleme davranışı uygulanmadan sonuçlar incelenir; seçilen moda göre kullanıcı bildirimi gibi davranışlar ayrıca yapılandırılabilir. DLP politikası oluşturma ve devreye alma
Kurum aşağıdaki sorulara yanıt aramalıdır:
- Politika hedeflenen veriyi tanıyor mu?
- Benzer ancak hassas olmayan içerikler eşleşiyor mu?
- Hangi iş süreçleri etkilenebilir?
- İstisnalar gereğinden geniş mi?
- Kullanıcıya sunulan açıklama yeterli mi?
Simülasyon sonuçları olumlu olsa da gerçek engelleme ve kullanıcı deneyimi pilot uygulamada doğrulanmalıdır. Politika önceliği ve kural işleme davranışı da gözden geçirilmelidir.
9. Yanlış Pozitif ve Yanlış Negatifler
Yanlış pozitif, hedeflenen risk bulunmadığı halde eşleşme oluşmasıdır. Yanlış negatif ise hedeflenen durumun mevcut olduğu halde yakalanamamasıdır.
Örneğin sıradan bir işlem numarasının müşteri bilgisi olarak değerlendirilmesi gereksiz engelleme oluşturabilir. Müşteri listesinin farklı bir biçimde hazırlanması nedeniyle tanınamaması ise koruma boşluğu bırakabilir.
Bu nedenle test kümesi hem eşleşmesi gereken hem de eşleşmemesi gereken içerikleri kapsamalıdır.
Kurumun başarı ölçütü yalnızca uyarı sayısı olmamalıdır. Tanıma kalitesi, iş akışına etkisi ve inceleme ekibinin bulguları yönetebilmesi birlikte değerlendirilmelidir.
10. DLP Uyarıları Nasıl Yönetilir?
DLP uyarıları, yapılandırılan kurallar ve uyarı ayarları doğrultusunda oluşturulur. Politika eşleşmesi, kullanıcı bildirimi ve inceleme ekibine yönelik uyarı farklı işlevlerdir.
Uyarı ekranları, ilgili etkinliklerin araştırılmasını ve bulguların takip edilmesini destekler. Uyarı oluşumu ve içerdiği bilgiler, kullanılan özellik ve yapılandırmaya bağlıdır. DLP uyarıları hakkında
Bir uyarı, kullanıcının kötü niyetli olduğunu veya hukuki ihlal gerçekleştiğini tek başına göstermez. İş bağlamı, paylaşım amacı ve uygulanan aksiyon değerlendirilmelidir.
Kurumun şu sorumlulukları belirlemesi gerekir:
- İlk değerlendirmeyi kim yapacak?
- Yanlış eşleşmeler nasıl kaydedilecek?
- Hangi durumlar bilgi güvenliği veya hukuk ekibine aktarılacak?
- Politika değişikliklerine kim karar verecek?
- Bulgular hangi koşullarda kapatılacak?
Bu yaklaşımın süreç tarafını Supervisory Review Süreç ve Roller makalemizde, hukuki incelemeye aktarım boyutunu ise Dava Yönetimi bölümünde ele almıştık.
11. DLP ile Communication Compliance Arasındaki Fark
DLP, hassas verinin belirli kullanım ve paylaşım davranışlarına odaklanır. Communication Compliance ise tanımlı iletişim politikaları doğrultusunda içeriklerin inceleme sürecine alınmasını destekler.
Bir müşteri listesinin dışarı paylaşılması ile müşteri yazışmasının kurumun iletişim kurallarına uygunluğunun değerlendirilmesi farklı sorulardır.
Kurum aynı olayda her iki sürece de ihtiyaç duyabilir. Ancak bir DLP politikasının bulunması, iletişim gözetimi iş akışının tamamlandığı anlamına gelmez.
İletişim gözetiminin kavramsal temelini Exchange Server Supervisory Review Nedir makalemizde açıklamıştık.
12. Kurumlar İçin Uygulama Senaryoları
12.1. Müşteri Listelerinin Dışarı Gönderilmesi
Kurum, müşteri bilgileri içeren dosyaların onaylanmamış dış alıcılara gönderilmesini sınırlandırmak isteyebilir.
Öneri: Tanıma koşullarıyla alıcı kapsamı birlikte test edilmeli; izin verilen iş ortakları ve paylaşım yöntemleri açıkça belirlenmelidir.
12.2 Personel Belgelerinin Dosya Alanlarında Paylaşılması
İnsan kaynakları belgelerinin uygun olmayan erişimlerle paylaşılması risk oluşturabilir.
Öneri: Site veya hesap kapsamı, mevcut paylaşım izinleri ve DLP aksiyonları birlikte değerlendirilmelidir. Temel erişim izinlerinin düzeltilmesi de çalışmanın parçası olmalıdır.
12.3 Hassas Dosyaların USB’ye Kopyalanması
Belirli cihazlarda hassas dosyaların taşınabilir ortamlara aktarılması kontrol edilmek istenebilir.
Öneri: Endpoint DLP hazırlığı tamamlanmalı; onaylı cihazlar ve meşru aktarım ihtiyaçları pilot çalışmada değerlendirilmelidir.
12.4 Teams Üzerinden Bilgi Paylaşımı
Çalışanlar hassas bilgileri mesaj içine yazabilir veya dosya paylaşabilir.
Öneri: Mesajlar ile dosyaların saklandığı SharePoint ve OneDrive konumları ayrı değerlendirilmelidir. Bir konumun kapsanması, diğerinin otomatik olarak kapsandığı anlamına gelmez.
13. Lisanslama ve Yetkilendirme Hazırlığı
DLP özelliklerinin lisans gereksinimleri veri konumu ve kullanılacak yeteneğe göre farklılık gösterebilir. Kullanıcı kapsamı, ilgili Microsoft hizmet açıklaması üzerinden doğrulanmalıdır. Microsoft Purview hizmet açıklaması
Politika yönetimi, uyarı araştırması ve hassas içeriğin görüntülenmesi için görevler ayrı tanımlanmalıdır. Her yöneticiye geniş içerik erişimi verilmesi gerekli olmayabilir.
Bu yaklaşımın temelini Supervisory Review Güvenlik ve Yetkilendirme makalesinde ele almıştık.
14. Başlangıç ve İşletim Planı
Purview DLP çalışması için aşağıdaki sıra izlenebilir:
- Kontrol hedefini belirlemek: Hangi veri kullanımını yönetmek istiyoruz?
- İş sahiplerini dahil etmek: İzin verilen ve verilmeyen davranışlar neler?
- Veri ve konum kapsamını seçmek: Hangi kullanıcılar, kaynaklar ve cihazlar dahil?
- Tanıma koşullarını doğrulamak: Hassas bilgi türleri ve etiketler uygun mu?
- Aksiyonları belirlemek: İzleme, bildirim, engelleme veya gerekçeli devam seçeneklerinden hangisi gerekli?
- Simülasyon ve pilot uygulama yapmak: Sonuçlar ve kullanıcı deneyimi hedefle uyumlu mu?
- İnceleme sürecini hazırlamak: Uyarılar kim tarafından yönetilecek?
- Kapsamı kontrollü genişletmek: Yeni kullanıcı ve kaynaklar nasıl dahil edilecek?
- Düzenli gözden geçirmek: İstisnalar, yanlış eşleşmeler ve değişen iş süreçleri nasıl takip edilecek?
Politika devreye alındıktan sonra çalışma tamamlanmış sayılmamalıdır. Yeni uygulamalar, değişen belge biçimleri ve kullanıcı alışkanlıkları kontrollerin güncellenmesini gerektirebilir.
15. DLP’den Veri Yaşam Döngüsüne
Exchange Server Compliance Management etiketi altındaki çalışmalarımızda olduğu gibi Purview DLP de teknik kontrollerin kurumsal süreçlerle birlikte işletilmesine dayanır.
Hassas veriyi tanımak ve etiketlemek koruma kararının temelini oluşturur. DLP ise bu bilginin nerede ve nasıl kullanıldığını politika koşullarıyla değerlendirir.
Başarılı bir uygulama için doğru kapsam, test edilmiş aksiyonlar, anlaşılır kullanıcı mesajları ve sürdürülebilir bir inceleme süreci gerekir.
Bir sonraki bölümde kullanım ve paylaşım kontrollerinden, verinin saklama ve silme yaşam döngüsüne geçeceğiz.
