Microsoft Purview Hassas Veri Tanıma ve Veri Sınıflandırma, kurumsal verilerin korunması ve yönetilmesi için temel oluşturur. Bir bilginin nasıl korunacağına karar vermeden önce, hangi bilgiyi içerdiğinin ve kurum açısından ne anlama geldiğinin belirlenmesi gerekir.
Müşteri kayıtları, personel belgeleri, finansal bilgiler ve ticari sırlar farklı sistemlerde bulunabilir. Ancak bir dosyanın konumu veya adı, içeriğinin hassasiyetini her zaman açıklamaz. “Rapor” adıyla kaydedilen bir belge müşteri bilgileri içerebilir; belirli bir sayı dizisi ise kişisel bilgiye benzediği halde sıradan bir işlem numarası olabilir.
Microsoft Purview, içeriğin tanınması ve sınıflandırılması için farklı yöntemler sunar. Bu yöntemlerin doğru seçilmesi, sonraki veri koruma ve uyum politikalarının kalitesini etkiler.
Önceki bölümlerde portal, lisanslama ve yetkilendirme hazırlıklarını ele aldık. Microsoft Purview Hassas Veri Tanıma ve Veri Sınıflandırma blog yazımız içinde hassas bilgi türlerini, Exact Data Match yaklaşımını, eğitilebilir sınıflandırıcıları ve etiketlerle olan ilişkilerini inceleyeceğiz ve aşağıda ki başlıkları sizlere paylaşacağız.
1. Hassas Veri Tanıma ile Veri Sınıflandırma Arasındaki İlişki
Hassas veri tanıma, içerikte belirli bilgi türlerinin veya içerik özelliklerinin bulunmasını ifade eder. Veri sınıflandırma ise bu bilgilerin belirli kategoriler altında değerlendirilmesini sağlar.
Bu ayrım iki soruyla açıklanabilir:
- İçerikte ne var? Kimlik bilgisi, banka hesap bilgisi, müşteri kaydı veya belirli bir belge türü bulunuyor mu?
- Kurum açısından nasıl değerlendirilmeli? İçerik hangi hassasiyet kategorisine ve yönetim yaklaşımına dahil edilmeli?
Purview terminolojisinde tanıma mekanizmaları da sınıflandırıcı olarak adlandırılabilir. Dolayısıyla bunlar birbirinden bağımsız iki sistem değil, aynı yönetim yaklaşımının ilişkili parçalarıdır. Microsoft Purview sınıflandırıcılarına genel bakış
Örneğin bir belgede müşteri bilgisi bulunması teknik bir bulgudur. Belgenin “Gizli” olarak değerlendirilmesi ve nasıl paylaşılacağı ise kurumun sınıflandırma politikasına bağlıdır.
2. Hassas Veri Neden Yalnızca Kişisel Veriden Oluşmaz?
Kurumun korunması gereken bilgileri kişisel verilerle sınırlı olmayabilir. Fiyatlandırma çalışmaları, ürün tasarımları, kaynak kodları ve henüz açıklanmamış iş planları da hassas kabul edilebilir.
Bu nedenle başlangıçta kurumun kendi veri kategorilerini tanımlaması gerekir. BT ekibinin yanında hukuk, bilgi güvenliği ve ilgili iş birimleri de bu çalışmaya katılmalıdır.
Örneğin finans ekibi bir raporun hangi aşamada paylaşılabileceğini, insan kaynakları personel bilgilerinin kullanım kapsamını, ürün geliştirme ekibi ise hangi tasarımların ticari sır niteliğinde olduğunu açıklayabilir.
Teknik sınıflandırmanın hedefi, bu kurumsal kararları uygulanabilir koşullara dönüştürmektir. Her bulgunun aynı koruma seviyesine alınması, günlük iş akışlarında gereksiz kısıtlamalar oluşturabilir.
Bu bütünün yönetim boyutunu Exchange Server Compliance Management makalemizde ele almıştık.
3. Sensitive Information Types — Hassas Bilgi Türleri
Sensitive Information Types — SIT, belirli bilgi örüntülerini tanımak için kullanılan sınıflandırıcılardır. Microsoft hazır hassas bilgi türleri sağlar; kurum ihtiyaçlarına göre özel türler de oluşturulabilir.
Tanıma yalnızca bir kelimenin aranmasına dayanmaz. Birincil öğe, destekleyici kanıt, yakınlık ve güven düzeyi gibi bileşenler kullanılabilir. Hassas bilgi türleri hakkında
3.1 Birincil Öğe ve Destekleyici Kanıt
Birincil öğe, tanınması hedeflenen temel yapıdır. Düzenli ifade, anahtar kelime veya desteklenen bir doğrulama fonksiyonu bu amaçla kullanılabilir.
Destekleyici kanıt ise eşleşmenin bağlamını güçlendirir. Örneğin bir numaranın yakınında hesap bilgisine ilişkin ifadelerin bulunması, yalnızca numara biçimine dayanan eşleşmeden daha anlamlı olabilir.
Yakınlık — proximity, destekleyici öğenin birincil öğeye karakter mesafesini tanımlar.
3.2 Güven Düzeyi
Düşük, orta ve yüksek güven düzeyleri, eşleşmenin tanımlı örüntü ve destekleyici kanıt koşullarını karşılamasıyla ilişkilidir.
Bu değerler, kullanıcının niyeti veya işlemin hukuki uygunluğu hakkında puan değildir. Yüksek güvenli bir eşleşme bulunması da tek başına veri paylaşımının ihlal olduğunu göstermez.
Kurumun teknik bulgu ile politika kararını ayrı değerlendirmesi gerekir.
4. Hazır Hassas Bilgi Türleri Nasıl Değerlendirilmelidir?
Hazır türler, başlangıç için önemli kolaylık sağlar. Ancak türün adı kadar algılama tanımının da incelenmesi gerekir.
Kurum aşağıdaki soruları değerlendirebilir:
- Hedeflenen bilgi hangi biçimlerde kullanılıyor?
- Belgelerde hangi destekleyici ifadeler bulunuyor?
- Benzer numaralar başka amaçlarla da kullanılıyor mu?
- İçerik farklı dillerde veya farklı şablonlarda hazırlanıyor mu?
- Test verileri gerçek iş akışlarını temsil ediyor mu?
Bir türün portalda bulunması, kurumun bütün belge biçimlerinde aynı başarıyla çalışacağını göstermez. Temsil edici içeriklerle doğrulama yapılmalıdır.
5. Kuruma Özel Hassas Bilgi Türleri
Hazır türler ihtiyacı karşılamadığında custom sensitive information type, yani özel hassas bilgi türü oluşturulabilir. Uygun hazır türler kopyalanarak uyarlanabilir veya yeni bir tanım hazırlanabilir.
Özel tanımlarda düzenli ifadeler, anahtar kelime listeleri, sözlükler ve destekleyici koşullar kullanılabilir. Özel hassas bilgi türü oluşturma
Örneğin kurumun müşteri numaralarının belirli bir önek ve sayı yapısı kullandığını düşünelim. Bu yapı, müşteri kaydına ilişkin destekleyici ifadelerle birlikte tanımlanabilir.
Bu örnekte önemli olan yalnızca müşteri numarasını yakalamak değildir. Benzer yapıya sahip sipariş veya stok kodlarının yanlışlıkla müşteri bilgisi olarak değerlendirilmesini de azaltmak gerekir.
Özel türün sahibi, açıklaması ve test örnekleri kaydedilmelidir. Kurumsal numara yapısı veya belge şablonu değiştiğinde tanım yeniden değerlendirilmelidir.
6. Exact Data Match — EDM Nedir?
Exact Data Match — EDM, kurumun belirlediği hassas veri kümesindeki değerleri temel alan hassas bilgi türleri oluşturmayı sağlar. Böylece yalnızca belirli bir biçime benzeyen veriler yerine, referans veri kümesiyle eşleşen kayıtların tanınması hedeflenir.
EDM hazırlığında hassas veri yerel olarak işlenir; hash ve yükleme süreciyle eşleştirme için gereken yapı oluşturulur. Bu, kaynak müşteri tablosunun okunabilir haliyle buluta yüklenmesi şeklinde değerlendirilmemelidir. EDM tabanlı hassas bilgi türleri
Örneğin bir kurum, kendi müşteri kayıtlarıyla ilişkili bilgileri diğer benzer numaralardan ayırmak isteyebilir. EDM bu ihtiyaç için değerlendirilebilir.
Ancak referans veri kümesinin güncelliği önemlidir. Yeni kayıtlar, değişen alanlar ve veri kalitesi sorunları eşleşme sonuçlarını etkileyebilir. Ayrıca belirlenen eşleştirme koşulları ve desteklenen kullanım kapsamı doğrulanmalıdır.
7. Trainable Classifiers — Eğitilebilir Sınıflandırıcılar
Trainable classifiers, içeriği yalnızca sabit bir sayı veya kelime örüntüsü üzerinden değil, örneklerden öğrenilen içerik özellikleriyle sınıflandırmayı destekler.
Microsoft’un hazır sınıflandırıcıları bulunur. Desteklenen koşullarda kuruma özel sınıflandırıcılar da örnek içeriklerle hazırlanabilir. Özel sınıflandırıcıların eğitim ve test sürecinde olumlu ve olumsuz örneklerden yararlanılır. Eğitilebilir sınıflandırıcılar hakkında
Örneğin kurumun belirli bir belge ailesini tanımak istediğini düşünelim. Bu belgeler ortak bir numara biçimi taşımayabilir; ancak içerik yapıları bakımından benzer olabilir.
Böyle bir ihtiyaçta örüntü tabanlı hassas bilgi türü ile eğitilebilir sınıflandırıcı farklı yaklaşımlar sunar.
Kurumun örnekleri çeşitli olmalıdır. Yalnızca tek bir şablonla yapılan değerlendirme, diğer belge biçimlerini temsil etmeyebilir. Dil ve kaynak desteği de ilgili sınıflandırıcı için ayrıca kontrol edilmelidir.
8. Hangi Tanıma Yöntemi Seçilmelidir?
Aşağıdaki tablo, yöntemlerin temel konumlandırmasını özetlemektedir.
| Yöntem | Temel yaklaşım | Kurumsal kullanım örneği |
|---|---|---|
| Hazır hassas bilgi türü | Microsoft tarafından sağlanan tanımlarla bilgi örüntülerini tanımak | Desteklenen kimlik veya finansal bilgi türlerini belirlemek |
| Özel hassas bilgi türü | Kuruma özgü örüntü ve destekleyici koşullar oluşturmak | Kurumsal müşteri numarası yapısını tanımak |
| Exact Data Match | Belirlenen referans veri kümesiyle eşleştirme yapmak | Kurumun müşteri kayıtlarıyla ilişkili değerleri ayırt etmek |
| Eğitilebilir sınıflandırıcı | Örneklerden öğrenilen içerik özellikleriyle kategori belirlemek | Desteklenen kapsamda belirli bir kurumsal belge ailesini tanımak |
Bu yöntemler arasında seçim yapılırken bilgi yapısı, referans veri ihtiyacı ve test sonuçları birlikte değerlendirilmelidir. Desteklenen politikaların koşullarına göre birden fazla yöntemden yararlanılabilir.
9. Hassas Bilgi Türü ile Hassasiyet Etiketi Aynı mı?
Hassas bilgi türü, içerikte ne bulunduğunun tanınmasını destekler. Hassasiyet etiketi — sensitivity label, içeriğin kurumun sınıflandırma yaklaşımındaki yerini belirtir ve yapılandırmasına göre koruma davranışları uygulayabilir.
Örneğin bir belgede müşteri bilgisi tespit edilmesi ile belgeye “Gizli” etiketi uygulanması farklı işlemlerdir. Tanıma sonucu, desteklenen otomatik etiketleme yapılandırmasında koşul olarak kullanılabilir; kullanıcı tarafından etiketleme de mümkündür. Hassasiyet etiketleri hakkında
Bir hassas bilgi türünün oluşturulması, bütün eşleşen belgelere kendiliğinden etiket uygulandığı anlamına gelmez. Aynı şekilde her etiket şifreleme yapmak zorunda değildir.
Etiketleme ve koruma davranışlarını sonraki Microsoft Purview Information Protection makalesinde ayrıntılandıracağız.
10. Hassasiyet Etiketi ile Saklama Etiketi Arasındaki Fark
Etiket kavramı veri yaşam döngüsünde de kullanılır. Ancak hassasiyet etiketiyle saklama etiketi farklı ihtiyaçlara yöneliktir.
Hassasiyet etiketi içeriğin sınıflandırılması ve korunmasıyla ilişkilidir. Saklama etiketi ise içeriğin hangi yaşam döngüsü kurallarıyla yönetileceğini belirler.
Kurumun “Bu belge ne kadar hassas?” ve “Bu belge ne kadar süre saklanmalı?” soruları ayrı kararlar gerektirir.
Veri yaşam döngüsünün Exchange tarafındaki temelini Messaging Records Management ve Retention Policy Tags makalelerimizde ele almıştık. Purview saklama ve kayıt yönetimini serinin ilgili bölümlerinde inceleyeceğiz.
11. Tanıma Sonucu Politikalarda Nasıl Kullanılır?
Tanıma mekanizması, politika kararının girdilerinden biridir. Tek başına kurumun bütün koruma kararlarını oluşturmaz.
Örneğin müşteri bilgisi içeren bir belgenin paylaşımı değerlendirilirken alıcı, veri konumu, iş amacı ve tanımlı istisnalar da önem taşıyabilir.
Bu nedenle kurum önce hangi davranışı yönetmek istediğini açıklamalıdır. Ardından tanıma koşullarıyla politika kapsamını eşleştirmelidir.
Veri paylaşımının yönetimine ilişkin temel yaklaşımı Exchange Server Data Loss Prevention makalemizde açıklamıştık. Purview DLP bölümünde bu ilişkiyi farklı veri konumları üzerinden geliştireceğiz.
İletişim incelemesinde de bir eşleşme, yetkili inceleyicinin değerlendireceği bulgu olabilir. Eşleşmenin bağlamı ve gerekçesi, Supervisory Review Süreç ve Roller bölümündeki süreçle birlikte ele alınmalıdır.
12. Content Explorer ve Activity Explorer
Content Explorer, desteklenen kapsamda hassas bilgi ve etiketlerle ilişkili içeriklerin görünürlüğünü sağlar. Listeyi görmek ile içeriğin kendisini görüntülemek için gereken izinler ayrıdır. Content Explorer hakkında
Activity Explorer ise desteklenen etkinlik kayıtları üzerinden etiketleme ve veri koruma çalışmalarının kullanımını değerlendirmeye yardımcı olur. Activity Explorer hakkında
Bu alanlar, kurumun sınıflandırma yaklaşımını gözden geçirmesini destekleyebilir. Ancak görüntülenen sonuçlar bütün kurumsal verilerin eksiksiz ve anlık olarak tarandığı şeklinde yorumlanmamalıdır. Veri kaynağı, desteklenen özellik ve işleme süreçleri dikkate alınmalıdır.
İçeriğin görüntülenmesi sırasında erişim kapsamının korunması gerekir. Bu yaklaşımın temelini Supervisory Review Güvenlik ve Yetkilendirme makalemizde ele almıştık.
13. Yanlış Eşleşmeler ve Kaçırılan Veriler
Tanıma yöntemlerinin kalitesi iki yönden değerlendirilmelidir:
- Yanlış pozitif: Hedeflenen hassas bilgi bulunmadığı halde eşleşme oluşması.
- Yanlış negatif: Hedeflenen hassas bilgi bulunduğu halde eşleşme oluşmaması.
Örneğin sıradan bir işlem numarasının müşteri numarası olarak değerlendirilmesi yanlış pozitiftir. Müşteri bilgisinin farklı biçimde yazılması nedeniyle tanınamaması ise yanlış negatif olabilir.
Testlerde yalnızca eşleşmesi beklenen belgeler kullanılmamalıdır. Benzer görünen ancak eşleşmemesi gereken içerikler de bulunmalıdır.
Kurumun amacı mümkün olan en fazla eşleşmeyi üretmek değil, tanımladığı ihtiyaca uygun ve yönetilebilir sonuçlar elde etmektir.
14. Kurumlar İçin Önerilen Başlangıç Planı
Hassas veri tanıma ve sınıflandırma çalışması için aşağıdaki sıra izlenebilir:
- Veri kategorilerini belirlemek: Kurum hangi bilgileri hassas kabul ediyor?
- İş sahiplerini dahil etmek: Bilginin kullanımını ve önemini kim açıklayabilir?
- Kaynakları seçmek: İlk çalışma hangi sistem ve veri konumlarını kapsayacak?
- Tanıma yöntemini belirlemek: Hazır tür, özel tür, EDM veya sınıflandırıcıdan hangisi uygun?
- Temsil edici test kümesi hazırlamak: Eşleşmesi gereken ve gerekmeyen örnekler neler?
- Sonuçları değerlendirmek: Yanlış eşleşmeler ve kaçırılan içerikler hangi nedenlerle oluşuyor?
- Politikaya bağlamak: Tanıma sonucuna göre hangi işlem uygulanacak?
- Gözden geçirmeyi planlamak: Değişen veriler ve iş süreçleri nasıl takip edilecek?
Test verileri kontrollü bir ortamda yönetilmeli, gereksiz gerçek kişisel veri kullanımından kaçınılmalıdır.
Yeni bir tanımın oluşturulması, mevcut bütün içeriklerin anında yeniden değerlendirildiği anlamına gelmez. Özellikle kaynakların tarama ve yeniden işleme davranışları uygulama planına dahil edilmelidir.
15. Hassas Veri Tanımadan Information Protection’a
Exchange Server Compliance Management etiketi altındaki çalışmalarımızda olduğu gibi Purview kullanımında da teknik mekanizmalar kurumsal kararlarla birlikte ele alınmalıdır.
Hassas veri tanıma, içeriğin özelliklerini belirlemeye yardımcı olur. Veri sınıflandırma ise bu bilgilerin kurumun yönetim yaklaşımındaki yerini oluşturur. Etiketler ve politikalar, bu yaklaşımın uygulanmasını destekler.
Doğru bir başlangıç için hangi verinin neden hassas olduğunun açıklanması, uygun tanıma yönteminin seçilmesi ve sonuçların gerçek iş örnekleriyle doğrulanması gerekir.
