Microsoft Purview Insider Risk Management, kurum içinden kaynaklanabilecek veri güvenliği risklerini belirlemek ve araştırmak için farklı etkinlik sinyallerini ilişkilendirir. Veri sızıntısı, fikri mülkiyetin uygunsuz aktarılması veya güvenlik kurallarına aykırı etkinlikler bu kapsamda değerlendirilebilir.
Bu riskler her zaman kötü niyetli davranışlardan oluşmaz. Yanlış paylaşım yöntemi, iş sürecinin yeterince anlaşılmaması veya kullanıcı hatası da hassas verilerin uygunsuz kullanımına neden olabilir.
Kurumun ihtiyacı, tek bir işlemi görmenin ötesinde, ilişkili etkinlikleri zaman ve iş bağlamıyla birlikte değerlendirmektir. Ancak teknik risk göstergeleri, çalışanın niyeti veya sorumluluğu hakkında kesin karar olarak yorumlanmamalıdır.
Önceki bölümde Communication Compliance ile iletişimlerin politika temelli incelemesini ele aldık. Bu bölümde iletişimlerin ötesindeki etkinlikleri ve bunların araştırma sürecinde nasıl kullanılabileceğini inceleyeceğiz. Microsoft Purview Insider Risk Management makalesi içinde aşağıdaki bilgilere ulaşacaksınız.
1. Microsoft Purview Insider Risk Management Nedir?
Insider Risk Management — IRM, belirlenen politikalar doğrultusunda potansiyel kurum içi risklerin tespit edilmesini, ön değerlendirmesini ve vaka kapsamında araştırılmasını destekler.
Farklı hizmetlerden gelen sinyaller ilişkilendirilerek inceleyicilere riskli olabilecek etkinlikler sunulur. Çözüm, kasıtlı veya istemeden gerçekleşen veri güvenliği risklerinin araştırılmasında kullanılabilir. Microsoft Purview Insider Risk Management hakkında
Örneğin bir dosyanın indirilmesi tek başına olağan bir iş işlemi olabilir. Aynı dönemde başka veri aktarım etkinliklerinin de bulunması, daha ayrıntılı inceleme gerektirebilir.
Bu ilişki, otomatik olarak veri hırsızlığının kanıtlandığı anlamına gelmez. Kullanıcının görevi ve onaylanmış iş süreçleri ayrıca değerlendirilmelidir.
2. Kurum İçi Risk Ne Anlama Gelir?
Kurum içi risk, kurumsal erişim ve kaynakların kullanımı sırasında ortaya çıkabilecek veri güvenliği sorunlarını kapsar.
Bir çalışanın müşteri dosyasını yanlış paylaşması, proje belgelerini uygun olmayan bir konuma aktarması veya güvenlik kontrollerini etkileyen işlemler gerçekleştirmesi farklı risk senaryoları oluşturabilir.
Burada “kurum içi” ifadesi, araştırmaya peşinen suçlama yaklaşımıyla başlanmasını gerektirmez. Amaç, veriye ilişkin riski anlamak ve uygun kontrolü uygulamaktır.
Kurumun araştırma dili de bu yaklaşımı yansıtmalıdır. “Potansiyel risk”, “araştırılması gereken etkinlik” ve “doğrulanmış bulgu” gibi ifadeler arasındaki ayrım korunmalıdır.
3. DLP, Communication Compliance ve IRM Arasındaki Fark
Bu çözümler aynı veri güvenliği programının parçaları olabilir. Ancak odakları farklıdır.
| Çözüm | Temel odak | Örnek kurumsal soru |
|---|---|---|
| Data Loss Prevention | Hassas verinin belirli kullanım ve paylaşım davranışlarını yönetmek | Bu dosyanın belirlenen yöntemle paylaşılmasına izin verilmeli mi? |
| Communication Compliance | İletişimleri politika koşulları doğrultusunda incelemek | Bu iletişim, kurumun belirlediği standartlar açısından değerlendirme gerektiriyor mu? |
| Insider Risk Management | İlişkili etkinlik ve sinyalleri potansiyel kurum içi risk açısından değerlendirmek | Bu etkinlikler birlikte ele alındığında daha kapsamlı araştırma gerekiyor mu? |
DLP yaklaşımının temelini Exchange Server Data Loss Prevention makalemizde, iletişim gözetimi yaklaşımını ise Supervisory Review Nedir yazısında açıklamıştık.
Bir çözümün devrede olması, diğerlerinin görevlerini otomatik olarak yerine getirdiği anlamına gelmez.
4. Sinyaller ve Risk Göstergeleri
Policy indicators — politika göstergeleri, belirli etkinliklerin risk değerlendirmesinde kullanılmasını sağlar. Kullanılabilir göstergeler seçilen politika şablonuna ve veri kaynağı hazırlığına bağlıdır.
Dosya indirme, paylaşım, silme veya cihaz üzerindeki bazı veri aktarım etkinlikleri uygun kapsamda değerlendirilebilir. Bazı göstergeler ek hizmet, cihaz hazırlığı veya bağlantı gerektirir. Insider Risk Management politika göstergeleri
Bir göstergenin listede bulunması, kurumun bu veriyi toplamaya hazır olduğunu göstermez. Gerekli hizmetlerin ve sinyal akışının doğrulanması gerekir.
Kurum başlangıçta şu soruyu yanıtlamalıdır:
“Hangi risk senaryosunu, hangi kaynaklardan gelen hangi etkinliklerle değerlendireceğiz?”
Bu yaklaşım, bütün göstergeleri gerekçesiz biçimde etkinleştirmekten daha yönetilebilir bir kapsam oluşturur.
5. Politika Şablonları Nasıl Kullanılır?
IRM politikaları, belirli risk senaryolarına yönelik şablonlarla oluşturulabilir. Veri sızıntısı, ayrılan kullanıcılarla ilişkili veri aktarımı ve güvenlik politikası ihlalleri bu senaryolara örnektir.
Politikada kullanıcı kapsamı, tetikleyici olaylar, göstergeler, eşikler ve değerlendirme süreleri yapılandırılır. Gereksinimler şablona göre değişir. IRM politikalarının oluşturulması
Örneğin işten ayrılma bağlamını kullanan bir politikada, ilgili olay bilgisinin uygun kaynaktan alınması gerekir. Kullanıcının hesabını kapatmakla bütün ayrılma senaryosunun otomatik olarak hazır hale geldiği varsayılmamalıdır.
Şablon, kurumun risk tanımını oluşturmasına yardımcı olur. Ancak hangi kullanıcıların neden kapsama alındığı ve sonuçların nasıl değerlendirileceği kurumsal kararlardır.
6. Tetikleyici Olay ve İnceleme Dönemi
Bazı politikalar belirli bir olay sonrasında ilgili etkinliklerin değerlendirilmesine dayanır. Tetikleyici olay ile veri aktarımına ilişkin gösterge aynı kavram değildir.
Örneğin işten ayrılma bilgisi araştırma bağlamını oluşturabilir. Dosya indirme veya paylaşım etkinlikleri ise bu bağlamda değerlendirilen işlemler olabilir.
Politika zaman aralıkları, olay öncesi ve sonrası değerlendirme dönemlerini etkileyebilir. Ayarlar, seçilen şablonla birlikte kontrol edilmelidir. IRM ayarları ve politika zaman aralıkları
Bu yaklaşım, istenen herhangi bir geçmiş dönemin sınırsız olarak yeniden oluşturulabileceği anlamına gelmez. Mevcut sinyaller ve hizmet sınırları dikkate alınmalıdır.
7. Eşikler ve Risk Önceliklendirmesi
Eşikler, belirli etkinliklerin hangi koşullarda dikkat gerektirdiğinin değerlendirilmesine yardımcı olur. Uyarı hacmi, göstergeler ve risk puanlama davranışı politika tasarımından etkilenir. Gösterge ve eşik yapılandırması
Ancak yüksek risk puanı veya uyarı önem derecesi, doğrulanmış ihlal kararı değildir. Bunlar araştırmanın önceliklendirilmesini destekleyen teknik çıktılardır.
Kurumun farklı iş rollerini değerlendirmesi gerekir. Yüksek hacimli dosya işlemleri yapan bir ekipte olağan kabul edilen etkinlik, başka bir görevde farklı bağlam taşıyabilir.
Yanlış eşleşmelerin azaltılması kadar gerçek risklerin kaçırılmaması da önemlidir. Eşik değişikliklerinin gerekçeleri ve etkileri kaydedilmelidir.
8. Uyarıdan Vakaya Geçiş
Politika koşullarıyla ilişkili uyarılar, ilk değerlendirmeye alınır. Bulguların niteliğine göre uyarı kapatılabilir veya daha ayrıntılı araştırma için vakaya dahil edilebilir.
Vaka kapsamında etkinlikler, ilgili içerikler ve inceleme notları birlikte değerlendirilebilir. Insider Risk Management vaka yönetimi
Kurumun ilk değerlendirmede şu soruları sorması yararlı olacaktır:
- Etkinlik, kullanıcının göreviyle açıklanabiliyor mu?
- Onaylanmış bir aktarım veya proje çalışması var mı?
- Verinin hassasiyeti ve hedef konum nedir?
- Birden fazla etkinlik arasında anlamlı ilişki bulunuyor mu?
- Ek bilgi veya başka bir ekibin değerlendirmesi gerekiyor mu?
Bir uyarının vakaya dönüştürülmesi, kişinin ihlal gerçekleştirdiğinin kesinleştiği anlamına gelmez. Daha ayrıntılı inceleme ihtiyacını ifade eder.
9. Vaka İncelemesi ve Kararların Kaydedilmesi
Vaka araştırmasında zaman çizelgesi, etkinlik ayrıntıları ve erişilebilir içerikler değerlendirilir. İnceleme notları, kararların gerekçelerini ve sonraki adımları açıklamak için kullanılabilir. IRM vakalarının araştırılması
Kurum, teknik bulguyla iş bağlamını ilişkilendirmelidir. Örneğin dosyaların indirilmesi, onaylanmış bir veri taşıma çalışmasının parçası olabilir.
İncelemenin sonucu; bulgunun açıklanması, kullanıcıya rehberlik verilmesi veya yetkili ekiplere aktarılması şeklinde olabilir. Disiplin ve hukuki kararlar, ürünün risk çıktısından ayrı kurumsal süreçlerle yürütülmelidir.
Bu sorumluluk yaklaşımını Supervisory Review Süreç ve Roller makalemizde ele almıştık.
10. Mahremiyet ve Pseudonymization
Insider Risk Management, kullanıcıların varsayılan olarak pseudonymized biçimde gösterilmesi, rol tabanlı erişim ve denetim kayıtları gibi mahremiyeti destekleyen kontroller sunar. IRM mahremiyet yaklaşımı
Bu yapı, bütün verilerin geri döndürülemez biçimde anonimleştirildiği anlamına gelmez. İncelenen dosya, mesaj veya etkinlik ayrıntıları kişiyi tanımlayabilecek bilgiler içerebilir.
Kurumun inceleme amacı, kapsamı, kimlik görünürlüğü ve içerik erişimi için açık kurallar belirlemesi gerekir. Mahremiyet ayarları, çalışan iletişimlerinin ve verilerinin kullanımına ilişkin kurumsal yükümlülüklerin yerine geçmez.
İnceleme sırasında yalnızca görev için gerekli bilgilere erişilmesi hedeflenmelidir.
11. Yetkilendirme ve Görevlerin Ayrılması
IRM’de yönetici, analist, araştırmacı ve denetim görevleri için farklı rol grupları bulunur. Politika yönetimi ile ayrıntılı içerik incelemesi aynı erişim ihtiyacı değildir. Insider Risk Management izinleri
Kurum aşağıdaki sorumlulukları ayrı tanımlayabilir:
- Teknik hazırlık ve politika yapılandırması.
- Uyarıların ilk değerlendirmesi.
- Ayrıntılı vaka araştırması.
- Hukuki veya idari değerlendirme.
- Sürecin denetimi.
Bu görevler, ilgili teknik izinlerle eşleştirilmelidir. Küçük ekiplerde aynı kişi birden fazla sorumluluk üstlense de erişimin gerekçesi ve karar kontrolü açık olmalıdır.
İlgili ilkeleri Supervisory Review Güvenlik ve Yetkilendirme makalemizde ayrıntılandırmıştık.
12. Adaptive Protection ile İlişkisi
Adaptive Protection, IRM tarafından değerlendirilen risk düzeylerinden yararlanarak desteklenen koruma politikalarının kullanıcı bağlamına göre uygulanmasını sağlar. DLP entegrasyonu, bu yaklaşımın önemli kullanım alanlarından biridir.
Risk düzeyleri değiştikçe, yapılandırılmış kontroller uygun kapsamdaki kullanıcılara dinamik olarak uygulanabilir. Risk düzeyi ile uyarı önem derecesi farklı kavramlardır. Microsoft Purview Adaptive Protection
Örneğin kurum, belirlenen risk koşullarında daha sıkı veri paylaşım kontrolleri uygulamak isteyebilir. Bunun için ilgili entegrasyon ve DLP politikalarının hazırlanması gerekir.
IRM’nin etkinleştirilmesi, bütün riskli görülen işlemlerin kendiliğinden engellendiği anlamına gelmez. Otomasyonun kapsamı ve iş akışına etkisi pilot uygulamada test edilmelidir.
13. eDiscovery’ye Yönlendirme
Daha kapsamlı içerik araştırması gerektiğinde vaka, desteklenen işlemle eDiscovery araştırmasına yönlendirilebilir. İlgili özellik ve izinlerin karşılanması gerekir. IRM vaka işlemleri
Bu yönlendirme, bütün ilgili kaynakların otomatik olarak eksiksiz toplandığı veya tamamının hold altına alındığı şeklinde yorumlanmamalıdır.
Yeni araştırmada içerik kapsamı, koruma ihtiyacı, erişim ve paylaşım kararları ayrıca değerlendirilmelidir.
Bu ilişkinin kurumsal boyutunu Supervisory Review Dava Yönetimi makalemizde açıklamıştık.
14. Kurumlar İçin Uygulama Senaryoları
Aşağıdaki tablo, potansiyel risklerin nasıl ele alınabileceğini özetlemektedir.
| Senaryo | İnceleme ihtiyacı | Önerilen yaklaşım |
|---|---|---|
| İşten Ayrılma Dönemindeki Veri İşlemleri | İlgili dönemdeki veri aktarım etkinliklerinin değerlendirilmesi | Olay bilgisi ve göstergeler doğrulanmalı; teslim ve devir çalışmalarının bağlamı dikkate alınmalıdır. |
| Olağandışı Dosya İşlemleri | Yüksek hacimli indirme veya aktarım etkinliklerinin araştırılması | Kullanıcının görevi, veri hassasiyeti ve onaylanmış çalışmalar birlikte incelenmelidir. |
| Tekrarlanan Veri Paylaşım Bulguları | Birden fazla etkinliğin ortak bağlamda değerlendirilmesi | DLP bulguları ve diğer sinyaller ilişkilendirilmeli; politika hatası veya eğitim ihtiyacı da araştırılmalıdır. |
| Güvenlik Kontrolüyle İlişkili Etkinlikler | Desteklenen güvenlik sinyallerinin veri riski açısından değerlendirilmesi | Güvenlik ekibinin kayıtları, bakım faaliyetleri ve değişiklik onayları birlikte kontrol edilmelidir. |
Bu senaryolarda teknik çıktı, araştırmanın başlangıç noktasıdır. Nihai değerlendirme, doğrulanmış bulgular ve kurumun yetkili karar süreciyle yapılmalıdır.
15. Lisanslama ve Teknik Hazırlık
Kullanılacak politika, gösterge ve veri kaynakları için uygun lisanslar ve ön koşullar kontrol edilmelidir. Bazı göstergeler ek hizmet veya bağlantı gerektirirken belirli Microsoft 365 dışı kullanım alanlarında tüketim bazlı ücretlendirme bulunabilir. Gösterge gereksinimleri
Kurumun yalnızca portalın açılabildiğini doğrulaması yeterli değildir. Beklenen etkinliklerin gerçekten alınabildiği test edilmelidir.
Lisans ve kaynak kapsamı kadar inceleyici kapasitesi de önemlidir. Çok sayıda uyarının üretildiği ancak düzenli değerlendirilemediği bir yapı, hedeflenen risk yönetimini sürdüremeyebilir.
16. Başlangıç ve İşletim Planı
Insider Risk Management çalışması için aşağıdaki sıra izlenebilir:
- Risk senaryosunu belirlemek: Hangi veri güvenliği ihtiyacı değerlendirilecek?
- İlgili ekipleri dahil etmek: Bilgi güvenliği, hukuk, insan kaynakları ve iş sahiplerinin sorumlulukları neler?
- Kapsamı tanımlamak: Hangi kullanıcılar ve kaynaklar dahil edilecek?
- Sinyal hazırlığını doğrulamak: Göstergeler için gereken bağlantılar hazır mı?
- Politikayı ve eşikleri oluşturmak: Beklenen etkinliklerle riskli durumlar nasıl ayrılacak?
- Mahremiyet ve erişimi düzenlemek: Kimlik ve içerik görünürlüğü nasıl sınırlandırılacak?
- Pilot uygulama yapmak: Uyarılar gerçek iş süreçleriyle uyumlu mu?
- Vaka işleyişini hazırlamak: Bulgular nasıl araştırılacak ve yönlendirilecek?
- Düzenli gözden geçirmek: Yanlış eşleşmeler, bekleyen işler ve değişen süreçler nasıl yönetilecek?
Denetim ve araştırma kayıtlarının önemi için Supervisory Review Veri ve Denetim Boyutu makalesindeki çerçeveden yararlanılabilir.
17. Risk Araştırmasından Uyum Çalışmalarına
Exchange Server Compliance Management etiketi altındaki çalışmalarımızda olduğu gibi kurum içi risk yönetimi de teknik sinyaller, yetkili ekipler ve gerekçeli kararlarla yürütülmelidir.
Insider Risk Management, farklı etkinlikleri ilişkilendirerek araştırma önceliklerini belirlemeye yardımcı olur. Başarılı kullanım için veri kaynaklarının doğruluğu, mahremiyet, iş bağlamı ve inceleme kapasitesi birlikte yönetilmelidir.
Bir sonraki bölümde olay ve risk araştırmalarından, kurumun uyum kontrollerini ve iyileştirme çalışmalarını takip eden Compliance Manager çözümüne geçeceğiz.
