Microsoft Purview Nedir? Ürün Ailesi ve Çözüm Haritası makalesi , kurumsal verilerin keşfedilmesi, korunması, yönetilmesi ve uyum süreçlerinde değerlendirilmesi için farklı çözümleri bir araya getiren Microsoft ürün ailesidir. E-posta güvenliğinden veri sınıflandırmaya, iletişim incelemesinden kurumsal kayıt yönetimine kadar uzanan ihtiyaçları kapsar.
Ancak bu geniş kapsam, ilk karşılaşmada bazı soruları beraberinde getirir. Hangi çözüm hangi ihtiyacı karşılar? Veri koruma ile veri saklama arasındaki fark nedir? Denetim kayıtları, iletişim incelemesi ve eDiscovery aynı işi mi yapar?
Serimizin ilk bölümünde Exchange Server uyum yönetimi, Supervisory Review ve Microsoft Purview arasındaki kavramsal ilişkiyi ele aldık. Bu bölümde ise ürün ailesinin çözüm haritasını oluşturacağız.
Amacımız, bütün özellikleri tek tek sıralamak yerine kurumun ihtiyaçlarıyla ilgili çözümler arasında bağlantı kurmaktır. Böylece sonraki bölümlerde inceleyeceğimiz her ürünün bu yapıdaki yeri daha anlaşılır olacaktır.
Microsoft Purview Nedir? Ürün Ailesi ve Çözüm Haritası makalesi içinde aşşağıda ki bilgilere sahip olacağız.
1. Microsoft Purview Neden Bir Ürün Ailesi Olarak Değerlendirilmelidir?
Kurumsal veriler tek bir sistemde bulunmaz. E-postalar, çalışma belgeleri, iş uygulamaları, veri tabanları ve analitik platformları farklı veri kaynakları oluşturur. Bu kaynaklarda bulunan bilgilerin iş değeri, hassasiyeti ve yönetim gereksinimleri de birbirinden farklıdır.
Bir müşteri listesinin kurum dışına gönderilmesini sınırlandırmak, bir sözleşmeyi belirlenen süre boyunca saklamak ve finansal raporun hangi kaynaktan üretildiğini bulmak ayrı ihtiyaçlardır.
Microsoft Purview, bu ihtiyaçlara yönelik çözümleri üç ana alan altında konumlandırır:
- Veri Güvenliği — Data Security
- Veri Yönetişimi — Data Governance
- Veri Uyumu — Data Compliance
Bu alanlar birbirini tamamlar. Kurumun hangi verilere sahip olduğunu bilmesi, veriyi koruma ve uyum kararlarını da destekler. Microsoft’un ürün ailesi yaklaşımı, bu farklı ihtiyaçların ortak bir çerçevede ele alınmasına dayanır. Microsoft Purview genel bakış
Bu makaledeki çözüm haritası, serimizin ana kapsamını oluşturur. Purview ailesinde bu kapsamın dışında kalan veya zaman içinde gelişen yetenekler de bulunmaktadır.
2. Veri Güvenliği: Hassas Bilgi Nasıl Korunur?
Veri güvenliği alanında başlangıç sorusu şudur: Kurum için hassas olan bilgi nedir ve bu bilgi kullanılırken hangi kontroller uygulanmalıdır?
Müşteri bilgileri, finansal belgeler, personel kayıtları ve ticari sırlar aynı koruma yaklaşımıyla yönetilmeyebilir. Öncelikle bu verilerin tanınması, ardından kullanım ve paylaşım kurallarının belirlenmesi gerekir.
2.1 Microsoft Purview Information Protection
Information Protection, hassas verilerin sınıflandırılması ve korunması için kullanılan yetenekleri kapsar. Hassasiyet etiketleri, içeriğin kurum açısından nasıl değerlendirilmesi gerektiğini belirtmeye yardımcı olur.
Örneğin bir belge “Kurum İçi” veya “Gizli” olarak etiketlenebilir. Etiketin yapılandırmasına ve desteklenen uygulamaya bağlı olarak görsel işaretler, şifreleme ve erişim kısıtlamaları uygulanabilir. Her etiketin otomatik olarak şifreleme sağladığı varsayılmamalıdır. Microsoft Purview Information Protection
Kurumsal açıdan önemli olan, etiket adının çalışanlar tarafından anlaşılması ve etiketle birlikte uygulanacak korumanın iş ihtiyacına uygun olmasıdır.
2.2 Microsoft Purview Data Loss Prevention
Data Loss Prevention — DLP, hassas bilgilerin uygunsuz paylaşılması veya kullanılması riskini azaltmaya yönelik politikalar sağlar.
Politika koşulları karşılandığında kullanıcıya uyarı gösterilmesi veya belirli işlemlerin sınırlandırılması gibi aksiyonlar uygulanabilir. Exchange Online, SharePoint, OneDrive, Teams ve uç nokta cihazları gibi konumlarda desteklenen kapsam ve aksiyonlar farklılık gösterebilir. Microsoft Purview DLP
Örneğin müşteri bilgileri içeren bir belgenin dışarıya paylaşılması, kurum politikasına göre uyarı veya engelleme gerektirebilir. Bu karar, yalnızca içeriğin hassasiyetine değil, paylaşımın iş bağlamına da dayanmalıdır.
Temel DLP yaklaşımını daha önce Exchange Server Data Loss Prevention makalemizde incelemiştik. Purview bölümünde ise bu yaklaşımın farklı veri konumlarına nasıl genişlediğini ele alacağız.
2.3 Microsoft Purview Insider Risk Management
Insider Risk Management, kurum içinden kaynaklanabilecek veri risklerini değerlendirmek için çeşitli etkinlik ve sinyalleri bir araya getirir. Politikalara göre oluşturulan uyarılar, yetkili ekiplerin araştırmasını destekler. Microsoft Purview Insider Risk Management
Bu çözümdeki risk göstergeleri, çalışanın niyeti veya suçluluğu hakkında kesin bir hüküm olarak değerlendirilmemelidir. Bulguların iş bağlamı, erişim ihtiyacı ve ilgili süreçlerle birlikte incelenmesi gerekir.
DLP belirli veri kullanım kurallarına odaklanırken Insider Risk Management, riskli etkinliklerin daha geniş bir bağlamda değerlendirilmesine yardımcı olabilir.
3. Veri Uyumu: Kayıtlar ve İncelemeler Nasıl Yönetilir?
Veri uyumu alanı, içeriğin saklanması ve silinmesi kadar denetim, araştırma ve kontrol çalışmalarını da kapsar.
Burada kurumun yanıtlaması gereken sorular farklıdır: Hangi kayıtlar korunmalıdır? Hangi işlemler araştırılmalıdır? Bir inceleme için hangi içeriklere ihtiyaç vardır? Uyum çalışmalarının sorumluları ve kanıtları nasıl takip edilmelidir?
3.1 Microsoft Purview Data Lifecycle Management
Data Lifecycle Management, desteklenen içeriklerin yaşam döngüsünü saklama ve silme kurallarıyla yönetmeye yardımcı olur. Saklama politikaları ve saklama etiketleri, bu yaklaşımın temel mekanizmaları arasındadır. Saklama politikaları ve etiketleri
Örneğin bir içerik türü için belirlenen saklama süresi, kurumun onayladığı kurala göre uygulanabilir. Süre sonunda izlenecek işlem ve diğer koruma gereksinimleri birlikte değerlendirilmelidir.
Exchange tarafında bu konunun temelini Messaging Records Management ve Retention Policy Tags yazılarında ele almıştık. Purview’da aynı ihtiyacın farklı iş yüklerindeki karşılığını inceleyeceğiz.
3.2 Microsoft Purview Records Management
Records Management, resmi veya kurumsal kayıt niteliğindeki içeriklerin daha kontrollü yönetilmesine odaklanır. Kayıt tanımlama, olay temelli saklama ve elden çıkarma incelemesi gibi yetenekler bu kapsamdadır. Microsoft Purview Records Management
Örneğin taslak bir sözleşme ile imzalanmış sözleşmenin yönetim gereksinimleri farklı olabilir. Kurumun hangi içeriği kayıt olarak kabul ettiği ve bu kaydın yaşam döngüsünü nasıl yöneteceği açıkça belirlenmelidir.
Data Lifecycle Management ile Records Management arasında ortak mekanizmalar bulunur. Ayrım, kurumun ihtiyaç duyduğu kayıt kontrolü ve süreç ayrıntısında ortaya çıkar.
3.3 Microsoft Purview Audit
Audit, desteklenen hizmetlerdeki kullanıcı ve yönetici etkinliklerinin denetim kayıtları üzerinden araştırılmasını sağlar. Arama ve kayıt saklama yetenekleri, kullanılan özellik kapsamına ve lisanslamaya bağlıdır. Microsoft Purview Audit
Bir paylaşım veya yönetim işleminin kim tarafından ve ne zaman gerçekleştirildiğini araştırmak, denetim ihtiyacına örnektir. Bununla birlikte denetim kaydı, her durumda içeriğin tamamını veya kullanıcının işlem gerekçesini göstermez.
Denetim kayıtlarının temel işlevini Exchange Server Audit Logging makalemizde açıklamıştık.
3.4 Microsoft Purview eDiscovery
eDiscovery, araştırmalar ve hukuki incelemeler için elektronik içeriğin bulunması, korunması ve değerlendirilmesini destekler. Vaka yönetimi, arama, koruma ve dışa aktarma temel işlevler arasındadır; inceleme kümeleri ve gelişmiş analiz gibi yetenekler ise ilgili özellik kapsamına bağlıdır. Microsoft Purview eDiscovery
Örneğin belirli bir sözleşme görüşmesine ait e-postaların ve belgelerin yetkili kapsamda araştırılması gerekebilir. İnceleme kapsamının belirlenmesi, ürünün arama kabiliyeti kadar önemlidir.
Kavramsal temel için Exchange Server eDiscovery Nedir makalesi, yönetişim boyutu için ise eDiscovery Stratejik Yaklaşım ve Gelecek Perspektifi yazısı yol gösterici olacaktır.
3.5 Microsoft Purview Communication Compliance
Communication Compliance, desteklenen iletişim kaynaklarında tanımlı politika koşullarını karşılayan içeriklerin belirlenmesini ve inceleme iş akışından geçirilmesini destekler. Microsoft Purview Communication Compliance
Örneğin müşteri iletişimlerinde kurum politikasına aykırı olabilecek ifadelerin değerlendirilmesi gerekebilir. Politika eşleşmesi, incelemeye alınacak bir bulgu oluşturur; nihai değerlendirme yetkili kişiler tarafından yapılır.
Bu çözümü, daha önce ayrıntılandırdığımız Supervisory Review yaklaşımıyla birlikte ele alacağız. Sürecin görev dağılımı için Süreç ve Roller makalesindeki temel çerçeveden yararlanacağız.
3.6 Microsoft Purview Compliance Manager
Compliance Manager, uyum çalışmalarının değerlendirmeler, kontroller ve iyileştirme görevleri üzerinden takip edilmesine yardımcı olur. Sorumluların atanması, uygulama ve test durumlarının izlenmesi, kanıtların kaydedilmesi bu kapsamda yer alır. Microsoft Purview Compliance Manager
Bir veri koruma kontrolünün teknik uygulaması başka bir çözümde yapılabilir. Compliance Manager ise bu kontrolle ilgili görevin, ilerlemenin ve kanıtın takibini destekleyebilir.
Bu nedenle uyum puanı, çalışmaların ilerleyişini değerlendirmek için kullanılmalıdır. Kurumun bütün gereklilikleri karşıladığına ilişkin bağımsız bir onay olarak yorumlanmamalıdır.
4. Veri Yönetişimi: Veriyi Bulmak ve Anlamak
Veri yönetişimi, kurumun sahip olduğu verileri iş bağlamıyla anlamasını ve sorumluluklarını belirlemesini destekler.
Örneğin iki departmanın farklı müşteri raporları kullandığı bir ortamda şu sorular ortaya çıkabilir: Hangi veri kaynağı esas alınmalıdır? Verinin sahibi kimdir? Rapor hangi dönüşümlerden geçerek üretilmiştir? Kullanılan verinin kalitesi nasıl değerlendirilmektedir?
4.1 Microsoft Purview Data Map
Data Map, desteklenen veri kaynaklarından metadata toplanması ve veri varlıklarının haritalanması için kullanılır. Metadata, verinin kendisinden ziyade onu tanımlayan bilgilerdir.
Bir veri tabanındaki tablo ve sütunlar, sınıflandırmalar ve desteklenen kaynaklardaki veri ilişkileri bu görünürlüğün parçaları olabilir.
4.2 Microsoft Purview Unified Catalog
Unified Catalog, veri varlıklarının iş bağlamıyla keşfedilmesini ve yönetilmesini destekler. Veri ürünleri, iş kavramları, sahiplik ve veri kalitesi gibi başlıklar üzerinden kurumsal kullanımın düzenlenmesine yardımcı olur.
Data Map ve Unified Catalog’da yönetilen bilgiler metadata niteliğindedir. Katalogdaki bir rol, kaynak sistemde bulunan asıl veriye otomatik erişim sağlamaz. Microsoft Purview veri yönetişimi
Bu ayrım önemlidir: Bir veri kaynağını katalogda keşfetmek ile o kaynaktaki kayıtları okumak farklı erişim süreçleridir.
5. Çözüm Haritası Kurumsal İhtiyaçlara Nasıl Uygulanır?
Ürün seçimine ekran veya özellik listesinden başlamak yerine, karşılanacak ihtiyacı açıkça ifade etmek daha sağlıklı olacaktır.
- Bir belgenin hassasiyetini belirtmek ve erişimini korumak: Information Protection değerlendirilir.
- Hassas verinin uygunsuz paylaşımını sınırlandırmak: DLP politikaları değerlendirilir.
- İçeriğin saklama ve silme yaşam döngüsünü yönetmek: Data Lifecycle Management ele alınır.
- Resmi kayıtları kontrollü süreçlerle yönetmek: Records Management değerlendirilir.
- Gerçekleşen kullanıcı ve yönetici işlemlerini araştırmak: Audit kayıtlarından yararlanılır.
- Bir incelemeyle ilgili içeriği bulmak ve korumak: eDiscovery kullanımı değerlendirilir.
- İletişimleri belirli politikalar doğrultusunda incelemek: Communication Compliance ele alınır.
- Kurum içi veri risklerini sinyaller üzerinden değerlendirmek: Insider Risk Management incelenir.
- Uyum görevlerini ve kontrol kanıtlarını takip etmek: Compliance Manager değerlendirilir.
- Veri varlıklarını keşfetmek ve iş bağlamıyla yönetmek: Data Map ve Unified Catalog ele alınır.
Bu eşleştirme, bir kurumsal ihtiyacın yalnızca tek çözümle karşılanacağı anlamına gelmez. İhtiyacın farklı aşamalarında birden fazla kontrol gerekebilir.
6. Bir Belgenin Yaşam Döngüsü Üzerinden Örnek
Bir kurumun müşteri sözleşmesi hazırladığını düşünelim. Aşağıdaki akış, çözümlerin birlikte nasıl değerlendirilebileceğini gösteren örnek bir kurum senaryosudur.
Taslak hazırlanırken belgenin hassasiyeti belirlenir. Information Protection ile uygun etiket ve koruma yaklaşımı uygulanabilir. Belgenin paylaşımı sırasında DLP politikaları, tanımlanan koşullar kapsamında devreye girebilir.
Sözleşme imzalandığında kurumun kayıt ve saklama kuralları uygulanır. Bu aşamada Data Lifecycle Management veya Records Management kapsamındaki mekanizmalar değerlendirilir.
Daha sonra bir uyuşmazlık ortaya çıkarsa ilgili içerikler eDiscovery kapsamında araştırılabilir ve gerekli koruma işlemleri planlanabilir. Kullanıcı etkinlikleriyle ilgili sorular için Audit kayıtlarından yararlanılır. Uygulanan kontrollerin sorumluları ve kanıtları ise Compliance Manager’da takip edilebilir.
Bu, bütün çözümler arasında kendiliğinden çalışan tek bir otomasyon zinciri değildir. Kurumun ihtiyaç duyduğu bağlantılar, politikalar, yetkiler ve iş akışları ayrıca tasarlanmalıdır.
7. Ortak Portal, Ortak Kapsam Anlamına Gelir mi?
Microsoft Purview portalı farklı çözümlere ortak bir yönetim deneyimi üzerinden erişim sağlar. Ancak aynı portalda görünen çözümlerin veri kaynakları, yetkileri ve kullanılabilir özellikleri aynı değildir.
Bir çözüm için tanımlanan politika, başka bir çözümün görevini otomatik olarak yerine getirmez. Benzer şekilde bir inceleyicinin iletişimleri değerlendirebilmesi, bütün eDiscovery vakalarına veya kaynak verilere erişmesi gerektiği anlamına gelmez.
Başlangıç planında şu başlıklar birlikte ele alınmalıdır:
- Kullanılacak çözüm ve özellikler
- Kapsama alınacak veri kaynakları
- Lisans ve gerektiğinde tüketim maliyetleri
- Teknik hazırlık ve bağlantılar
- Yönetici, inceleyici ve iş birimi sorumlulukları
- Pilot uygulama ve doğrulama yöntemi
Özellikle hibrit ortamlarda yerel sistemlerin ve bulut hizmetlerinin kapsamı ayrı ayrı doğrulanmalıdır. Bu konunun Exchange tarafındaki temelini Supervisory Review Hibrit ve Karşılaştırma makalemizde ele almıştık.
