Dosya sunucuları ve e-posta arşivleri: unutulmuş kişisel veri

Kurumların en büyük kişisel veri yığını, çoğu zaman en yeni sistemlerinde değil, en eski paylaşım klasörlerinde ve kimsenin açmadığı posta arşivlerinde durur. Bu alanlar envanter anketlerine girmez, DLP politikalarının kapsamı dışında kalır ve saklama takviminde yer almaz; ama denetimde, ihlalde ve ilgili kişi başvurusunda ilk sorulan yer tam da burasıdır. Dosya sunucuları ve e-posta arşivleri, görünmediği için risksiz sayılan veri değil, görünmediği için ölçülemeyen risktir.

Neden en eski veri en az görünür olandır

Bir dosya sunucusu on yıl boyunca aynı adreste kalır; üzerindeki klasör yapısı ise her yeniden yapılanmada bir kat daha derinleşir. “Eski_IK”, “Bordro_2016_yedek”, “Muhasebe_arsiv_son” gibi adlarla biriken klasörler, bir zamanlar bir işe yaramış ve sonra sahipsiz kalmış verinin tipik işaretleridir. Bu klasörleri oluşturan kişiler çoğunlukla ayrılmış, birimler birleşmiş, süreçler yeni uygulamalara taşınmıştır. Geride kalan şey, kimsenin sahiplenmediği ama kurumun hâlâ veri sorumlusu olduğu bir yığındır.

Aynı durum posta arşivleri için de geçerlidir. Posta kutusu kotaları dolduğunda çalışanlar iletilerini PST dosyalarına aktarır; bu dosyalar yerel disklerde, kişisel ağ klasörlerinde ve “arşiv” paylaşımlarında yıllarca bekler. İçlerinde müşteri sözleşmeleri, TCKN içeren formlar, bordro ekleri, sağlık raporları ve tartışmalı yazışmalar vardır. Dosya tek bir nesne olarak görülür; ancak içinde on binlerce ileti ve ek bulunur.

Kurum’un Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi başlıklı bilgilendirme sayfası, işleme amacı ortadan kalkan verinin silinmesi, yok edilmesi veya anonim hale getirilmesi gerektiğini anlatır. Bu yükümlülüğün pratik zorluğu şudur: silmeniz gereken verinin nerede olduğunu bilmiyorsanız, saklama politikası yalnızca bir belge olarak kalır.

Dosya paylaşımlarında nerede birikir

Dosya sunucularındaki kişisel veri belirli örüntülerle birikir. Bunları bilmek, keşif kapsamını doğru kurmayı sağlar:

• Bordro ve İK klasörleri. Ücret bordroları, SGK işe giriş bildirgeleri, kimlik fotokopileri, işe alım formları, performans ve disiplin yazışmaları. TCKN, IBAN, telefon, adres ve sağlık verisi bir arada bulunur.
• İşyeri hekimi ve iş güvenliği klasörleri. Periyodik muayene sonuçları, rapor taramaları, ICD kodlu tanılar. Özel nitelikli veri çoğu zaman genel bir “İSG” paylaşımında, geniş bir grubun erişimiyle durur.
• Muhasebe ve finans arşivleri. Fatura ve dekontlarda IBAN ve vergi kimlik numarası; müşteri cari kartlarında kişi bilgileri; ödeme talimatlarında kart numaraları.
• Satış ve müşteri hizmetleri. Teklif, sözleşme ve şikâyet dosyalarında müşteri temsilcilerinin kimlik ve iletişim bilgileri; çağrı merkezi dökümleri.
• Kişisel ağ klasörleri (home dizinleri). Çalışanların “masaüstü yedeği” olarak kopyaladığı her şey: eski projeler, tarama çıktıları, kişisel PST dosyaları.
• Yerel diskler. Windows, Linux ve macOS iş istasyonlarında ve sunucularda kalan geçici dışa aktarımlar, rapor çıktıları ve veritabanı yedekleri.

Bu örüntülerde ortak olan şey, verinin bir iş süreci için üretilmiş ama sürecin bitiminde hiçbir yere taşınmamış olmasıdır. Veri yaşlandıkça saklama süresi dolma olasılığı artar; ama aynı zamanda sahibini bulma olasılığı azalır.

İzinler: okunamayan, çözülemeyen, miras kalan

Dosya sunucusundaki risk yalnızca içerik değildir; içeriğe kimin ulaşabildiğidir. Yıllar içinde biriken ACL’ler üç tipik sorunu taşır.

Birincisi, miras kalan geniş izinler. Üst klasöre bir zamanlar “Domain Users” veya “Herkes” eklenmiş, alt klasörler bu izni devralmıştır. “Bordro_2016_yedek” klasörünü bugün tüm kurum okuyabiliyor olabilir; bunu kimse bilerek yapmamıştır.

İkincisi, çözülemeyen SID’ler. Ayrılan çalışanların hesapları dizinden silindiğinde, ACL’lerde yalnızca bir kimlik numarası kalır. Bu girdiler görünüşte zararsızdır; ancak hesap yeniden oluşturulursa ya da dizin geçişinde eşleme hatası olursa beklenmedik erişim doğurabilir. Üstelik denetçiye “bu izin kime ait?” sorusunun yanıtı verilemez.

Üçüncüsü, okunamayan izinler. Bazı paylaşımlarda tarama hesabının içerik okuma hakkı vardır ama güvenlik tanımlayıcısını okuma hakkı yoktur; NFS dışa aktarımlarında istemci tarafında kimlik eşlemesi eksik olabilir. Bu durumda yanlış olan davranış, dosyayı atlamaktır. Doğru davranış, içeriği sınıflandırıp izin bilgisinin alınamadığını açıkça raporlamaktır; çünkü “izin okunamadı” da bir bulgudur.

Seratus’un erişim ve maruziyet grafiği bu üç durumu ayrı ayrı gösterir: aşırı paylaşılan klasörler, çözülemeyen SID’ler ve izin toplanamayan yollar, içerikteki kişisel veri yoğunluğuyla birlikte önceliklendirilir.

Posta arşivleri: canlı izleme ile arşiv keşfi farkı

E-posta söz konusu olduğunda iki farklı iş birbirine karıştırılır. Birincisi, çalışanların canlı posta kutularını ve posta trafiğini izlemektir. İkincisi, diskte duran PST/OST/MSG dosyalarının içeriğini keşfetmektir. Bu ikisi hem teknik hem hukuki olarak farklı faaliyetlerdir.

Kurul’un 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı, kurumsal e-posta ve iletişim kanallarının denetlenmesinin işverenin yönetim hakkı ile çalışanın özel hayatı arasında adil bir denge gerektiren bir veri işleme faaliyeti olduğunu vurgular; aracın işverene ait olmasının sınırsız denetim yetkisi vermediğini, “teknik olarak erişebilir olma” ile “hukuken erişebilir olma”nın ayrılması gerektiğini, içerik incelemesinin somut şüphe veya olayla sınırlı tutulması ve kapsamı belirsiz, genel ve sürekli incelemelerden kaçınılması gerektiğini belirtir. Erişimin sınırlı personelle yapılması, erişim kayıtlarının tutulması ve saklama süresinin sınırlı olması da aynı kararın çerçevesindedir.

Bu çerçeve, arşiv keşfini tasarlarken iki şeyi netleştirir. Birincisi, keşfin amacı çalışanın yazışmalarını okumak değil, kurumun elindeki kişisel veri varlıklarını envantere almak ve saklama süresi dolanları imha etmektir; kapsam, yöntem ve saklama süresi çalışanlara açıkça anlatılmalıdır. İkincisi, konsola erişim rol tabanlı ve kayıtlı olmalı; bulgular maskeli örneklerle gösterilmeli, tam içerik yalnızca onaylı inceleme akışında ve kayıt altında açılmalıdır. Seratus bu kararla uyumlu çalışmak için tasarlanmıştır: canlı posta kutusuna bağlanmaz, trafik izlemez, yalnızca diskteki arşiv dosyalarını salt okunur açar. Bu yazı hukuki tavsiye değildir; denetim politikasının içeriği hukuk danışmanıyla belirlenmelidir.

Boyut	Canlı posta izleme	Arşiv dosyası keşfi (Seratus)
Kaynak	Posta sunucusu, canlı kutu	Diskteki PST/OST/MSG dosyaları
Zaman	Sürekli, akış halinde	Tarama anında, tekrarlanabilir
Amaç	Davranış denetimi	Varlık envanteri, saklama, imha
Gösterim	İleti içeriği	Maskeli örnek, güven yüzdesi, konum
Erişim	Genellikle geniş	Rol tabanlı, denetim kayıtlı

Keşif çıktısı nasıl görünmeli

Bir dosya sunucusu veya posta arşivi taramasının çıktısı, “şu kadar dosyada kişisel veri bulundu” cümlesinden fazlasını vermelidir. Anlamlı bir çıktı en az şu katmanları içerir:

• Konum ve bağlam. Paylaşım, klasör yolu, dosya türü; PST için ileti ve ek düzeyinde konum. “Hangi klasörde, hangi iletinin ekinde” sorusu yanıtlanmalıdır.
• Tür ve güven. TCKN, IBAN, telefon, sağlık verisi gibi tespit türleri; her biri için güven yüzdesi ve maskeli örnek. Yanlış pozitifler (sıralı numaralar, test verisi) ayıklanmış olmalıdır. Türkçeye özel tespit motoru bu doğrulama kurallarını taşır.
• Gizlilik derecesi ve iş kategorisi. Dosyanın “bordro”, “sağlık raporu”, “sözleşme” gibi kategorisi ve kamuya açıktan çok gizliye uzanan derecesi; bu etiketler saklama ve imha süreçlerine bağlanır.
• Erişim. Kimler okuyabiliyor, hangi grup üzerinden, izin okunabildi mi, çözülemeyen SID var mı.
• Yaş ve sahiplik. Son değişiklik tarihi, oluşturan hesap, hesabın hâlâ aktif olup olmadığı.

Bu katmanlar bir araya geldiğinde “tüm kurumun okuyabildiği, 2016’dan kalma, içinde 1.200 TCKN bulunan, sahibi üç yıl önce ayrılmış bordro klasörü” gibi somut bir bulgu ortaya çıkar. Bu bulgu önceliklendirilebilir, sorumluya atanabilir ve kapatılabilir.

Karantina: silmeden önce durdurmak

Eski klasörlerdeki veriyle ilgili en yaygın tereddüt, “silersek bir şey bozulur mu?” sorusudur. Bu tereddüt haklıdır; bazı eski klasörler hâlâ bir yasal saklama süresine tabidir ya da bir süreç tarafından beklenmedik biçimde kullanılmaktadır. Karantina, bu belirsizliği yönetmenin yoludur.

Karantinada dosya yerinde kalır ama erişimi kapatılır ve bir inceleme kuyruğuna alınır. Sorumlu, belirli bir süre içinde karar verir: saklama süresi devam ediyorsa yeniden sınıflandırılıp erişim daraltılır; süre dolmuşsa imha ya da anonimleştirme akışına geçilir; yanlış pozitifse serbest bırakılır. Her adım, kim, ne zaman ve neden bilgisiyle denetim kaydına yazılır. İmha, ayrı yetkiyle onaylanır; redakte kopya gerekiyorsa aslın imhasından önce üretilir.

Bu akış, Kurum’un silme ve yok etme sayfasında anlatılan yükümlülüğün uygulanabilir hale gelmesini sağlar: önce bul, sonra durdur, sonra karar ver, sonra imha et ve kanıtla.

Seratus bu açıkları nasıl kapatır

Açık 1: Dosya sunucuları ve yerel diskler envanter dışında. Seratus; SMB/CIFS paylaşımlarını, NFS dışa aktarımlarını ve Windows, Linux, macOS yerel disklerini ajansız ve salt okunur olarak tarar; kesilen tarama kaldığı yerden devam eder. Keşif sonuçları doğrudan VERBİS envanterine ve KVKK hazırlık puanındaki “envanterde olmayan veri” açığına yansır. Ayrıntı: dosya sunucuları entegrasyonu.

Açık 2: PST/OST/MSG arşivlerinin içi görünmüyor. Seratus arşiv dosyalarını diskte bulundukları yerde açar; ileti gövdesi ve eklerinden kişisel veriyi çıkarır; canlı posta kutusuna bağlanmaz. Bulgular maskeli örnek ve güven yüzdesiyle gösterilir. Ayrıntı: e-posta arşivleri (PST).

Açık 3: Eski bordro ve İK klasörleri herkese açık. Erişim ve maruziyet grafiği, miras kalan geniş izinleri, “Herkes” ve “Domain Users” girdilerini, ayrılmış kullanıcı erişimlerini ve çözülemeyen SID’leri içerikteki veri yoğunluğuyla birlikte gösterir; izin kaldırma eylemi onay akışıyla uygulanır.

Açık 4: İzinleri okunamayan yollar sessizce atlanıyor. Seratus bu dosyaları yine sınıflandırır ve izin bilgisinin alınamadığını açıkça uyarı olarak raporlar; boşluk gizlenmez.

Açık 5: Saklama süresi dolmuş veri silinemiyor, çünkü silmenin sonucu bilinmiyor. Karantina, sorumluya atama, ikinci yetkili onayı ve denetim kaydı ile iyileştirme ve kanıt akışı; saklama takvimi ve imha/anonimleştirme süreciyle birlikte çalışır.

Açık 6: Tespitler Türkçe veri tiplerinde yanlış pozitif üretiyor. TCKN, vergi kimlik numarası, TR IBAN, TR telefon ve plaka için doğrulama kuralları ve yanlış pozitif azaltma programı; “örneklemde bulunmadı” sonucu bir risk kararı olarak sunulmaz.

Sonuç

Dosya sunucuları ve posta arşivleri, kurumun en eski ve en az sahiplenilmiş kişisel verisini taşır. Bu alanları envantere almadan yapılan saklama politikaları, aydınlatma metinleri ve imha takvimleri eksik kalır. Ajansız, salt okunur keşif; izinlerin ve çözülemeyen kimliklerin görünür kılınması; karantina ile başlayıp onaylı imha ile biten kayıtlı bir akış, bu yığını yönetilebilir bir listeye dönüştürür. Seratus bu akışın tamamını kurumun kendi ağında, veri dışarı çıkmadan yürütür.