Microsoft 365'te Aşırı Paylaşım: Anonim Linkler ve Kuruluş Geneli

Microsoft 365, kurumların en çok veri biriktirdiği ve erişimi en az anladığı ortamdır. SharePoint sitelerinde, OneDrive klasörlerinde ve Teams kanallarında biriken belgelerin önemli bir kısmı, kimsenin bilinçli olarak vermediği bir erişimle durur: bir toplantı öncesi oluşturulmuş “kuruluştaki herkes” linki, bir tedarikçiye gönderilmiş anonim link, takımın tamamına açık bir kanal klasörüne atılmış bordro tablosu. Aşırı paylaşım, bu platformda bir yapılandırma hatası değil, varsayılan davranışın doğal sonucudur.

Paylaşımın katmanları: site, kütüphane, klasör, dosya

SharePoint Online’da erişim dört katmanda tanımlanır ve her katman bir üsttekinden devralır. Site düzeyinde sahipler, üyeler ve ziyaretçiler grupları vardır; kütüphane, klasör ve dosya düzeyinde bu devralma kırılabilir ve benzersiz izinler verilebilir. Devralma kırıldığında, o noktanın altındaki her öğe üstten bağımsız bir izin yapısı taşır ve bu yapı site yöneticisinin ekranında görünmez.

OneDrive for Business, her kullanıcının kişisel sitesidir; varsayılan olarak yalnız sahibine açıktır ama paylaşım linkleriyle hızla genişler. Teams ise ayrı bir depolama katmanı değildir: her takımın dosyaları bir SharePoint sitesinde, her kanalın dosyaları o sitenin bir klasöründe durur; sohbetlerde paylaşılan dosyalar gönderenin OneDrive’ındadır. Bir dosyayı Teams kanalına “sürükleyen” kullanıcı, aslında onu takımın tüm üyelerine açık bir SharePoint klasörüne koymuştur ve bunu bir paylaşım kararı olarak görmez.

Bu katmanların sonucu şudur: “bu dosyayı kim görebilir” sorusu, dosyanın bulunduğu sitenin gruplarına, devralmanın kırılıp kırılmadığına, klasöre verilmiş benzersiz izinlere ve dosyanın kendi paylaşım linklerine bakılmadan yanıtlanamaz. Bu dört bilgiyi birleştiren bir okuma olmadan aşırı paylaşım ölçülemez.

Üç link türü, üç maruziyet düzeyi

Microsoft 365’te paylaşım linkleri üç kapsamda oluşturulur ve her biri farklı bir maruziyet düzeyi üretir.

Belirli kişiler. Link yalnız adı girilen kişilere çalışır. Erişim, klasik bir izin girişine benzer; izlenebilir ve iptal edilebilir.

Kuruluştaki herkes. Kiracıda oturum açmış her kullanıcı linke erişebilir. Linkin iki yan etkisi vardır: dosya kurum içi aramada tüm kullanıcılara görünür hale gelir ve link e-posta ya da sohbetle iletildiğinde iletilen her kişi erişir. Bir İK uzmanının bir yöneticiye göndermek için oluşturduğu bu tür bir link, yöneticinin dışında kiracıdaki herkese de açıktır; uzman bunu “yöneticiye gönderdim” olarak hatırlar.

Anonim (herkes). Oturum açma gerekmez; linke sahip olan herkes dosyaya ulaşır. Kurum dışına yayılma riski en yüksek olan türdür. Bir tedarikçiye tek seferlik gönderilen teklif dosyası, link süresi dolmadıysa ve iptal edilmediyse, tedarikçinin ilettiği herkese açık kalır.

Linklerin bir de zaman boyutu vardır. Anonim linklere kiracı politikasıyla son kullanma tarihi verilebilir; ama “kuruluştaki herkes” linkleri çoğu kiracıda süresizdir ve belirli kişilere verilen linkler, kişi kurumdan ayrıldıktan sonra da link listesinde durur. Bir dosyanın beş yıl içinde biriktirdiği linklerin tamamı, dosyanın bugünkü erişim yüzeyidir; dosya yeniden adlandırılsa ya da başka klasöre taşınsa bile linkler onunla birlikte taşınır.

Aşırı paylaşım analizinin ilk adımı, kiracıdaki tüm dosyalar için bu link türlerini toplamak ve içerik bulgusuyla eşlemektir. “Anonim linkle paylaşılmış 1.800 dosya” bulgusu tek başına bir öncelik üretmez; “anonim linkle paylaşılmış ve TCKN içeren 23 dosya” bulgusu üretir. Seratus paylaşım linklerini bu şekilde maruziyet düzeyine çevirir ve içerik sınıflandırmasıyla birleştirir; ayrıntı Microsoft 365 entegrasyonu sayfasındadır.

Aşırı paylaşımın tipik birikim noktaları

Kurumlarda aşırı paylaşım rastgele dağılmaz; belirli noktalarda yoğunlaşır. İK ve bordro belgeleri, Teams kanal klasörlerinde biriktiğinde takımın tüm üyelerine açılır; takım büyüdükçe erişim de büyür ama belge yerinden kıpırdamaz. Müşteri listeleri ve sözleşmeler, satış ekibinin OneDrive klasörlerinden “kuruluştaki herkes” linkiyle dolaşır; link oluşturan kişi ayrıldığında dosya yerinde kalır ve link çalışmaya devam eder.

Üçüncü birikim noktası eski sitelerdir. Proje bitince site arşivlenmez; üyeler değişir ama izinler kalır. Dört yıl önce kapanan bir proje sitesindeki “Ziyaretçiler” grubu, hâlâ “Tüm Çalışanlar” grubunu içeriyorsa, o sitedeki her belge kiracı geneline açıktır. Dördüncü nokta, OneDrive’da duran “yetim” dosyalardır: işten ayrılan kullanıcının OneDrive’ı belirli bir süre sonra silinir; ama bu süre içinde dosyaları, ayrılmadan önce verdiği paylaşım linkleriyle erişilebilir kalır.

Beşinci nokta Teams sohbetleridir. Birebir ya da grup sohbetinde paylaşılan her dosya, gönderenin OneDrive’ında “Microsoft Teams Chat Files” klasörüne kaydedilir ve sohbetin tüm katılımcılarına paylaşım linkiyle açılır. Bir yöneticinin bir maaş tablosunu sohbette bir kişiye göndermesi, o tabloyu yöneticinin OneDrive’ında kalıcı bir linkle bırakır; sohbet silinse bile dosya ve link yerinde durur. Bu klasör, çoğu kurumda hiç incelenmemiş en büyük kişisel veri birikim noktalarından biridir.

Bu noktaların her birinde ortak sorun aynıdır: paylaşım bir kez verilmiş, sonra unutulmuştur. Kurum’un özel nitelikli veri rehberi, bu verilere erişen personelin sınırlı tutulmasını ve erişim yetkilerinin kayıt altına alınmasını temel tedbirler arasında sayar; Microsoft 365’te bu tedbir, yalnız kimin erişim verildiğini değil, hangi linklerin hâlâ çalıştığını da bilmeyi gerektirir. Bu yazı hukuki tavsiye değildir.

Graph ve salt okunur uygulama izinleri

Microsoft 365’i taramanın tek güvenilir yolu Microsoft Graph’tir. Graph, SharePoint, OneDrive ve Teams dosyalarını, öğelerin izinlerini ve paylaşım linklerini tek bir API üzerinden sunar. Bağlantı, bir kullanıcı adına değil, bir uygulama kimliğiyle kurulur; bu, taramanın bir çalışanın oturumuna bağlı olmadığı ve çalışanın izinleriyle sınırlı olmadığı anlamına gelir.

Seratus, Graph’e salt okunur uygulama izinleriyle bağlanır. Dosya içeriği okunur, izinler ve linkler listelenir; hiçbir öğe değiştirilmez, hiçbir link iptal edilmez, hiçbir dosya taşınmaz. Bu ayrım, güvenlik ekibinin kiracı yöneticisine yönelttiği “bu araç ne yapabilir” sorusunun yanıtını netleştirir: okuyabilir, yazamaz. İyileştirme eylemleri ayrı bir yetkiyle ve ayrı bir onay akışıyla yürütülür; keşif izni ile eylem izni birbirine karışmaz.

Ajan gerekmez. Kullanıcı bilgisayarlarına, sunuculara ya da kiracıya herhangi bir yazılım kurulmaz. Tarama, Seratus’un kurum içindeki kendi sunucusundan Graph’e doğru çalışır; veri Seratus sunucusu dışına, hiçbir dış servise gitmez.

Delta tarama: değişeni izlemek

Orta ölçekli bir kiracıda bile milyonlarca öğe olabilir. Her gün tüm kütüphaneleri baştan taramak hem saatler sürer hem Graph çağrı bütçesini tüketir hem de bulguların eskimesine yol açar. Delta tarama bu sorunu çözer: ilk tam taramadan sonra Graph’in delta sorguları yalnız eklenen, değişen ve silinen öğeleri döndürür; Seratus bu öğeleri işler ve envanteri, sınıflandırmayı ve paylaşım durumunu günceller.

Delta taramanın aşırı paylaşım açısından önemi, link değişikliklerini yakalamasıdır. Bir dosyaya bugün eklenen anonim link, bir sonraki delta taramasında bulgu olarak ortaya çıkar; dün iptal edilen link, bulgudan düşer. Böylece “kiracıdaki anonim linkler” listesi bir anlık görüntü değil, sürekli güncellenen bir durumdur.

Delta döngüsünün sıklığı kurum tarafından belirlenir; hızlı değişen İK ve satış sitelerinde daha sık, arşiv sitelerinde daha seyrek çalıştırılabilir. Her döngünün sonucu, hangi öğelerin işlendiği ve hangi bulguların eklenip düştüğü bilgisiyle kayda geçer.

Kesilen tarama kaldığı yerden devam eder. Ağ kesintisi, bakım penceresi ya da Graph tarafındaki geçici bir kısıtlama tarama durumunu sıfırlamaz; tarama, son işlenen öğeden sürer. Bu özellik hem ilk tam tarama hem de delta döngüleri için geçerlidir.

Önceliklendirme: içerik, link ve kimlik kesişimi

Aşırı paylaşım bulgularını sıralamanın güvenilir yolu üç bilgiyi kesiştirmektir: dosya ne içeriyor, hangi link türüyle paylaşılmış, linki kim oluşturmuş ve bu kişi hâlâ kurumda mı. Anonim linkle paylaşılmış ve özel nitelikli veri içeren dosya, en üstte yer alır. Kuruluş geneli linkle paylaşılmış ve TCKN ya da IBAN içeren dosya ardından gelir. Ayrılmış bir kullanıcının oluşturduğu link, kim oluşturursa oluştursun, ayrı bir bulgu türüdür; çünkü linkin sahibine “bu hâlâ gerekli mi” sorusu sorulamaz.

Seratus bu kesişimi erişim ve maruziyet grafiği üzerinde kurar. Microsoft 365 linkleri, dosya sunucusu ACL’leri ve veritabanı rolleriyle aynı grafikte, aynı maruziyet ölçeğinde yer alır; böylece bir bordro dosyasının hem dosya sunucusunda hem SharePoint’te geniş erişimle durduğu tek bakışta görülür. Bulgular KVKK hazırlık puanını düşüren “açıklar” listesine düşer ve iyileştirme akışına girer.

Seratus bu açıkları nasıl kapatır

Açık: Hangi dosyaların anonim ya da kuruluş geneli linkle paylaşıldığının bilinmemesi. Seratus, Graph üzerinden SharePoint Online, OneDrive for Business ve Teams dosyalarının paylaşım linklerini toplar, anonim ve “kuruluştaki herkes” linklerini maruziyet düzeyine çevirir ve içerik bulgusuyla eşler.

Açık: Taramanın kullanıcı hesabına ya da ajana bağımlı olması. Bağlantı salt okunur uygulama izinleriyle kurulur; ajan, kullanıcı oturumu ya da yazma yetkisi gerekmez. Keşif izni ile eylem izni ayrıdır.

Açık: Bulguların eskimesi. İlk tam taramadan sonra delta tarama yalnız değişen öğeleri işler; yeni eklenen ve iptal edilen linkler bir sonraki döngüde yansır. Kesilen tarama kaldığı yerden devam eder.

Açık: Linkle paylaşılan dosyanın ne içerdiğinin bilinmemesi. Veri sınıflandırma ve Türkçeye özel tespit (TCKN, IBAN, telefon, sağlık verisi) her dosyaya tür, gizlilik derecesi ve iş kategorisi etiketi verir; “özel nitelikli veri geniş paylaşımda” bulgusu KVKK açıkları listesinde görünür.

Açık: Ayrılmış kullanıcıların oluşturduğu linkler ve eski site izinleri. Erişim grafiği yetim erişimleri ve devralınan geniş izinleri ayrı bulgu olarak işaretler; LDAP/dizin senkronizasyonu kullanıcı durumunu güncel tutar.

Açık: Link iptalinin kayıtsız yapılması. İzin kaldırma, link iptali ve karantina eylemleri iyileştirme ve kanıt akışında sorumluya atanır, ayrı onay yetkisiyle yürütülür ve kim, ne zaman, neden bilgisiyle denetim kaydına yazılır; rapor PDF, Excel ya da CSV olarak alınır.

Sonuç

Microsoft 365’te aşırı paylaşım, kötü niyetin değil, kolaylığın sonucudur: link oluşturmak bir tıktır, iptal etmek hiç akla gelmez. Bu ortamı yönetmenin yolu paylaşımı yasaklamak değil, kiracıdaki her linkin türünü, dosyanın içeriğini ve linki oluşturan kişinin durumunu sürekli güncel bir grafikte görmek ve iyileştirmeyi onaylı, kayıtlı bir eyleme dönüştürmektir. Salt okunur Graph bağlantısı ve delta tarama, bu görünürlüğü kiracıya dokunmadan ve eskimeden sağlar.