Seratus nedir: ajansız veri keşfi ve KVKK uyum konsolu

Bir kurumun kişisel veri envanteri, çoğu zaman bir anket formuna verilen yanıtların toplamıdır; gerçekte diskte, veritabanında ve paylaşım linklerinde ne olduğu ise başka bir hikâyedir. Seratus, bu iki hikâye arasındaki farkı kapatmak için yapıldı: veriyi olduğu yerde bulur, kimin erişebildiğini gösterir, iyileştirmeyi onaylı bir akışla yürütür ve her adımı denetçinin okuyabileceği bir kanıt olarak kaydeder. Bunu kurumun kendi sunucularında, uç cihazlara hiçbir yazılım kurmadan yapar.

Seratus hangi soruya cevap verir

Bilgi güvenliği, uyum ve hukuk ekiplerinin her denetim, her ilgili kişi başvurusu ve her ihlal şüphesinde sorduğu üç soru vardır: Veri nerede? Kim erişebiliyor? Bu bileşim ne kadar riskli? Seratus, bu üç soruyu sürekli ve kanıtlı biçimde yanıtlayan bir veri güvenliği duruş yönetimi (DSPM) konsoludur. Üzerine, Türkiye’deki veri sorumlularının operasyonel yükümlülüklerini taşıyan bir KVKK takımı ve rekabete duyarlı bilgiyi görünür kılan bir rekabet uyum modülü eklenmiştir.

Ürün, “veri sorumlusu olarak ne yapmalıyız” sorusuna hukuki bir yorum sunmaz; bu yorum kurumun hukuk biriminde kalır. Seratus’un işi, hukuk biriminin ve denetçinin dayanabileceği gerçekleri üretmektir: hangi dosyada hangi veri var, hangi sütunda hangi tanımlayıcı bulundu, hangi klasöre kim ulaşabiliyor, hangi başvuru hangi tarihte hangi kaynaklarda arandı ve ne yapıldı.

Bu yaklaşım, Kişisel Verileri Koruma Kurumu’nun Veri Sorumluları Sicili için beklediği envanter mantığıyla da örtüşür: envanter bir beyan değil, kurumun gerçekten işlediği verinin kaydı olmalıdır. Seratus envanteri anketten değil, keşiften kurar.

Beş adımlık akış: Tanımla, Tara, İncele, İyileştir, Kanıtla

Seratus’un bütün ekranları tek bir akış etrafında düzenlenmiştir. Bu akış, bir veri güvenliği programının ilk gününden denetim gününe kadar aynı kalır.

Tanımla. Kurum, taksonomisini kendi diliyle kurar: hangi veri türleri aranacak (TCKN, IBAN, sağlık verisi, sözleşme koşulu, fiyat listesi), hangi gizlilik dereceleri kullanılacak (kamuya açıktan çok gizliye), hangi iş kategorileri anlamlı (İK, finans, satış, hukuk). Kapsam da burada tanımlanır: hangi paylaşımlar, hangi veritabanı şemaları, hangi SharePoint siteleri. Kullanıcı ve kapsam bilgisi LDAP/dizinden senkronize edilebilir.

Tara. Seratus her kaynağa salt okunur bir bağlantıyla uzaktan bağlanır ve içeriği okur. Dosya sunucuları, yerel diskler, Microsoft 365, ilişkisel veritabanları, nesne depolama ve e-posta arşivleri aynı motorla taranır. Kesilen tarama kaldığı yerden devam eder; Microsoft 365 için ilk tam taramadan sonra yalnızca değişenler (delta) işlenir.

İncele. Bulgular; tür, gizlilik derecesi ve iş kategorisiyle sınıflandırılmış, güven yüzdesi ve maskeli örnekle birlikte sunulur. Erişim ve maruziyet grafiği her bulgunun yanına “kim ulaşabiliyor” bilgisini koyar. İnsan onaylı düzeltme bu adımdadır: yanlış pozitif işaretlenir, etiket değiştirilir, taksonomi öğrenir.

İyileştir. Riskli bir bulgu için maskeleme, karantina, izin kaldırma, silme/imha veya etiket uygulama eylemi başlatılır. Eylem adı belli bir sorumluya atanır; ikinci bir yetkili onaylar; yürütülür.

Kanıtla. Her adım, kim, ne zaman ve neden bilgisiyle denetim kaydına yazılır. Raporlar (KVKK hazırlık özeti, denetim raporu, kaynak bazlı detay, yönetici özeti) PDF, Excel veya CSV olarak üretilir. Bulgular ve eylemler SIEM veya talep yönetimi sistemine iletilebilir.

Keşif: kaynaklar ve bağlantı biçimi

Seratus’un keşif katmanı, kurumda verinin gerçekten biriktiği yerlere odaklanır. Bugün desteklenen kaynaklar ve bağlantı biçimleri şöyledir:

Kaynak	Bağlantı	Not
Dosya sunucuları (SMB/CIFS, NFS)	Uzak bağlama, salt okunur	Klasör ve dosya ACL’leri toplanır
Windows, Linux, macOS yerel diskleri	Uzaktan, ajansız	Okunamayan izinlerde dosya yine taranır, durum uyarı olarak raporlanır
Microsoft 365 (SharePoint Online, OneDrive, Teams dosyaları)	Microsoft Graph, salt okunur uygulama izni	Tam tarama, ardından delta
Oracle, SQL Server	Salt okunur (SQL Server’da db_datareader)	Örnekleme temelli, rol–tablo izin grafiği
PostgreSQL, MySQL, MariaDB	Salt okunur	Tablo kapsayıcı, sütun taranan birim
S3-uyumlu nesne depolama (Amazon S3, MinIO, Ceph)	SigV4, kendi kodumuzda	Kova politikası/ACL okunabildiğinde grafiğe alınır
E-posta arşivleri (PST, OST, MSG)	Dosya üzerinden	İleti gövdesi ve ekler; canlı posta kutusuna bağlanmaz

Hepsinde ortak ilke aynıdır: Seratus taranan sisteme hiçbir şey yazmaz, hiçbir şey kurmaz. Ayrıntılar ajansız DSPM ve entegrasyonlar sayfalarında kaynak kaynak anlatılır.

Sınıflandırma ve Türkçeye özel tespit

Keşfin değeri, bulunanın doğru adlandırılmasına bağlıdır. Seratus her varlığa üç eksende etiket verir: tür (örneğin kimlik numarası, sağlık verisi, sözleşme), gizlilik derecesi (kamuya açık, dahili, gizli, çok gizli gibi) ve iş kategorisi. Taksonomi yönetilebilir; etiketler politika ve saklama/imha süreçlerine bağlıdır, yani “çok gizli ve İK” etiketi alan bir dosya, hem erişim politikasını hem saklama takvimini tetikler.

Tespit motoru Türkçeye özel geliştirilmiştir. TCKN, vergi kimlik numarası, TR IBAN, kart numarası, e-posta, Türkiye telefon numarası, araç plakası ve ICD kodlu sağlık verisi gibi tanımlayıcıların her biri için ayrı bir kural, ayrı bir doğruluk ölçümü ve ayrı bir yanlış-pozitif azaltma programı vardır. Her bulgu bir güven yüzdesi ve maskeli bir örnekle gösterilir; inceleyen kişi asıl değeri görmeden kararı verebilir. Veritabanlarında tarama örnekleme temelli olduğundan, “örneklemde bulunmadı” ifadesi bir risk kararı değil, teknik bir bulgudur ve ürün bunu açıkça belirtir. Bu konunun ayrıntısı Türkçe tespit doğruluğu sayfasındadır.

Erişim ve maruziyet grafiği

Bir bordro dosyasının varlığı tek başına risk değildir; o dosyanın “kuruluştaki herkes” tarafından okunabilmesi risktir. Seratus bu yüzden içerik bulgusunun yanına izin bilgisini koyar. Dosya sunucularından ACL’ler, Microsoft 365’ten paylaşım linkleri (anonim link, kuruluştaki herkes), veritabanlarından roller toplanır ve bir kimlik–izin–varlık grafiği kurulur.

Grafik, kendi başına fark edilmesi zor desenleri öne çıkarır: aşırı paylaşılan klasörler, kamuya açık nesneler, kurumdan ayrılmış kullanıcıların hâlâ geçerli erişimleri, dizinde çözülemeyen SID’ler, döngüsel grup üyelikleri. Her bulgu bu bağlamla birlikte riske göre sıralanır. Erişim ve maruziyet grafiği sayfası bu görünümü anlatır.

İyileştirme ve kanıt

Keşif, eyleme dönüşmüyorsa yalnızca bir rapordur. Seratus’ta iyileştirme bir iş akışıdır: bulgu bir sorumluya atanır, eylem seçilir (maskeleme, karantina, izin kaldırma, silme/imha, etiket uygulama), ayrı bir onay yetkisine sahip ikinci kişi onaylar ve işlem yürütülür. Onay ve yürütme yetkileri rol tabanlı erişimle birbirinden ayrılır; tarayan, inceleyen, onaylayan ve yöneten aynı kişi olmak zorunda değildir.

Her adım denetim kaydına yazılır: kim, ne zaman, neden. İmha işlemlerinde Seratus redakte bir kopya üretir, aslını imha eder ve kaliteyi tekillik denetimiyle ölçer; bu kayıt ait olduğu başvuruya veya saklama olayına eklenir. İyileştirme ve kanıt sayfası akışı adım adım gösterir.

KVKK takımı ve rekabet uyum modülü

KVKK takımı, Kanun’un operasyonel tarafını tek konsolda taşır. VERBİS envanteri gerçek keşif sonuçlarından kurulur; ilgili kişi başvuruları alınır, kişinin verisi bağlı kaynaklarda bulunur, yanıt veya redakte kopya üretilir, onaylı imha yürütülür ve kanıt başvuruya eklenir. Saklama takvimi etiketlere bağlıdır; ihlal kayıtları ve veri koruma etki değerlendirmeleri aynı yerde tutulur. KVKK hazırlık puanı ve “açıklar” listesi, kurumun nerede durduğunu somut maddelerle gösterir: özel nitelikli veri geniş paylaşımda, süresi geçmiş başvuru, saklama süresi dolmuş veri, envanterde olmayan veri. Ayrıntı için KVKK uyumu sayfasına bakılabilir.

Rekabet uyum modülü aynı keşif, sınıflandırma ve maruziyet motorunu başka bir riske uygular: fiyat, teklif ve ihale koşulları, maliyet/marj, müşteriye özel şartlar, kapasite planı gibi rekabete duyarlı bilgi içerebilecek belge ve iletişimi tespit eder, kimin eriştiğini ve nasıl paylaşıldığını gösterir, onaylı inceleme ve iyileştirme akışına alır, kanıt kaydeder. Kategoriler kurumun taksonomisinde ayarlanır. Bu modül hukuki tavsiye vermez; kurumun uyum programını destekler.

Neden ajansız ve neden yerinde

Ajansız olmak bir tercih değil, bir tasarım ilkesidir. Veriyi barındıran sunuculara ve uç cihazlara yazılım kurmak, her kurumda bir değişiklik yönetimi projesi, bir performans tartışması ve bir güvenlik incelemesi demektir. Seratus her kaynağa salt okunur bir bağlantıyla uzaktan bağlanır; taranan sistemlere dokunulmaz, bu yüzden ilk tarama konsol kurulur kurulmaz başlayabilir.

Yerinde kurulum da aynı mantığın devamıdır. Kişisel ve özel nitelikli veriyi bulmak için o veriyi bir bulut servisine göndermek, çözmeye çalıştığınız sorunu büyütür. Seratus kurumun kendi sunucularına imzalı paketlerle kurulur, kapalı (air-gap) ağlarda çalışır, rol tabanlı erişimle yönetilir ve TR/EN arayüz sunar. İsteğe bağlı LLM zenginleştirme (belge türü, başvuru özeti) yalnızca kurumun kendi veya yerinde barındırılan özel modeliyle yapılır; dış yapay zeka servisine veri gitmez. Özel LLM ve air-gap sayfası bu sınırları açıklar.

Seratus bu açıkları nasıl kapatır

Ürünü tanıtan bir yazıda bile açıkları adlandırmak gerekir; çünkü Seratus’un her yeteneği, sahada tekrar tekrar görülen bir açığa karşılık gelir.

• Envanter ile gerçeklik arasındaki fark. Anketle kurulan envanter, keşifle bulunan veriyi yansıtmaz. Seratus VERBİS envanterini gerçek taramadan kurar ve “envanterde olmayan veri” açığını listeler (KVKK uyumu).
• Bulunan ama kimin eriştiği bilinmeyen veri. İçerik taraması tek başına riski ölçemez. Erişim ve maruziyet grafiği ACL, paylaşım linki ve veritabanı rolünü bulgunun yanına koyar (erişim ve maruziyet grafiği).
• Türkçe tanımlayıcılarda yanlış pozitif. Başka diller için ayarlanmış motorlar TCKN ve TR IBAN’ı kaçırır veya Türkçe metinde gürültü üretir. Türkçeye özel kurallar, güven yüzdesi ve maskeli örnekle incelenir (Türkçe tespit doğruluğu).
• Eylemsiz rapor. Bulgu listesi denetimde kanıt sayılmaz. Onaylı iyileştirme akışı ve kim/ne zaman/neden denetim kaydı, “yaptık” ifadesini “kanıtı burada” ifadesine çevirir (iyileştirme ve kanıt).
• Veriyi bulmak için veriyi dışarı çıkarmak. Yerinde, air-gap uyumlu kurulum ve yerinde LLM ile analiz kurumun içinde kalır (özel LLM ve air-gap).
• Rekabete duyarlı bilginin görünmezliği. Fiyat listeleri ve ihale dosyaları kişisel veri olmadığı için klasik envanterlerin dışında kalır. Rekabet uyum modülü bu belgeleri taksonomide tanımlanan kategorilerle bulur ve inceleme akışına alır.

Sonuç

Seratus, veri güvenliği ve KVKK uyumunu iki ayrı proje olarak değil, aynı gerçeklerden beslenen tek bir akış olarak ele alır: Tanımla, Tara, İncele, İyileştir, Kanıtla. Ajansız keşif ve yerinde kurulum bu akışı kurumun kendi sınırları içinde tutar; denetim kaydı ve raporlar ise her kararın izini bırakır. Sonraki kayıtlarda bu akışın her parçası ayrı ayrı ele alınacak: verinin neden hem en değerli hem en riskli varlık olduğu, keşfin neden ilk adım olduğu, ajansız taramanın nasıl çalıştığı ve bir veri sorumlusunun operasyonel yükümlülükleri. Ayrıntılar için özellikler ve sık sorulan sorular sayfaları başlangıç noktasıdır.