Ticari sırlar ve şirket sırları: kritik veriye DSPM bakışı

Bir kurumun en değerli verisi çoğu zaman tek bir kişiye ait değildir ve bu yüzden hiçbir kişisel veri mevzuatının kapsamına girmez. Ürün formülleri, üretim süreçleri, fiyatlandırma modelleri, müşteri listeleri, satın alma koşulları, Ar-Ge sonuçları ve strateji belgeleri; bunlar sızdığında kurumu yıllarca etkileyecek ticari sırlardır. KVKK uyumu için kurulan keşif ve sınıflandırma altyapısı, bu veriyi de aynı disiplinle yönetmek için kullanılmadığında eksik kalır.

Ticari sır: kişisel veri olmayan kritik veri

Kişisel veri ile ticari sır arasındaki fark, korunma gerekçesindedir. Kişisel veri, ilgili kişinin hakları nedeniyle korunur ve KVKK bu korumanın çerçevesini çizer. Ticari sır ise kuruma sağladığı değer nedeniyle korunur; kamuya açık olmaması, makul gizlilik tedbirlerine tabi tutulması ve ekonomik değer taşıması tipik özellikleridir. Hangi bilginin ticari sır sayılacağı ve nasıl korunacağı hukuk danışmanıyla belirlenir; bu yazı hukuki tavsiye değildir.

Veri yönetimi açısından önemli olan, iki kategorinin çoğu zaman aynı belgelerde iç içe bulunmasıdır:

• Bir müşteri sözleşmesi, hem müşteri temsilcisinin kişisel verisini hem de müşteriye özel fiyat şartlarını içerir.
• Bir Ar-Ge raporu, hem test katılımcılarının sağlık verisini hem de formül bilgisini taşır.
• Bir satış sunumu, hem müşteri kişi listesini hem de hedef pazar stratejisini barındırır.

Bu nedenle “kişisel veri için ayrı bir araç, ticari sır için ayrı bir araç” yaklaşımı iki kez tarama, iki kez sınıflandırma ve tutarsız erişim politikası üretir. Doğru yaklaşım, tek bir keşif ve sınıflandırma motorunun üç eksende etiket üretmesidir: veri türü, gizlilik derecesi ve iş kategorisi.

Gizlilik derecesi taksonomisi: ölçek ve politika

Gizlilik derecesi, belgenin kimin tarafından görülebileceğini ve nasıl dolaşabileceğini belirleyen ölçektir. Tipik bir ölçek dört veya beş kademeden oluşur:

Derece	Tipik içerik	Tipik politika
Kamuya açık	Ürün broşürleri, basın bültenleri, yayımlanmış fiyat listeleri	Sınırsız paylaşım
Dahili	Prosedürler, genel duyurular, eğitim materyali	Kurum içi, dış paylaşım onaylı
Gizli	Müşteri sözleşmeleri, maliyet tabloları, planlanan fiyatlar	Görev bazlı erişim, dış paylaşım yasak
Çok gizli	Formüller, Ar-Ge sonuçları, birleşme ve satın alma belgeleri, stratejik planlar	Adı belli kişiler, kayıtlı erişim, link paylaşımı yok

Ölçeğin kendisi yeni değildir; sorun, ölçeğin yalnızca bir politika belgesinde yaşaması ve gerçek dosyalara hiç uygulanmamış olmasıdır. Çalışanlar belgeleri etiketlemez; etiketlense bile etiket, erişim ve paylaşım kontrollerine bağlı değildir. Sonuç, “çok gizli” olarak tanımlanmış bir belge sınıfının “kuruluştaki herkes” linkiyle paylaşılmasıdır.

Seratus’un veri sınıflandırma yeteneği, gizlilik derecesini içerik ve bağlamdan üretir, insan onaylı düzeltme ile iyileştirir ve etiketleri politika ile saklama/imha süreçlerine bağlar. Taksonomi kurum tarafından yönetilir: kademe sayısı, adlar ve her kademenin kuralları kurumun kendi politikasına göre ayarlanır.

Taksonominin yeni belgelere uygulanması kadar mevcut stoğa uygulanması da önemlidir. Yıllar içinde biriken on binlerce belgeyi elle derecelendirmek mümkün değildir; keşif tabanlı sınıflandırma bu stoğu önce otomatik derecelendirir, sonra belirsiz durumları insan onayına sunar. Onaylanan düzeltmeler taksonomiye yansır; aynı belge türü bir sonraki taramada daha doğru derecelenir. Etiket uygulama eylemi, onay akışı üzerinden yürütülür ve denetim kaydına yazılır; böylece “bu belge neden çok gizli sayıldı” sorusunun yanıtı da kayıtta bulunur.

Nerede birikir ve nasıl sızar

Ticari sırlar, rekabete duyarlı bilgiyle büyük ölçüde örtüşür ancak daha geniştir; teknik ve operasyonel bilgi de kapsama girer. Tipik birikim noktaları:

• Ar-Ge ve mühendislik paylaşımları. Formül ve reçete dosyaları, tasarım dokümanları, test sonuçları, kaynak kod dışa aktarımları.
• Üretim. Proses parametreleri, kalite kontrol kriterleri, tedarikçi spesifikasyonları.
• Satış ve pazarlama. Müşteri listeleri, fiyatlandırma modelleri, kampanya planları, kazanılan ve kaybedilen teklif analizleri.
• Yönetim ve finans. Bütçe ve plan sunumları, birleşme ve satın alma dosyaları, yönetim kurulu materyali.
• Microsoft 365. Teams sohbetlerine eklenen taslaklar, OneDrive’daki kişisel kopyalar, “herkesle paylaş” linkleri.
• Veritabanları ve nesne depolama. Fiyat ve maliyet tabloları, ürün reçete tabloları, S3 üzerindeki model ve veri kümeleri.
• E-posta arşivleri. Yıllar içinde biriken teklif, sözleşme ve strateji yazışmaları.

Sızma yolları da benzer biçimde tahmin edilebilir: geniş izinler, dış paylaşım linkleri, kişisel bulut ve USB kopyaları, ayrılan çalışanların yanlarında götürdüğü dosyalar ve tedarikçi portallerine gereğinden fazla yüklenen belgeler. Bu yolların ortak özelliği, her birinin keşif ve erişim analiziyle önceden görülebilir olmasıdır.

Yapısal kaynaklar sıklıkla gözden kaçar. Bir ürün reçetesi tablosu, bir fiyat matrisi ya da müşteri bazlı iskonto tablosu veritabanında durur ve belge olarak hiç görünmez; buna karşın bir raporlama rolüne verilen geniş okuma izni, tabloyu onlarca kullanıcıya açabilir. Seratus’un veritabanı keşfi, sütun düzeyinde örnekleme ve rol-tablo izin grafiğiyle bu tabloları da gizlilik derecesi taksonomisine dahil eder.

Ayrılan çalışan riski

Ticari sır sızıntılarının en sık tartışılan senaryosu, ayrılan çalışandır. Sorun iki yönlüdür: çalışan ayrılmadan önce hangi belgelere eriştiğini bilmemek ve ayrıldıktan sonra erişimlerinin tam olarak kaldırılmamış olması.

Birinci yön, ayrılma öncesi görünürlükle çözülür. Erişim grafiği, belirli bir kullanıcının doğrudan ve grup üzerinden erişebildiği yüksek gizlilik dereceli belgeleri listeler. Bu liste, ayrılma görüşmesinde ve iade sürecinde somut bir dayanak sağlar; “hangi belgeleri gördü” sorusu tahmine değil kayda dayanır.

İkinci yön, ayrılma sonrası temizlikle çözülür. Hesap devre dışı bırakılsa bile ACL’lerde çözülemeyen SID’ler kalır; paylaşım linkleri aktif kalır; çalışanın OneDrive’ındaki kopyalar devredilmemiş olabilir; PST arşivi bir dosya sunucusunda durur. Seratus bu kalıntıları “ayrılmış kullanıcı erişimi” ve “çözülemeyen SID” bulguları olarak gösterir; izin kaldırma ve karantina eylemleri onay akışıyla uygulanır.

Bu noktada KVKK’nın 16 Eylül 2026 tarihli 2026/2035 sayılı İlke Kararı’nın bir ilkesini hatırlamak gerekir: iş ilişkisi sona erdikten sonra çalışanın iletişim verileri işveren için süresiz erişilebilir değildir; erişim sınırlı personelle ve kayıtlı olmalıdır. Ayrılan çalışanın posta arşivindeki ticari sırları ararken, aynı arşivdeki kişisel yazışmalara ilişkin bu sınırlar geçerlidir. Seratus bulguları maskeli örnekle gösterir; tam içeriğe erişim onaylı inceleme akışında ve kayıt altında gerçekleşir.

Erişim daraltma: en az yetki ilkesini belgeye uygulamak

Ticari sırları korumanın en etkili kontrolü, belgeye erişimi gerçekten ihtiyaç duyanlarla sınırlamaktır. Bu ilke herkes tarafından kabul edilir; uygulanmamasının nedeni, hangi belgenin kimler tarafından erişilebildiğinin bilinmemesidir.

Erişim daraltma üç adımda ilerler. Önce, yüksek gizlilik dereceli belgeler için mevcut erişim listesi çıkarılır: doğrudan izinler, grup üyelikleri, döngüsel gruplar, paylaşım linkleri. Sonra, bu liste belge sahibiyle gözden geçirilir ve ihtiyaç duymayanlar belirlenir. Son olarak, izin kaldırma eylemi onay akışıyla uygulanır ve denetim kaydına yazılır.

Seratus’un erişim ve maruziyet grafiği, bu adımların her birini destekler: aşırı paylaşılan ve kamuya açık belgeler, “kuruluştaki herkes” ve anonim linkler, yetim ve ayrılmış kullanıcı erişimleri, çözülemeyen SID’ler ve döngüsel grup üyelikleri, belgenin gizlilik derecesiyle birlikte önceliklendirilir. “Çok gizli” dereceli bir belgenin geniş erişimde olması, listenin en üstünde görünür.

Örnek senaryo: bir ilaç ve kimya şirketinde formül dosyaları

Bir ilaç ve kimya şirketinde Ar-Ge ekibi, formül ve proses dokümanlarını bir SharePoint sitesinde tutar. Site yıllar önce “tüm Ar-Ge” grubuna açılmış; grup zamanla staj ve danışman hesaplarını da kapsar hale gelmiştir. Bazı belgeler, bir üretim ortağına göndermek için anonim linkle paylaşılmış ve linkler iptal edilmemiştir. Ayrılan bir proses mühendisinin OneDrive’ındaki kopyalar devredilmemiş, PST arşivi bir dosya sunucusunda durmaktadır.

Seratus bu senaryoda “formül” ve “proses dokümanı” kategorilerine uyan belgeleri “çok gizli” derecesiyle işaretler; erişim grafiği grup üzerinden erişen staj ve danışman hesaplarını, aktif anonim linkleri ve ayrılmış kullanıcının kalan erişimlerini gösterir. İnceleme kuyruğunda Ar-Ge direktörü ve bilgi güvenliği sorumlusu erişimi adı belli bir listeye daraltır, linkleri iptal eder, OneDrive kopyalarını karantinaya alır ve PST arşivini inceleme akışına yönlendirir. Her karar gerekçesiyle kaydedilir. Örnek anonim ve varsayımsaldır.

Seratus bu açıkları nasıl kapatır

Açık 1: Ticari sırlar hiçbir envanterde yok. Aynı ajansız keşif motoru, dosya sunucuları, yerel diskler, Microsoft 365, veritabanları, S3-uyumlu nesne depolama ve e-posta arşivlerinde iş kategorisi ve gizlilik derecesi üretir; ticari sır için ayrı bir tarama gerekmez. Ayrıntı: ajansız DSPM.

Açık 2: Gizlilik derecesi politikada var, dosyalarda yok. Yönetilebilir taksonomi, insan onaylı düzeltme ve etiketlerin politika ile saklama/imha süreçlerine bağlanması; etiket uygulama eylemi onay akışıyla yürütülür.

Açık 3: “Çok gizli” belgeler geniş erişimde. Erişim ve maruziyet grafiği, gizlilik derecesi yüksek belgelerdeki aşırı paylaşımı, anonim ve “kuruluştaki herkes” linklerini, döngüsel grupları önceliklendirir; izin kaldırma onaylı ve kayıtlıdır. Ayrıntı: Microsoft 365 entegrasyonu.

Açık 4: Ayrılan çalışanın erişimi ve kopyaları temizlenmiyor. Ayrılmış kullanıcı erişimleri, çözülemeyen SID’ler, devredilmemiş OneDrive kopyaları ve PST arşivleri bulgu olarak listelenir; karantina ve izin kaldırma eylemleri sorumluya atanır.

Açık 5: Veritabanı ve nesne depolamadaki fiyat, reçete ve model verisi görünmüyor. Oracle, SQL Server, PostgreSQL/MySQL için örnekleme temelli sınıflandırma ve rol-tablo izin grafiği; S3-uyumlu depolama için nesne düzeyinde sınıflandırma ve erişim bilgisi. Ayrıntı: nesne depolama (S3).

Açık 6: Koruma aracının kendisi veri sızdırabilir endişesi. Seratus yerinde ve air-gap uyumlu; bağlantılar salt okunur; rol tabanlı konsol erişimi; isteğe bağlı LLM zenginleştirme yalnızca kurumun kendi veya yerinde barındırdığı modelle; dış AI servisine veri gitmez.

Sonuç

Ticari sırlar, kişisel veri olmadıkları için mevzuat odaklı uyum programlarının dışında kalır; oysa sızdıklarında etkisi en uzun süren veri sınıfıdır. KVKK için kurulan keşif, sınıflandırma ve erişim analizi altyapısı, gizlilik derecesi taksonomisiyle genişletildiğinde bu veriyi de aynı disiplinle yönetir. Seratus, tür, gizlilik derecesi ve iş kategorisini tek motorla üretir; erişimi daraltır; ayrılan çalışan kalıntılarını temizler ve her adımı kanıtlar.