VERBİS envanterini anketle değil gerçek veri keşfiyle kurmak

VERBİS envanteri, bir kurumun Kurum’a “hangi kişisel verileri, hangi amaçla, ne kadar süreyle işliyoruz” sorusuna verdiği resmi yanıttır. Bu yanıtın doğruluğu, çoğu kurumda birimlere gönderilen bir Excel anketine dayanır ve anket gönderildiği gün eskimeye başlar. Keşif tabanlı envanter, aynı soruya sistemlerin kendisine bakarak yanıt verir ve bildirilen ile fiilen var olan arasındaki farkı görünür kılar.

Bu yazı hukuki tavsiye değildir; VERBİS bildirim yükümlülüğünün kuruma özgü kapsamı hukuk biriminizle doğrulanmalıdır.

VERBİS ne ister, envanter ne verir

Kurum’un “Veri Sorumluları Sicili Nedir” sayfası, sicilin amacını ve veri sorumlularının kayıt yükümlülüğünü açıklar. Sicile bildirilen bilgi, bir veri sorumlusunun işlediği kişisel veri kategorilerini, işleme amaçlarını, veri aktarılan alıcı gruplarını, yurt dışı aktarımı ve saklama sürelerini kapsar. Sicil, kişi düzeyinde bir liste değil, kategori düzeyinde bir beyandır.

Bu beyanın arkasında bir kişisel veri işleme envanteri durur. Envanter, iş süreçleri ile veri kategorilerini, hukuki dayanakları, saklama sürelerini ve alıcıları eşler. VERBİS’e giden bilgi bu envanterin özetidir; dolayısıyla envanter yanlışsa bildirim de yanlıştır. Sorun, envanterin nasıl kurulduğunda başlar.

Pratikte iki yöntem vardır. Anket tabanlı yöntem, her birime bir form gönderir ve birimlerden hangi veriyi, hangi sistemde, ne amaçla tuttuklarını yazmalarını ister. Keşif tabanlı yöntem, sistemlere salt okunur bağlanır, kişisel veriyi tespit eder, sınıflandırır ve bulunanı iş sürecine, amaca ve saklama süresine eşler. İkisi birbirinin alternatifi değildir; ancak sıralama önemlidir.

Anket tabanlı envanter neden çürür

Anket, birimlerin bildiğini kaydeder. Bir İK uzmanı bordro sistemini ve özlük dosyalarını bildirir; ancak üç yıl önce bir danışmana gönderilmek üzere masaüstüne indirilmiş “personel_listesi_son.xlsx” dosyasını, bir SharePoint kütüphanesinde “Herkes” ile paylaşılmış işe alım formlarını ya da eski bir yöneticinin PST arşivindeki sağlık raporu eklerini bildirmez. Bunlar unutulmuş değildir; hiç bilinmemiştir.

Anket ayrıca bir anı yansıtır. Sistemler değişir: bir CRM taşınır, bir test ortamı üretim verisinin kopyasıyla kurulur, bir S3 kovasına günlük yedek yazılır, bir proje ekibi Teams kanalında müşteri listesi paylaşır. Anket yılda bir yenilense bile bu değişiklikler envantere geç veya hiç yansımaz. Envanter, bildirildiği gün doğru olsa bile aylar içinde gerçeklikten uzaklaşır.

Üçüncü sorun saklama süresidir. Anketlerde saklama süresi genellikle bir politika değeri olarak yazılır (“on yıl”, “iş ilişkisi süresince”). Bu değerin fiilen uygulanıp uygulanmadığı, yani süresi dolan verinin gerçekten silinip silinmediği, anketten anlaşılamaz. Kurum’un “Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi” sayfası, saklama süresi dolan verinin akıbetini düzenler; bu düzenlemenin uygulandığının kanıtı envanterde değil, sistemlerde aranır.

Aşağıdaki tablo iki yaklaşımı karşılaştırır.

Boyut	Anket tabanlı envanter	Keşif tabanlı envanter
Kaynak	Birimlerin beyanı	Sistemlerin salt okunur taranması
Kapsam	Bilinen sistemler ve süreçler	Bağlanan tüm kaynaklar; bilinmeyen kopyalar dahil
Güncellik	Anket döneminde	Her tarama; delta tarama ile sürekli
Saklama süresi	Politika değeri	Etikete bağlı takvim; süresi dolan veri listelenir
Kanıt	Doldurulmuş form	Tarama kaydı, bulgu, maskeli örnek, denetim kaydı
Zayıf yanı	Bilinmeyeni görmez	Amaç ve hukuki dayanağı tek başına üretmez

Keşif tabanlı envanter nasıl kurulur

Keşif tabanlı envanter dört adımda kurulur. Birinci adım kapsamdır: hangi kaynaklar taranacak? Dosya sunucuları (SMB/CIFS, NFS), Windows, Linux ve macOS yerel diskleri, Microsoft 365 (SharePoint Online, OneDrive, Teams dosyaları), Oracle, SQL Server, PostgreSQL, MySQL ve MariaDB veritabanları, S3-uyumlu nesne depolama ve PST/OST/MSG e-posta arşivleri bu kapsama girer. Bağlantılar salt okunur olmalı; keşif, taranan sistemi değiştirmemelidir.

İkinci adım tespittir. Her dosya, tablo ve nesne için hangi kişisel veri türlerinin bulunduğu belirlenir: TCKN, vergi kimlik numarası, IBAN, kart numarası, e-posta, telefon, araç plakası, sağlık verisi (ICD kodu) gibi. Tespit motorunun Türkçeye özel olması burada belirleyicidir; genel motorlar Türkçe tanımlayıcıları kaçırır ya da yanlış pozitif üretir. Her bulgu bir güven yüzdesi ve maskeli örnekle sunulmalıdır ki envanter sorumlusu bulguyu doğrulayabilsin.

Üçüncü adım sınıflandırmadır. Bulunan varlık tür, gizlilik derecesi ve iş kategorisi eksenlerinde etiketlenir. İş kategorisi (İK, finans, müşteri, sağlık gibi) envanterdeki iş sürecine karşılık gelir; gizlilik derecesi erişim politikasını, tür ise VERBİS’teki veri kategorisini belirler. Taksonomi kurumun kendi yapısına göre yönetilebilir olmalı ve otomatik sınıflandırmanın insan onayıyla düzeltilebilmesi gerekir.

Dördüncü adım eşlemedir. Her sınıflandırılmış varlık bir VERBİS kategorisine, bir işleme amacına ve bir saklama süresine bağlanır. Bu adımda iş birimlerinin ve hukuk biriminin girdisi gerekir: keşif “bu klasörde sağlık verisi var” der; “bu veri işyeri hekimliği amacıyla, şu süreyle işleniyor” bilgisini kurum verir. Keşif anketi ortadan kaldırmaz; anketi gerçek bir zemine oturtur.

Kategori, amaç ve saklama eşlemesi

Eşlemenin en zor kısmı, aynı veri türünün farklı amaçlarla ve farklı sürelerle işlenebilmesidir. Bir TCKN, müşteri sözleşmesinde başka, personel özlük dosyasında başka, ziyaretçi kayıt defterinde başka bir amaca ve süreye tabidir. Keşif, TCKN’nin nerede olduğunu söyler; iş kategorisi etiketi ise hangi amaca ait olduğunu gösterir. Etiket ile saklama takvimi arasındaki bağ, hangi kopyanın ne zaman süresinin dolacağını hesaplanabilir kılar.

Bir örnek senaryo: bir üretim şirketinde keşif, bir dosya sunucusundaki “Kalite” paylaşımında sağlık verisi tespit eder. Sınıflandırma bu dosyaları “İK / iş sağlığı” kategorisine atar. Envanter, bu kategori için bildirilen saklama süresini ve alıcı grubunu gösterir; ancak dosyaların bulunduğu paylaşım kalite ekibine açıktır ve kalite ekibi bildirilen alıcı grubunda yoktur. Bu, keşif olmadan görülemeyecek bir envanter uyumsuzluğudur: veri doğru kategoridedir ama yanlış yerdedir ve yanlış kişiler erişmektedir.

Eşleme bir kez yapıldıktan sonra, sonraki taramalarda yeni bulunan varlıklar otomatik olarak aynı kurallara göre etiketlenir ve envanter güncel kalır. Microsoft 365 için delta tarama yalnız değişen öğeleri işler; dosya sunucuları ve veritabanları için kesilen tarama kaldığı yerden devam eder.

“Envanterde olmayan veri” açığı

Keşif tabanlı envanterin en değerli çıktısı, bildirilen ile bulunan arasındaki farktır. Üç tür fark vardır. Birincisi, bildirilmemiş kategori: envanterde sağlık verisi yoktur ama keşif bir klasörde ICD kodlu raporlar bulmuştur. İkincisi, bildirilmemiş sistem: envanter CRM’yi listeler ama müşteri verisinin bir test veritabanında ve bir S3 kovasında kopyası vardır. Üçüncüsü, süresi aşılmış kopya: envanter beş yıl der ama on iki yıllık bordro dosyaları hâlâ paylaşımdadır.

Bu farkların her biri bir risk ve bir karar gerektirir. Bildirilmemiş kategori envanterin ve gerekiyorsa bildirimin güncellenmesini; bildirilmemiş sistem ya envantere eklemeyi ya da kopyanın imhasını; süresi aşılmış kopya imha ya da anonimleştirmeyi gerektirir. Kararı kim verecek, kim onaylayacak ve nasıl kanıtlanacak soruları, envanterin bir belge olmaktan çıkıp bir operasyona dönüştüğü yerdir.

Bu açığın ölçülmesi, envanterin sağlığının tek nesnel göstergesidir. Bildirilen kategori sayısı ya da doldurulan form sayısı envanterin doğruluğunu göstermez; bulunan ancak bildirilmemiş veri kümelerinin sayısı ve bunların ne kadar sürede envantere alındığı ya da imha edildiği gösterir. Bu ölçüt her tarama döneminde yeniden hesaplanmalı ve yönetim özetinde yer almalıdır.

Bir ikinci örnek: bir finans kuruluşunda keşif, bir test veritabanında üretimden kopyalanmış müşteri tablolarını bulur. Tablolar maskelenmemiştir; TCKN ve IBAN sütunları açıktır ve veritabanı rolü tüm geliştirme ekibine okuma yetkisi vermektedir. Envanter bu sistemi hiç listelememektedir çünkü “test ortamı” kişisel veri işleyen bir sistem olarak düşünülmemiştir. Keşif, hem envanter eksikliğini hem de erişim açığını aynı anda ortaya çıkarır; karar, tabloların maskelenmesi ya da imhası ve envanterin güncellenmesidir.

Seratus bu açıkları nasıl kapatır

Açık 1: Envanter birimlerin beyanına dayanıyor. Seratus’un KVKK takımı, VERBİS envanterini gerçek keşif sonuçlarından kurar. Ajansız keşif dosya sunucularını, yerel diskleri, Microsoft 365’i, Oracle, SQL Server, PostgreSQL/MySQL veritabanlarını, S3-uyumlu depolamayı ve PST/OST/MSG arşivlerini salt okunur bağlantıyla tarar.

Açık 2: Türkçe tanımlayıcılar kaçırılıyor veya yanlış pozitif üretiyor. Türkçeye özel tespit motoru TCKN, vergi kimlik numarası, IBAN, telefon, araç plakası ve ICD kodlu sağlık verisini bağlamıyla bulur; her kuralın kendi doğruluk ve yanlış-pozitif azaltma programı vardır. Bulgular güven yüzdesi ve maskeli örnekle gösterilir; veritabanlarında “örneklemde bulunmadı” bir risk kararı olarak sunulmaz.

Açık 3: Bulunan veri VERBİS kategorisine ve amaca eşlenmiyor. Sınıflandırma her varlığa tür, gizlilik derecesi ve iş kategorisi atar; taksonomi kurumun yapısına göre yönetilir ve düzeltmeler insan onayından geçer. Etiketler saklama takvimine ve imha süreçlerine bağlanır.

Açık 4: Bildirilen ile bulunan arasındaki fark görünmüyor. KVKK hazırlık puanı, “envanterde olmayan veri”, “saklama süresi dolmuş veri” ve “özel nitelikli veri geniş paylaşımda” gibi açıkları ayrı maddeler olarak listeler. Kaynak bazlı detay raporu, her açığın hangi sistemde, hangi yolda olduğunu gösterir.

Açık 5: Veri doğru kategoride ama yanlış kişiler erişiyor. Erişim ve maruziyet grafiği ACL’leri, paylaşım linklerini ve veritabanı rollerini bulgularla birleştirir; envanterde bildirilen alıcı grubu dışındaki erişimler aşırı paylaşım olarak öne çıkar. İzin kaldırma, sorumluya atanan ve ayrı onayla yürütülen bir iyileştirme eylemidir.

Açık 6: Envanter güncellemesinin kanıtı yok. Her tarama, sınıflandırma düzeltmesi, eşleme ve iyileştirme kim, ne zaman, neden bilgisiyle denetim kaydına yazılır. KVKK hazırlık özeti ve denetim raporu PDF, Excel veya CSV olarak dışa aktarılır; bulgular SIEM ve talep yönetimi sistemlerine iletilebilir.

Sonuç

VERBİS bildirimi bir beyandır ve beyanın değeri dayandığı envanterin doğruluğu kadardır. Anket, kurumun bildiğini yazar; keşif, kurumun sahip olduğunu gösterir. İkisi arasındaki fark, denetimde ve ihlal anında ortaya çıkan açıktır. Envanteri gerçek keşiften kuran, bulunanı kategori, amaç ve saklama süresine eşleyen ve farkı sürekli ölçen bir kurum, VERBİS’e verdiği yanıtın arkasında durabilir. Seratus bu döngüyü kurumun kendi altyapısında, ajansız ve kanıtlı biçimde yürütür.