Veri keşfi neden ilk adım: envanter anketleri neden yetmez

Bir kurumun veri koruma programı, envanterin doğruluğu kadar iyidir; envanterin doğruluğu ise onu kuran yöntemin sınırlarıyla belirlenir. Anketle kurulan envanter, bölüm yöneticisinin bildiğini kaydeder; diskte olanı değil. Bu yazı, keşfin neden ilk adım olmak zorunda olduğunu, keşif olmadan DLP, politika ve imha gibi sonraki adımların neden boşa düştüğünü ve iyi bir keşif çalışmasının hangi çıktıları üretmesi gerektiğini ele alır.

Envanter anketleri nasıl çürür

Çoğu kurum kişisel veri envanterini aynı şekilde kurar: hukuk veya uyum birimi bir form hazırlar, bölüm yöneticilerine gönderir, yanıtlar bir tabloda birleştirilir ve VERBİS kaydına dönüştürülür. Bu yöntem ilk gün bile eksiktir, zamanla daha da eksilir.

Anketin ilk sınırı, yanıtlayanın bilgisidir. Bölüm yöneticisi kendi sisteminde ne tuttuğunu bilir; ama o sistemden dışa aktarılan raporları, e-postaya eklenen tabloları ve kişisel klasörlere kaydedilen kopyaları bilmez. Dört yıl önce ayrılan bir çalışanın masaüstünde bıraktığı müşteri dışa aktarımı hiçbir ankete girmez.

İkinci sınır, zamandır. Anket, doldurulduğu günün fotoğrafıdır. Yeni bir proje açıldığında, bir sistem değiştiğinde, bir SharePoint sitesi kurulduğunda envanter güncellenmez; çünkü güncelleme bir tetikleyiciye değil, bir hatırlamaya bağlıdır.

Üçüncü sınır, teknik ayrıntıdır. Bir veritabanı sütununun adı “ref_no” olabilir ve içinde TCKN bulunabilir. Anketi dolduran kişi bu sütunu “müşteri referansı” olarak bildirir, çünkü ekranda öyle görünür. İçeriğe bakmadan yapılan her envanter, sütun ve klasör adlarının doğruluğuna güvenir; bu güven nadiren hak edilmiştir.

Dördüncü sınır, sorumluluğun dağılmasıdır. Anket, bölüm yöneticisine gönderilir; yönetici formu bir asistana devreder; asistan bilgi işlemden sistem listesi ister; liste gelir ama içeriği kimse bilmez. Sonuçta envanter, üç kişinin birbirine sorduğu soruların toplamıdır ve hiçbiri diske bakmamıştır. Envanterin sahibi belirsizleştikçe doğruluğu da belirsizleşir.

Kurum’un Veri Sorumluları Sicili açıklaması, sicilin kurumun işlediği veriyi kategori, amaç, alıcı grubu ve saklama süresiyle yansıtmasını bekler. Bu beklenti, envanterin gerçekliği yansıttığı varsayımına dayanır. Anket bu varsayımı karşılayamaz; keşif karşılayabilir. Keşif, envanteri yanıtlayanın hafızasından çıkarıp taramanın kaydına bağlar; tarama tarihi, kapsamı ve bulguları envanterin her satırının arkasında durur.

Keşif olmadan sonraki adımlar neden boşa düşer

Veri koruma programının her adımı, bir önceki adımın çıktısına dayanır. Keşif atlandığında ya da anketle ikame edildiğinde, sonraki adımlar yanlış girdiyle çalışır.

DLP ve erişim politikası. Bir veri kaybı önleme kontrolü, neyi koruyacağını bilmek zorundadır. Hangi dosyanın hassas olduğu bilinmiyorsa politika iki uçtan birine kayar: ya her şeyi engeller ve iş durur ya da hiçbir şeyi engellemez ve kontrol kâğıt üzerinde kalır. Doğru kalibre edilmiş bir politika, “çok gizli ve İK” gibi etiketlere dayanır; etiket ise keşfin çıktısıdır.

Saklama ve imha. Saklama takvimi, hangi verinin hangi tarihte dolacağını bilmeyi gerektirir. Kurum’un silme, yok etme ve anonim hale getirme sayfasında açıkladığı yükümlülük, verinin nerede olduğu bilinmiyorsa yerine getirilemez. Asıl sistemdeki kayıt imha edilir ama paylaşım klasöründeki kopya kalır; imha gerçekleşmiş sayılmaz.

İlgili kişi başvuruları. Bir kişi kendisi hakkında hangi verinin tutulduğunu sorduğunda, yanıt tüm kaynakları kapsamak zorundadır. Envanterde olmayan bir arşiv dosyasındaki veri, yanıtta da olmaz; başvuru eksik yanıtlanmış olur.

İhlal yönetimi. Bir sunucuya yetkisiz erişim tespit edildiğinde ilk soru, o sunucuda ne olduğudur. Keşif yapılmamışsa bu soru olay anında, baskı altında ve eksik yanıtlanır.

Erişim incelemesi. “Kim neye erişiyor” sorusu, “ne” bilinmeden anlamsızdır. ACL listesi tek başına bir sistem yöneticisi raporudur; içerik bilgisiyle birleştiğinde risk haritası olur.

Sınıflandırma ve etiketleme. Etiket, içeriğe dayanmadığında kullanıcının o anki tahminine dayanır. Kullanıcı bir belgeyi “dahili” olarak işaretler çünkü ekranda öyle görünür; içinde TCKN listesi olduğunu fark etmez. Keşif, etiketi içeriğe bağlar ve insan onayını bir doğrulama adımına dönüştürür; etiket artık tahmin değil, bulgudur.

Bu adımların ortak özelliği şudur: her biri, “veri nerede” sorusunun yanıtlandığını varsayar. Varsayım yanlışsa adımın kendisi doğru olsa bile sonucu yanlıştır. Keşif, bu varsayımı bir kayda dönüştürür.

Keşfin unsurları

Keşif, bir dosya listesi çıkarmak değildir. İyi bir keşif çalışması dört unsuru birlikte üretir.

• Kapsam. Hangi kaynaklar taranıyor: dosya sunucuları, yerel diskler, Microsoft 365, veritabanları, nesne depolama, e-posta arşivleri. Kapsam dışında kalan kaynaklar da açıkça kaydedilir; “taranmadı” ile “bulunmadı” aynı şey değildir.
• İçerik. Her dosya ve sütun için hangi veri türleri bulundu, hangi güvenle, hangi örnekle. Türkçe tanımlayıcılar (TCKN, vergi kimlik no, TR IBAN, telefon, plaka) ve özel nitelikli veri (sağlık, ICD kodu) ayrı kurallarla tespit edilir.
• Sınıflandırma. Bulgu, tür, gizlilik derecesi ve iş kategorisiyle etiketlenir. Etiket, insan onayıyla düzeltilebilir ve politikaya bağlanır.
• Erişim bağlamı. Her bulgunun yanında kimin ulaşabildiği: ACL, paylaşım linki, veritabanı rolü. Bu olmadan bulgu bir içerik raporudur, risk kararı değil.

Bu dört unsurun birleşimi, aşağıdaki tabloda anket tabanlı envanterle karşılaştırılmıştır.

Soru	Anket tabanlı envanter	Keşif tabanlı envanter
Veri nerede?	Yanıtlayanın bildiği sistemler	Taranan her kaynak, dosya ve sütun düzeyinde
Ne tür veri?	Beyan edilen kategori	İçerikten tespit edilen tür, güven yüzdesiyle
Kim erişiyor?	Genellikle sorulmaz	ACL, paylaşım linki, rol bilgisiyle
Ne zaman güncellenir?	Hatırlandığında	Artımlı taramayla sürekli
Kopyalar ve arşivler?	Görünmez	Taranır ve asıl kayıtla ilişkilendirilir
Kanıt?	Form ve imza	Tarama kaydı, bulgu, erişim ve eylem günlüğü

Keşif sürekli bir süreçtir

Keşif bir projeyle bitmez. Veri her gün kopyalanır, taşınır ve arşivlenir; bugün temiz olan bir paylaşım klasörü, bir ay sonra bir dışa aktarım dosyasıyla kirlenir. Tek seferlik keşif, bitirildiği gün eskimeye başlar.

Sürekli keşif iki teknik gereksinim getirir. Birincisi, taramanın kaynak sistemleri yormamasıdır; bu, ajansız ve salt okunur bağlantı ile çözülür. İkincisi, her seferinde her şeyin yeniden taranmamasıdır; Microsoft 365 gibi kaynaklarda ilk tam taramadan sonra yalnızca değişenlerin (delta) işlenmesi, dosya sunucularında kesilen taramanın kaldığı yerden devam etmesi bunu sağlar.

Sürekli keşfin ürünü, canlı bir envanterdir: VERBİS kaydı anketten değil son taramadan kurulur ve “envanterde olmayan veri” bir açık olarak listelenir. Bir örnek senaryo: bir üretim şirketinde VERBİS kaydı yalnızca İK ve muhasebe sistemlerini kapsarken, keşif eski bir kalite yönetim sunucusunda işyeri hekimi raporları ve bir satış paylaşımında bayi sözleşmelerine ekli kimlik fotokopileri bulur. İki bulgu da envanterde yoktur; ikisi de keşiften sonra vardır.

Keşfin çıktıları ve bunlarla ne yapılır

Keşif, bir sonraki adımın girdisi olarak tasarlanmalıdır. Üretmesi gereken çıktılar şunlardır:

1. Kaynak bazlı veri haritası. Hangi paylaşımda, hangi sitede, hangi şemada ne var. Bu harita VERBİS envanterinin kategori ve alıcı grubu alanlarını doldurur.
2. Sınıflandırılmış bulgular. Tür, gizlilik derecesi, iş kategorisi, güven yüzdesi ve maskeli örnek. Yanlış pozitifler inceleme adımında ayıklanır.
3. Erişim bağlamı ve risk sıralaması. Hangi bulgu geniş paylaşımda, hangisi ayrılmış kullanıcıya açık, hangisi anonim linkle erişilebilir.
4. Fark listesi. Envanterde olup bulunmayan ve bulunup envanterde olmayan veri.
5. İş kalemleri. İyileştirme akışına girecek, sorumluya atanacak, onaylanacak eylemler: maskeleme, karantina, izin kaldırma, imha, etiket uygulama.
6. Kanıt. Tarama tarihi, kapsam, bulgular ve alınan eylemler; denetimde “yaptık” yerine “kanıtı burada” diyebilmek için.

Bu çıktılar birbirine bağlıdır. Fark listesi envanteri düzeltir; risk sıralaması iş kalemlerini önceliklendirir; kanıt hepsini denetime taşır. Çıktıların biçimi de önemlidir: hukuk birimi yönetici özetini, bilgi güvenliği kaynak bazlı detayı, denetçi ise tarama ve eylem kaydını ister. Aynı keşif, üç ayrı okuyucuya üç ayrı rapor olarak sunulabilmelidir; aksi halde keşif bir ekibin elinde kalır ve diğer ekipler kendi envanterlerini yeniden kurmaya başlar.

Seratus bu açıkları nasıl kapatır

Bu yazıda anlatılan her boşluk, Seratus’ta somut bir yeteneğe karşılık gelir.

• Anketin diskte olanı yansıtmaması. Seratus, dosya sunucularını, Windows/Linux/macOS yerel disklerini, Microsoft 365’i, Oracle, SQL Server, PostgreSQL/MySQL/MariaDB veritabanlarını, S3-uyumlu nesne depolamayı ve PST/OST/MSG arşivlerini ajansız ve salt okunur tarar; VERBİS envanterini bu taramadan kurar (ajansız DSPM, KVKK uyumu).
• Sütun ve klasör adlarına güvenilmesi. Türkçeye özel tespit motoru içeriğe bakar; TCKN, vergi kimlik no, TR IBAN, telefon, plaka ve ICD kodlu sağlık verisi ayrı kurallarla, güven yüzdesi ve maskeli örnekle bulunur. Veritabanlarında “örneklemde bulunmadı” açıkça teknik bulgu olarak işaretlenir (Türkçe tespit doğruluğu).
• Bulgunun erişim bağlamından yoksun olması. Erişim ve maruziyet grafiği ACL’leri, paylaşım linklerini ve veritabanı rollerini her bulgunun yanına koyar; aşırı paylaşılan ve yetim erişimler öne çıkar (erişim ve maruziyet grafiği).
• Keşfin tek seferlik kalması. Microsoft 365’te delta tarama, diğer kaynaklarda kaldığı yerden devam eden tarama envanteri canlı tutar; “envanterde olmayan veri” KVKK hazırlık puanında açık olarak listelenir (Microsoft 365).
• Keşif çıktısının eyleme bağlanmaması. Bulgular sorumluya atanır, ikinci yetkili onayıyla maskeleme, karantina, izin kaldırma veya imha yürütülür; her adım kim, ne zaman, neden bilgisiyle denetim kaydına yazılır (iyileştirme ve kanıt).
• Kanıtın dağınık olması. KVKK hazırlık özeti, denetim raporu ve kaynak bazlı detay PDF, Excel veya CSV olarak üretilir; bulgular SIEM veya talep yönetimi sistemine iletilebilir (entegrasyonlar).

Sonuç

Veri keşfi, veri koruma programının ilk adımıdır çünkü diğer bütün adımlar onun çıktısıyla çalışır. Anket bir başlangıç noktasıdır, doğrulama yöntemi değildir; diskte, veritabanında ve arşivde ne olduğunu yalnızca içeriğe bakan bir tarama gösterir. Keşif süreklilik, erişim bağlamı ve kanıt üretmediğinde yalnızca bir dosya listesidir. Bir sonraki kayıt, bu keşfin kaynak sistemlere dokunmadan nasıl yapıldığını, yani ajansız taramanın ne anlama geldiğini ele alır.