Verinin önemi: kurumun en değerli ve en riskli varlığı

Kurumlar verinin değerli olduğunu bilir; onu koruma biçimleri ise genellikle bu bilgiyi yansıtmaz. Değerli olan şey envanterde, yedekte, erişim listesinde ve imha takviminde eş zamanlı olarak izlenir. Veri için bu nadiren yapılır, çünkü veri tek bir yerde durmaz ve tek bir sahibi yoktur. Bu yazı, kişisel veri, özel nitelikli veri, ticari sır ve rekabete duyarlı bilgiyi tek “veri” çatısı altında ele almanın neden gerekli olduğunu, bu verinin nerede biriktiğini ve neden görünmez hale geldiğini anlatır.

Dört veri sınıfı, tek sorumluluk

Bir kurumun koruması gereken veri, kaynağına göre değil sonucuna göre sınıflanmalıdır. Açığa çıktığında kime, nasıl zarar verir? Bu soruyla bakıldığında dört küme ortaya çıkar.

Kişisel veri. Kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her bilgi. Kimlik numarası, ad-soyad, telefon, e-posta, adres, IBAN, araç plakası. Türkiye’de bu kümenin işlenmesi Kişisel Verilerin Korunması Kanunu’na ve Kişisel Verileri Koruma Kurumu’nun ikincil düzenlemelerine tabidir.

Özel nitelikli kişisel veri. Sağlık verisi, biyometrik veri, ceza mahkûmiyeti ve güvenlik tedbirleri, dernek ve sendika üyeliği gibi, açığa çıkması kişiye ayrımcılık veya ağır zarar olarak dönebilecek daha dar bir küme. Kurum bu küme için ayrı bir rehber yayımlamıştır; rehberin operasyonel mesajı, bu verinin daha sıkı erişim, daha sınırlı amaç ve daha kısa saklama gerektirdiğidir.

Ticari sır ve şirket sırları. Kişiye değil kuruma ait, kamuya açık olmayan ve ekonomik değeri gizliliğinden gelen bilgi: ürün formülleri, kaynak kodu, müşteri listeleri, stratejik planlar, birleşme ve devralma dosyaları. Burada koruyucu hukuk farklıdır; ama veriyi yöneten mekanizma, yani nerede olduğunu ve kimin eriştiğini bilmek, aynıdır.

Rekabete duyarlı bilgi. Güncel veya gelecek fiyatlar ve indirimler, teklif ve ihale koşulları, maliyet ve marjlar, müşteriye özel şartlar, kapasite ve üretim planları. Bu bilgi kurum içinde meşru olarak üretilir ve kullanılır; risk, rakiplerle paylaşıldığında ya da kontrolsüz dolaştığında doğar. Rekabet Kurumu’nun kılavuzları, teşebbüsler arası bilgi değişiminin hangi koşullarda sorun yarattığını açıklar; bu yazı hukuki yorum yapmaz, bilginin nerede biriktiğine bakar.

Bu dört küme farklı mevzuata, farklı danışmanlara ve çoğu zaman farklı ekiplere bağlıdır. Ancak kurumun diskinde, veritabanında ve posta arşivinde yan yana dururlar. Bir İK klasöründe bordro (kişisel veri), işyeri hekimi raporu (özel nitelikli veri) ve toplu iş sözleşmesi müzakere notları (ticari sır) aynı ağaçta bulunabilir. Satış klasöründe müşteri iletişim bilgisi ile fiyat listesi aynı tabloda yer alır. Veriyi mevzuata göre ayrı projelerde ele almak, aynı klasörü üç kez taramak ya da hiç taramamak demektir.

Veri nerede birikir

Verinin “olduğu yer” ile “olması gereken yer” arasındaki fark, veri yönetişiminin asıl konusudur. Veri birkaç tipik mekanizmayla birikir.

• Kopyalama. Bir rapor merkezi sistemden dışa aktarılır, Excel’e alınır, bir paylaşım klasörüne konur, bir e-postaya eklenir, kişisel OneDrive’a kaydedilir. Her kopya asıl kadar gerçektir ama hiçbiri asıl sistemin erişim kontrolünü taşımaz.
• Arşivleme. Projeler biter, çalışanlar ayrılır, posta kutuları PST dosyasına alınır ve bir dosya sunucusunun köşesine kaldırılır. Arşiv, içinde ne olduğu unutulduğu anda görünmez olur.
• Sistem geçişleri. Eski ERP’nin tabloları yeni sisteme taşınır, eski veritabanı “ne olur ne olmaz” diye kapatılmadan bırakılır. Kimse okumaz ama yetkiler hâlâ geçerlidir.
• İş birliği platformları. SharePoint siteleri ve Teams kanalları bir proje için açılır, dosyalar linkle paylaşılır, proje biter ama linkler ve site üyelikleri kalır.
• Nesne depolama. Uygulama logları, yedekler, dışa aktarımlar S3-uyumlu kovalara yazılır; kova politikası ilk kurulumda nasıl ayarlandıysa öyle kalır.

Aşağıdaki tablo, dört veri sınıfının tipik olarak nerede biriktiğini örnek niteliğinde gösterir. Bunlar istatistik değil, sahada tekrar eden desenlerdir.

Veri sınıfı	Tipik birikme yeri	Tipik görünmezlik nedeni
Kişisel veri	İK ve muhasebe paylaşımları, CRM dışa aktarımları, veritabanı sütunları	Sütun adları içeriği yansıtmaz, kopyalar çoğalır
Özel nitelikli veri	İşyeri hekimi klasörleri, sigorta dosyaları, erişim kontrol sistemleri	Bir klasör içinde başka belgelerle karışık durur
Ticari sır	Ar-Ge klasörleri, yönetim kurulu dosyaları, kaynak kodu depoları	Etiketlenmez, “gizli” olduğu varsayılır ama ACL geniştir
Rekabete duyarlı bilgi	Satış ve ihale klasörleri, fiyat listeleri, e-posta ekleri	Kişisel veri olmadığı için hiçbir envantere girmez

Veri neden görünmez olur

Görünmezlik bir sistem arızası değildir; günlük işin doğal sonucudur. Veri, üretildiği anda bir bağlama sahiptir: hangi sistemde, hangi amaçla, kimin sorumluluğunda, ne kadar süreyle. Her kopyalama, taşıma ve arşivleme adımında bu bağlamın bir parçası düşer. Dosya işlevini kaybetmez, ama sahipliğini, amacını ve saklama süresini kaybeder.

İkinci neden, envanterin beyana dayanmasıdır. Bir anketle toplanan envanter, bölüm yöneticisinin bildiği ve hatırladığı veriyi yansıtır. Yöneticinin bilmediği, dört yıl önce ayrılan bir çalışanın masaüstünde bıraktığı dışa aktarımı yansıtmaz. VERBİS envanterinin keşiften değil anketten kurulması, bu görünmezliğin resmi kayda da taşınması demektir.

Üçüncü neden, erişim ile içeriğin ayrı ekiplerce yönetilmesidir. Sistem yöneticisi ACL’leri bilir ama klasörde ne olduğunu bilmez; iş birimi içeriği bilir ama kimin eriştiğini bilmez. “Kuruluştaki herkes” linkiyle paylaşılmış bir bordro dosyasını, iki taraf da kendi açısından normal görür.

Dördüncü neden, Türkçe veriye özgüdür. TCKN, TR IBAN, Türkiye telefon numarası gibi tanımlayıcılar belirli biçimlere sahiptir; başka diller için ayarlanmış tespit araçları bunları ya kaçırır ya da Türkçe metinde gürültü üretir. Yanlış pozitif oranı yükseldiğinde ekipler bulgulara güvenmeyi bırakır ve veri bir kez daha görünmez olur.

Değer ve risk aynı madalyonun iki yüzü

Verinin değeri, onu kullanabilen kişi sayısıyla artar; riski de aynı sayıyla artar. Bu yüzden “veriyi kilitleyelim” ile “veriyi herkese açalım” arasındaki tartışma yanlış kurulmuştur. Doğru soru, hangi verinin hangi gizlilik derecesinde olduğu ve o dereceye uygun erişimin ne olduğudur.

Kamuya açık bir ürün kataloğu ile çok gizli bir birleşme dosyası aynı dosya sunucusunda durabilir; ikisinin de aynı erişim politikasıyla yönetilmesi, ya kataloğu gereksiz kısıtlar ya da birleşme dosyasını gereksiz açar. Gizlilik derecesi, bu yüzden, verinin hem değerinin hem riskinin ortak ölçüsüdür. Bir taksonomi (tür, gizlilik derecesi, iş kategorisi) kurulduğunda, erişim politikası ve saklama takvimi bu taksonomiye bağlanabilir ve karar her dosya için ayrı ayrı değil, etiket düzeyinde verilir.

Bu bakış, KVKK’nın ölçülülük mantığıyla da uyumludur: veri, amacı için gerekli olduğu kadar, gerektiği kişilerce ve gerektiği süre boyunca işlenir. Aynı mantık ticari sır için “bilmesi gereken” ilkesine, rekabete duyarlı bilgi için “sınırlı dağıtım” ilkesine karşılık gelir. Üç farklı mevzuat, tek bir operasyonel kural.

Tek çatı: veri yönetişimini birleştirmek

Dört veri sınıfını tek çatı altında ele almak, hukuki sorumlulukları birleştirmek anlamına gelmez; KVKK yükümlülüğü veri sorumlusunda, rekabet hukuku yükümlülüğü teşebbüste, ticari sır koruması sözleşme ve iç politikalarda kalır. Birleştirilen şey mekanizmadır: tek keşif, tek sınıflandırma, tek erişim grafiği, tek iyileştirme akışı, tek kanıt zinciri.

Bunun pratik sonucu şudur. Bir dosya sunucusu bir kez taranır; her dosya tür, gizlilik derecesi ve iş kategorisiyle etiketlenir; etiket hangi mevzuata denk geliyorsa o sürecin kurallarını tetikler. Bir işyeri hekimi raporu özel nitelikli veri olarak işaretlenir ve KVKK hazırlık puanında “özel nitelikli veri geniş paylaşımda” açığına girer. Aynı taramada bulunan bir ihale dosyası rekabete duyarlı kategoriye girer ve rekabet uyum modülünün inceleme akışına düşer. İki bulgu, iki farklı ekip, tek tarama ve tek denetim kaydı.

Seratus bu açıkları nasıl kapatır

Bu yazıda anlatılan görünmezlik mekanizmalarının her biri, Seratus’ta somut bir yeteneğe karşılık gelir.

• Dört veri sınıfının ayrı projelerde, ayrı araçlarla aranması. Seratus tek bir taksonomiyle tür, gizlilik derecesi ve iş kategorisini aynı taramada atar; kişisel veri, özel nitelikli veri, ticari sır ve rekabete duyarlı bilgi aynı bulgu listesinde, aynı erişim bağlamıyla görünür (veri sınıflandırma).
• Kopyalar ve arşivlerde biriken, kimsenin hatırlamadığı veri. Ajansız keşif dosya sunucularını, yerel diskleri, Microsoft 365’i, veritabanlarını, nesne depolamayı ve PST/OST/MSG arşivlerini salt okunur bağlantıyla tarar; kesilen tarama kaldığı yerden devam eder (ajansız DSPM, e-posta arşivleri).
• İçerik ile erişimin ayrı ekiplerde kalması. Erişim ve maruziyet grafiği, ACL’leri, paylaşım linklerini ve veritabanı rollerini içerik bulgusunun yanına koyar; “kuruluştaki herkes” tarafından okunabilen özel nitelikli veri riske göre sıralanır (erişim ve maruziyet grafiği).
• Türkçe tanımlayıcılarda düşük güven. Türkçeye özel tespit motoru TCKN, vergi kimlik no, TR IBAN, telefon ve plaka için ayrı kurallar ve yanlış-pozitif azaltma programı uygular; her bulgu güven yüzdesi ve maskeli örnekle incelenir (Türkçe tespit doğruluğu).
• Rekabete duyarlı bilginin hiçbir envantere girmemesi. Rekabet uyum modülü, kurumun taksonomisinde tanımlanan kategorilerle (fiyat, teklif ve ihale koşulları, maliyet/marj, müşteri şartları, kapasite planı) belge ve iletişimi tespit eder, kimin eriştiğini gösterir ve onaylı inceleme akışına alır.
• Etiketin eyleme bağlanmaması. Seratus’ta etiketler politika ve saklama/imha süreçlerine bağlıdır; “saklama süresi dolmuş veri” bir açık olarak listelenir ve onaylı imha akışına girer (KVKK uyumu).

Sonuç

Veri, kurumun en değerli varlığıdır çünkü iş onunla yürür; en riskli varlığıdır çünkü kopyalanır, taşınır, unutulur ve sahipsiz kalır. Kişisel veri, özel nitelikli veri, ticari sır ve rekabete duyarlı bilgiyi ayrı projelerde ele almak, aynı klasörü üç kez taramak ya da hiç taramamak anlamına gelir. Tek taksonomi, tek keşif ve tek erişim grafiği, bu dört kümeyi ayrı mevzuatlarına bağlı kalarak tek bir operasyonel disiplinle yönetmeyi mümkün kılar. Bir sonraki kayıt, bu disiplinin neden keşifle başlamak zorunda olduğunu ele alır.