DLP Projesi Nasıl Yürütülür? 90 Günlük Uygulama Planı
Kısa Cevap
Bir DLP projesi; hedef ve veri envanteri, sınıflandırma, izleme modu, politika ayarı, kademeli engelleme, çalışan bilgilendirme ve raporlama aşamalarıyla yürütülür. Yazılım önce hiçbir şeyi engellemeden yalnızca veri akışlarını kaydeder, kurallar bu gerçek veriye göre ayarlanır ve engelleme en riskli kanallardan başlayarak kademeli devreye alınır. Tipik bir orta ölçekli kurumda bu süreç yaklaşık 90 günlük bir planla yönetilebilir.
DLP projesi nasıl yürütülür?
Bir DLP (Data Loss Prevention, veri sızıntısı önleme) projesi; hedeflerin ve korunacak verinin belirlenmesiyle başlar, önce yalnızca izleme modunda çalışarak gerçek veri akışlarını ortaya çıkarır, ardından politikaları kademeli olarak uyarı ve engelleme seviyesine taşır. Başarılı projelerde teknik kurulum kadar çalışan bilgilendirmesi, iş birimlerinin katılımı ve düzenli raporlama da plana dahildir.
En sık yapılan hata, yazılımı kurup ilk gün katı engelleme kurallarını açmaktır. Bu yaklaşım iş süreçlerini kesintiye uğratır, kullanıcı tepkisi doğurur ve çoğu zaman kuralların gevşetilmesiyle sonuçlanır. Aşağıdaki 90 günlük plan, bu riski azaltan aşamalı bir yaklaşımı özetler. Süreler tipik bir orta ölçekli kurum için yönlendirici niteliktedir; kurumun büyüklüğüne ve karar süreçlerine göre uzayıp kısalabilir.
90 günlük DLP planı hangi aşamalardan oluşur?
DLP projesi yedi ana aşamada ilerler: hedef ve veri envanteri, sınıflandırma, izleme modu, politika ayarı, kademeli engelleme, çalışan bilgilendirme ve raporlama. Bilgilendirme ve raporlama tek seferlik değil, proje boyunca süren işlerdir.
| Aşama | Yaklaşık zaman | Ana çıktı |
|---|---|---|
| 1. Hedef ve veri envanteri | 1–2. hafta | Korunacak veri türleri, sahipleri ve bulunduğu yerler listesi |
| 2. Sınıflandırma | 2–4. hafta | Gizlilik seviyeleri ve etiketleme kuralları |
| 3. İzleme modu (kurulum) | 3–6. hafta | Ajanların dağıtımı, engellemesiz kayıt ve ilk akış raporu |
| 4. Politika ayarı | 6–8. hafta | Yanlış pozitifleri azaltılmış, iş birimleriyle onaylanmış kurallar |
| 5. Kademeli engelleme | 8–12. hafta | Önce uyarı, sonra yüksek riskli kanallarda engelleme |
| 6. Çalışan bilgilendirme | Proje boyunca | Duyurular, kısa eğitimler, istisna talep süreci |
| 7. Raporlama ve iyileştirme | 6. haftadan itibaren sürekli | Yönetim raporu, olay inceleme süreci, periyodik gözden geçirme |
1. aşama: Hangi veriyi korumak istiyoruz?
İlk adım, "her şeyi koruyalım" yerine korunması gereken veriyi somutlaştırmaktır. Bunun için iş birimleriyle kısa görüşmeler yapılır ve şu sorular yanıtlanır:
- Hangi veriler sızarsa en büyük zarar oluşur? (Müşteri listeleri, fiyat teklifleri, tasarım dosyaları, personel ve bordro bilgileri, sağlık verileri, kaynak kod vb.)
- Bu veriler nerede duruyor? (Dosya sunucusu, ERP/CRM, bulut depolama, kullanıcı bilgisayarları)
- Bu veriyle kim, hangi amaçla çalışıyor ve hangi kanallarla dışarı gönderiyor?
- KVKK açısından özel nitelikli kişisel veri işleniyor mu?
Bu aşamanın sonunda, her veri türü için bir "veri sahibi" (iş birimindeki sorumlu kişi) belirlenmiş olmalıdır. Veri sahibi, ileride politika kararlarında onay veren kişidir.
2. aşama: Veri nasıl sınıflandırılır?
Sınıflandırma, verinin gizlilik seviyesine göre etiketlenmesidir ve DLP kurallarının dayanağıdır. Çoğu kurum için üç veya dört seviyeli sade bir yapı yeterlidir: genel, iç kullanım, gizli ve çok gizli.
Sınıflandırma iki yolla yapılabilir:
- İçerik tabanlı: Belgede T.C. kimlik numarası, IBAN, kart numarası veya belirli anahtar kelimeler bulunması gibi kalıplarla otomatik tespit.
- Bağlam tabanlı: Dosyanın bulunduğu klasör, oluşturan uygulama veya departman gibi bilgilere göre etiketleme.
Kuralları baştan çok sayıda ayrıntıyla doldurmak yerine, en kritik birkaç veri türüyle başlamak daha verimlidir.
3. aşama: İzleme modu neden atlanmamalı?
İzleme modu, DLP yazılımının hiçbir şeyi engellemeden yalnızca veri hareketlerini kaydettiği dönemdir ve projenin en değerli aşamasıdır. Bu dönemde verinin gerçekte nasıl aktığı, hangi kanalların (e-posta, USB, bulut depolama, web yükleme, yazıcı, anlık mesajlaşma) kullanıldığı ve hangi iş süreçlerinin meşru olarak hassas veri gönderdiği ortaya çıkar.
İzleme dönemine başlamadan önce:
- [ ] Çalışanlara izleme yapılacağı ve amacı yazılı olarak duyurulmalı
- [ ] İzleme kapsamı hukuk/İK ile birlikte değerlendirilmeli (KVKK aydınlatma yükümlülüğü)
- [ ] DLP kayıtlarına kimin erişebileceği belirlenmeli
- [ ] Ajanlar önce küçük bir pilot grupta test edilmeli
Bu aşamada genellikle beklenmedik bulgular çıkar: kişisel e-posta adreslerine gönderilen iş dosyaları, herkese açık paylaşılan bulut klasörleri veya izin verilmemiş USB kullanımları gibi.
4. aşama: Politikalar nasıl ayarlanır?
Politika ayarı, izleme verilerine dayanarak kuralların gerçek iş süreçlerine uydurulmasıdır. Amaç, meşru iş akışlarını engellemeden riskli davranışları yakalayan kurallar oluşturmaktır.
Bu aşamada yapılanlar:
- Yanlış pozitif üreten kurallar daraltılır (ör. muhasebenin bankaya düzenli gönderdiği IBAN listeleri)
- Meşru akışlar için istisnalar tanımlanır ve belgelenir
- Her kural için bir aksiyon seviyesi belirlenir: yalnızca kaydet, kullanıcıyı uyar, gerekçe iste, engelle
- Kurallar veri sahipleriyle birlikte gözden geçirilip onaylanır
5. aşama: Engellemeye nasıl geçilir?
Engellemeye geçiş kademeli yapılmalı ve önce en yüksek riskli kanal ile en hassas veri türünden başlanmalıdır. Tipik sıralama şöyledir: önce kullanıcıya uyarı gösterilir, ardından gerekçe yazması istenir, en son kesin engelleme uygulanır.
Örneğin "çok gizli" etiketli dosyaların USB belleğe kopyalanması ilk aşamada engellenebilirken, e-posta ile dış adrese gönderim bir süre "uyar ve gerekçe iste" modunda tutulabilir. Her yeni engelleme kuralı devreye alınmadan önce kullanıcılara duyurulmalı ve istisna talebi için açık bir yol tanımlanmalıdır.
Rol ve sorumluluklar nasıl paylaşılır?
DLP projeleri yalnızca BT ekibinin işi değildir; karar ve onay mekanizmasının netleşmesi projenin sürdürülebilirliğini belirler. Aşağıdaki RACI tablosu (R: yapan, A: hesap veren/onaylayan, C: danışılan, I: bilgilendirilen) yaygın bir dağılımı gösterir:
| İş | Üst yönetim | BT / bilgi güvenliği | Veri sahibi (iş birimi) | İK / hukuk | Uygulama ekibi |
|---|---|---|---|---|---|
| Proje hedefleri ve kapsam | A | R | C | C | C |
| Veri envanteri | I | A | R | C | C |
| Sınıflandırma şeması | I | A | R | C | C |
| Kurulum ve izleme modu | I | A | I | C | R |
| Politika ayarı ve istisnalar | I | A | C | C | R |
| Engelleme kararları | A | R | C | C | C |
| Çalışan bilgilendirme | I | C | C | A / R | C |
| Olay inceleme ve raporlama | I | A / R | C | C | C |
Bu tablo kurumun yapısına göre uyarlanmalıdır; önemli olan her işin bir sahibinin bulunmasıdır.
DLP projelerinde en sık yapılan hatalar nelerdir?
DLP projelerindeki sorunların büyük kısmı teknolojiden değil, planlama ve iletişim eksikliğinden kaynaklanır. En yaygın hatalar:
- İzleme modunu atlamak: İlk günden engelleme açmak iş kesintisine ve kuralların toptan gevşetilmesine yol açar.
- Kapsamı çok geniş tutmak: Her veri türünü aynı anda korumaya çalışmak, yönetilemeyen sayıda uyarı üretir.
- Veri sahiplerini dahil etmemek: BT tek başına hangi verinin kritik olduğuna karar veremez.
- Uyarıları kimsenin incelememesi: Olay inceleme süreci ve sorumlusu belirlenmezse DLP bir kayıt yığınına dönüşür.
- Çalışanları bilgilendirmemek: Habersiz izleme hem güven hem de hukuki açıdan sorun yaratabilir.
- Kurulumu projenin sonu saymak: İş süreçleri değiştikçe politikaların da gözden geçirilmesi gerekir.
Proje sonunda neler teslim edilmeli?
90 günün sonunda elinizde çalışan bir yazılımdan fazlası olmalıdır. Beklenen çıktılar şunlardır: güncel veri envanteri ve sınıflandırma şeması, onaylanmış politika listesi ve istisna kayıtları, olay inceleme prosedürü, yönetim için periyodik rapor şablonu ve çalışan bilgilendirme materyalleri. Bu belgeler aynı zamanda KVKK kapsamındaki teknik ve idari tedbirlerin bir parçası olarak da değerlendirilebilir.
DLP çözümleri ve kapsamı hakkında genel bilgi için DLP veri sızıntısı önleme sayfamıza, KVKK açısından teknik tedbirler için KVKK teknik tedbirler danışmanlığı sayfamıza göz atabilirsiniz. DLP'nin e-posta kanalını tamamlayan katman için kurumsal e-posta güvenliği sayfası da yol gösterici olabilir. Bu içerik genel bilgilendirmedir, hukuki danışmanlık yerine geçmez.
Sonuç
İyi yürütülen bir DLP projesi, önce veriyi ve akışlarını anlar, sonra kademeli olarak kontrol ekler. İzleme modu, veri sahiplerinin katılımı ve açık bir iletişim planı, projenin iş süreçlerini aksatmadan sonuç vermesini sağlar.
Kurumunuz için kapsamı ve aşamaları netleştirmek isterseniz DLP projesi için teklif isteyebilirsiniz. İlk görüşmede korunacak veri türlerini ve kullanılan kanalları birlikte belirleriz.
Bu konuda kurumunuz için bir değerlendirme mi gerekiyor?
Mevcut yapınızı ve kullanıcı sayınızı yazın; uygulanabilir seçenekleri kalem kalem anlatalım.
Sıkça Sorulan Sorular
DLP projesi ne kadar sürer?
Süre kurumun büyüklüğüne, korunacak veri türü sayısına ve karar süreçlerine bağlıdır. Orta ölçekli bir kurumda ilk kurulumdan kademeli engellemeye geçişe kadar yaklaşık üç aylık bir plan gerçekçi bir çerçevedir. Politika iyileştirme ise proje sonrasında da süren bir iştir.
İzleme modu neden gerekli?
İzleme modu, verinin gerçekte hangi kanallardan ve hangi iş süreçleri içinde aktığını engelleme yapmadan gösterir. Bu bilgi olmadan yazılan kurallar ya meşru işleri engeller ya da gerçek riskleri kaçırır. İzleme dönemi, politika ayarının temel veri kaynağıdır.
Çalışanlara DLP kullanıldığını söylemek gerekir mi?
Genel olarak çalışanların izleme faaliyeti ve amacı hakkında bilgilendirilmesi hem güven hem de KVKK'daki aydınlatma yükümlülüğü açısından önemlidir. Bilgilendirmenin kapsamı ve biçimi için hukuk ve İK birimleriyle birlikte hareket edilmelidir. Bu bilgi genel niteliktedir, hukuki danışmanlık yerine geçmez.
DLP projesinde kim karar verir?
Teknik uygulamayı BT veya bilgi güvenliği ekibi yürütür, ancak hangi verinin ne kadar kritik olduğuna ve hangi akışların meşru olduğuna iş birimlerindeki veri sahipleri karar verir. Engelleme gibi iş sürecini etkileyen kararlarda üst yönetim onayı alınması önerilir.
DLP kurulduktan sonra bakım gerekir mi?
Evet. Yeni iş süreçleri, uygulamalar ve veri türleri ortaya çıktıkça politikaların güncellenmesi, uyarıların düzenli incelenmesi ve istisnaların gözden geçirilmesi gerekir. Bakımı yapılmayan DLP zamanla ya gürültü üretir ya da yeni riskleri görmez.
