Veri Keşfi (Data Discovery) Nedir? Karanlık Veriyi (Dark Data) Aydınlatma ve KVKK/GDPR Uyum Rehberi

Karanlık Veriyi Aydınlatmak: Veri Keşfi (Data Discovery)

Dijital dönüşüm ve bulut teknolojileriyle birlikte kurumların ürettiği ve depoladığı veri miktarı her geçen gün katlanarak artmaktadır. Ancak bu verilerin büyük bir kısmı kontrol dışı alanlarda, isimlendirilmemiş klasörlerde ve eski yedeklerde unutulmaktadır. Veri Keşfi (Data Discovery), kurumların ağlarında, sunucularında, kullanıcı bilgisayarlarında ve bulut sistemlerinde depolanan tüm yapılandırılmış ve yapılandırılmamış verileri otomatik olarak tarayarak sınıflandıran kritik bir siber güvenlik disiplinidir. Hassas verilerin yerini bilmek, onları korumanın ve KVKK/GDPR gibi yasal düzenlemelere tam uyum sağlamanın ilk ve en önemli adımıdır.

1. Veri Keşfi (Data Discovery) Nedir ve Neden Hayatidir?

Geleneksel güvenlik yaklaşımları, verilerin belirli ve tanımlı veritabanlarında veya güvenli dosya sunucularında saklandığı varsayımı üzerine kuruluydu. Oysa günümüz iş süreçlerinde çalışanlar; müşteri bilgilerini, kişisel verileri, finansal tabloları ve kaynak kodlarını masaüstlerine indirmekte, kişisel klasörlerde saklamakta, e-posta eki olarak paylaşmakta veya kontrolsüz bulut sürücülerine yüklemektedir. Bu durum, veri sızıntısı riskini maksimum seviyeye çıkarırken, kurumları ciddi yasal cezalarla karşı karşıya bırakmaktadır.

Veri Keşfi, ağın tamamını tarayarak hangi verinin, hangi sunucuda, hangi formatta ve kimlerin erişimine açık şekilde saklandığını tespit etme sürecidir. Bu süreç, sadece yapılandırılmış veritabanlarını (SQL vb.) değil; PDF'ler, Excel tabloları, Word belgeleri, e-posta arşivleri (PST) ve hatta görseller içindeki metinler (OCR yardımıyla) gibi yapılandırılmamış (unstructured) verileri de kapsar. Ağa bağlı uç noktalardan (endpoint) bulut depolama alanlarına kadar her noktada yapılan veri keşfi, görünmeyen riskleri görünür kılar.

2. Veri Keşfi ve Sınıflandırma: KVKK ve GDPR Uyumunun Temeli

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Genel Veri Koruma Yönetmeliği (GDPR) kapsamında kurumlar, hangi kişisel verileri işlediklerini bilmek ve bu verilerin güncel bir "Kişisel Veri Envanteri"ni tutmakla yükümlüdür. Manuel yöntemlerle, anketlerle veya departman yöneticilerinin beyanlarıyla hazırlanan envanterler genellikle eksik ve hatalı olmakta, dinamik olarak değişen veri dünyasını yansıtmamaktadır.

Otomatik veri keşfi araçları, ağ genelinde KVKK kapsamında tanımlanan hassas verileri (T.C. Kimlik Numarası, telefon, adres, e-posta, sağlık verileri vb.) veya finansal verileri (Kredi Kartı Bilgileri - PCI-DSS, IBAN numaraları) gerçek zamanlı olarak arar. Tespit edilen veriler, kritiklik seviyelerine göre etiketlenir ve sınıflandırılır:

• Gizli / Çok Gizli Veri: Şirket sırları, kaynak kodları, birleşme/satın alma planları gibi üçüncü taraflarla kesinlikle paylaşılmaması gereken stratejik veriler.
• Hassas Kişisel Veri (KVKK): Din, ırk, sağlık verileri, biyometrik veriler gibi kanunen özel önlem gerektiren veriler.
• Kişisel Veri (KVKK / GDPR): İsim, soyisim, e-posta, telefon ve T.C. Kimlik Numarası gibi kişiyi doğrudan veya dolaylı olarak tanımlayan veriler.
• Kamuya Açık Veriler: Şirketin web sitesinde yayınlanan ürün katalogları, basın bültenleri gibi herhangi bir gizlilik riski taşımayan bilgiler.

Bu sınıflandırma, Veri Kaybı Önleme (DLP) politikalarının doğru çalışabilmesi için şarttır. Sınıflandırılmamış bir veri, DLP sistemleri tarafından engellenemez veya yanlış pozitifler (false positives) üreterek iş süreçlerini aksatabilir.

3. Kurumsal Veri Keşfi Yol Haritası

Başarılı bir veri keşfi ve sınıflandırma projesi hayata geçirmek için şu adımları içeren metodolojik bir yaklaşım benimsenmelidir:

A. Veri Kaynaklarının ve Kapsamın Belirlenmesi

İlk aşamada taranacak tüm dijital ortamlar listelenmelidir. Windows/macOS/Linux uç noktaları (kullanıcı bilgisayarları), yerel dosya sunucuları (File Servers), MS Exchange ve Office 365 e-posta kutuları, ilişkisel veritabanları (MS SQL, Oracle, PostgreSQL) ve bulut depolama alanları (OneDrive, Google Drive, AWS S3) kapsam dahiline alınmalıdır.

B. Tarama Şablonlarının ve Kurallarının Tanımlanması

KVKK, GDPR, PCI-DSS gibi standartlara uygun regex (düzenli ifade) tanımları ve yapay zeka destekli anlamsal analiz şablonları oluşturulmalıdır. Örneğin, sistemlerin 11 haneli T.C. Kimlik Numaralarını, kredi kartı numaralarını veya finansal raporları tanıyabilmesi için kurallar set edilmelidir.

C. Otomatik Tarama ve Sınıflandırma (Discovery & Tagging)

Ajanlı veya ajansız çalışan veri keşfi araçlarıyla periyodik taramalar başlatılmalıdır. Bulunan hassas veriler, dosyanın meta verilerine (metadata) silinmeyecek şekilde yazılan etiketlerle (tag) işaretlenir. Bu etiketler, dosya başka bir formata dönüştürülse veya adı değiştirilse dahi korunur.

D. Risk Analizi ve Remediasyon (Aksiyon Alma)

Taramalar sonucunda "Ortak paylaşıma açık klasörde kredi kartı numaraları barındıran excel tablosu" gibi yüksek riskli bulgular raporlanır. Güvenlik ekipleri bu dosyaları güvenli klasörlere taşıyabilir, şifreleyebilir veya tamamen silebilir (remediasyon).

4. Veri Keşfinde En Sık Yapılan Hatalar

Veri keşfi projelerinde başarısızlığa yol açan ve kurumları risk altında bırakan yaygın hatalar şunlardır:

• Sadece Yapılandırılmış Verileri Taramak: Veri sızıntılarının çok büyük bir kısmı yapılandırılmamış verilerden (masaüstündeki PDF'ler, mail ekleri vb.) kaynaklanır. Keşif projelerinin tüm veri tiplerini kapsaması şarttır.
• Yetersiz OCR Teknolojisi: Kimlik kartları, pasaportlar veya taranmış sözleşmeler genellikle PDF veya JPEG formatında resim olarak saklanır. Güçlü bir OCR (Karakter Tanıma) desteği olmayan veri keşfi araçları bu resimlerin içindeki hassas verileri kaçırır.
• Dinamik Taramalar Yerine Tek Seferlik Analizler Yapmak: Veri dünyası canlıdır. Bugün temiz olan bir klasöre yarın hassas bir dosya yüklenebilir. Bu nedenle taramalar tek seferlik bir proje olarak değil, sürekli ve otomatik periyodik görevler olarak kurgulanmalıdır.