Bir çalışan tüm müşteri listesini kişisel e-posta adresine gönderiyor. Başka bir çalışan şirketin finansal projeksiyonlarını USB belleğe kopyalıyor. Bir diğeri yanlışlıkla gizli bir belgeyi kamuya açık bir paylaşım bağlantısıyla gönderiyor.
Bu senaryoların tamamı her gün gerçekleşiyor. Ve büyük çoğunluğu kasıtsız — kötü niyetle değil, farkındasızlıkla.
DLP (Data Loss Prevention — Veri Kaybı Önleme) tam da bu riskleri yönetmek için tasarlanmıştır. Bu rehberde DLP’nin ne olduğunu, nasıl çalıştığını, türlerini, KVKK ile ilişkisini ve kurumunuz için nasıl uygulanacağını ele alıyoruz.
DLP Nedir?
DLP (Data Loss Prevention — Veri Kaybı Önleme); hassas ve kritik kurumsal verilerin yetkisiz kişilerce ele geçirilmesini, kasıtsız olarak ifşa edilmesini veya kurum dışına çıkarılmasını tespit eden, izleyen ve engelleyen bir güvenlik stratejisi ve teknoloji setidir.
DLP yalnızca bir yazılım değildir. Veriyi sınıflandırma, izleme, politika uygulama ve raporlama süreçlerinin bütününü kapsar.
Temel sorusu şudur: “Doğru veri, yalnızca doğru kişilere mi ulaşıyor?”
Veri Kaybı mı, Veri Sızıntısı mı?
Bu iki kavram birbirinden farklıdır:
Veri kaybı (Data Loss): Verinin kalıcı olarak yok olması — donanım arızası, yanlışlıkla silme, fidye yazılımı şifrelemesi.
Veri sızıntısı (Data Leakage/Exfiltration): Verinin yetkisiz kişilerin eline geçmesi — kasıtsız paylaşım, içeriden tehdit, siber saldırı.
DLP her iki duruma da odaklanmakla birlikte asıl amacı veri sızıntısını önlemektir.
DLP Nasıl Çalışır?
DLP sistemleri veriyi üç farklı durumda izler ve korur:
Hareket Halindeki Veri (Data in Motion)
Ağ üzerinden transfer edilen veriler: e-posta, web upload, anlık mesajlaşma, bulut senkronizasyonu. DLP bu trafiği gerçek zamanlı tarayarak hassas bilgilerin dışarı gitmesini engeller.
Örnek: Bir çalışan müşteri veritabanını kişisel Gmail hesabına e-posta eki olarak göndermek istediğinde DLP bunu tespit edip engeller ve güvenlik ekibine bildirir.
Bekleme Halindeki Veri (Data at Rest)
Sunucularda, veri tabanlarında, bulut depolama alanlarında ve uç noktalarda saklanan veriler. DLP bu konumları tarayarak hassas verilerin nerede saklandığını belirler, yanlış yapılandırılmış erişim izinlerini tespit eder.
Örnek: Herkese açık bırakılan bir SharePoint klasöründe gizlilik dereceli belgeler bulunduğunda DLP uyarı verir.
Kullanım Halindeki Veri (Data in Use)
Çalışanların aktif olarak işlem yaptığı veriler: kopyalama, yapıştırma, ekran görüntüsü alma, USB’ye aktarma. DLP bu eylemleri izler ve politikaya aykırı olanları engeller.
Örnek: Çalışan bir müşteri listesini USB belleğe kopyalamak istediğinde DLP bu işlemi durdurur.
DLP Sürecinin 5 Aşaması
1. Veri Keşfi ve Envanter
DLP önce kurumda hangi hassas verilerin var olduğunu keşfeder. Kişisel veriler, finansal kayıtlar, ticari sırlar, sağlık bilgileri — bunlar nerede saklanıyor?
2. Veri Sınıflandırma
Veriler hassasiyet düzeyine göre kategorilere ayrılır: Genel, Dahili, Gizli, Çok Gizli. Sınıflandırma manuel olarak veya otomatik içerik analizi ile yapılır.
3. Politika Tanımlama
Hangi verinin nereye gidebileceği, kimin erişebileceği ve hangi eylemlerin yasak olduğu politikalarla tanımlanır. Örneğin: “Gizli etiketli belgeler şifreli e-posta olmadan dışarı gönderilemez.”
4. İzleme ve Tespit
DLP motor, tüm veri hareketlerini belirlenen politikalara göre gerçek zamanlı analiz eder. İçerik analizi (kelime, regex, parmak izi), bağlam analizi (kim, nereye, ne zaman) ve davranış analizi bir arada çalışır.
5. Müdahale ve Raporlama
Politika ihlali tespit edildiğinde DLP şu tepkilerden birini verir: engelleme (işlemi durdur), uyarı (kullanıcıyı bilgilendir), şifreleme (izin ver ama şifrele), karantina (güvenli alana taşı) veya yalnızca loglama (kaydet, devam et).
DLP Dağıtım Türleri
Ağ DLP (Network DLP)
Ağ geçidine konumlandırılır. E-posta, web trafiği ve FTP gibi ağ üzerinden geçen tüm verilerı izler. En geniş kapsama sahip türdür.
Uç Nokta DLP (Endpoint DLP)
Kullanıcı cihazlarına (laptop, masaüstü, sunucu) yüklenen ajan yazılımıyla çalışır. USB transferi, ekran görüntüsü, yazdırma ve uygulama bazlı kontrolü kapsar. Uzaktan çalışan kullanıcılar için kritiktir.
Bulut DLP (Cloud DLP)
Microsoft 365, Google Workspace, Salesforce gibi SaaS uygulamalarını ve bulut depolama platformlarını izler. CASB (Cloud Access Security Broker) ile entegre çalışabilir.
E-posta DLP
E-posta trafiğine özelleşmiş DLP. Ek analizi, içerik tarama ve gönderici/alıcı politikaları uygular. Microsoft 365 ve Google Workspace’in yerleşik DLP özellikleri bu kategoridedir.
DLP’nin İşletmeye Faydaları
İçeriden Gelen Tehditleri Yönetir
Veri sızıntılarının büyük bölümü dış saldırıdan değil, mevcut veya eski çalışanlardan kaynaklanır. DLP hem kasıtsız hataları hem kötü niyetli eylemleri tespit eder.
Fikri Mülkiyeti Korur
Yazılım kaynak kodları, ürün tasarımları, formüller, müşteri listeleri, fiyatlandırma stratejileri — rakip ellere geçmemesi gereken değerler DLP ile korunur.
Veri Görünürlüğü Sağlar
Kurumda hangi hassas verilerin var olduğunu, nerede saklandığını ve nasıl hareket ettiğini görmek mümkün olur. “Verilerimiz nerede?” sorusunu yanıtlar.
Gölge BT Riskini Azaltır
Çalışanların onaylanmamış bulut uygulamalarına kurumsal veri aktarımını tespit eder ve engeller.
İhlal Hasar Kontrolü
Bir veri ihlali yaşanırsa DLP logları soruşturma için kritik kanıt sağlar. Ne çalındı, kim erişti, ne zaman — bunların yanıtları loglanmış olur.
DLP ve KVKK İlişkisi
KVKK’nın 12. maddesi kapsamında veri sorumluları kişisel verilerin hukuka aykırı işlenmesini ve ifşa edilmesini önlemek için gerekli teknik tedbirleri almakla yükümlüdür. DLP bu yükümlülüğü doğrudan karşılayan teknik bir araçtır.
DLP’nin KVKK kapsamında sağladıkları:
Yetkisiz aktarımı önleme: Kişisel verilerin yetkisiz kişilere gönderilmesini engeller — KVKK’nın temel teknik tedbir gerekliliklerinden biri.
Erişim ve transfer loglaması: Kim, ne zaman, hangi kişisel veriye erişti ve nereye gönderdi — denetim süreçleri için kritik kayıt.
Veri sınıflandırma: Hangi verilerin “kişisel veri” olduğunun tespiti KVKK veri envanteri yükümlülüğünü karşılar.
İhlal tespiti: Olası bir veri ihlali erken aşamada fark edilir — 72 saatlik bildirim yükümlülüğüne uyum kolaylaşır.
DLP ile PAM’in Farkı ve Birlikteliği
PAM (Privileged Access Management): Sisteme kimin eriştiğini kontrol eder. Ayrıcalıklı hesapları yönetir.
DLP: Erişilen verinin nereye gittiğini kontrol eder. Veri transferini izler.
İkisi birbirini tamamlar: PAM yetkisiz erişimi önlerken, DLP yetkili bir kullanıcının verileri izinsiz dışarı çıkarmasını engeller.
DLP Uygularken Dikkat Edilmesi Gerekenler
Önce Veriyi Tanıyın
DLP kurulmadan önce hangi verilerin korunacağı netleştirilmelidir. Sınıflandırma olmadan politika tanımlanamaz.
Fazla Kısıtlayıcı Olmayın
Çok agresif DLP politikaları üretkenliği engelleyebilir. Engelleme yerine önce izleme (monitoring) moduyla başlayıp politikaları kademeli olarak sıkılaştırmak önerilir.
Çalışanları Bilgilendirin
DLP gizlice çalıştırılması gereken bir sistem değildir. Çalışanlar hangi veri hareketlerinin izlendiğini ve neden kısıtlandığını bildiklerinde uyum oranı artar, yanlış anlaşılmalar azalır.
False Positive Yönetimi
DLP sistemleri başlangıçta yanlış uyarı üretebilir. Fine-tuning süreci zaman alır; güvenlik ekibinin uyarıları değerlendirip politikaları optimize etmesi gerekir.
SIEM ile Entegrasyon
DLP logları SIEM’e beslendiğinde güvenlik görünürlüğü çok daha kapsamlı hale gelir. Anormal veri hareketleri ağ loglarıyla ilişkilendirilerek daha güçlü tespit sağlanır.
DLP Çözüm Seçiminde Dikkat Edilmesi Gerekenler
Kapsam: Ağ, uç nokta ve bulut — üç katmanı da kapsaması ideal.
Veri sınıflandırma motoru: Otomatik içerik analizi (regex, parmak izi, ML tabanlı) ne kadar güçlü?
Entegrasyon: Mevcut e-posta sistemi, bulut platformları, SIEM ve PAM çözümleriyle entegrasyon kapasitesi.
Yönetim kolaylığı: Merkezi politika yönetimi ve raporlama paneli.
KVKK uyumlu raporlama: Denetim için gerekli raporları otomatik üretebiliyor mu?
