DLP Nedir? Veri Sızıntısı Önleme ve ManageEngine DataSecurity Plus

Veri artık kasada değil; USB belleklerde, e-posta eklerinde ve bulut paylaşımlarında dolaşıyor. Soru, nereye gittiğini görüp göremediğiniz.

Kurumsal verinin sızması için artık bir saldırgana bile gerek yok: iyi niyetli bir çalışanın müşteri listesini kişisel e-postasına iletmesi, bir proje klasörünü USB belleğe kopyalaması ya da hassas bir raporu herkese açık bir bulut bağlantısıyla paylaşması yeterli. Veri ihlali vakalarının önemli bir bölümü kötü amaçlı yazılımlardan değil, bu tür içeriden hatalardan ve ihmallerden kaynaklanıyor. KVKK gibi düzenlemeler ise "veriniz sızdı" durumunu yalnızca bir itibar sorunu olmaktan çıkarıp idari yaptırım konusu haline getiriyor.

Kısaca: DLP (Data Loss Prevention — veri sızıntısı önleme), kurum için hassas olan verilerin keşfedilmesi, sınıflandırılması ve bu verilerin USB, e-posta, yazdırma ve bulut gibi kanallardan yetkisiz çıkışının politika tabanlı olarak izlenip engellenmesidir. ManageEngine DataSecurity Plus; dosya sunucusu denetimi, hassas veri keşfi ve uç nokta DLP yeteneklerini tek konsolda birleştirir.

DLP Nedir ve Neyi Çözer?

DLP, "hangi verim hassas, bu veri şu anda nerede ve oradan nereye gidiyor?" sorularına sürekli cevap veren bir kontrol katmanıdır. Güvenlik duvarı ve antivirüs dışarıdan gelen tehdide odaklanırken, DLP içeriden dışarıya akan veriye bakar. Bu bakış açısı özellikle üç senaryoda kritikleşir: işten ayrılmadan önce veri toplayan çalışan, farkında olmadan hassas dosyayı yanlış kanala koyan kullanıcı ve ele geçirilmiş bir hesabın sessizce veri sızdırması.

İyi kurgulanmış bir DLP programı yalnızca engelleme aracı değildir; aynı zamanda görünürlük aracıdır. Çoğu kurum ilk keşif taramasında, herkese açık paylaşımlarda unutulmuş kimlik fotokopileri, eski bordro dosyaları ve müşteri listeleri bulur — sorun çoğu zaman kötü niyet değil, verinin nerede olduğunun bilinmemesidir.

Veri Nereden Sızar? Kritik Kanallar

Sızıntı kanallarını bilmek, politika tasarımının ilk adımıdır:

• Taşınabilir depolama: USB bellek ve harici diskler — en hızlı ve en izlenmesi zor kanal.
• E-posta: Kişisel adrese iletilen ekler, yanlış alıcıya giden mesajlar.
• Bulut ve web: Kişisel bulut depolama hesapları, dosya paylaşım siteleri, tarayıcı yüklemeleri.
• Yazdırma: Denetlenmeyen yazıcı çıktıları; dijital izleri fiziksel dünyaya taşır.
• Yapay zekâ araçları: ChatGPT ve benzeri araçlara yapıştırılan kurumsal içerik — bu yeni kanalı yapay zekâ kullanımında veri güvenliği yazımızda ayrıntılı ele almıştık.

DLP Nasıl Çalışır? Keşif, Sınıflandırma, Politika, Müdahale

DLP süreci dört adımda işler. Keşif aşamasında dosya sunucuları ve uç noktalar taranarak hassas veri kalıpları — T.C. kimlik numarası, kredi kartı numarası, IBAN, sağlık verisi gibi — aranır. Sınıflandırma aşamasında bulunan dosyalar hassasiyet düzeyine göre etiketlenir; bu etiket, sonraki politikaların temelini oluşturur.

Politika aşamasında hangi verinin hangi kanaldan, kim tarafından çıkarılabileceği tanımlanır: örneğin "kişisel veri içeren dosyalar yalnızca yetkilendirilmiş USB cihazlara ve şifreli olarak kopyalanabilir" gibi. Müdahale aşamasında ise politika ihlalinde ne olacağı belirlenir: kullanıcıyı uyar, işlemi engelle, dosyanın gölge kopyasını al ve güvenlik ekibine bildir. Olgun kurulumlar önce yalnızca izleme (audit) modunda çalışır, gerçek kullanım verisiyle politikalar inceltilir, sonra engelleme moduna geçilir — böylece iş süreçleri gereksiz yere durdurulmaz.

KVKK Boyutu: Kişisel Verinin İzini Kanıtlayabilmek

KVKK, veri sorumlusuna kişisel verinin güvenliğini sağlamak için "uygun teknik ve idari tedbirleri alma" yükümlülüğü getirir. Bir ihlal yaşandığında sorulacak sorular bellidir: hangi veri, nereden, hangi yolla çıktı ve kurum bunu önlemek için ne yapmıştı? DLP tam bu noktada hem önleyici tedbirin kendisi hem de tedbirin alındığının kanıtıdır: kişisel veri barındıran dosyaların envanteri, bu dosyalara erişimlerin kaydı ve dışarı çıkış girişimlerinin engelleme logları denetimde somut karşılık üretir. ManageEngine ürünleriyle KVKK ve 5651 uyumluluğunun bütününü ayrı bir rehberde incelemiştik.

ManageEngine DataSecurity Plus'ın Yetenekleri

ManageEngine portföyünde veri güvenliği katmanını üstlenen DataSecurity Plus, dört modülden oluşur:

• Dosya sunucusu denetimi: Windows dosya sunucularındaki oluşturma, değiştirme, silme ve izin değişikliklerini gerçek zamanlı izler; olağandışı toplu değişikliklerde — fidye yazılımı davranışı dahil — anında uyarı üretir ve ilgili oturumu kesebilir.
• Veri riski değerlendirmesi: Kişisel ve hassas verileri kalıp tabanlı keşfeder, sahipsiz ve herkese açık dosyaları raporlar.
• Uç nokta DLP: USB kullanımını cihaz ve kullanıcı bazında yetkilendirir, e-posta ekleri ile yazdırma işlemlerini denetler, hassas dosyaların kopyalanmasını politikaya bağlar.
• Dosya analizi: Depolama alanındaki eski, yinelenen ve sahipsiz dosyaları görünür kılarak hem riski hem depolama maliyetini azaltır.

DLP Projesine Nereden Başlamalı?

DLP projelerinin en sık yapılan hatası, ilk günden tüm kanalları engelleme moduna almaktır: meşru iş akışları durur, istisna talepleri birikir ve proje kurum içinde dirençle karşılaşır. Doğru sıralama tersidir — önce görünürlük, sonra kontrol. İlk adımda yalnızca keşif taraması çalıştırılır ve kurumun gerçek veri haritası çıkarılır: kişisel veri nerede birikiyor, herkese açık paylaşımlarda ne var, en çok hangi kanaldan veri çıkıyor?

İkinci adımda en riskli tek kanal — çoğu kurumda USB — izleme modunda politikaya bağlanır ve birkaç haftalık gerçek kullanım verisiyle politika inceltilir. Engelleme, ancak bu veriyle doğrulanmış senaryolarda devreye alınır; ardından e-posta ve yazdırma gibi diğer kanallara aynı yöntemle genişletilir. Bu kademeli yaklaşım, hem iş sürekliliğini korur hem de DLP'nin kurum içinde "engel" değil "güvence" olarak algılanmasını sağlar.

Sektörel Uygulama Senaryosu: Ayrılan Çalışan Vakası

Bir üretim firmasında satış yöneticisinin işten ayrılmadan önceki hafta müşteri fiyat listelerini USB belleğe kopyaladığı, ayrılıştan sonra fark edilir — ancak kanıt yoktur ve hangi dosyaların gittiği bilinmemektedir. DataSecurity Plus devreye alındıktan sonra aynı firma benzer bir vakayı farklı yaşar: hassas klasörden yüksek hacimli kopyalama girişimi anında uyarı üretir, yetkisiz USB cihaza yazma politika gereği engellenir ve olay, dosya adlarıyla birlikte kayıt altına alınır. İK süreci artık tahminle değil kanıtla ilerler.

Sıkça Sorulan Sorular

DLP hangi verileri korur?

Kurumun hassas tanımına giren her veriyi: KVKK kapsamındaki kişisel veriler (kimlik, iletişim, sağlık, finans bilgileri), ticari sırlar, fiyat listeleri, kaynak kodu ve sözleşmeler. Hangi verinin hassas olduğu keşif ve sınıflandırma aşamasında kalıplarla ve kurum politikasıyla belirlenir; tanım sektöre göre değişir ve zamanla güncellenir.

DLP ile şifreleme arasındaki fark nedir?

Şifreleme veriyi yetkisiz erişime karşı korur; ancak yetkili bir kullanıcının veriyi yanlış kanala göndermesini engellemez. DLP ise verinin hareketini denetler. İkisi birbirini tamamlar: şifreleme "çalınırsa okunamasın", DLP "zaten dışarı çıkmasın" katmanıdır.

DLP kullanıcıların işini yavaşlatır mı?

Doğru kurgulanırsa hayır. Önerilen yaklaşım, önce izleme modunda başlayıp gerçek kullanım deseni üzerinden politikaları inceltmek, engellemeyi yalnızca net ihlal senaryolarına uygulamaktır. Uyarı-onay akışları da meşru istisnalar için hızlı bir yol sunar.

KVKK için DLP zorunlu mu?

KVKK belirli bir ürünü zorunlu kılmaz; "uygun teknik tedbir" alınmasını ister. Ancak Kişisel Verileri Koruma Kurulu kararlarında veri kaybını önleyici sistemler teknik tedbirler arasında açıkça anılır. DLP, bu yükümlülüğün somut ve denetimde kanıtlanabilir karşılıklarından biridir.

Sonuç: Önce Görünürlük, Sonra Kontrol

Veri sızıntısı önleme, tek seferde açılan bir engelleme duvarı değil; keşifle başlayan, sınıflandırmayla olgunlaşan ve politikalarla süreklilik kazanan bir programdır. Nerede ne verisi olduğunu bilmeyen bir kurumun onu koruması mümkün değildir — bu yüzden ilk adım her zaman görünürlüktür. Doğru kurgulanmış bir DLP katmanı, güvenlik ekibine kontrol, yönetime denetim kanıtı ve çalışanlara da hatayı daha oluşmadan önleyen bir emniyet kemeri sağlar.

Technodus olarak ManageEngine DataSecurity Plus ile veri keşfi, dosya sunucusu denetimi ve uç nokta DLP kurgusunun planlanmasında ve devreye alınmasında destek veriyoruz. Kurumunuzdaki hassas verinin haritasını çıkarmak için bizimle iletişime geçebilirsiniz.