DLP nedir? Veri sızıntısı önleme işletmeler için neden önemli?

Bir satış temsilcisi işten ayrılmadan önce müşteri listesini kişisel e-posta adresine gönderiyor. Muhasebeden bir çalışan, maaş tablosunu yanlışlıkla dışarıdan bir alıcıya iletiyor. Bir mühendis, tasarım dosyalarını evden çalışmak için kişisel bulut hesabına yüklüyor. Bu olayların hiçbiri bir saldırı değildir; güvenlik duvarı ve antivirüs de bu yüzden hiçbirini durdurmaz. Veri sızıntısı önleme (DLP), tam olarak bu boşluğu kapatmak için vardır. Bu yazıda DLP’nin ne olduğunu, nasıl çalıştığını ve bir işletmenin DLP projesine nereden başlaması gerektiğini anlatıyoruz. Ürün tarafı için Safetica DLP sayfamıza bakabilirsiniz.

DLP nedir?

DLP (Data Loss Prevention ya da Data Leak Prevention), hassas verinin nerede bulunduğunu belirleyen, nasıl kullanıldığını ve nereye gittiğini izleyen, kurallara aykırı bir aktarımı ise uyaran ya da engelleyen teknoloji ve süreçlerin bütünüdür.

Klasik güvenlik araçları “kim içeri girmeye çalışıyor?” sorusuna odaklanır. DLP ise “hangi veri dışarı çıkıyor?” sorusunu sorar. Bu fark önemlidir; çünkü veri kaybının önemli bir kısmı, yetkili bir kullanıcının izin verilmiş bir uygulamayla yaptığı bir hareketle gerçekleşir. Kasıtlı olabilir, çoğu zaman ise dikkatsizliktir.

Veri hangi yollardan sızar?

Bir DLP çözümünün değerlendirdiği başlıca kanallar şunlardır. Bir kanalı tümüyle kapatmak çoğu zaman mümkün değildir; e-posta ve bulut, işin kendisidir. DLP’nin farkı, kanalı değil içeriği değerlendirmesidir: aynı e-posta, içinde müşteri listesi taşıdığında farklı bir kurala tabi olur.

• E-posta: Yanlış alıcıya giden ek, kişisel adrese iletilen dosya, otomatik tamamlama hatası.
• Web ve bulut: Kişisel bulut depolama hesaplarına, dosya paylaşım sitelerine ya da web formlarına yükleme.
• Taşınabilir cihazlar: USB bellek, harici disk, telefonla kablo bağlantısı.
• Yazıcı: Hassas belgelerin kâğıda dökülüp dışarı çıkarılması.
• Mesajlaşma ve iş birliği araçları: Anlık mesajlaşma uygulamaları üzerinden paylaşılan dosyalar.
• Pano ve ekran görüntüsü: İçeriğin kopyalanıp başka bir uygulamaya yapıştırılması.

DLP nasıl çalışır?

1. Veriyi bulur ve sınıflandırır

Korumadan önce neyi koruduğunuzu bilmeniz gerekir. DLP, bilgisayarlardaki ve bulut ortamlarındaki dosyaları tarar; T.C. kimlik numarası, IBAN, kredi kartı numarası gibi kalıpları, anahtar kelimeleri ya da dosya türlerini tanır. Belgeleri “kişisel veri”, “finansal”, “gizli” gibi sınıflara ayırır. Sınıflandırma, dosyanın bulunduğu klasöre ya da onu oluşturan uygulamaya göre de yapılabilir.

2. Hareketi izler

Sınıflandırılmış veri bir kanala doğru hareket ettiğinde kayıt altına alınır: hangi kullanıcı, hangi dosyayı, hangi uygulamayla, nereye gönderdi? Bu görünürlük, çoğu işletmenin ilk kez verisinin gerçekte nasıl dolaştığını görmesini sağlar.

3. Kurala göre tepki verir

Politikalar genellikle kademelidir. Yalnızca kaydetmek, kullanıcıyı uyarıp gerekçe istemek ya da aktarımı engellemek. Örneğin müşteri listesi içeren bir dosya kurumsal e-postayla iş ortağına gidebilir, ama kişisel bir bulut hesabına yüklenemez. İyi tasarlanmış bir politika çalışanı durdurmaz; yalnızca riskli hareketi durdurur.

4. Riski görünür kılar

Olağan dışı davranışlar öne çıkarılır: kısa sürede çok sayıda dosya kopyalayan bir kullanıcı, mesai dışında toplu yükleme, işten ayrılma sürecindeki bir çalışanın veri hareketi. Ekip yüzlerce uyarıyı tek tek incelemek yerine gerçekten önemli olaylara odaklanır.

DLP ve KVKK

6698 sayılı Kişisel Verilerin Korunması Kanunu, veri sorumlularına kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek için uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri alma yükümlülüğü getirir. DLP, bu teknik tedbirlerin somut ve denetlenebilir bir karşılığıdır: kişisel verinin nerede olduğunu gösterir, hareketini kayıt altına alır ve yetkisiz aktarımı sınırlar. Bir veri ihlali şüphesinde ise olayın kapsamını anlamak için gereken kaydı sunar. KVKK ve ISO 27001 çalışmalarını bütün olarak ele almak için ISO 27001 ve KVKK sayfamıza, temel kavramlar için KVKK nedir yazımıza bakabilirsiniz.

Burada önemli bir denge vardır: DLP’nin kendisi de çalışan hareketlerini izlediği için bir kişisel veri işleme faaliyetidir. Çalışanların önceden bilgilendirilmesi, izlemenin amaç ve kapsamının belirlenmesi ve hukuki dayanağın kurulum öncesinde insan kaynakları ve hukuk ekipleriyle netleştirilmesi gerekir. Odak kişiler değil, hassas verinin hareketi olmalıdır.

DLP hakkında yanlış bilinenler

“DLP yalnızca büyük şirketler içindir.”

Değil. Küçük bir işletmede de müşteri listesi, teklif dosyaları ve personel bilgileri vardır; üstelik bu veriler genellikle daha az kişinin elinde ve daha az kontrolle dolaşır. Kapsamı en kritik veriyle sınırlı tutulan bir DLP projesi, küçük ekiplerde de yönetilebilir.

“DLP çalışanları gözetlemek içindir.”

İyi kurgulanmış bir DLP projesinin odağı kişiler değil, hassas verinin hareketidir. Kuralların şeffaf olması ve çalışanların bilgilendirilmesi hem hukuki bir gereklilik hem de projenin kabul görmesinin şartıdır.

“DLP kurulunca iş yavaşlar.”

Kurallar izleme verisine dayanmadan, baştan engelleme moduyla yazılırsa evet. Önce izleyip sonra hedefli kurallar yazıldığında çalışanların büyük çoğunluğu DLP’nin varlığını yalnızca bir uyarı gördüklerinde fark eder.

DLP projesine nereden başlanır?

DLP’yi bir yazılım kurulumu olarak görmek, en sık yapılan hatadır. Başarılı projeler kademeli ilerler:

1. Kritik veriyi tanımlayın. Sizin için en değerli veri nedir? Müşteri listesi, fiyat teklifleri, üretim reçeteleri, personel dosyaları, tasarımlar. Önce en kritik iki üç veri türüyle başlayın.
2. Yalnızca izleyerek başlayın. İlk birkaç hafta hiçbir şeyi engellemeden verinin gerçekte nasıl hareket ettiğini görün. Varsayımlarınızın çoğu değişecektir.
3. Kuralları raporlara göre yazın. Meşru iş akışlarını bozmadan riskli hareketleri hedefleyen uyarı ve engelleme kuralları oluşturun.
4. Çalışanları bilgilendirin. Kullanıcıya gösterilen uyarılar aynı zamanda bir farkındalık eğitimidir. Neden uyarıldığını anlayan çalışan davranışını değiştirir.
5. Düzenli gözden geçirin. Yeni uygulamalar, yeni ekipler ve yeni veri türleri eklendikçe politikaları güncelleyin.

DLP tek başına yeterli değil

DLP, güvenlik katmanlarından biridir. Uç nokta güvenliği cihazı zararlı yazılımlardan korurken DLP verinin kullanıcı tarafındaki hareketini denetler. Kimin hangi veriye erişebileceğini ise kimlik ve erişim yönetimi belirler; erişimi olmayan kullanıcı veriyi sızdıramaz. Verinin kaybolduğu ya da bozulduğu senaryolar için yedekleme son savunma hattıdır. Bu katmanlar birbirinin yerine geçmez, birbirini tamamlar.

Unna ile veri sızıntısı önleme

DLP projelerinde Safetica ile çalışıyoruz. Önce hangi verinin sizin için kritik olduğunu ve hangi ekiplerin bu veriyle çalıştığını dinleriz. Safetica’yı ilk aşamada yalnızca izleme modunda çalıştırır, birkaç haftanın sonunda verinin gerçek hareketini raporlarla gösteririz. Kuralları bu raporlara dayanarak birlikte yazar, çalışanları gereksiz yere yormayacak dengeyi kurarız. Sonrasında olay raporlarını ve yeni ihtiyaçları düzenli olarak sizinle değerlendiririz. Başlamak için bize yazın; önce dinleriz.