Hızlı cevap: DSPM (Veri Güvenliği Duruş Yönetimi, Data Security Posture Management), bir kurumun hassas verisinin nerede olduğunu bulan, sınıflandıran ve o veriye kimin nasıl eriştiğini sürekli izleyen bir yaklaşımdır. Klasik güvenlik altyapıya (sunucu, ağ, bulut yapılandırması) odaklanırken, DSPM doğrudan verinin kendisine odaklanır. Sorusu şudur: hangi hassas veri nerede, kim erişebiliyor ve riski ne.

DSPM neden ortaya çıktı?

Kurumlar verinin nerede olduğunu çoğu zaman bilmez. Veri; bulut depolama, veritabanları, yedekler, test ortamları, çalışanların paylaştığı dosyalar ve unutulmuş kovalara dağılır. Bu dağınık kopyalara "gölge veri" denir ve ihlallerin sessiz kaynağıdır.

DSPM bu soruna, önce veriyi bulup sınıflandırarak yanıt verir. Çünkü nerede olduğunu bilmediğiniz veriyi koruyamazsınız. DSPM, hassas verinin haritasını çıkarır, kimin eriştiğini gösterir ve en riskli noktaları önceliklendirir.

DSPM ile CSPM farkı

Bu ikisi sık karıştırılır ama farklı katmanlara bakar.

Konu CSPM DSPM
Odak Bulut altyapısı yapılandırması Verinin kendisi
Sorusu Bulut ayarları güvenli mi Hassas veri nerede, kim erişiyor
Örnek bulgu Açık kalmış depolama kovası O kovadaki müşteri kimlik verisi
Yaklaşım Altyapı merkezli Veri merkezli

Pratik ayrım şudur. CSPM "kova yanlış yapılandırılmış" der. DSPM ise "o kovada 30 bin kişinin kimlik verisi var ve herkese açık" der. İkisi birbirini tamamlar, ama DSPM veriye ne olduğunu anlatır.

DSPM ne yapar?

DSPM tipik olarak dört işi birlikte yürütür:

  • Keşif: Hassas verinin bulut ve şirket içi tüm ortamlarda nerede olduğunu bulur.
  • Sınıflandırma: Verinin türünü belirler (kimlik, sağlık, ödeme, ticari sır).
  • Erişim analizi: O veriye kimin, hangi yetkiyle eriştiğini gösterir.
  • Risk önceliklendirme: En hassas ve en açık veriyi önce ele alır.

KVKK açısından neden önemli?

KVKK, kurumlardan işledikleri kişisel veriyi bilmelerini ve korumalarını bekler. Ama nerede olduğunu bilmediğiniz veriyi ne koruyabilir ne de bir ihlalde doğru bildirim yapabilirsiniz. DSPM, gölge veriyi ve test ortamına sızmış gerçek kişisel veriyi ortaya çıkararak KVKK uyumunu somut hale getirir. Örneğin geliştirme ortamına kopyalanmış maskelenmemiş müşteri verisi, tipik bir DSPM bulgusudur ve ciddi bir ihlal riskidir.

KAOS ve DSET yaklaşımı

DSET, KVKK uyum danışmanlığında kurumların hassas verisinin haritasını çıkarır ve o veriye erişimi denetler. Geliştirdiğimiz KAOS güvenlik motoru, kaynak kod ve veri akışı taramasında açıkta kalan veritabanlarını, test ortamına sızmış gerçek kişisel veriyi ve maskelenmemiş hassas alanları raporlar. Amacımız kağıt üzerinde envanter değil, verinin gerçekte nerede olduğunu ve kime açık olduğunu kanıtla göstermek.

Bağlantılı okumalar: veri sınıflandırma ve etiketleme, veri maskeleme, anonimleştirme ve tokenizasyon, KVKK uyum danışmanlığı ve VERBİS, açıkta kalan veritabanı ve bulut yanlış yapılandırma, S3 bulut nesne depolama sızıntısı, bulut güvenlik denetimi.

Sık sorulan sorular

DSPM ile CSPM aynı şey mi? Hayır. CSPM bulut altyapısının yapılandırmasına bakar, örneğin bir depolama kovasının yanlış yapılandırılıp açık kaldığını söyler. DSPM ise verinin kendisine bakar, o kovada hangi hassas verinin olduğunu ve kimin eriştiğini söyler. İkisi birbirini tamamlar, ama DSPM veri merkezli, CSPM altyapı merkezlidir.

DSPM KVKK için gerekli mi? DSPM yasal bir zorunluluk değildir ama KVKK uyumunu çok kolaylaştırır. KVKK, işlenen kişisel verinin bilinmesini ve korunmasını bekler. Verinin nerede olduğunu bilmeden bunu yapmak zordur. DSPM, gölge veriyi ve test ortamına sızmış kişisel veriyi ortaya çıkararak uyumu somut ve denetlenebilir hale getirir.

Gölge veri nedir ve neden riskli? Gölge veri, kurumun farkında olmadığı ya da unuttuğu veri kopyalarıdır. Test ortamlarına kopyalanmış gerçek müşteri verisi, eski yedekler ve terk edilmiş bulut kovaları buna örnektir. Bu kopyalar genelde daha az korunur ve daha çok kişiye açıktır, bu yüzden ihlallerin sessiz kaynağı olur. DSPM bu gölge veriyi bulmaya odaklanır.

Kaynaklar

Hassas verinizin haritasını çıkarmak, gölge veriyi bulmak ve erişimi denetlemek için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.