Hızlı cevap: Veri sınıflandırma, bir kurumun sahip olduğu verinin hassasiyetine göre kategorilere ayrılması ve buna göre etiketlenmesidir; amaç, hangi verinin ne kadar korunması gerektiğini bilmektir. Bir kurum, verisini sınıflandırmadan koruyamaz çünkü her veriyi aynı düzeyde korumak hem maliyetli hem pratik değildir; bazı veriyi ise yeterince korumamak felaket olur. Tipik seviyeler şunlardır: herkese açık, iç kullanım, gizli ve çok gizli. Her seviye, farklı erişim, şifreleme ve saklama kuralları gerektirir. Kök ilke şudur: koruyamayacağınız veriyi hiç tutmamak, tuttuğunuz veriyi ise sınıfına göre korumaktır. Veri sınıflandırma, KVKK uyumunun, veri sızıntısı önlemenin ve etkili güvenliğin temelidir.

Bir kurum güvenliğini kurmak istediğinde ilk soru şudur: neyi koruyorum? Hangi verinin nerede olduğunu ve ne kadar hassas olduğunu bilmeden, ne korumayı ne de bir sızıntının etkisini değerlendirebilirsiniz. Veri sınıflandırma, bu temel soruyu yanıtlar. Bu yazı, veri sınıflandırmanın nasıl yapıldığını ve neden kritik olduğunu anlatır.

Neden her veri aynı değil

Bir kurumun verisi tek tip değildir: bir pazarlama broşürü ile bir müşterinin kimlik bilgisi aynı hassasiyette değildir. Her veriyi en yüksek düzeyde korumak hem çok maliyetli hem işi yavaşlatır; her veriyi düşük düzeyde korumak ise hassas veriyi riske atar. Doğru yaklaşım, veriyi hassasiyetine göre ayırmak ve her sınıfa uygun korumayı uygulamaktır. Bu, güvenlik yatırımını doğru yere yönlendirmenin de yoludur.

Tipik sınıflandırma seviyeleri

Seviye İçerik örneği Koruma
Herkese açık Broşür, blog, duyuru Bütünlük yeterli
İç kullanım İç dokümanlar, süreçler Erişim kısıtlama
Gizli Müşteri verisi, sözleşme Şifreleme, sıkı erişim
Çok gizli Kimlik, sağlık, finans En üst düzey koruma, izleme

Bu seviyeler kuruma göre uyarlanır ama mantık aynıdır: veri ne kadar hassassa, koruma o kadar sıkı olmalıdır. Etiketleme, bu seviyeyi verinin kendisine iliştirir ki sistemler ve çalışanlar ona göre davranabilsin.

Sınıflandırmadan korumaya

Veri sınıflandırma tek başına bir amaç değil, korumanın temelidir. Bir veri sınıflandırıldığında, erişim, şifreleme, saklama ve paylaşım kuralları o sınıfa göre uygulanabilir. Örneğin gizli veri şifresiz saklanmamalı, çok gizli veriye erişim izlenmelidir. Bu, veri sızıntısı önleme (DLP) çözümlerinin de temelidir: bir DLP sistemi, ancak veri sınıflandırılmışsa neyin sızmasını engelleyeceğini bilir.

KVKK ve uyum boyutu

Veri sınıflandırma, yalnızca teknik değil, bir uyum gereksinimidir. KVKK ve GDPR, kişisel verinin belirlenmesini, korunmasını ve gerekiyorsa en aza indirilmesini bekler; bunu ancak verinizi sınıflandırdıysanız yapabilirsiniz. ISO 27001 ve KVKK uyumu, veri envanteri ve sınıflandırmayı bir başlangıç adımı olarak ele alır. Neyi koruduğunuzu bilmeden, koruduğunuzu kanıtlayamazsınız.

Doğru uygulama

1. Veri envanteri çıkar

Önce hangi verinin nerede olduğu belirlenmelidir. Bilmediğiniz bir yerde duran hassas veri, en büyük risktir.

2. Seviyeleri tanımla ve etiketle

Kuruma uygun sınıflandırma seviyeleri tanımlanmalı ve veri bu seviyelere göre etiketlenmelidir. Etiket, verinin kendisiyle taşınmalıdır.

3. Her sınıfa kural uygula

Her sınıf için erişim, şifreleme, saklama ve paylaşım kuralları tanımlanmalı ve uygulanmalıdır. Sınıflandırma, ancak kurala dönüştüğünde koruma sağlar.

4. Sürdür ve denetle

Veri değişir; sınıflandırma tek seferlik değil, sürdürülen bir süreçtir. Yeni veri sınıflandırılmalı, kurallar düzenli denetlenmelidir.

KAOS ve DSET yaklaşımı

DSET, veri sınıflandırma ve koruma stratejinizi kurmanıza yardım eder ve hassas verinin gerçekte nerede olduğunu, yeterince korunup korunmadığını değerlendirir. Yerel yapay zekâ motoru KAOS, sistemlerinizde açıkta kalan ya da yanlış korunan hassas veriyi kanıt temelli tespit eder ve yalnızca gerçekten risk oluşturan durumu, yanlış pozitif gürültüsü olmadan raporlar. KAOS çevrim dışı çalıştığı için değerlendirme sırasında verileriniz dış servislere gönderilmez, bu da KVKK uyumu için önemlidir.

Sık sorulan sorular

Veri sınıflandırma neden güvenliğin ilk adımı? Çünkü neyi koruduğunuzu bilmeden onu koruyamazsınız. Hangi verinin nerede ve ne kadar hassas olduğunu bilmeden, ne güvenlik yatırımını doğru yönlendirebilir ne bir sızıntının etkisini değerlendirebilirsiniz. Sınıflandırma, tüm güvenlik stratejisinin temelini kurar.

Her veriyi en üst düzeyde korumak daha güvenli değil mi? Pratikte değil. Her veriyi en yüksek düzeyde korumak hem çok maliyetli hem işi yavaşlatır ve kaynakları yanlış yere harcar. Doğru yaklaşım, veriyi hassasiyetine göre ayırıp her sınıfa uygun korumayı uygulamaktır; böylece koruma hem etkili hem sürdürülebilir olur.

Veri sınıflandırma KVKK için zorunlu mu? Doğrudan bir madde olmasa da, KVKK kişisel verinin belirlenmesini ve korunmasını bekler; bunu ancak verinizi sınıflandırdıysanız yapabilirsiniz. Veri envanteri ve sınıflandırma, uyumun pratikte vazgeçilmez bir başlangıç adımıdır.

Kaynaklar

Veri sınıflandırma ve koruma stratejinizi kurmak ve hassas verinizin gerçek durumunu değerlendirmek için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan bilgi güvenliği danışmanlığı ve denetim sağlıyoruz.