Veri Sızıntısı Önleme (DLP): Kurumsal Rehber

Veri Sızıntısı Önleme nedir?

Veri Sızıntısı Önleme, hassas veriyi çıkış noktalarında kontrol etme disiplinidir. Erişim kontrolü bir dosyayı kimin açabileceğine karar verir; DLP ise içeriğin sonrasında başına ne gelebileceğine: dış bir e-postaya eklenebilir mi, bir web hizmetine yüklenebilir mi, USB sürücüye kopyalanabilir mi, yazdırılabilir mi, başka bir uygulamaya yapıştırılabilir mi? Kontrolün birimi, verinin üzerinde durduğu sistem değil verinin kendisidir — DLP'nin veri sistemler arasında hareket ederken de çalışmaya devam etmesinin nedeni budur.

Terim hem bir ürün kategorisini hem bir programı kapsar. Ürün inceler ve uygular; program neyin hassas sayıldığını, hangi hareketlerin meşru olduğunu ve politika ile gerçek çeliştiğinde ne olacağını tanımlar. DLP'yi yalnızca ürün olarak ele alan kurulumlar yanlış pozitiflerde boğulma eğilimindedir; işleyen bir sınıflandırma şemasıyla eşleştirenler ise oturur.

Kurumlar DLP'yi neden kurar

Kararı genellikle üç baskı tetikler. Birincisi sızdırma riski: ayrılan çalışanlar, ele geçirilmiş hesaplar ve basit hatalar aynı birkaç kanalı kullanır — e-posta, kişisel bulut depolama, çıkarılabilir medya. İkincisi regülasyon: GDPR ve KVKK'dan PCI DSS ve GCC ulusal kontrollerine kadar çerçeveler, kurumlardan düzenlemeye tabi verinin yetkisiz ifşasını önlemesini ve kontrolün işlediğini kanıtlamasını bekler. Üçüncüsü sözleşmeler: müşteriler ve iş ortakları, verilerinin sızmasının nasıl önlendiğini artık yazılı olarak soruyor.

DLP nasıl çalışır: içerik ve bağlam

Her DLP kararı iki tür kanıtı birleştirir. İçerik incelemesi verinin içine bakar: ödeme kartı ve ulusal kimlik numarası gibi tanımlayıcılar için desen eşleme, sözlükler, düzenli ifadeler, belge parmak izleri ve — görüntü ile taramalar söz konusuysa — OCR. Bağlam incelemesi verinin çevresine bakar: kim taşıyor, hangi uygulamadan, hangi hedefe, hangi kanalda, hangi saatte.

En güçlü sinyal bunların hiçbiri değil, üçüncüsüdür: dosya oluşturulurken içine yazılmış bir sınıflandırma etiketi. İçerik desenleri yanlış pozitif üretir; bağlam tek başına içeriği kaçırır. Kalıcı bir etiket, hassasiyet kararını bir kez ve yetkili biçimde söyler; sonraki her DLP değerlendirmesi onu okuyabilir. Sınıflandırma farkındalıklı DLP'nin yalnızca regex'e dayalı politikalardan tutarlı biçimde daha az yanlış pozitif üretmesinin nedeni budur — yaklaşım sınıflandırma DLP isabetini nasıl artırır yazısında anlatılıyor.

Uç nokta, ağ, bulut ve e-posta DLP

Uç nokta DLP iş istasyonunda ajan olarak çalışır ve hiçbir ağ cihazının göremediği kanalları görür: USB ve çıkarılabilir medya, yazdırma, pano, ekran görüntüsü ve çevrimdışı etkinlik. Dizüstü binadan çıktığında çalışmaya devam eden tek uygulama noktasıdır. Ayrıntı için uç nokta DLP rehberine bakın.

Ağ DLP'si trafiği ağ geçitlerinde hareket hâlindeyken inceler — e-posta ve web için tarihsel olarak güçlü, kesemediği şifreli kanallara ve ağ dışında olan her şeye karşı yapısal olarak kördür. Bulut ve SaaS DLP'si politikayı barındırılan hizmetlerin içinde API'ler aracılığıyla uygular; kurumsal ağa hiç dokunmayan veriyi kapsar — ayrıntılı karşılaştırma SaaS DLP ve uç nokta ile ağ DLP karşılaştırması yazılarında. E-posta DLP'si ayrıca ilgiyi hak eder, çünkü e-posta hâlâ en yaygın sızdırma kanalıdır — bkz. e-posta üzerinden veri sızdırmayı durdurmak.

GenAI ve LLM araçları için DLP

Herkese açık yapay zekâ asistanları yeni bir çıkış kanalı yarattı: bir istem kutusuna yapıştırılan metin, e-postaya eklenen dosya kadar kesin biçimde kurumdan çıkar — ama çoğu eski politikanın hiç öngörmediği bir kanaldan. Pratik kontrol uç noktada ve tarayıcıda gerçekleşir: yapay zekâ araçlarına doğru yapıştırılan ya da yüklenen içerik incelenir ve başka yerde kullanılan aynı engelle-uyar-gerekçe merdiveni uygulanır. Desen DLP ile GenAI veri sızıntısını önleme yazısında ve GenAI sızıntı önleme senaryosunda işleniyor.

Tespit ile uygulama arasında: aksiyon merdiveni

Olgun DLP programları uygulamayı bir anahtar değil, bir merdiven olarak ele alır:

İlk gün her şeyi engellemek klasik başarısızlık kalıbıdır: DLP programlarını iptal ettiren yanlış pozitif tepkisini üretir. Ayar disiplini DLP yanlış pozitiflerini azaltmak yazısında anlatılıyor.

DLP kurulumu ve mimarisi

Kurumsal bir kurulumun dört hareketli parçası vardır: inceleyip uygulayan uç nokta ajanları; kuralları dağıtıp olayları toplayan bir politika sunucusu; politikaların yazıldığı ve olayların incelendiği bir yönetim konsolu; ve olayları SOC'ye taşıyan entegrasyonlar. Çoğu değerlendirmeyi iki mimari soru belirler — politika kararının nerede verildiği (çevrimdışı da çalışsın diye uç noktada mı, yoksa ağ geçidinde mi) ve verinin nerede yaşadığı (SaaS, şirket içi ya da hibrit; egemen ve düzenlemeye tabi ortamlarda belirleyici olan budur). İkisi de DLP mimarisi rehberi ile DLP politika tasarımı rehberinde derinlemesine ele alınıyor.

DLP, sınıflandırma, keşif ve DSPM

DLP, daha uzun bir hattın uygulama aşamasıdır. Hassas veri keşfi hangi düzenlemeye tabi verinin var olduğunu ve nerede olduğunu ortaya koyar; veri sınıflandırma her öğenin ne kadar hassas olduğunu DLP'nin okuyabileceği bir biçimde kaydeder; DLP hareket kurallarını uygular; dosya bütünlüğü izleme ise korunan içerik ve yapılandırmaların değiştirilmediğini kanıtlar. Veri Güvenliği Duruş Yönetimi, bunları dört kopuk araç yerine tek sürekli döngü olarak işleten modeldir — karşılaştırma DSPM ile DLP yazısında.

Kurumsal DLP yazılımı nasıl değerlendirilir

Satın alma sorularını da içeren daha dolu bir kontrol listesi kurumsal DLP satın alma rehberinde. Mevcut bir kurulumu sınamak için tarayıcı tabanlı ücretsiz DLP Test Aracı, sentetik PII/PCI verisi üretip ağınızdan çıkıp çıkamadığını kontrol eder.

Kaynakça

• CISA — Kapasite Geliştirme Kılavuzları
• NIST Siber Güvenlik Çerçevesi