DSPM Nedir? Data Security Posture Management, DDR, Shadow Data ve Hassas Veri Risklerinin Tespiti

DSPM, yani Data Security Posture Management, kurumun farklı sistemlerinde bulunan hassas verileri keşfetmek, sınıflandırmak, bu verilere kimlerin erişebildiğini analiz etmek ve verinin bulunduğu ortamın güvenlik risklerini sürekli olarak değerlendirmek için kullanılan veri merkezli güvenlik yaklaşımıdır. Türkçede Veri Güvenliği Duruş Yönetimi olarak ifade edilebilecek DSPM, özellikle cloud, SaaS, database, data lake, data warehouse ve yapay zekâ ortamlarının yaygınlaşmasıyla modern Data Security Architecture'ın önemli bileşenlerinden biri haline gelmiştir.

Ancak modern veri güvenliği açısından yalnız hassas verinin nerede olduğunu ve hangi risklere sahip olduğunu bilmek yeterli değildir. Kurum aynı zamanda hassas veriye yönelik olağan dışı erişimleri, toplu indirmeleri, beklenmeyen sorguları, yetkili kullanıcıların riskli davranışlarını ve olası veri sızdırma girişimlerini de mümkün olduğunca erken fark etmek ister.

Bu noktada DDR – Data Detection and Response yaklaşımı devreye girer.

Basit bir ayrımla:

DSPM → Hassas verimiz nerede ve neden risk altında?

DDR → Hassas verimize şu anda ne oluyor ve buna nasıl müdahale etmeliyiz?

Bu nedenle DSPM ve DDR birbirinin alternatifi değildir.

Modern veri güvenliğinde bu iki yaklaşım birbirini tamamlar.

DSPM daha çok data posture, exposure, classification ve attack surface görünürlüğü sağlarken DDR, veriye yönelik runtime activity, anomalous behavior, threat detection ve response süreçlerine odaklanır.

DLP verinin kontrolsüz hareketini engellemeye, DAM veritabanı aktivitelerini izlemeye, DSPM hassas veri risklerini ortaya çıkarmaya ve DDR bu sinyalleri aktif veri tehdidi perspektifiyle değerlendirmeye yardımcı olur.

Bu yapı modern Data Security Operations yaklaşımının temelini oluşturmaktadır.

DSPM Nedir?

Data Security Posture Management, kurumun hassas verilerinin nerede bulunduğunu, nasıl sınıflandırıldığını, kimlerin erişebildiğini ve hangi güvenlik risklerine maruz kaldığını sürekli olarak analiz etmeyi amaçlayan data-centric security yaklaşımıdır.

Geleneksel security araçları çoğunlukla infrastructure'a odaklanır.

Firewall network traffic'e bakar.

EDR endpoint'e bakar.

CSPM cloud configuration'a bakar.

Vulnerability Management vulnerabilities'e bakar.

DSPM ise doğrudan:

Data

üzerinden düşünür.

DSPM'in temel sorusu:

“Korunması gereken kritik veri nerede ve bu verinin gerçek exposure seviyesi nedir?”

şeklinde özetlenebilir.

DSPM Neden Ortaya Çıktı?

Kurumsal data architecture geçmişe göre çok daha karmaşık hale gelmiştir.

Bir customer record aynı anda:

Production Database

Data Warehouse

Backup

Developer Database

Cloud Storage

Excel Export

SaaS Platform

Data Lake

AI Vector Database

içerisinde bulunabilir.

Security Team production database'i biliyor olabilir.

Ancak developer tarafından oluşturulan temporary copy'den haberdar olmayabilir.

Bu durumda sensitive data korunuyor gibi görünürken gerçekte kontrolsüz copies bulunmaktadır.

DSPM bu visibility problemine odaklanır.

“Bilmediğiniz Veriyi Koruyamazsınız”

Modern Data Security'nin temel prensiplerinden biri budur.

Security Team bir dataset'in varlığını bilmiyorsa:

Classification uygulayamaz.

Access review yapamaz.

Encryption status kontrol edemez.

DLP policy oluşturamaz.

Retention uygulayamaz.

Monitoring yapamaz.

Bu nedenle DSPM'in ilk görevi çoğu zaman Data Discovery'dir.

Data Discovery DSPM'in Temeli midir?

Evet.

Data Discovery farklı repositories içerisinde data'nın bulunmasını sağlar.

Örneğin:

Databases

Cloud Object Storage

File Servers

SaaS Applications

Data Warehouses

Data Lakes

Backups

Snapshots

AI Data Stores

scan edilebilir.

Ama yalnız data'yı bulmak yeterli değildir.

Bir sonraki aşama sensitivity'yi anlamaktır.

Sensitive Data Discovery Nedir?

Sensitive Data Discovery, repositories içerisindeki hassas bilgi türlerinin tespit edilmesidir.

Örneğin:

Personal Data

PII

Financial Information

Payment Data

Credentials

API Keys

Health Information

Intellectual Property

Source Code

Contracts

Trade Secrets

gibi data categories tespit edilebilir.

Bu information Data Classification için foundation oluşturur.

DSPM ve Data Classification

DSPM discovered data'yı sensitivity seviyesine göre classify edebilir veya mevcut classification modelinden yararlanabilir.

Örneğin:

Public

Internal

Confidential

Restricted

şeklinde model kullanılabilir.

Bu classification risk prioritization açısından önemlidir.

Çünkü her exposure aynı business impact'e sahip değildir.

Data Security Posture Ne Demektir?

Data Security Posture, kurumun verilerinin mevcut güvenlik durumunun bütünsel görünümüdür.

Örneğin:

Kaç sensitive repository var?

Kaçı encrypted?

Kaçı public?

Kaçında excessive access var?

Kaçının owner'ı bilinmiyor?

Kaç duplicate copy mevcut?

Kaç dataset retention süresini geçmiş?

Bu bilgiler kurumun Data Security Posture'unu oluşturur.

DSPM'in Temel Bileşenleri

Modern DSPM yaklaşımı genel olarak şu yetenekleri bir araya getirir:

Data Discovery

Sensitive Data Classification

Data Access Analysis

Exposure Analysis

Data Flow Visibility

Risk Prioritization

Misconfiguration Context

Shadow Data Discovery

Remediation Guidance

Continuous Monitoring

Bu nedenle DSPM yalnız scanning technology değildir.

Data Security Risk Management platformu olarak değerlendirilmelidir.

Shadow Data Nedir?

Shadow Data, kurumun security veya governance ekiplerinin yeterli visibility'sine sahip olmadığı veri kopyaları, datasets veya repositories'dir.

Örneğin developer production database'i test amacıyla kopyalayabilir.

Bu copy:

security inventory'de olmayabilir,

backup policy kapsamında olmayabilir,

DLP tarafından görülmeyebilir,

monitoring altında olmayabilir.

Ancak içerisinde gerçek customer data bulunabilir.

Bu Shadow Data'dır.

Shadow Data Neden Tehlikelidir?

Çünkü korunmayan veya bilinmeyen data saldırgan açısından kolay hedef olabilir.

Production database çok güçlü controls ile korunuyor olabilir.

Ancak aynı data'nın forgotten copy'si:

weak password,

public cloud storage,

unmanaged server

üzerinde bulunabilir.

Attacker en güçlü sistemi değil en zayıf copy'yi hedefler.

Bu nedenle Shadow Data attack surface'i büyütür.

Shadow Data Nasıl Oluşur?

Shadow Data birçok nedenle oluşabilir.

Developer database copy oluşturur.

Analyst CSV export alır.

Employee spreadsheet download eder.

Backup snapshot unutulur.

Cloud migration sırasında old storage kalır.

Test environment production data içerir.

AI project için dataset kopyalanır.

Böylece data copies hızla çoğalır.

Data Sprawl Nedir?

Data Sprawl, kurumsal data'nın çok sayıda system, cloud, SaaS ve storage environment'a dağılmasıdır.

Data Sprawl büyüdükçe visibility azalabilir.

Bu durum:

Shadow Data

Duplicate Data

Unknown Access

Retention Problems

oluşturabilir.

DSPM Data Sprawl problemini görünür hale getirmeye çalışır.

Dark Data Nedir?

Dark Data, kurum tarafından saklanan ancak aktif olarak kullanılmayan veya business value'su belirsiz data'dır.

Örneğin 8 yıllık unused project files halen cloud storage'da olabilir.

Bu data:

storage cost

ve:

security exposure

oluşturabilir.

Business value düşük olmasına rağmen breach impact yüksek olabilir.

Shadow Data ile Dark Data Arasındaki Fark

Shadow Data governance visibility dışında olan data'dır.

Dark Data ise bilinen ancak kullanılmayan data olabilir.

Örneğin security team eski backup'ın varlığını biliyor ancak kimse kullanmıyorsa Dark Data olabilir.

Security team backup'ın varlığından tamamen habersizse Shadow Data olarak değerlendirilebilir.

ROT Data Nedir?

ROT:

Redundant

Obsolete

Trivial

data anlamına gelir.

Redundant Data gereksiz copies'dir.

Obsolete Data artık geçerli olmayan eski data'dır.

Trivial Data business value'su düşük data'dır.

ROT Data azaltılması hem storage cost hem attack surface açısından faydalıdır.

Orphaned Data Nedir?

Orphaned Data, owner'ı veya responsible business unit'i belli olmayan data'dır.

Örneğin eski employee tarafından oluşturulan cloud storage yıllarca kalabilir.

Kimse data'nın neden tutulduğunu bilmeyebilir.

Bu durumda retention ve access decisions almak zorlaşır.

DSPM ownerless datasets'i identify etmeye yardımcı olabilir.

Stale Data Nedir?

Stale Data uzun süredir güncellenmeyen veya kullanılmayan data'dır.

Örneğin:

Last Accessed: 4 Years Ago.

Bu dataset sensitive data içeriyorsa deletion candidate olabilir.

Data Minimization burada önemlidir.

Duplicate Data

Sensitive data'nın çok fazla copy'si risk yaratır.

Bir customer database'in:

production,

backup,

analytics,

development,

Excel export

copies'i olabilir.

Her copy yeni attack surface oluşturur.

Bu nedenle data duplication visibility önemlidir.

Data Minimization ve DSPM

DSPM yalnız korunacak data'yı bulmak için değil gereksiz data'yı azaltmak için de kullanılabilir.

Soru:

“Bu data'yı gerçekten tutmamız gerekiyor mu?”

olmalıdır.

Gereksiz sensitive data güvenli şekilde silindiğinde attack surface doğrudan azalır.

DSPM Data Risk'i Nasıl Hesaplar?

Data risk yalnız sensitivity ile belirlenmemelidir.

Örneğin Restricted data güçlü access controls altında olabilir.

Başka bir Restricted dataset public storage üzerinde olabilir.

İki data aynı classification'a sahip olsa da risk aynı değildir.

Bu nedenle modern risk modeli:

Data Sensitivity

Access Exposure

Security Configuration

Identity Risk

Business Context

üzerinden oluşturulabilir.

Data Risk Scoring

Örneğin:

Restricted Data

Public Access

No Encryption

Unknown Owner

=

Critical Risk.

Başka bir dataset:

Restricted Data

2 Authorized Users

Encryption

Monitoring

=

Lower Risk.

DSPM security teams'in remediation priority belirlemesine yardımcı olur.

Toxic Combination Nedir?

Toxic Combination, tek tek bakıldığında normal görünen farklı risklerin birlikte ciddi exposure oluşturmasıdır.

Örneğin:

Sensitive Data

Public Access

No Encryption

bir toxic combination olabilir.

Başka örnek:

Sensitive Data

External User

No Expiry

Bulk Download Permission.

DSPM bu combinations'ı data context üzerinden analiz edebilir.

Data Access Graph Nedir?

Data Access Graph, identities ile data resources arasındaki access relationships'i görselleştirmeyi amaçlayan modeldir.

Örneğin:

User

↓

Group

↓

Cloud Role

↓

Storage

↓

Restricted Data.

Bu chain direct permission'dan daha karmaşık olabilir.

DSPM access path'i analiz ederek hidden exposure'ları ortaya çıkarabilir.

Effective Access

Configured permission ile effective access aynı olmayabilir.

User nested group üzerinden data'ya erişebilir.

Service account role inheritance ile access kazanabilir.

External application OAuth scope üzerinden data'ya ulaşabilir.

Bu nedenle DSPM yalnız direct permissions'a bakmamalıdır.

Excessive Access

Bir sensitive dataset gereğinden fazla identity tarafından erişilebilir olabilir.

Örneğin:

Restricted HR Data

Accessible by 3,000 Users.

Data public değildir.

Ancak internal exposure çok yüksektir.

Bu high-risk finding olabilir.

Who Can Access My Sensitive Data?

DSPM'in en değerli sorularından biri budur.

Security Team şunu sorabilmelidir:

“Customer PII'ye erişebilen tüm identities kim?”

Cevap:

Human Users

Groups

Service Accounts

Applications

External Guests

AI Agents

şeklinde olabilir.

Modern data access analysis bütün identity classes'ı kapsamalıdır.

Identity + Data Security

IAM identity'yi yönetir.

DSPM data context sağlar.

Birlikte:

Identity → Permission → Data

relationship'i görünür hale gelir.

Bu Zero Trust Data Security için kritik foundation'dır.

CIEM + DSPM

CIEM cloud entitlements'a odaklanır.

DSPM data sensitivity'ye odaklanır.

CIEM:

“User hangi cloud resources'a erişebilir?”

DSPM:

“Bu resources içerisinde hangi sensitive data bulunuyor?”

sorusunu cevaplar.

İki yaklaşım birlikte güçlü access risk analysis sağlar.

DSPM ve CSPM

CSPM infrastructure configuration posture'a odaklanır.

Örneğin:

Storage Public.

DSPM:

Storage contains Restricted Customer Data.

Bu iki finding birleştiğinde business impact daha net anlaşılır.

DSPM ve CNAPP

CNAPP cloud workloads ve infrastructure security'sini geniş perspektiften değerlendirir.

DSPM data layer context ekler.

Örneğin vulnerable workload'un access edebildiği data sensitivity risk prioritization'ı değiştirebilir.

Bu nedenle cloud-native security giderek data-aware hale gelmektedir.

DSPM ve DLP Arasındaki Fark

DSPM:

Data nerede ve neden riskli?

sorusunu cevaplar.

DLP:

Data nereye gidiyor ve bu hareket izinli mi?

sorusuna odaklanır.

DSPM posture ve visibility sağlar.

DLP enforcement sağlar.

Bu nedenle birbirinin alternatifi değildir.

DSPM + DLP Nasıl Birlikte Çalışır?

DSPM new sensitive repository keşfedebilir.

Data Classification uygulanır.

DLP bu classification'a göre policy uygular.

Örneğin:

Restricted Data

↓

External Upload Attempt

↓

DLP Block.

Bu discovery-to-enforcement lifecycle'dır.

DSPM ve DAM

DSPM:

Sensitive database'i bulur.

DAM:

Database üzerinde actual queries'i izler.

Örneğin DSPM:

“Database contains Restricted PII.”

DAM:

“DBA exported 1.2 million records.”

Bu combined visibility data threat detection açısından çok değerlidir.

DDR Nedir? Data Detection and Response Ne Anlama Gelir?

DDR – Data Detection and Response, hassas verilere yönelik riskli, olağan dışı veya kötü niyetli aktivitelerin tespit edilmesini, olayın veri bağlamında değerlendirilmesini ve uygun response aksiyonlarının başlatılmasını amaçlayan modern Data Security yaklaşımıdır.

DDR'ın odağı yalnız data'nın nerede bulunduğu değildir.

Asıl soru:

“Bu hassas veriye şu anda ne oluyor?”

şeklindedir.

Örneğin:

Bir kullanıcı normalden çok daha fazla customer record indiriyor.

Bir service account ilk kez Restricted dataset'e erişiyor.

Bir DBA gece saatlerinde milyonlarca kayıt sorguluyor.

Bir employee Confidential files'ı external SaaS platformuna yüklüyor.

Bir AI Agent beklenmeyen şekilde büyük miktarda data retrieve ediyor.

Bu davranışlar DDR açısından değerlendirilmesi gereken data security signals olabilir.

DSPM ile DDR Arasındaki Fark Nedir?

DSPM ve DDR yakın kavramlardır ancak aynı değildir.

DSPM daha çok posture management odaklıdır.

Şu soruları sorar:

Sensitive data nerede?

Data public mı?

Encryption var mı?

Kim erişebilir?

Shadow Data var mı?

DDR ise threat detection and response odaklıdır.

Şu soruları sorar:

Kim şu anda data'ya erişiyor?

Bu erişim normal mi?

Bulk download var mı?

Data exfiltration olabilir mi?

Bu olaya müdahale edilmeli mi?

Kısaca:

DSPM = Data Risk Posture

DDR = Data Threat Detection & Response

şeklinde düşünülebilir.

DDR Neden Gerekli?

Bir kurum bütün sensitive data'sını bulmuş ve sınıflandırmış olabilir.

Ancak security posture bugün iyi olsa bile yarın compromised identity risk oluşturabilir.

Örneğin legitimate user account çalınır.

Attacker normal permissions üzerinden data'ya erişir.

CSPM finding oluşmayabilir.

Vulnerability bulunmayabilir.

Ancak user behavior değişmiştir.

DDR bu runtime data activity'ye odaklanır.

DDR ile EDR Benzer mi?

Mantıksal açıdan benzerlik kurulabilir ancak odakları farklıdır.

EDR:

Endpoint Detection and Response.

DDR:

Data Detection and Response.

EDR endpoint üzerindeki malicious behavior'a odaklanır.

DDR data access ve data movement üzerindeki malicious veya anomalous behavior'a odaklanır.

Bu nedenle modern SOC architecture'da birbirini tamamlayabilirler.

DDR ile NDR Arasındaki Fark

NDR network traffic ve network behavior'ı analiz eder.

DDR data-centric behavior'ı analiz eder.

Örneğin NDR unusual outbound traffic görebilir.

DDR aynı event'in:

Restricted Customer Data

olduğunu anlayabilir.

Bu data context incident priority'yi değiştirir.

DDR ile DLP Arasındaki Fark

DLP policy-based data movement prevention'a odaklanır.

DDR daha geniş behavioral detection ve response perspective'i sağlar.

Örneğin DLP:

“Restricted file external e-mail'e gönderilemez.”

diyebilir.

DDR ise:

“Bu user son 30 dakikada 5.000 Confidential document'a erişti ve davranışı normal profilinden ciddi biçimde sapıyor.”

şeklinde threat detection yapabilir.

DLP policy enforcement'tır.

DDR behavioral data threat detection'a daha yakındır.

DDR ile DAM Arasındaki Fark

DAM özellikle database activity'ye odaklanır.

DDR farklı data repositories üzerindeki activities'i daha geniş data threat perspective'iyle değerlendirebilir.

DAM:

Database query visibility.

DDR:

Cross-platform data threat detection.

Örneğin:

DAM bulk database export görür.

DDR bunu endpoint download ve cloud upload activity'si ile ilişkilendirebilir.

DDR Hangi Sinyalleri Kullanabilir?

DDR için valuable signals şunlar olabilir:

Sensitive Data Access

Bulk Download

Mass Query

External Sharing

Large Export

Unusual User Behavior

New Device Access

Privileged Data Access

Unusual Service Account Activity

AI Agent Data Access

DLP Events

DAM Events

Identity Risk

Endpoint Risk

Bu signals birlikte risk context oluşturabilir.

DDR ve UEBA

UEBA user ve entity behavior patterns'ını analiz eder.

DDR bu behavioral context'i data sensitivity ile birleştirebilir.

Örneğin:

User behavior abnormal.

Tek başına medium risk olabilir.

Ancak:

User behavior abnormal

Restricted Data Access

Mass Download

olduğunda critical data threat oluşabilir.

Data-Centric Threat Detection

Traditional threat detection çoğunlukla:

IP

Endpoint

Malware

Process

User

üzerinden düşünür.

Data-centric threat detection ise bunlara:

“Hangi veri etkileniyor?”

sorusunu ekler.

Bu incident response priority açısından çok önemlidir.

DDR ve Insider Threat

DDR'ın önemli use case'lerinden biri insider threat'tir.

Employee legitimate access'e sahip olabilir.

Bu nedenle authentication bypass gerekmez.

Ancak behavior unusual olabilir.

Örneğin:

Employee normalde 50 customer record görür.

Bir gün 500.000 record download eder.

Bu insider risk göstergesi olabilir.

Compromised Identity ve DDR

Attacker stolen credentials ile legitimate user gibi davranabilir.

MFA bile bazı token theft scenarios'da yeterli olmayabilir.

DDR data access behavior'ını analiz ederek account compromise'i destekleyen signals üretebilir.

Data Exfiltration Detection

DDR data exfiltration chain'i farklı security layers üzerinden görebilir.

Örneğin:

Sensitive Database Access

↓

Bulk Export

↓

Endpoint File Creation

↓

Cloud Upload

Bu chain DAM, EDR ve DLP signals'ının birleşimi olabilir.

DDR data context üzerinden incident'i anlamlandırabilir.

DDR + SIEM + SOC

DDR findings SOC workflow'a aktarılabilir.

SIEM:

Identity

Endpoint

Network

Cloud

Data

signals'ını correlate edebilir.

SOC analyst böylece yalnız:

“User downloaded file.”

değil:

“High-risk user downloaded 10 GB Restricted customer data and uploaded it to an unsanctioned cloud service.”

gibi daha meaningful alert görebilir.

Data Security Operations

DSPM ve DDR birlikte kullanıldığında yeni bir operational model ortaya çıkar:

Data Security Operations.

DSPM posture visibility sağlar.

DDR runtime detection sağlar.

SIEM correlation sağlar.

SOC investigation ve response yürütür.

Bu architecture data security'yi yalnız governance konusu olmaktan çıkarıp operational security discipline haline getirir.

DSPM + DDR + DLP + DAM Mimarisi

Bu kavramları birbirinden ayırmak önemlidir.

DSPM

Sensitive data'yı keşfeder ve risk posture'unu analiz eder.

DDR

Data'ya yönelik active threats ve anomalous behavior'ı detect eder.

DLP

Data'nın kontrolsüz movement'ını prevent veya control eder.

DAM

Database üzerindeki detailed activity'yi izler.

Birlikte düşünüldüğünde:

DSPM → Know the Data

DAM → Observe Database Activity

DDR → Detect Data Threats

DLP → Control Data Movement

şeklinde güçlü bir Data Security Architecture oluşur.

DDR Response Actions

Detection tek başına yeterli değildir.

High-confidence data threat sonrasında response gerekebilir.

Örneğin:

User Session Revoke

Account Disable

Access Permission Remove

File Sharing Link Disable

Download Block

OAuth Token Revoke

Endpoint Isolation

Database Session Terminate

SOC Investigation

gibi actions uygulanabilir.

Response automation risk seviyesine göre tasarlanmalıdır.

Automatic Response Her Zaman Doğru mu?

Hayır.

False positive durumunda business operation etkilenebilir.

Örneğin legitimate financial reporting process mass data query çalıştırabilir.

Bu nedenle:

High Confidence + High Risk

events automatic response alabilir.

Diğer events analyst approval gerektirebilir.

Bu risk-based automation'dır.

SOAR ve DDR

SOAR DDR alerts için response workflows çalıştırabilir.

Örneğin:

DDR High-Risk Data Exfiltration Alert

↓

Enrich Identity

↓

Check EDR

↓

Check DLP

↓

Check DAM

↓

Disable Session

↓

Open Incident

Bu automated security orchestration sağlayabilir.

DSPM ve DDR ile Ransomware Detection

Ransomware data confidentiality dışında availability ve integrity'yi de etkiler.

DDR:

Mass File Modification

Mass Encryption

Mass Deletion

Unusual Data Access

gibi behaviors üzerinden ransomware activity'sini destekleyici şekilde detect edebilir.

DSPM ise hangi critical datasets'in etkilenebileceğini gösterir.

Data Destruction Detection

Data threat yalnız theft değildir.

Attacker data'yı:

Delete

Encrypt

Modify

Corrupt

edebilir.

Bu nedenle DDR confidentiality yanında integrity ve availability threats'i de değerlendirmelidir.

AI ve DSPM

Generative AI adoption yeni data repositories oluşturmaktadır.

Örneğin:

Vector Databases

Prompt Logs

Training Datasets

Fine-Tuning Data

Agent Memory

AI Knowledge Bases.

DSPM bu repositories'i Data Security scope'una dahil etmelidir.

AI-SPM Nedir?

AI Security Posture Management veya AI-SPM kavramı AI systems'ın security posture'unu değerlendirmeye yönelik gelişen yaklaşımlardan biridir.

DSPM ile kesişim özellikle data tarafındadır.

Örneğin:

AI model hangi sensitive dataset'e erişiyor?

Training data içerisinde PII var mı?

Vector database public mı?

Agent hangi data sources'a bağlı?

Bu sorular Data Security açısından önemlidir.

DSPM ve RAG

RAG architecture corporate data'yı AI model context'ine taşır.

Bu nedenle retrieval sources inventory'de olmalıdır.

DSPM:

Sensitive Documents

Excessive Permissions

Vector Stores

Data Copies

gibi risks'i görünür hale getirebilir.

Permission-Aware RAG

RAG system user'ın access permission'ı olmayan document'ı retrieve etmemelidir.

Bu nedenle retrieval engine:

Identity

Document ACL

Classification

Context

bilgilerini değerlendirmelidir.

DSPM existing excessive permissions'ı tespit ederek AI exposure riskini azaltabilir.

AI Agent ve DSPM

AI Agent farklı repositories'e bağlanabilir.

Örneğin:

SharePoint

Database

CRM

Cloud Storage

E-mail.

DSPM agent'ın erişebildiği sensitive data'yı analiz edebilir.

Bu yeni nesil Agentic Data Security için kritik olacaktır.

AI Agent ve DDR

AI Agent yalnız data access değil autonomous actions gerçekleştirebilir.

Bu nedenle DDR AI Agent behavior'ını da değerlendirmelidir.

Örneğin:

Agent normally reads 100 documents.

Bir anda 100.000 documents retrieve ediyor.

Bu unusual activity olabilir.

Agentic Data Detection and Response

Gelecekte DDR yalnız human user behavior'ını değil AI Agent behavior'ını da izleyecektir.

Sorular:

Agent hangi data'ya erişti?

Hangi user adına erişti?

Hangi tool çağrıldı?

Ne kadar data retrieve edildi?

Data external destination'a gönderildi mi?

Bu Agentic DDR yaklaşımının temelini oluşturabilir.

AI Agent Attribution

AI Agent service account kullanıyorsa actual user context kaybolmamalıdır.

Ideal telemetry:

End User

↓

AI Agent

↓

Service Identity

↓

Data Resource

↓

Action

şeklinde chain sağlamalıdır.

Bu accountability için önemlidir.

Prompt Injection ve Data Security

Malicious document veya prompt AI Agent'ı sensitive data'yı retrieve etmeye yönlendirebilir.

Bu nedenle AI Security yalnız prompt filtering ile çözülmez.

Agent permissions ve data access controls kritik önemdedir.

DSPM hangi data'nın exposed olduğunu, DDR ise unusual retrieval behavior'ını analiz edebilir.

DSPM ve Data Lineage

Data Lineage data'nın systems arasında nasıl hareket ettiğini gösterir.

DSPM sensitive data'nın downstream copies'ini anlamak için lineage bilgisinden yararlanabilir.

Örneğin:

Production Database

↓

Data Warehouse

↓

BI

↓

CSV Export

↓

Cloud Storage.

Her stage yeni security risk oluşturabilir.

Attack Path to Data

Traditional attack path analysis:

Attacker → Server.

Data-centric attack path:

Attacker

↓

Compromised Identity

↓

Cloud Role

↓

Storage Permission

↓

Restricted Data.

Bu model Data Security açısından daha anlamlı olabilir.

Data Attack Surface Management

DSPM kurumun data attack surface'ini görünür hale getirebilir.

Data attack surface şunları içerebilir:

Sensitive Repositories

Public Exposure

Excessive Access

Shadow Copies

Unmanaged Data

Third-Party Access

AI Access

Bu nedenle DSPM Attack Surface Management'ın data-centric uzantısı olarak da değerlendirilebilir.

Data Exposure Management

Exposure Management yaklaşımı vulnerabilities dışındaki risks'i de dikkate alır.

DSPM data exposure context sağlar.

Örneğin:

Vulnerable server

No Sensitive Data

ile:

Vulnerable server

Restricted Customer Database

aynı remediation priority'ye sahip olmayabilir.

Data Breach Risk Prioritization

Security teams thousands of findings ile karşılaşabilir.

DSPM data context ile prioritization sağlar.

Örneğin:

Critical:

Public + Restricted Data.

High:

External Access + Confidential Data.

Medium:

Internal Excessive Access.

Bu business-driven remediation sağlar.

DSPM ve Vulnerability Management

Vulnerability Management technical weakness'i bulur.

DSPM impacted data'yı gösterir.

Bu iki context birleştiğinde vulnerability risk'i daha doğru hesaplanabilir.

DSPM ve Attack Surface Management

External Attack Surface Management internet-facing assets'i bulur.

DSPM data assets'i bulur.

Örneğin internet-facing database bulundu.

DSPM bu database'in Restricted Data içerdiğini gösterirse priority artar.

Third-Party Data Risk

Sensitive data third-party SaaS içerisinde olabilir.

DSPM veya Data Discovery integrations bu repositories'i visibility kapsamına alabilir.

Third-party access data governance'ın önemli parçasıdır.

External User Risk

External consultant sensitive data'ya erişebilir.

Bu legitimate olabilir.

Ancak access project bittikten sonra devam ediyorsa risk oluşur.

DSPM excessive external access'i identify edebilir.

DDR unusual external activity'yi detect edebilir.

OAuth Applications ve DSPM

OAuth applications cloud data'ya broad permissions alabilir.

DSPM access graph içerisinde applications'ı identity olarak değerlendirebilir.

Bu machine identity visibility sağlar.

Non-Human Identity Data Risk

Service Accounts

API Clients

Automation Bots

AI Agents

human olmayan identities'dir.

Bu identities large-scale data access yapabilir.

Modern DSPM ve DDR architecture bunları mutlaka kapsamalıdır.

Data Security Posture Sürekli Değişir

DSPM tek seferlik assessment değildir.

Bugün secure olan repository yarın:

Public yapılabilir.

New user access alabilir.

Sensitive data yüklenebilir.

Encryption disable edilebilir.

Bu nedenle Continuous Data Security Posture Management gerekir.

Continuous DSPM

Continuous DSPM environment değişikliklerini düzenli veya sürekli şekilde analiz eder.

New Data Store

New Sensitive Data

New External Access

New Public Exposure

New AI Connection

detect edilebilir.

Bu cloud-native environments için önemlidir.

DSPM Projesi Nasıl Başlatılır?

İlk adım scope belirlemektir.

Öncelikli environments:

Cloud Storage

Databases

SaaS

Microsoft 365

Data Warehouses

Data Lakes

Backups

AI Data Stores

olabilir.

Ardından data discovery yapılır.

DSPM Uygulama Yol Haritası

Pratik bir DSPM roadmap şu şekilde olabilir:

1. Data Sources Inventory

Hangi repositories mevcut?

2. Sensitive Data Discovery

Hangi sensitive data types bulunuyor?

3. Classification

Data ne kadar kritik?

4. Access Analysis

Kim erişebilir?

5. Exposure Analysis

Public, external veya excessive access var mı?

6. Risk Scoring

Hangi findings önce düzeltilmeli?

7. Remediation

Permissions, encryption, sharing ve retention sorunları giderilir.

8. Continuous Monitoring

Yeni risks sürekli izlenir.

9. DDR Integration

Active data threats runtime olarak detect edilir.

10. SOC Integration

Critical events operational response sürecine bağlanır.

DSPM ve DDR Birlikte Nasıl Kurulmalı?

DSPM önce data context oluşturabilir.

Örneğin:

Dataset = Restricted.

Owner = Finance.

Access = 12 Users.

Normal Activity = Daily Reporting.

DDR daha sonra runtime activity'yi bu context üzerinden değerlendirir.

Bir user 3 milyon record indirirse alert yalnız:

“Large Download”

olmaz.

Şuna dönüşür:

“Finance Restricted Dataset üzerinde normal davranışın dışında 3 milyon kayıtlık veri çıkarma aktivitesi.”

Bu context SOC analyst için çok daha değerlidir.

Data Security Risk Register

DSPM findings risk register'a aktarılabilir.

Örneğin:

Sensitive Data Public Exposure

Unknown Data Owner

Unencrypted Restricted Data

Excessive External Access

Shadow Data

gibi risks takip edilebilir.

Bu GRC ile technical Data Security arasında bridge oluşturur.

KVKK ve DSPM

DSPM bir compliance aracı olarak tek başına KVKK uyumluluğu sağlamaz.

Ancak kişisel verilerin teknik olarak nerelerde bulunduğunun keşfedilmesi, access exposure'ın analiz edilmesi ve kontrolsüz copies'in tespit edilmesi KVKK kapsamındaki veri güvenliği çalışmalarını destekleyebilir.

Özellikle kişisel veri envanteri çalışmaları ile teknik Data Discovery birbirini destekleyebilir.

Ancak hukuki kişisel veri envanteri ile teknik data inventory aynı kavram değildir.

Bu ayrım önemlidir.

KVKK ve Shadow Data

Kurum resmi sistemlerde personal data'yı yönetiyor olabilir.

Ancak employees tarafından oluşturulan Excel copies veya forgotten backups inventory dışında kalabilir.

Bu durum data governance açısından risk oluşturur.

Sensitive Data Discovery bu hidden copies'i ortaya çıkarmaya yardımcı olabilir.

GDPR ve DSPM

Benzer şekilde GDPR kapsamında data mapping, minimization, access governance ve retention çalışmalarında technical data discovery faydalı olabilir.

Ancak DSPM deployment tek başına legal compliance sağlamaz.

Technology governance sürecini destekler.

DDR ve Veri İhlali Müdahalesi

DDR security incident sırasında hangi data'nın etkilenmiş olabileceğini anlamayı hızlandırabilir.

Örneğin:

Hangi dataset access edildi?

Kaç record?

Hangi classification?

Hangi user?

Data dışarı çıktı mı?

Bu bilgiler breach investigation için önemlidir.

Data Breach Blast Radius

Blast Radius bir security incident'in etki alanını ifade eder.

Data-centric incident response'ta şu sorular sorulur:

Hangi data etkilendi?

Kaç kişi?

Hangi systems?

Hangi copies?

Hangi identities?

DSPM inventory ve DDR telemetry bu analysis'i destekleyebilir.

DSPM KPI'ları

DSPM programı ölçülebilir olmalıdır.

Örnek KPI'lar:

Sensitive Data Repositories

Sensitive Data Volume

Public Sensitive Data

Externally Shared Sensitive Data

Unencrypted Sensitive Data

Excessive Access Findings

Unknown Data Owners

Shadow Data Repositories

Dark Data Volume

Stale Data Volume

Duplicate Sensitive Data

High-Risk Toxic Combinations

Data Risk Remediation Time

AI Data Stores Discovered

AI Agents with Sensitive Data Access

gibi metrics olabilir.

DDR KPI'ları

DDR tarafında farklı metrics kullanılabilir:

High-Risk Data Events

Bulk Data Access Events

Mass Download Alerts

Unusual Sensitive Data Access

Data Exfiltration Incidents

Insider Threat Data Events

AI Agent Anomalies

Mean Time to Detect

Mean Time to Investigate

Mean Time to Respond

False Positive Rate

Automated Response Rate

Bu metrics Data Security Operations maturity'sini gösterir.

Mean Time to Detect – MTTD

Data threat ne kadar hızlı detect ediliyor?

Bir attacker 6 saat boyunca sensitive data indiriyorsa damage büyüyebilir.

DDR MTTD'yi azaltmayı hedefler.

Mean Time to Respond – MTTR

Detection sonrası containment ne kadar hızlı?

User session revoke edildi mi?

Token disabled mı?

External sharing kapatıldı mı?

Bu response speed breach impact'i azaltabilir.

DSPM'de En Sık Yapılan Hatalar

İlk hata DSPM'i yalnız sensitive data scanner olarak görmektir.

Data Discovery başlangıçtır; asıl değer access ve exposure context'tedir.

İkinci hata bütün sensitive data'yı aynı risk seviyesinde değerlendirmektir.

Üçüncü hata Shadow Data ve duplicate copies'i görmezden gelmektir.

Dördüncü hata DSPM'i IAM, DLP, DAM ve SIEM'den izole etmektir.

Beşinci hata remediation ownership belirlememektir.

Altıncı hata yalnız cloud infrastructure'a bakıp SaaS ve AI data stores'u kapsam dışında bırakmaktır.

Yedinci hata machine identities ve AI Agents'ı access analysis'e dahil etmemektir.

Sekizinci hata posture visibility oluşturup active data threats için DDR yaklaşımı kurmamaktır.

DDR'da En Sık Yapılan Hatalar

DDR'da en yaygın hata yalnız yüksek data volume'a bakmaktır.

Mass download her zaman malicious değildir.

Context gerekir.

İkinci hata data sensitivity'yi behavioral detection'a eklememektir.

Üçüncü hata legitimate service accounts için baseline oluşturmamaktır.

Dördüncü hata yalnız human users'a odaklanmaktır.

Beşinci hata DLP, DAM, EDR, IAM ve SIEM signals'ını birleştirmemektir.

Altıncı hata her anomaly için automatic blocking uygulamaktır.

Yedinci hata AI Agents'ın yüksek hızda gerçekleştirebildiği data actions'ı traditional human thresholds ile değerlendirmektir.

DSPM + DDR Kontrol Listesi

• Kurumsal data repositories inventory'de mi?
• Cloud data sources keşfediliyor mu?
• SaaS data sources kapsamda mı?
• Microsoft 365 data görünür mü?
• Databases inventory'de mi?
• Data warehouses kapsamda mı?
• Data lakes kapsamda mı?
• Backups ve snapshots taranıyor mu?
• Sensitive Data Discovery uygulanıyor mu?
• PII Detection mevcut mu?
• Data Classification uygulanıyor mu?
• Data Owners belirlenmiş mi?
• Public sensitive data tespit ediliyor mu?
• External sharing analiz ediliyor mu?
• Excessive access tespit ediliyor mu?
• Effective permissions hesaplanıyor mu?
• Shadow Data bulunuyor mu?
• Dark Data analiz ediliyor mu?
• ROT Data azaltılıyor mu?
• Stale Data tespit ediliyor mu?
• Duplicate sensitive data görünür mü?
• Orphaned Data tespit ediliyor mu?
• Encryption posture kontrol ediliyor mu?
• Data Access Graph oluşturuluyor mu?
• Toxic combinations analiz ediliyor mu?
• Risk scoring data sensitivity içeriyor mu?
• DSPM ile CSPM entegre mi?
• DSPM ile CIEM entegre mi?
• DSPM ile DLP entegre mi?
• DSPM ile DAM entegre mi?
• DDR capability mevcut veya değerlendiriliyor mu?
• Bulk sensitive data access detect ediliyor mu?
• Mass download events izleniyor mu?
• Unusual data access analiz ediliyor mu?
• Insider threat use case'leri var mı?
• Compromised identity context kullanılıyor mu?
• DAM events DDR'a aktarılıyor mu?
• DLP events DDR'a aktarılıyor mu?
• EDR risk signals kullanılıyor mu?
• Identity risk signals kullanılıyor mu?
• DDR alerts SIEM/SOC'a aktarılıyor mu?
• SOAR response workflows tanımlı mı?
• Automated containment risk-based mi?
• AI data stores inventory'de mi?
• Vector databases taranıyor mu?
• Prompt logs governance kapsamında mı?
• AI Agents identity olarak görünür mü?
• AI Agent data access izleniyor mu?
• Agent bulk retrieval detect ediliyor mu?
• End User → AI Agent → Data attribution mevcut mu?
• Data Breach Blast Radius analiz edilebiliyor mu?
• DSPM KPI'ları takip ediliyor mu?
• DDR KPI'ları takip ediliyor mu?

DSPM ve DDR Olgunluk Modeli

Seviye 1 – Data Visibility Eksikliği: Kurum sensitive data'nın tamamının nerede olduğunu bilmez. Shadow Data yaygındır ve access visibility sınırlıdır.

Seviye 2 – Data Discovery ve Classification: Critical repositories taranır, sensitive data keşfedilir ve classification modeli uygulanır.

Seviye 3 – Data Security Posture Management: Access exposure, encryption, external sharing, Shadow Data ve toxic combinations sürekli analiz edilir. Risk-based remediation başlar.

Seviye 4 – Data Detection and Response: DSPM context'i DAM, DLP, IAM, EDR ve SIEM telemetry ile birleştirilir. Active data threats behavioral olarak detect edilir ve SOC süreçlerine bağlanır.

Seviye 5 – Adaptive Data Security Operations: Human, machine ve AI Agent data access'i sürekli değerlendirilir. DSPM + DDR + DLP + DAM + IAM + SIEM + SOAR birlikte çalışır ve high-confidence threats için adaptive response uygulanır.

Olgunluk dönüşümü şu şekilde özetlenebilir:

Data Discovery

↓

Data Classification

↓

DSPM

↓

DDR

↓

Adaptive Data Security Operations

Sık Sorulan Sorular

DSPM nedir?

DSPM, Data Security Posture Management ifadesinin kısaltmasıdır. Kurumsal sensitive data'nın nerede bulunduğunu, kimlerin erişebildiğini ve hangi security exposure'lara sahip olduğunu analiz eden data-centric security yaklaşımıdır.

Data Security Posture Management ne işe yarar?

Sensitive Data Discovery, Data Classification, access analysis, Shadow Data discovery, exposure detection ve risk prioritization sağlar.

DDR nedir?

DDR, Data Detection and Response ifadesinin kısaltmasıdır. Hassas verilere yönelik olağan dışı erişim, toplu veri çıkarma, insider threat ve olası data exfiltration aktivitelerinin tespit edilmesi ve response süreçlerinin başlatılmasına odaklanan Data Security yaklaşımıdır.

DSPM ile DDR arasındaki fark nedir?

DSPM verinin nerede olduğunu ve neden risk altında olduğunu analiz eder. DDR ise hassas veriye yönelik aktif ve olağan dışı davranışları detect ederek response süreçlerini destekler.

DSPM ile DLP arasındaki fark nedir?

DSPM sensitive data posture ve exposure visibility sağlar. DLP data'nın kontrolsüz movement'ını detect veya prevent etmeye odaklanır.

DDR ile DLP arasındaki fark nedir?

DLP daha çok policy-based data movement control sağlarken DDR behavioral data threat detection ve response'a odaklanır.

DAM ile DDR arasındaki fark nedir?

DAM database activity'yi detaylı olarak izler. DDR database dahil farklı data sources üzerindeki threat signals'ını daha geniş data-centric detection ve response context'inde değerlendirir.

Shadow Data nedir?

Shadow Data, security veya governance ekiplerinin yeterli visibility'sine sahip olmadığı data repositories veya data copies'dir.

Dark Data nedir?

Dark Data, kurum tarafından saklanan ancak aktif olarak kullanılmayan veya business value'su belirsiz data'dır.

ROT Data nedir?

ROT Data; Redundant, Obsolete ve Trivial data'nın genel adıdır.

Data Access Graph nedir?

Data Access Graph, users, groups, applications, service accounts ve data resources arasındaki permission relationships'i gösteren modeldir.

Toxic Combination nedir?

Sensitive data'nın public access, excessive permission veya no encryption gibi birden fazla risk ile aynı anda karşılaşmasıdır.

DSPM ile CSPM arasındaki fark nedir?

CSPM cloud infrastructure configuration posture'a odaklanırken DSPM data sensitivity, data location ve access exposure'a odaklanır.

DSPM ile CIEM arasındaki fark nedir?

CIEM cloud identities ve entitlements'ı analiz eder. DSPM bu permissions'ın hangi sensitive data'ya erişim sağladığını anlamaya yardımcı olur.

DSPM KVKK uyumluluğu sağlar mı?

Tek başına sağlamaz. Ancak kişisel verilerin teknik olarak keşfedilmesi, uncontrolled copies'in bulunması, access exposure'ın analiz edilmesi ve data minimization çalışmalarını destekleyebilir.

DDR insider threat tespitinde kullanılabilir mi?

Evet. Authorized user'ın normal davranışından saparak büyük miktarda sensitive data'ya erişmesi veya data çıkarması gibi events DDR kapsamında değerlendirilebilir.

DDR SIEM'in yerine geçer mi?

Hayır. DDR data-centric threat signals üretir. SIEM bunları endpoint, network, identity ve diğer security telemetry ile correlate ederek SOC operasyonunu destekleyebilir.

AI sistemlerinde DSPM neden önemlidir?

AI applications yeni datasets, vector databases, prompt logs ve knowledge bases oluşturabilir. DSPM bu data repositories'in sensitivity ve exposure riskini görünür hale getirebilir.

AI Agent için DDR gerekli midir?

AI Agents çok yüksek hızda data retrieve ve transfer edebildiği için agent behavior monitoring yeni nesil DDR'ın önemli use case'lerinden biridir.

DSPM ve DDR birlikte kullanılmalı mı?

Modern Data Security açısından güçlü yaklaşım budur. DSPM hangi verinin risk altında olduğunu, DDR ise o veriye yönelik aktif riskli davranışları görünür hale getirir.

Sonuç: DSPM Verinin Riskini, DDR Veriye Yönelik Aktif Tehdidi Görünür Hale Getirir

Modern Data Security'nin en büyük problemi yalnız data'nın çok fazla olması değildir.

Asıl problem data'nın:

nerede bulunduğunun,

kaç copy'sinin olduğunun,

kimlerin erişebildiğinin,

hangi applications tarafından kullanıldığının,

hangi AI Agents tarafından işlenebildiğinin

tam olarak bilinmemesidir.

DSPM bu visibility problemini çözmeye odaklanır.

Önce sensitive data bulunur.

Sonra classify edilir.

Access relationships analiz edilir.

Shadow Data ortaya çıkarılır.

Public exposure bulunur.

Excessive permissions tespit edilir.

Encryption posture değerlendirilir.

Toxic combinations prioritize edilir.

Ancak Data Security burada bitmez.

Çünkü posture güvenli olsa bile identity compromise olabilir.

Insider malicious davranabilir.

Service account ele geçirilebilir.

AI Agent beklenmeyen bir action gerçekleştirebilir.

Bu nedenle ikinci aşama DDR – Data Detection and Response yaklaşımıdır.

DDR şu soruyu sorar:

“Hassas verimize şu anda ne oluyor?”

Bu nedenle modern Data Security Architecture'ın giderek şu yapıya doğru ilerlediğini söylemek mümkündür:

Data Discovery

↓

Data Classification

↓

DSPM

↓

DAM + DLP + Identity Telemetry

↓

DDR

↓

SIEM / SOC

↓

SOAR / Response

Bu mimaride DSPM security team'e data risk posture sağlar.

DAM database behavior'ını gösterir.

DLP data movement'ı kontrol eder.

Identity Security kimin eriştiğini gösterir.

EDR endpoint context sağlar.

DDR bütün bu data-centric signals üzerinden active threats'i detect etmeye yardımcı olur.

SIEM ve SOC ise olayın investigation ve response sürecini yürütür.

AI ve Agentic AI sistemlerinin yaygınlaşmasıyla bu model daha da kritik hale gelecektir.

Çünkü geleceğin veri güvenliği yalnız:

“Hangi çalışan hangi dosyaya erişti?”

sorusunu cevaplamayacaktır.

Aynı zamanda:

“Hangi kullanıcı adına çalışan hangi AI Agent, hangi service identity üzerinden, hangi sensitive dataset'e erişti, ne kadar data retrieve etti, bu data ile hangi action'ı gerçekleştirdi ve davranış normal miydi?”

sorusuna da cevap vermek zorunda olacaktır.

Bu nedenle geleceğin Data Security yaklaşımı statik data protection değil:

Continuous Data Security Posture + Continuous Data Threat Detection + Automated Response

modeline doğru ilerlemektedir.

Ve bu bölümün en önemli cümlesi:

DSPM hassas verinin nerede olduğunu, kimlerin erişebildiğini ve neden risk altında olduğunu görünür hale getirirken; DDR – Data Detection and Response bu veriye yönelik olağan dışı erişim, toplu veri çıkarma, insider threat, compromised identity ve AI Agent kaynaklı aktif tehditleri tespit ederek modern Data Security Operations'ın detection ve response katmanını oluşturur.