Veri Güvenliği Nedir? Data Security, Veri Koruma ve Modern Kurumsal Veri Güvenliği Mimarisi

Veri güvenliği, kurumların sahip olduğu dijital ve fiziksel verilerin yetkisiz erişim, değiştirme, silinme, kaybolma, sızdırılma ve kötüye kullanılmaya karşı korunmasını sağlayan teknoloji, süreç ve güvenlik kontrollerinin bütünüdür. İngilizcede Data Security olarak kullanılan veri güvenliği kavramı; yalnızca dosyaları şifrelemek veya veritabanına parola koymak anlamına gelmez. Modern veri güvenliği; verinin nerede bulunduğunu keşfetmek, önem derecesini belirlemek, sınıflandırmak, kimlerin erişebileceğini kontrol etmek, veri hareketlerini izlemek ve olası veri sızıntılarını önlemek üzerine kurulu bütünsel bir güvenlik yaklaşımıdır.

Günümüzde kurumların en değerli dijital varlıklarından biri veridir. Müşteri kayıtları, çalışan bilgileri, finansal veriler, ticari sırlar, sözleşmeler, kişisel veriler, kaynak kodları, üretim bilgileri, Ar-Ge dokümanları, e-postalar, yedekler ve yönetim raporları kurumların operasyonlarının önemli bölümünü oluşturur. Siber saldırgan açısından da çoğu saldırının nihai hedefi artık yalnızca bir sunucuyu ele geçirmek değildir. Asıl hedef kritik veriye ulaşmak, bu veriyi dışarı çıkarmak, şifrelemek, değiştirmek veya ekonomik değere dönüştürmektir.

Bu nedenle modern siber güvenlik yaklaşımında şu soru giderek daha önemli hale gelmektedir:

“Hangi veriye sahibiz, bu veri nerede bulunuyor, ne kadar hassas, kimler erişebiliyor ve kurum dışına çıktığında bunu fark edebilir miyiz?”

Bu soruların tamamına cevap veremeyen bir kurumda güçlü firewall, EDR, SIEM veya IAM altyapısı bulunması tek başına yeterli olmayabilir. Çünkü güvenlik teknolojilerinin nihai amaçlarından biri, kurumun kritik verisini korumaktır.

Veri Güvenliği Nedir?

Veri güvenliği; verinin oluşturulduğu andan silindiği veya anonim hale getirildiği ana kadar confidentiality, integrity ve availability prensipleri doğrultusunda korunmasıdır. Bu yaklaşım Data Lifecycle Security, yani veri yaşam döngüsü güvenliği olarak da düşünülebilir.

Bir veri oluşturulduğunda veya kuruma ulaştığında önce nerede saklanacağı belirlenir. Daha sonra bu veriye kimlerin erişebileceği tanımlanır. Veri başka sistemlere aktarılabilir, e-posta ile paylaşılabilir, cloud ortamına taşınabilir, yedeklenebilir veya üçüncü taraflarla paylaşılabilir. Bu hareketlerin tamamı farklı güvenlik riskleri doğurur.

Bu nedenle veri güvenliği tek bir teknoloji değildir.

Modern Data Security Architecture içerisinde:

Data Discovery, Data Classification, Data Loss Prevention (DLP), Data Security Posture Management (DSPM), Database Activity Monitoring (DAM), Encryption, Data Access Governance, Identity Security, Data Masking, Tokenization, Backup Security ve Zero Trust

gibi farklı güvenlik katmanları birlikte kullanılabilir.

Bu teknolojilerin ortak amacı verinin yalnızca saklandığı noktayı değil, bütün yaşam döngüsünü korumaktır.

Data Security ile Data Protection Arasındaki Fark Nedir?

Data Security ve Data Protection kavramları çoğu zaman birbirinin yerine kullanılsa da kapsamları farklı olabilir. Data Security daha çok verinin yetkisiz erişim, sızıntı, değiştirme ve saldırılara karşı korunmasına odaklanırken Data Protection daha geniş bir perspektiften verinin güvenli işlenmesi, saklanması, yedeklenmesi, gizliliği ve gerektiğinde geri yüklenebilmesini kapsayabilir.

Örneğin bir database'in güçlü authentication ve encryption ile korunması Data Security kontrolüdür. Aynı database'in düzenli olarak yedeklenmesi, retention policy uygulanması ve disaster recovery senaryosunda geri döndürülebilmesi ise daha geniş Data Protection yaklaşımının parçasıdır.

Privacy ise farklı fakat ilişkili bir kavramdır. Privacy, kişisel verinin hangi amaçla ve hangi hukuki çerçevede işlendiğiyle ilgilenirken Data Security bu verinin teknik ve organizasyonel olarak korunmasına odaklanır.

Bu nedenle KVKK veya GDPR uyumlu olmak isteyen bir kurum yalnız hukuki metinler hazırlamakla yetinemez. Kişisel verilerin nerede bulunduğunu, kimlerin eriştiğini ve nasıl korunduğunu da teknik olarak yönetebilmelidir.

Veri Güvenliğinin Temel Amaçları Nelerdir?

Veri güvenliğinin temelini klasik CIA Triad oluşturur: Confidentiality, Integrity ve Availability.

Confidentiality – Gizlilik, veriye yalnız yetkili kişi veya sistemlerin erişebilmesini ifade eder. Bir müşteri database'ine yalnız ilgili application ve authorized users erişebilmelidir. Yetkisiz bir çalışanın veya attacker'ın bu verilere ulaşması confidentiality ihlalidir.

Integrity – Bütünlük, verinin yetkisiz veya kontrolsüz şekilde değiştirilmemesini ifade eder. Finansal kayıtların, logların, müşteri bilgilerinin veya sistem configuration'larının manipüle edilmesi ciddi güvenlik ve operasyon riski oluşturabilir.

Availability – Erişilebilirlik ise verinin ihtiyaç duyulduğunda erişilebilir olmasını ifade eder. Ransomware saldırısı sonucunda verinin şifrelenmesi, storage failure veya yanlışlıkla silinmesi availability kaybına neden olabilir.

Modern Data Security bu üç temel prensibin yanında authenticity, accountability, privacy ve resilience gibi kavramları da dikkate alır.

Kurumsal Veriler Neden Siber Saldırıların Ana Hedefidir?

Siber saldırgan için verinin ekonomik değeri vardır. Müşteri bilgileri satılabilir, kişisel veriler fraud amacıyla kullanılabilir, intellectual property rakiplere aktarılabilir veya kritik belgeler ransomware extortion amacıyla kullanılabilir.

Modern ransomware grupları yalnız verileri şifrelemekle yetinmeyebilir. Saldırgan önce kurum ağı içerisinde hareket eder, kritik data repositories'i keşfeder ve önemli verileri dışarı çıkarabilir. Ardından sistemleri şifreleyerek kurum üzerinde ek baskı oluşturabilir.

Bu saldırı modelinde veri güvenliğinin önemi daha da artar. Çünkü yalnız backup sahibi olmak yeterli değildir. Backup sistemleri operasyonun devamlılığını sağlayabilir ancak daha önce dışarı çıkarılmış confidential data'nın gizliliğini geri getiremez.

Bu nedenle ransomware defense ile Data Security arasında güçlü ilişki vardır.

Kurumsal Veri Nerelerde Bulunur?

Veri güvenliği programının en büyük zorluklarından biri verinin yalnız database içerisinde bulunmamasıdır. Kurumsal veri çok farklı sistemlere dağılabilir.

Örneğin veri:

file servers,

databases,

employee laptops,

e-mail systems,

SharePoint,

OneDrive,

Google Drive,

cloud object storage,

SaaS applications,

backup systems,

mobile devices,

USB drives,

collaboration platforms,

source code repositories

üzerinde bulunabilir.

Aynı müşteri bilgisi production database'de, Excel raporunda, e-mail attachment'ında ve kullanıcının laptop'ında dört farklı kopya halinde bulunabilir.

Bu durum Data Sprawl olarak adlandırılabilecek önemli bir veri güvenliği problemidir.

Kurum verinin nerede olduğunu bilmiyorsa onu etkili biçimde koruması da mümkün değildir.

Bu nedenle modern veri güvenliğinin ilk adımlarından biri Data Discovery, yani veri keşfidir.

Data Discovery Nedir?

Data Discovery, kurum içerisindeki verilerin nerede bulunduğunu ve hangi türde bilgiler içerdiğini keşfetme sürecidir. Amaç yalnız storage locations listesini çıkarmak değildir. Verinin içeriğinin de anlaşılması gerekir.

Örneğin bir Excel dosyasının içerisinde:

T.C. kimlik numarası,

telefon numarası,

e-mail adresi,

kredi kartı bilgisi,

müşteri bilgisi

bulunabilir.

Dosyanın adı rapor.xlsx olabilir.

Dosya adına bakıldığında hassas olduğu anlaşılmayabilir. Content inspection yapıldığında ise sensitive data içerdiği görülebilir.

Modern Data Discovery solutions bu nedenle dosya adı veya konumu yerine içeriği analiz etmeye çalışır.

Bu yaklaşım özellikle KVKK, GDPR, PCI DSS ve kurumsal veri güvenliği programları açısından önemlidir.

Sensitive Data Nedir?

Sensitive Data, yetkisiz erişim, disclosure veya modification durumunda kişi veya kurum açısından zarar oluşturabilecek hassas veridir.

Bu kapsam kuruma göre değişebilir.

Örneğin:

kişisel veriler,

özel nitelikli kişisel veriler,

finansal bilgiler,

kredi kartı verileri,

müşteri kayıtları,

ticari sırlar,

kaynak kodları,

Ar-Ge dokümanları,

stratejik planlar,

sözleşmeler,

authentication credentials

sensitive data olarak değerlendirilebilir.

Her veri aynı seviyede kritik değildir.

Bu nedenle Data Classification gereklidir.

Veri Sınıflandırma Nedir?

Veri sınıflandırma, verilerin hassasiyet ve iş değeri seviyesine göre kategorilere ayrılmasıdır.

Yaygın bir classification modeli:

Public

Internal

Confidential

Restricted

şeklinde olabilir.

Public veri kamuya açık olabilir.

Internal veri yalnız kurum içi kullanım için olabilir.

Confidential veri yetkili çalışanlarla sınırlı olabilir.

Restricted veri ise en yüksek koruma gerektiren kritik bilgiler için kullanılabilir.

Ancak classification yalnız label koymak değildir.

Gerçek değeri, label'ın güvenlik kontrollerini değiştirmesiyle ortaya çıkar.

Örneğin bir document Restricted olarak sınıflandırıldığında:

external sharing kapatılabilir,

encryption uygulanabilir,

USB'ye kopyalanması engellenebilir,

printing kısıtlanabilir,

DLP monitoring artırılabilir.

Bu durumda classification aktif security control haline gelir.

Veri Sınıflandırma Neden Data Security'nin Merkezindedir?

Kurum bütün veriye aynı security policy'yi uygulayamaz.

Public marketing document ile confidential merger document aynı security seviyesinde korunmak zorunda değildir.

Her veriye maksimum güvenlik uygulanması operasyonu zorlaştırabilir.

Hiçbir classification yapılmaması ise kritik verinin yetersiz korunmasına neden olabilir.

Bu nedenle modern Data Security'nin temel prensiplerinden biri:

Know Your Data

yaklaşımıdır.

Önce veri bilinmeli.

Sonra sınıflandırılmalı.

Daha sonra uygun security controls uygulanmalıdır.

Bu ilişki:

Discover → Classify → Protect → Monitor → Respond

şeklinde özetlenebilir.

Data Loss Prevention – DLP Nedir?

DLP, yani Data Loss Prevention, hassas verilerin yetkisiz şekilde kurum dışına çıkarılmasını veya uygunsuz kanallarla paylaşılmasını önlemeye yönelik güvenlik yaklaşımıdır.

Örneğin employee confidential Excel file'ı personal e-mail hesabına göndermek isteyebilir.

DLP bunu detect edebilir.

Policy'ye göre:

alert,

warn,

block

uygulanabilir.

Benzer şekilde sensitive document:

USB drive'a,

cloud storage'a,

web application'a

yüklenirken DLP devreye girebilir.

Bu nedenle DLP Data Classification'ın enforcement katmanlarından biridir.

Endpoint DLP Nedir?

Endpoint DLP, kullanıcı bilgisayarları üzerinde gerçekleşen data movements'ı kontrol eder.

Örneğin:

USB Copy

Print

Clipboard

Screenshot

Local Save

Browser Upload

gibi actions policy kapsamında izlenebilir veya sınırlandırılabilir.

Endpoint DLP özellikle insider threat ve accidental data leakage risklerinde önemlidir.

Ancak çok agresif DLP policies user productivity'yi etkileyebilir.

Bu nedenle DLP deployment risk-based yapılmalıdır.

Network DLP ve E-Mail DLP

Network DLP network traffic üzerinden sensitive data movement'ı detect etmeye çalışır.

E-mail DLP ise özellikle outbound e-mails üzerinde policy uygular.

Örneğin employee external recipient'a attachment gönderirken attachment içerisinde personal data bulunabilir.

DLP content inspection ile bunu detect edebilir.

Policy:

“Restricted classified files external recipients'a gönderilemez.”

şeklinde olabilir.

Bu data-centric security yaklaşımıdır.

Data at Rest, Data in Transit ve Data in Use Nedir?

Modern veri güvenliği, verinin üç temel durumunu dikkate alır.

Data at Rest, storage üzerinde duran veridir.

Database, disk, backup veya object storage içerisindeki data buna örnektir.

Data in Transit, network üzerinden taşınan veridir.

Client ile server arasındaki traffic veya system-to-system API communication buna örnektir.

Data in Use, application veya user tarafından aktif olarak kullanılan veridir.

Bu üç state farklı security controls gerektirir.

Data at Rest için encryption.

Data in Transit için TLS.

Data in Use için access control, application security, masking veya diğer protection mechanisms uygulanabilir.

Encryption Veri Güvenliğinde Neden Önemlidir?

Encryption, veriyi unauthorized party tarafından okunamaz hale getiren temel güvenlik controls'den biridir.

Disk çalınsa bile encrypted data doğrudan okunamayabilir.

Database backup attacker tarafından ele geçirilse bile encryption protection sağlayabilir.

Network traffic TLS ile encrypted olduğunda data interception riski azaltılabilir.

Ancak encryption tek başına yeterli değildir.

Eğer attacker legitimate user credential'ını ele geçirirse application üzerinden decrypted data'ya ulaşabilir.

Bu nedenle:

Encryption + Identity Security + Access Control

birlikte uygulanmalıdır.

Encryption Key Management Neden Kritik?

Encryption'ın güvenliği yalnız algorithm'e bağlı değildir.

Encryption keys doğru korunmazsa data protection zayıflar.

Bu nedenle Key Management önemli bir Data Security capability'dir.

Encryption keys:

secure storage,

rotation,

access control,

audit,

backup

ile yönetilmelidir.

KMS ve HSM technologies bu amaçla kullanılabilir.

Key ile encrypted data'nın aynı yerde uncontrolled tutulması risk yaratabilir.

Data Masking Nedir?

Data Masking, sensitive data'nın gerçek değerini yetkisiz veya gereksiz kullanıcılardan gizlemeyi sağlar.

Örneğin credit card number:

4444 5555 6666 7777

yerine:

**** **** **** 7777

şeklinde gösterilebilir.

Bu özellikle test ve development environments için önemlidir.

Developer production customer data'nın tamamını görmek zorunda olmayabilir.

Data masking Least Privilege prensibinin data-level uygulanmasıdır.

Tokenization Nedir?

Tokenization, sensitive data'nın yerine anlamlı olmayan token kullanılmasıdır.

Gerçek veri secure environment içerisinde tutulur.

Application işlemlerinde token kullanılabilir.

Bu özellikle payment systems ve sensitive identifiers için kullanılabilecek protection yaklaşımıdır.

Tokenization ile encryption aynı şey değildir ancak ikisi farklı use case'lerde sensitive data exposure'ı azaltabilir.

Database Activity Monitoring – DAM Nedir?

Kurumsal critical data'nın önemli bölümü databases içerisinde bulunur.

Bu nedenle database access monitoring Data Security'nin kritik katmanlarından biridir.

Database Activity Monitoring – DAM, database üzerinde gerçekleştirilen kullanıcı ve application activities'in izlenmesini sağlar.

Örneğin:

hangi user login oldu,

hangi table'a erişti,

hangi query çalıştırıldı,

kaç record okundu,

hangi privileged operation yapıldı

gibi bilgiler izlenebilir.

Bu özellikle privileged DBA accounts ve sensitive databases için önemlidir.

DBA Yetkileri Neden Veri Güvenliği Riski Oluşturabilir?

Database Administrator sistemin çalışması için geniş permissions'a ihtiyaç duyabilir.

Ancak bu permissions aynı zamanda sensitive data'ya erişim sağlayabilir.

Bu nedenle DBA'nın teknik olarak access hakkına sahip olması bütün data'yı business açısından görmeye yetkili olduğu anlamına gelmez.

DAM ve PAM integration ile privileged database activity izlenebilir.

Örneğin PAM:

DBA'nın session'ını,

DAM ise:

session içerisinde çalıştırılan SQL activity'yi

izleyebilir.

Bu daha güçlü accountability sağlar.

Data Access Governance Nedir?

Data Access Governance, hangi identity'nin hangi data'ya erişebileceğini yönetme sürecidir.

Bu yaklaşım IAM ve Data Security'nin kesişimidir.

Örneğin employee:

Finance Department

üyesiyse finance documents'a erişebilir.

Department değiştiğinde access kaldırılmalıdır.

Aksi halde Permission Creep oluşabilir.

Bu nedenle Data Access Governance:

Identity

Data Classification

Business Role

bilgisini birlikte değerlendirmelidir.

Least Privilege Veri Güvenliğinde Nasıl Uygulanır?

Least Privilege yalnız administrator accounts için değildir.

Data access için de uygulanmalıdır.

Employee yalnız görevini yapmak için gerekli data'ya erişmelidir.

Örneğin HR employee records'a erişebilir.

Ancak source code repository'ye erişmesi gerekmeyebilir.

Developer source code'a erişebilir.

Ancak payroll database'e erişmesi gerekmeyebilir.

Bu Need-to-Know prensibidir.

Modern Data Security:

Who Can Access What Data?

sorusunu sürekli cevaplayabilmelidir.

Excessive Data Access Nedir?

Bir user'ın business need'in üzerinde data access'e sahip olması excessive data access olarak değerlendirilebilir.

Örneğin employee yalnız Türkiye customers üzerinde çalışıyor olabilir.

Ancak global customer database'e access'i bulunabilir.

Bu unnecessary exposure oluşturur.

Attackers user account'u compromise ettiğinde bu broad access'i kullanabilir.

Bu nedenle excessive permissions yalnız identity security değil Data Security problemidir.

Data Security Posture Management – DSPM Nedir?

Modern cloud environments içerisinde verinin nerede olduğunu takip etmek zorlaşmıştır.

Bu nedenle Data Security Posture Management – DSPM önemli bir teknoloji alanı haline gelmiştir.

DSPM genel olarak sensitive data'yı discover etmeye, classify etmeye ve hangi security risks altında olduğunu analiz etmeye odaklanır.

Örneğin DSPM şu sorulara cevap arayabilir:

Sensitive data nerede?

Publicly accessible mı?

Kimler erişebiliyor?

Encryption var mı?

Duplicate copies var mı?

Data stale mi?

High-risk identities access sağlıyor mu?

Bu yaklaşım data-centric risk visibility sağlar.

Shadow Data Nedir?

Shadow Data, security veya governance teams tarafından tam olarak bilinmeyen veri kopyalarıdır.

Örneğin production database'den export edilen customer list employee tarafından Excel'e alınabilir.

Daha sonra SharePoint folder'a yüklenebilir.

Orijinal database güçlü şekilde korunurken Excel file daha weak security controls altında olabilir.

Bu Shadow Data problemidir.

Modern DSPM solutions bu tür uncontrolled data copies'i discover etmeye yardımcı olabilir.

Dark Data Nedir?

Dark Data, kurum tarafından toplanmış ancak aktif olarak kullanılmayan veya business value'su belirsiz veridir.

Bu data yıllarca storage üzerinde tutulabilir.

Problem şudur:

Kullanılmayan veri de saldırgan tarafından çalınabilir.

Bu nedenle Data Minimization önemlidir.

Kurum ihtiyacı olmayan sensitive data'yı sonsuza kadar saklamamalıdır.

Bu hem security hem privacy açısından risk oluşturur.

Cloud Data Security Neden Farklıdır?

Cloud environments data mobility'yi artırmıştır.

Bir user birkaç dakika içinde large dataset'i:

OneDrive,

SharePoint,

SaaS application,

object storage

üzerine taşıyabilir.

Yanlış sharing configuration sensitive data'yı external users'a açabilir.

Cloud Data Security bu nedenle yalnız encryption değil:

Sharing Governance

Identity Security

DLP

DSPM

CASB

gibi controls gerektirir.

Public Cloud Storage Riski

Cloud object storage yanlış configuration nedeniyle public hale gelebilir.

Bu durumda authentication gerekmeksizin data exposure oluşabilir.

Bu nedenle cloud storage için:

Public Access Control

Encryption

IAM Policies

Logging

Data Classification

uygulanmalıdır.

CSPM ve DSPM birlikte bu risks'i farklı açılardan analiz edebilir.

CSPM ile DSPM Arasındaki Fark Nedir?

CSPM, yani Cloud Security Posture Management, cloud infrastructure configurations'a odaklanır.

Örneğin:

Storage Public mı?

Security Group açık mı?

Encryption enabled mı?

DSPM ise verinin kendisine odaklanır.

Örneğin:

Bu storage içerisinde sensitive data var mı?

Hangi tür data var?

Kimler erişebiliyor?

Bu nedenle:

CSPM = Infrastructure-Centric

DSPM = Data-Centric

olarak düşünülebilir.

İki yaklaşım birbirini tamamlar.

Insider Threat Veri Güvenliği Açısından Neden Önemlidir?

Data leakage her zaman external attacker tarafından gerçekleştirilmez.

Authorized user da data'yı yanlış veya malicious şekilde kullanabilir.

Employee:

customer list'i personal e-mail'e gönderebilir,

USB'ye kopyalayabilir,

personal cloud storage'a yükleyebilir.

Bu intentional veya accidental olabilir.

Bu nedenle Insider Threat programları Data Security ile yakından ilişkilidir.

Accidental Data Leakage Nedir?

Her data leakage kötü niyetli değildir.

Employee yanlış recipient'a e-mail gönderebilir.

Sensitive file'ı public link ile paylaşabilir.

Yanlış folder'a upload edebilir.

Bu nedenle security controls yalnız malicious behavior'a değil human error'a karşı da koruma sağlamalıdır.

DLP bu noktada preventive control sağlayabilir.

Data Exfiltration Nedir?

Data Exfiltration, verinin yetkisiz biçimde kurum dışına çıkarılmasıdır.

Attacker compromised account üzerinden:

cloud download,

database export,

e-mail,

web upload,

encrypted archive

gibi yöntemlerle data exfiltration gerçekleştirebilir.

Modern Data Security Architecture unusual data movement'ı detect edebilmelidir.

Örneğin user normalde günde 20 MB data indiriyorsa bir anda 200 GB download etmesi anomali olabilir.

Bu behavior analytics ve UEBA için önemli use case'tir.

Identity Security ile Data Security Neden Birlikte Çalışmalıdır?

Data'ya erişen her işlem bir identity üzerinden gerçekleşir.

Bu human identity olabilir.

Service Account olabilir.

AI Agent olabilir.

Bu nedenle Data Security ile Identity Security birbirinden ayrı düşünülemez.

Modern access decision şu şekilde olabilir:

Identity Risk + Device Risk + Data Classification + Requested Action

Örneğin:

Low-Risk Employee

Managed Device

Internal Document

=

Allow.

Ancak:

High-Risk User

Unmanaged Device

Restricted Data

=

Block.

Bu Adaptive Data Access yaklaşımıdır.

Zero Trust Data Security Nedir?

Zero Trust prensibi veriye de uygulanabilir.

Internal network içerisinde olmak data access için yeterli güven sebebi değildir.

Her access request:

identity,

device,

resource,

data sensitivity,

risk

üzerinden evaluate edilmelidir.

Bu nedenle Zero Trust Data Security'nin temel prensibi:

Never Trust Data Access by Location; Verify Access by Identity and Context

olarak düşünülebilir.

Veri Yaşam Döngüsü Güvenliği Nasıl Sağlanır?

Data Lifecycle genellikle şu aşamalardan oluşur:

Create → Store → Use → Share → Archive → Delete

Her aşamada farklı security controls gerekir.

Create aşamasında classification uygulanabilir.

Store aşamasında encryption kullanılabilir.

Use aşamasında access control uygulanabilir.

Share aşamasında DLP devreye girebilir.

Archive aşamasında retention policy uygulanabilir.

Delete aşamasında secure deletion gerçekleştirilebilir.

Bu nedenle veri güvenliği yalnız storage security değildir.

Verinin bütün yaşam döngüsünü kapsamalıdır.

Data Retention Nedir?

Data Retention, verinin ne kadar süre saklanacağını belirleyen politikadır.

Her data sonsuza kadar tutulmamalıdır.

Business, legal ve regulatory requirements dikkate alınmalıdır.

Retention süresi dolduğunda data:

delete,

anonymize,

archive

edilebilir.

Gereksiz veri tutmak attack surface'i artırır.

Bu nedenle Data Minimization Data Security'nin önemli prensiplerinden biridir.

Backup Verisi de Sınıflandırılmalı mı?

Evet.

Production data confidential ise backup copy de confidential'dır.

Hatta backup çoğu zaman daha riskli olabilir.

Çünkü büyük miktarda data tek yerde bulunabilir.

Bu nedenle backup:

encryption,

access control,

immutability,

retention

ile korunmalıdır.

Backup systems privileged attack surface olarak değerlendirilmelidir.

Yapay Zekâ Veri Güvenliğini Nasıl Değiştiriyor?

Generative AI ve AI Agents Data Security için yeni riskler oluşturmaktadır.

Employee confidential information'ı public AI service'e prompt olarak girebilir.

AI Agent internal database'e erişebilir.

RAG system sensitive documents üzerinden cevap üretebilir.

Bu nedenle AI Security'nin önemli bir bölümü aslında Data Security'dir.

Kurum şu sorulara cevap vermelidir:

AI hangi data'ya erişiyor?

Prompt içerisinde sensitive data var mı?

Model output sensitive information içeriyor mu?

RAG authorization user permissions'ı koruyor mu?

Agent data'yı external system'e gönderebilir mi?

Bu sorular yeni nesil Data Governance programlarının parçası olacaktır.

Shadow AI ve Veri Sızıntısı Riski

Shadow AI, çalışanların kurum tarafından onaylanmamış AI tools kullanmasıdır.

Employee kolaylık amacıyla:

contract,

source code,

customer data,

financial report

gibi information'ı AI tool'a yükleyebilir.

Bu durumda traditional e-mail DLP tek başına yeterli olmayabilir.

Web DLP, CASB, browser security ve AI usage governance birlikte değerlendirilebilir.

Bu nedenle Generative AI adoption Data Security Architecture'ın yeniden değerlendirilmesini gerektirir.

RAG Sistemlerinde Veri Güvenliği

Retrieval-Augmented Generation, kurumsal documents üzerinden AI answer üretmeyi sağlar.

Ancak RAG system bütün documents'ı aynı authorization ile model'e sunarsa sensitive information leakage oluşabilir.

Örneğin normal employee:

Board Documents

veya:

Salary Information

üzerinden answer alamamalıdır.

Bu nedenle RAG Security içerisinde Permission-Aware Retrieval kritik öneme sahiptir.

AI user'ın erişemediği document'i retrieval sırasında da kullanmamalıdır.

Bu Identity Security ile AI Data Security'nin doğrudan kesişimidir.

AI Agent Data Access Nasıl Yönetilmeli?

AI Agent kendi başına database veya file repository üzerinde işlem yapabiliyorsa unique identity kullanmalıdır.

Agent'ın access'i:

task-specific,

least privilege,

time-bound

olmalıdır.

Örneğin reporting agent yalnız read permission'a ihtiyaç duyuyorsa database write permission verilmemelidir.

High-risk data access ayrıca monitoring altında tutulmalıdır.

Bu Agentic Data Security yaklaşımının temelidir.

Data Security ile KVKK Arasındaki İlişki

KVKK kapsamında kişisel verilerin hukuka uygun işlenmesinin yanında uygun güvenlik tedbirlerinin uygulanması da önemlidir.

Bu nedenle teknik Data Security controls KVKK programının önemli parçasıdır.

Örneğin:

Data Discovery

Data Classification

Access Control

DLP

Encryption

Logging

Data Masking

Backup Security

gibi controls kişisel veri güvenliğinin teknik temelini güçlendirebilir.

Ancak Data Security ürünü kullanmak tek başına KVKK uyumluluğu anlamına gelmez. Hukuki, organizasyonel ve teknik süreçlerin birlikte ele alınması gerekir.

Veri Güvenliği Programı Nasıl Başlatılır?

Kurumsal Data Security programı doğrudan DLP satın alarak başlamamalıdır.

Önce data landscape anlaşılmalıdır.

İlk soru:

“Neyi koruyoruz?”

olmalıdır.

Sonra:

“Nerede bulunuyor?”

Ardından:

“Ne kadar kritik?”

ve:

“Kim erişebiliyor?”

soruları cevaplanmalıdır.

Bu nedenle sağlıklı başlangıç modeli:

Discover → Inventory → Classify → Assign Owner → Protect → Monitor → Respond

şeklinde olabilir.

Bu sıra technology-centric değil data-centric security programı oluşturur.

Veri Güvenliği İçin Risk Bazlı Yaklaşım

Bütün data aynı security priority ile ele alınmamalıdır.

Örneğin public website image ile customer database aynı risk seviyesinde değildir.

Risk değerlendirmesi şu faktörleri dikkate alabilir:

Data Sensitivity

Business Criticality

Legal Impact

Access Exposure

Location

Identity Risk

Data Volume

Bu factors üzerinden high-risk datasets önceliklendirilebilir.

Bu DSPM ve modern Data Security programlarının temel yaklaşımıdır.

Data Owner Kimdir?

Her critical dataset için business owner belirlenmelidir.

IT team storage infrastructure'ı yönetebilir.

Ancak data'nın business value'sunu her zaman IT belirleyemez.

Örneğin HR employee data'nın owner'ı olabilir.

Finance financial reports'ın owner'ı olabilir.

Data Owner:

classification,

access approval,

retention

kararlarında rol oynayabilir.

Bu nedenle Data Governance ile Data Security birbirini tamamlar.

Data Security ile Data Governance Arasındaki Fark

Data Governance, verinin ownership, quality, lifecycle, usage ve policy boyutlarını yönetir.

Data Security ise verinin unauthorized access ve threats'e karşı korunmasına odaklanır.

Ancak iki alan birbirinden bağımsız değildir.

Data Owner bilinmiyorsa access review zorlaşır.

Classification yoksa DLP policy oluşturmak zorlaşır.

Retention bilinmiyorsa unnecessary data tutulur.

Bu nedenle güçlü Data Security için Data Governance foundation önemlidir.

Modern Data Security Architecture Nasıl Görünmelidir?

Modern kurumsal Data Security Architecture şu mantıkla çalışabilir:

Data Sources

↓

Data Discovery

↓

Data Classification

↓

Data Ownership

↓

Access Governance

↓

Encryption / Masking / Tokenization

↓

DLP / DAM / DSPM

↓

Behavior Monitoring

↓

SIEM / SOC

↓

Incident Response

Bu architecture'ın çevresinde:

IAM,

PAM,

IGA,

Cloud Security,

Backup,

AI Governance

gibi systems bulunur.

Bu nedenle Data Security ayrı bir silo olmamalıdır.

Enterprise Security Architecture'ın merkezinde yer almalıdır.

Veri Güvenliği İçin Önemli KPI'lar

Data Security programı ölçülebilir olmalıdır.

Örneğin:

Sensitive Data Discovery Coverage

Classified Data Ratio

Unknown Data Owner Count

Publicly Exposed Sensitive Data Count

DLP Incident Count

Critical DLP Incident Count

Unencrypted Sensitive Data Count

Excessive Data Access Count

Dormant Sensitive Data Count

Shadow Data Findings

Database Privileged Activity Alerts

Data Exfiltration Incidents

Sensitive Data Exposure Remediation Time

gibi metrics takip edilebilir.

Amaç yalnız alert sayısını artırmak değil risk seviyesini azaltmaktır.

Veri Güvenliğinde En Sık Yapılan Hatalar

Kurumsal Data Security projelerinde en yaygın hata hangi verinin korunacağını belirlemeden teknoloji satın almaktır. DLP kurulabilir ancak classification yoksa policy'lerin neye göre çalışacağı belirsizleşir. DSPM kurulabilir ancak data ownership tanımlanmamışsa bulunan risklerin kimin tarafından düzeltileceği net olmayabilir.

Bir diğer hata yalnız database security'ye odaklanmaktır. Sensitive data database'den Excel'e export edildiği anda database security controls'ünün dışına çıkabilir. Bu nedenle data-centric yaklaşım gereklidir.

Üçüncü hata encryption'ı tam çözüm olarak görmektir. Encryption data storage ve transmission risklerini azaltabilir ancak authorized credential kullanan attacker decrypted data'ya erişebilir.

Dördüncü hata insider threat'i göz ardı etmektir. Her veri sızıntısı malware tarafından gerçekleştirilmez. Yetkili kullanıcı hatası veya kötü niyetli employee de önemli risk kaynağıdır.

Beşinci hata ise AI kullanımını Data Security programının dışında bırakmaktır. Generative AI ve AI Agents kurumsal veriye eriştikçe bu systems da data governance ve DLP kapsamına alınmalıdır.

Veri Güvenliği Kontrol Listesi

• Kurumsal Data Inventory mevcut mu?
• Sensitive Data Discovery yapılıyor mu?
• PII ve kişisel veriler tespit ediliyor mu?
• Data Owners tanımlı mı?
• Data Classification Policy mevcut mu?
• Public/Internal/Confidential/Restricted sınıfları belirlenmiş mi?
• Classification labels uygulanıyor mu?
• DLP kullanılıyor mu?
• Endpoint DLP mevcut mu?
• E-Mail DLP uygulanıyor mu?
• Cloud DLP değerlendiriliyor mu?
• Sensitive data encrypted mı?
• Encryption keys merkezi yönetiliyor mu?
• Data Masking kullanılıyor mu?
• Database activities monitor ediliyor mu?
• Privileged DBA activities izleniyor mu?
• Excessive data access tespit ediliyor mu?
• Access Reviews uygulanıyor mu?
• DSPM kullanılıyor veya değerlendiriliyor mu?
• Shadow Data tespit ediliyor mu?
• Dark Data azaltılıyor mu?
• Cloud sharing policies kontrol ediliyor mu?
• Public storage exposure monitor ediliyor mu?
• Backup data encrypted mı?
• Data Retention Policy mevcut mu?
• Secure deletion uygulanıyor mu?
• Insider Threat use case'leri tanımlı mı?
• Mass download tespit ediliyor mu?
• Data Exfiltration monitoring yapılıyor mu?
• AI tools üzerinden data leakage kontrol ediliyor mu?
• RAG systems permission-aware mı?
• AI Agents Least Privilege kullanıyor mu?
• Data Security events SIEM/SOC'a aktarılıyor mu?
• Data Incident Response playbook mevcut mu?

Veri Güvenliği Olgunluk Modeli

Seviye 1 – Data Visibility Yok: Kurum verinin nerede bulunduğunu tam olarak bilmez. Classification ve ownership sınırlıdır. Security daha çok infrastructure-centric'tir.

Seviye 2 – Basic Data Protection: Encryption, backup ve basic access controls uygulanır. Kritik data repositories belirlenmeye başlanır.

Seviye 3 – Classified Data Security: Data Discovery, Classification, DLP, DAM ve access governance uygulanır. Sensitive data görünür hale gelir.

Seviye 4 – Data-Centric Security: DSPM, behavior analytics, cloud data security ve advanced DLP capabilities kullanılır. Risk data sensitivity üzerinden prioritize edilir.

Seviye 5 – Adaptive Data Security: Identity risk, data classification, device posture ve behavior signals real-time access decisions'a dahil edilir. Human, Machine ve AI Agent access'i ortak Data Security Architecture içerisinde yönetilir.

Bu dönüşüm:

Infrastructure Security

↓

Data Visibility

↓

Data Classification

↓

Data-Centric Protection

↓

Adaptive Data Security

şeklinde ilerler.

Sık Sorulan Sorular

Veri güvenliği nedir?

Veri güvenliği, dijital veya fiziksel verilerin yetkisiz erişim, değiştirme, silinme, kaybolma ve sızdırılmaya karşı korunmasını sağlayan teknik ve organizasyonel kontroller bütünüdür.

Data Security nedir?

Data Security, Türkçede veri güvenliği anlamına gelir ve verinin bütün yaşam döngüsü boyunca confidentiality, integrity ve availability prensipleri doğrultusunda korunmasını ifade eder.

Veri sınıflandırma nedir?

Veri sınıflandırma, verilerin hassasiyet ve iş değerine göre Public, Internal, Confidential veya Restricted gibi kategorilere ayrılmasıdır.

Sensitive Data nedir?

Yetkisiz disclosure veya modification durumunda kişi veya kurum açısından zarar oluşturabilecek hassas veridir.

Data Discovery nedir?

Kurum içerisinde verinin nerede bulunduğunu ve hangi tür sensitive information içerdiğini keşfetme sürecidir.

DLP nedir?

Data Loss Prevention, hassas verilerin yetkisiz şekilde kurum dışına çıkarılmasını veya uygunsuz kanallarla paylaşılmasını tespit etmeyi ve önlemeyi amaçlayan güvenlik yaklaşımıdır.

DSPM nedir?

Data Security Posture Management, sensitive data'nın nerede bulunduğunu, kimlerin eriştiğini ve hangi security risks altında olduğunu analiz eden data-centric security yaklaşımıdır.

DAM nedir?

Database Activity Monitoring, database üzerinde gerçekleştirilen kullanıcı ve application activities'in izlenmesi ve analiz edilmesidir.

Data at Rest nedir?

Storage, disk, database veya backup üzerinde saklanan veridir.

Data in Transit nedir?

Network üzerinden bir sistemden diğerine taşınan veridir.

Data in Use nedir?

Application veya kullanıcı tarafından aktif olarak işlenen veridir.

Shadow Data nedir?

Security ve governance ekiplerinin tam visibility sahibi olmadığı, kontrolsüz veya unutulmuş veri kopyalarıdır.

Dark Data nedir?

Kurum tarafından saklanan ancak aktif kullanım veya business value'su sınırlı olan veridir.

Data Masking nedir?

Sensitive data'nın gerçek değerinin yetkisiz kullanıcılardan gizlenmesini sağlayan koruma yöntemidir.

Data Exfiltration nedir?

Verinin yetkisiz biçimde kurum dışına çıkarılmasıdır.

Zero Trust Data Security nedir?

Data access'in network location'a güvenmek yerine identity, device, data sensitivity ve risk context üzerinden sürekli doğrulandığı güvenlik yaklaşımıdır.

Veri güvenliği ile KVKK arasında ilişki var mı?

Evet. KVKK kapsamında kişisel verilerin güvenliğinin sağlanması için uygun teknik ve organizasyonel tedbirler gerekir. Data Discovery, Classification, DLP, Encryption, Access Control ve Logging bu programı destekleyen teknik kontroller arasında değerlendirilebilir.

Yapay zekâ veri güvenliği riski oluşturur mu?

Evet. Generative AI, RAG ve AI Agents sensitive corporate data'ya erişebildiği veya bu veriyi dış services ile paylaşabildiği için yeni data leakage ve authorization risks oluşturabilir.

Sonuç: Koruyamadığınız Verinin Önce Nerede Olduğunu Bilmeniz Gerekir

Modern veri güvenliğinin en önemli problemi artık yalnız saldırganın firewall'u geçip geçemeyeceği değildir. Kurumların verileri data center, cloud, SaaS, employee endpoints, collaboration platforms, backup systems ve AI applications arasında sürekli hareket etmektedir.

Bu nedenle security architecture yalnız network veya endpoint merkezli düşünülemez.

Asıl korunması gereken varlık veridir.

Ancak veriyi koruyabilmek için önce onu görmek gerekir.

Bu nedenle modern Data Security'nin temel zinciri:

Discover → Classify → Protect → Control Access → Monitor → Detect → Respond

şeklinde kurulmalıdır.

Data Discovery kurumun hangi veriye sahip olduğunu gösterir.

Data Classification verinin ne kadar kritik olduğunu belirler.

IAM ve Data Access Governance kimin erişebileceğini kontrol eder.

Encryption, Masking ve Tokenization verinin exposure riskini azaltır.

DLP verinin kontrolsüz şekilde dışarı çıkmasını önlemeye çalışır.

DAM database activities'i izler.

DSPM sensitive data'nın security posture'unu analiz eder.

SIEM ve SOC ise bütün bu signals'ı incident context içerisinde değerlendirir.

Bunun üzerine AI ve Agentic AI katmanı eklenmeye başlamıştır.

Artık yalnız:

“Hangi kullanıcı hangi veriye erişebilir?”

sorusu yeterli değildir.

Yeni soru:

“Hangi insan, uygulama, service account veya AI Agent hangi veriye, hangi amaçla, hangi yetkiyle ve ne kadar süreyle erişebilir?”

olmalıdır.

Bu nedenle geleceğin veri güvenliği yaklaşımı:

Data-Centric

Identity-Aware

Risk-Adaptive

AI-Aware

olacaktır.

Kurumsal Data Security Architecture'ın nihai amacı her dosyayı kilitlemek değildir. Amaç verinin değerini ve hassasiyetini anlayarak doğru veriye doğru seviyede koruma uygulamaktır.

Ve bu bölümün en önemli cümlesi:

Modern veri güvenliği; veriyi yalnız saklandığı sunucuda korumak değil, nerede bulunduğunu keşfetmek, hassasiyetini sınıflandırmak, kimlerin erişebildiğini kontrol etmek ve insan, uygulama veya AI Agent tarafından gerçekleştirilen bütün kritik veri hareketlerini yaşam döngüsü boyunca izleyebilmektir.