Kamu kurumları milyonlarca vatandaşın verisini işler. Bilgi ve İletişim Güvenliği Rehberi beklentilerini, kapalı devre ağlarda DLP’yi ve kurum içi çözüm seçimini anlatıyoruz.
Önemli Çıkarım
Kamu kurumunda veri güvenliği üç şartla başlar: veri ve kayıtlar kurum dışına çıkmamalı, çözüm kapalı devre ağda çalışabilmeli, denetime hazır kanıt üretmelidir. DLP ve veri keşfi bu üç şartı birlikte karşılamalıdır.
- Kamu kurumları da KVKK kapsamında veri sorumlusudur.
- Bilgi ve İletişim Güvenliği Rehberi, kritik veri için teknik ve idari tedbirler tanımlar.
- Bulut bağımlı güvenlik ürünleri kapalı devre ağlarda çalışmayabilir.
- Önce hassas verinin yerini bulun, sonra çıkış kanallarını kontrol edin.
Kamuda veri güvenliği neden farklı?
Kamu kurumları kimlik, adres, sağlık, vergi ve sosyal yardım gibi geniş veri setleri işler. Bu veriler toplu olarak sızarsa etki milyonlarca kişiye ulaşır. Ayrıca kamu ağlarının bir kısmı internete kapalıdır. Bu ağlarda bulut konsoluna bağlı güvenlik ürünleri çalışmayabilir.
Bilgi ve İletişim Güvenliği Rehberi ne bekler?
Cumhurbaşkanlığı Dijital Dönüşüm Ofisi’nin yayımladığı rehber, kamu kurumları ve kritik altyapılar için varlık gruplarına göre güvenlik tedbirleri tanımlar. Veri sınıflandırma, erişim kontrolü, taşınabilir ortam kontrolü, kayıt yönetimi ve veri sızıntısı önleme bu tedbirler arasındadır. Kurumunuzun hangi seviyeye tabi olduğunu uyum ekibinizle belirleyin.
| Tedbir alanı | Beklenti | DLP ve veri keşfinin katkısı |
|---|---|---|
| Veri sınıflandırma | Verinin gizlilik seviyesinin belirlenmesi | Otomatik keşif ve etiketleme |
| Taşınabilir ortam | USB ve harici disk kullanımının kontrolü | Cihaz bazlı izin listesi, salt okuma, kayıt |
| Kayıt yönetimi | Olayların izlenebilir ve saklanır olması | Merkezi ve değiştirilemez olay kaydı |
| Veri sızıntısı önleme | Yetkisiz veri çıkışının engellenmesi | E-posta, web, bulut ve yazıcı kanallarında politika |
Bu tablo bir hukuki görüş değildir. Rehberin güncel sürümünü esas alın.
Kapalı devre ağlarda DLP
- Yönetim sunucusu kurum içinde çalışmalı, internet erişimi istememelidir.
- Politika ve sınıflandırma güncellemeleri çevrimdışı yüklenebilmelidir.
- Olay kayıtları kurum içinde saklanmalı ve dışa aktarılabilmelidir.
- Ajan güncellemeleri kurumun kendi dağıtım altyapısı ile yapılabilmelidir.
Kamu kurumu için seçim kriterleri
- Kurum içi ve kapalı devre kurulum desteği
- Türkçe arayüz, Türkçe destek ve yerel mühendislik
- TC kimlik numarası gibi yerel veri tiplerini hazır tanıma
- Denetim için hazır rapor şablonları
- Mevcut uç nokta yönetimiyle aynı ajanda çalışabilme
90 günlük plan
- 0–30 gün: Keşif. Vatandaş verisinin dosya sunucularında ve uç noktalarda nerede olduğunu bulun.
- 31–60 gün: İzleme. USB, e-posta ve web kanallarında kayıt modunu açın.
- 61–90 gün: Kontrol. Rehberdeki seviyenize göre engelleme politikalarını devreye alın ve kanıtları raporlayın.
Moftgate kamu kurumlarında nasıl çalışır?
Moftgate tamamen kurum içinde ve internete kapalı ağlarda çalışabilir. Veri ve kayıtlar kurum dışına çıkmaz. Aynı ajan uç nokta yönetimi, DSPM ve DLP işlevlerini birlikte sunar. Türkçe arayüz ve yerel mühendislik desteği vardır.
Stratejik Çıkarım
Kamuda doğru DLP, en çok özelliği olan değil, kurumun ağ yapısında gerçekten çalışabilen ve kanıt üretebilen çözümdür.
Moftgate DLP, cihaz yönetimi ve veri güvenliği modüllerini geliştiren ve kurum kurulumlarını yöneten ürün mimarları ve saha mühendisleri.
Uygulayıcılar İçin Uzman Yanıtları
Kamu kurumları KVKK’ya tabi mi?
Evet. Kamu kurumları da kişisel veri işlerken veri sorumlusudur ve veri güvenliği yükümlülüğü taşır.
Bilgi ve İletişim Güvenliği Rehberi DLP ister mi?
Rehber, varlık grubuna ve seviyeye göre veri sızıntısını önleyecek tedbirler tanımlar. Kurumunuza uygulanan maddeleri güncel rehberden kontrol edin.
Bulut tabanlı DLP kamuda kullanılabilir mi?
Ağ yapısına ve veri sınıfına bağlıdır. Kapalı devre ağlarda ve kritik veride kurum içi çözümler genellikle tercih edilir.
DLP projesine nereden başlanmalı?
Veri keşfinden başlayın. Hangi vatandaş verisinin nerede olduğunu bilmeden politikalar eksik kalır.
Resmi Standartlar ve Kaynakça
- •Cumhurbaşkanlığı Dijital Dönüşüm Ofisi: Bilgi ve İletişim Güvenliği Rehberi ↗(Kamu kurumları için bilgi güvenliği tedbirleri ve varlık grupları.)
- •USOM: Ulusal Siber Olaylara Müdahale Merkezi ↗(Ulusal siber olay bildirimleri ve uyarılar.)
- •6698 sayılı Kişisel Verilerin Korunması Kanunu ↗(Kamu kurumları da veri sorumlusudur.)
- •NIST SP 800-53 Rev. 5: Security and Privacy Controls ↗(Erişim ve veri akışı kontrolleri için referans katalog.)