Veri Sınıflandırma Nedir? Seviyeler, Yöntemler ve Adım Adım Uygulama Rehberi

• Çoğu kurum için dört seviye yeterlidir: Genel (Public), Kuruma Özel (Internal), Gizli (Confidential) ve Çok Gizli / Kısıtlı (Restricted).
• Üç temel yöntem vardır: içerik tabanlı, bağlam tabanlı ve kullanıcı tabanlı sınıflandırma. Etkili programlar bu üçünü birlikte kullanır.
• ISO/IEC 27001:2022 Ek A 5.12 bilginin sınıflandırılmasını, 5.13 ise bilginin etiketlenmesini kontrol olarak tanımlar.
• KVKK m.6 özel nitelikli kişisel verileri ayrıca tanımlar; GDPR m.9 benzer “özel kategoriler” içerir. Bu veriler en yüksek seviyede sınıflandırılmalıdır.
• Sınıflandırma bir kerelik proje değildir. Yeni veri her gün üretilir; keşif ve etiketleme sürekli çalışmalıdır.

1. Veri sınıflandırma nedir?

Veri sınıflandırma, kurumdaki bilgileri hassasiyetine ve yetkisiz ifşa edildiğinde doğuracağı etkiye göre gruplara ayırma sürecidir. Her gruba bir seviye adı verilir ve her seviyenin kendi kuralları olur: kim erişebilir, nerede saklanabilir, dışarı nasıl gönderilebilir, ne kadar süre tutulur.

ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), FIPS 199 standardında bilgiyi gizlilik, bütünlük ve erişilebilirlik açısından düşük, orta ve yüksek etki seviyelerine ayırır. NIST SP 800-60 ise bilgi türlerini bu etki seviyelerine eşlemek için rehberlik verir. Kurumsal hayatta bu yaklaşım genellikle “Genel – Kuruma Özel – Gizli – Çok Gizli” gibi daha anlaşılır etiketlere dönüştürülür.

Bu rehber BT yöneticileri, bilgi güvenliği sorumluları ve KVKK uyum ekipleri içindir. Hukuki görüş değildir. Kurumunuza uygulanan yükümlülükleri hukuk danışmanınızla doğrulayın.

2. Sınıflandırma seviyeleri: dört seviyeli model

Seviye sayısı arttıkça kullanıcıların doğru seviyeyi seçmesi zorlaşır. Bu yüzden çoğu kurum üç veya dört seviyeyle başlar. Aşağıdaki tablo yaygın dört seviyeli modeli ve her seviyede beklenen tipik kontrolleri gösterir. Örnekler yol göstericidir; kendi risk değerlendirmenize göre uyarlayın.

3. Sınıflandırma yöntemleri

İçerik tabanlı sınıflandırma

Dosyanın içeriği taranır. Düzenli ifadeler (regex), sağlama algoritmaları ve anahtar kelime sözlükleri kullanılır. Örneğin TC kimlik numarası 11 haneli bir sayıdır ve son iki hanesi bir kontrol algoritmasıyla doğrulanabilir; kredi kartı numaraları Luhn algoritmasıyla doğrulanır. Doğrulama algoritması kullanmak, rastgele 11 haneli sayıların yanlış alarm üretmesini azaltır. Bu yöntem nesneldir ama bağlamı anlamaz: bir test dosyasındaki sahte kart numarası da yakalanabilir.

Bağlam tabanlı sınıflandırma

Dosyanın içeriğine değil, çevresine bakılır: hangi uygulama oluşturdu, hangi klasörde duruyor, sahibi hangi departmanda, hangi sistemden dışa aktarıldı. Örneğin İK uygulamasından dışa aktarılan her dosyayı “Gizli” saymak basit ve etkili bir kuraldır. Bu yöntem hızlıdır ama içeriği doğrulamaz.

Kullanıcı tabanlı sınıflandırma

Dosyayı oluşturan kişi seviyeyi kendisi seçer. Veri sahibi bağlamı en iyi bilen kişidir; bu yüzden hukuk, strateji ve Ar-Ge belgelerinde değerlidir. Zayıf yanı tutarsızlıktır: kullanıcılar acele ettiğinde en düşük seviyeyi seçer. Bu yüzden kullanıcı seçimi, otomatik önerilerle ve seviye düşürmede gerekçe istemekle desteklenmelidir.

4. Veri sınıflandırma, DLP ve DSPM ilişkisi

Sınıflandırma tek başına veriyi korumaz; hangi verinin korunacağını söyler. Korumayı yapan araçlar başka katmanlardadır:

• DSPM (Veri Güvenliği Duruş Yönetimi), hassas verinin nerede durduğunu keşfeder: dosya sunucuları, uç noktalar, bulut depoları. Sınıflandırmanın “envanter” tarafıdır. Ayrıntılar: /urunler/dspm.
• DLP (Veri Kaybı Önleme), sınıflandırılmış verinin USB, e-posta, web yüklemesi, pano ve yazdırma gibi kanallardan çıkışını denetler. Sınıflandırmanın “uygulama” tarafıdır. Ayrıntılar: /urunler/dlp.
• Erişim yönetimi, seviyeye göre kimin veriyi açabileceğini belirler.

Moftgate DLP, uç noktada içerik tabanlı tespit (örneğin TC kimlik no, VKN, IBAN ve kart numarası desenleri) ile bağlam kurallarını birlikte kullanır ve politikayı veri seviyesine göre uygular: “Gizli” veride uyarı ve onay, “Çok Gizli” veride engelleme gibi. Moftgate DSPM ise hassas verinin bulunduğu yerleri raporlar; böylece sınıflandırma programı tahmine değil, gerçek envantere dayanır. DLP’nin temelleri için “DLP Nedir? Veri Sızıntısı Önleme Rehberi” yazımıza, DSPM farkı için “DSPM Nedir” yazımıza bakabilirsiniz.

5. KVKK ve GDPR açısından veri sınıflandırma

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 6. maddesi; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kılık kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verileri özel nitelikli kişisel veri olarak tanımlar. KVKK Kurulu’nun 31.01.2018 tarihli ve 2018/10 sayılı kararı, bu veriler için ek “yeterli önlemler” belirler. Kanun sınıflandırma kelimesini kullanmaz; ancak bu verileri ayırt edemeyen bir kurum, ek önlemleri doğru yere uygulayamaz.

KVKK m.12, veri sorumlusuna uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri alma yükümlülüğü verir. Uygun düzey, verinin hassasiyetine göre değişir. Sınıflandırma, bu “uygunluğun” belgelenebilir hâlidir. Aynı mantık GDPR’da da vardır: m.9 özel kategorideki verileri tanımlar, m.32 ise riske uygun güvenlik düzeyi ister. Verbis kaydı ve kişisel veri envanteri de sınıflandırma çalışmasından doğrudan beslenir.

6. Adım adım uygulama planı

• 1. Politika yazın: seviyeleri, tanımları, örnekleri ve her seviyenin kurallarını tek sayfalık bir belgede toplayın. Üst yönetim onayı alın.
• 2. Veri sahiplerini atayın: her departmanda verinin seviyesine karar verecek bir sorumlu belirleyin.
• 3. Keşif yapın: DSPM veya keşif taramasıyla hassas verinin hangi sunucu, uç nokta ve bulut deposunda olduğunu çıkarın.
• 4. Kuralları tanımlayın: içerik desenleri, bağlam kuralları ve kullanıcı etiketleme seçeneklerini yapılandırın.
• 5. İzleme modunda başlayın: DLP politikalarını önce sadece kayıt tutacak şekilde çalıştırın, yanlış pozitifleri ayıklayın.
• 6. Kademeli uygulayın: önce “Çok Gizli” veride engelleme, sonra “Gizli” veride uyarı ve onay akışını açın.
• 7. Eğitin: çalışanlara seviyeleri gerçek örneklerle anlatın; etiketin neden önemli olduğunu gösterin.
• 8. Ölçün ve gözden geçirin: olay sayısı, yanlış pozitif oranı ve etiketsiz dosya oranını düzenli raporlayın; politikayı en az yılda bir güncelleyin.

7. Sık yapılan hatalar

• Çok fazla seviye tanımlamak: altı yedi seviye kullanıcıyı şaşırtır ve tutarsız etiketlere yol açar.
• Her şeyi “Gizli” yapmak: her şey gizliyse hiçbir şey gizli değildir; kullanıcılar uyarıları önemsememeye başlar.
• Sadece yeni dosyaları sınıflandırmak: eski dosya sunucularındaki yıllanmış veri genellikle en büyük risktir.
• Sınıflandırmayı araçla bağlamamak: etiket var ama DLP ve erişim kuralları etikete bakmıyorsa etiket sadece süstür.
• İzleme modunu atlamak: doğrudan engellemeyle başlamak iş akışlarını bozar ve projeye karşı direnç yaratır.
• Veri sahibini belirlememek: seviyeye karar verecek kişi yoksa tartışmalar BT ekibinde kalır.