2026'da Dosya Transferi Araçları İçin Saklama Politikası Kurulumu

2026'da bir dosya transfer aracı için saklama politikası oluşturmak, GDPR'ın saklama sınırlaması ilkesini, KVKK'nın veri minimizasyonu kurallarını, SOX'un yedi yıllık gerekliliklerini ve HIPAA'nın altı yıllık günlük saklama yükümlülüğünü geçebilecek varsayılanları seçmek ve ihlal riskini minimize etmek amacıyla bunları yeterince kısa tutmak demektir. Savunulabilir bir kurulum şu unsurları içerir: genel ticari transferler için otomatik kriptografik silmeyle 7 günlük varsayılan son kullanma tarihi, hassas kategoriler için "ilk indirmede sona erme" seçeneğine uzanan dosya başına geçersiz kılmalar, uzun süre saklanması gereken kayıtlar için WORM depolamasına ayrı arşivleme yolu ve dava sürecinde silmeyi engelleyen yasal tutma geçersiz kılması.

Kısa ve Uzun Saklama Arasındaki Gerilim

Kısa saklama, ihlal riskini azaltır. 7 günde silinen bir dosya, 60 gün sonra sızdırılamaz. Uzun saklama ise kayıt kurallarını karşılar. Bir aracı kurumun kaydının SEC 17a-4 kapsamında altı yıl saklanması gerekir. Dosya transfer araçları arşiv değildir; bu nedenle doğru yaklaşım, transfer aracında kısa saklama ve uzun tutulması gereken her şeyin arşive kasıtlı olarak devredilmesidir. Politika, hangi dosyaların nereye devredileceğini belirlemeli; birinin hatırlamasını ummaya dayalı değil, planlanmış bir süreç üzerine kurulmalıdır. Her iki rolü tek bir araçta birleştirmek ya aşırı saklama (transfer dosyalarını sonsuza kadar tutmak) ya da yetersiz saklama (transfer araçları dosyaları sildiğinde düzenlemeye tabi kayıtların kaybolması) riskini doğurur.

Çoğu Transfer İçin İşe Yarayan Varsayılanlar

7 günlük varsayılan, ticari kullanımın büyük bölümüne uygundur. Alıcılar tipik olarak 48 saat içinde indirir ve kalan süre saat dilimleri ile takip işlemleri için yeterlidir. WeTransfer (ücretsiz 7 gün, ücretli 30 gün), Smash (ücretsiz 14 gün), SwissTransfer (varsayılan 30 gün) ve Dropbox Transfer (7 veya 30 gün) kullanıcı beklentilerini şekillendirmiştir. 7 günden kısa süre, özellikle tatil veya hastalık izni dönemlerinde teslim kaçırmalarına yol açar. Belirli bir gerekçe olmaksızın daha uzun saklama gereksiz risk biriktirir. 3. ve 6. günlerde hatırlatmalar, alıcıların son kullanma tarihinden önce bilgilendirilmesini sağlar. Kurumsal planla dahili transferlerde 3 gün yeterli olabilir; dosyaları yeniden göndermek kolaydır.

Yüksek Hassasiyetli Dosyalar İçin Geçersiz Kılmalar

Belirli dosyalar daha kısa saklama hak eder. Müşteriye ait ödeme bilgilerini içeren .pdf, bir hastanın DICOM görüntüsü, birleşme anlaşmasının taslağı gibi dosyalar "ilk indirmede sona erme" veya 24 saatlik üst sınırdan yararlanır. Politika kategorileri ve karşılık gelen geçersiz kılmaları adıyla belirtmelidir. Kullanıcıların seçeneği kendiniz değiştirmelerini beklemek yerine, araç label entegrasyonunu destekliyorsa veri sınıflandırma etiketi (Kısıtlı, Gizli) ayarı otomatik olarak yönlendirmelidir. Label farkındalığı olmayan araçlar için basit bir pratik kural eğitimi ("PHI veya finansal veriyse ilk indirmede sona ermesini ayarla") uygulanabilir; yeter ki periyodik olarak pekiştirilsin.

Kriptografik Silme ve Dosya Düzeyinde Silme

Son kullanma tarihinde dosyanın yedeklerden geçerek gerçekten kaybolması gerekir. Dosya düzeyinde silme birincil nesneyi kaldırır, ancak kopyalar ve yedekler kendi son kullanma döngülerine (tipik olarak 30-90 gün) kadar yerinde kalır. Kriptografik silme, her dosyayı ayrı saklanan dosya başına bir anahtarla şifreler ve anahtarı son kullanma tarihinde siler. Anahtar gidince, şifreli metin bir anlık görüntüde bir yerde bulunuyor olsa bile matematiksel olarak okunamaz hâle gelir. NIST SP 800-88 Rev. 1, kriptografik silmeyi geçerli sanitizasyon yöntemi olarak kabul eder. Uyumluluk kanıtı açısından, zaman damgaları ve dosya tanımlayıcılarıyla günlüklenen silme olayları, yedekleme rotasyonunu beklemeye kıyasla denetçilere daha temiz bir anlatı sunar.

Yasal Tutma Mekanizması

Dava beklenebilir nitelik taşıdığında, saklama politikaları ilgili dosyalar için silmeyi askıya almalıdır. Yasal tutma iş akışı şöyle işler: hukuk danışmanlığı kapsamı tanımlar (saklayıcılar, dosya türleri, tarih aralıkları), araç eşleşen dosyaları tutmada işaretler, otomatik silme askıya alınır, denetim günlükleri tutmanın başlangıcını ve kapsamını kaydeder ve serbest bırakma tanımlanmış bir bitiş koşuluna veya açık talimata bağlıdır. Araçtaki yasal tutma özelliğine yalnızca yetkili roller erişebilmelidir. Yerleşik yasal tutma yoksa geçici çözüm, transfer aracı dosyaları silmeden önce potansiyel olarak ilgili tüm dosyaların bir koruma sistemine (Relativity, Everlaw, Microsoft Purview eDiscovery) aktarılmasıdır. Bu geçici çözüm pahalı ve atlama hatalarına açık olduğundan yerleşik özellik tercih edilmelidir.

Saklama Sürelerini Kurallara Uydurmak

Düzenlenmiş her kategoriyi saklama gereksinimiyle eşleştirin. GDPR ve KVKK: belgelenmiş gerekçeyle amaç için gerektiği kadar. HIPAA: politikalar, denetim günlükleri ve belirli belgeler için altı yıl. SOX: denetim çalışma kağıtları ve iç kontrol belgeleri için yedi yıl. SEC 17a-4 ve FINRA 4511: kayıt türüne bağlı olarak üç ila altı yıl; bazıları için WORM depolama zorunlu. ITAR: beş yıl. PCI DSS: genel bir saklama standardı yoktur, ancak kart sahibi verileri artık gerekmediğinde silinir. Transfer aracı genel amaçlı depolama için kısa saklama uygular; bu kurallara tabi kayıtlar transfer aracı sona erdirmeden önce arşiv depolamaya (S3 Object Lock, Azure Blob Immutable Storage, şirket içi WORM) taşınır.

Saklama Bilgilerini Kullanıcılara ve Alıcılara İletmek

Kullanıcılar dosyaların ne kadar hızlı sona erdiğini çoğunlukla hafife alır. Araçtaki net iletişim yardımcı olur: son kullanma tarihi yükleme onayında, paylaşım bağlantısı önizlemesinde ve indirme sayfasında gösterilir. Alıcılar tıklamadan önce son kullanma tarihini görür. Dosyalar hâlâ indirilmemişken gönderici hatırlatmaları tekrar gönderimi önler. Bazı araçlar, gönderenlerin politika sınırı içinde (7 günden 14 güne uzatma) yönetici onayı almadan saklama süresini uzatmasına izin verir. Politika sınırını aşan uzatmalar yönetici eylemi gerektirir ve günlüklenir. Politikayı örneklerle şirket intraneti'nde yayımlamak "dosyam neden kayboldu?" türü destek taleplerini azaltır.

Saklama Uyumluluğunun Denetlenmesi

En az üç ayda bir transferlerden bir örnek alın ve saklama uygulamasını doğrulayın. Her örnek dosya için: son kullanma tarihinin veri katmanına ait politikayla eşleştiğini, silmenin zamanında (veya ilk indirmede sona ermede daha erken) gerçekleştiğini, silme olayının günlüklendiğini ve yasal tutma uygulandıysa silmenin doğru biçimde bastırıldığını doğrulayın. Sonuçları bir saklama denetim raporunda belgeleyin. SOC 2 Tip II incelemeleri bu tür süregelen izlemeyi TSC CC6.5 veri imhası kapsamında arar. ISO 27001 yeniden sertifikasyonu sırasında harici denetçiler de silme olaylarından örnekleyecektir.

HexaTransfer varsayılan olarak 7 günlük son kullanma tarihi ve dosya düzeyinde kriptografik silme uygular; hassas transferler için ilk indirmede sona ermeyi destekler. hexatransfer.com'da deneyin — ücretsiz, hesap gerekmez, 10 GB'a kadar.

Bir dosya transfer aracının saklama kurulumunun karmaşık olması gerekmez. Kısa bir varsayılan seçin. Hassas dosyalar için daha kısa geçersiz kılmalara izin verin. Transfer aracı sona erdirmeden önce kayıtları özel arşiv depolamaya devredin. Yasal tutmaları işaretleyin. Her silmeyi günlükleyin. Üç ayda bir denetleyin. Bu, düzenleyicileri tatmin eden, ihlal riskini minimize eden ve dosyaların gerçekten kullanışlı olacak kadar uzun süre kalmasını isteyen kullanıcıları hayal kırıklığına uğratmayan bir politikadır.