Dosya Paylaşımı İçin Veri Sınıflandırma En İyi Uygulamaları

6698 sayılı KVKK, veri sorumlularının kişisel verileri hassasiyetlerine göre yönetmesini zorunlu kılar; KVKK'nın 6. Maddesi özel nitelikli kişisel verileri (sağlık, biyometrik, ceza mahkûmiyeti vb.) açık rıza veya yasal dayanak olmaksızın işleme yasağıyla tanımlar. Bu zorunluluk, her dosyanın duyarlılığa göre etiketlendiği ve etiketle eşleşen işleme kurallarının uygulandığı pratik bir veri sınıflandırma çerçevesini kaçınılmaz kılar. 2026'da çalışan bir şema dört kademeye sahiptir: Genel (pazarlama PDF'leri, yayınlanmış raporlar), Dahili (toplantı notları, taslak bütçeler), Gizli (10.000 satırın altındaki çalışan kayıtları, müşteri listeleri, kamuya açıklanmamış finansallar) ve Kısıtlı (PHI, kart sahibi verisi, ticari sırlar, birleşme ve satın alma belgeleri). Her kademe şifreleme gereksinimlerine, izin verilen alıcılara, saklama sürelerine ve onaylı transfer kanallarına eşlenir. Microsoft Purview, Varonis, Google DLP ve açık kaynak Apache Atlas etiketleme ve uygulama sağlar. Sınıflandırma olmadan her dosya varsayılan olarak yanlış yönetilir.

Sınıflandırma Neden Çoğu Ekibin Düşündüğünden Daha Önemlidir

Sınıflandırması olmayan ekipler her şeyi aynı şekilde gönderir. Genel bir broşür ile 50 MB'lik İK dışa aktarımı, aynı ek boyutu sınırı ve aynı şifrelemeyle (genellikle TLS'nin ötesinde yok) aynı e-posta sunucusundan çıkar. Sınıflandırma farklı bir konuşmayı zorlar: bu dosya ne, kim ihtiyaç duyuyor ve ne kadar koruma hak ediyor? Yanıt, transfer yolunu belirler. Genel dosya e-postayla gider. Dahili dosya, bağlantı tabanlı paylaşımla şirketin SharePoint'i üzerinden gider. Gizli dosya, alıcı kimlik doğrulama ve 7 günlük son kullanma tarihiyle bir transfer aracı kullanır. Kısıtlı dosya uçtan uca şifreleme, açık onay ve ayrıntılı günlükleme gerektirir. Etiket olmadan personel tahmin eder, çoğunlukla yetersiz koruma uygular.

Kademe Şemasını Tasarlamak

Dört kademe yaygın bir orta yoldur. Üç kademe çok kaba kalır; beş kademe sınırları bulanıklaştırır ve kullanıcıları karıştırır. Kademeleri açık şekilde adlandırın. "Genel, Dahili, Gizli, Kısıtlı" renk kodlarından daha iyi çalışır çünkü kullanıcılar bunları sesli söyler. Her kademi işletmenizden somut örneklerle tanımlayın: taslak ürün yol haritası, bir SaaS şirketinde Gizli, kamuoyuna açıklama öncesinde Kısıtlı olabilir. Yönetim kurulu materyalleri Kısıtlı'dır. Çalışan maaş verileri Kısıtlı'dır. Kademe karışımı içeren belgeler için açık bir kural ekleyin: dosya mevcut en yüksek kademeyi miras alır. Bir Kısıtlı PDF ve yirmi Genel dosya içeren 40 MB'lik bir ZIP, Kısıtlı'dır.

Etiketleme Mekanizmaları

Etiketler, dosyalara üç yoldan biriyle eklenir. Manuel seçim: kullanıcı kayıt veya yükleme sırasında bir açılır menüden kademi seçer (Word, Excel, PowerPoint'te Microsoft Information Protection). Otomatik: araç içeriği desenlere ve kurallara karşı tarar (Microsoft Purview, Google DLP, Nightfall). Kalıtsal: bir kitaplık veya klasör, içinde depolanan her şeye varsayılan kademi atar. En iyi sonuçlar üçünü birleştirmekten gelir: varsayılan kalıtım artı otomatik tarama artı kullanıcı geçersiz kılması. Etiketin kendisi meta verilerde (dosya özellikleri, OOXML özel nitelikleri, PDF'ler için XMP) bulunur ve belge üstbilgi ve altbilgilerinde görünür. Kalıcı etiketler, dosyalar kopyalandığında ve paylaşıldığında hayatta kalır.

Ölçekte Otomatik Sınıflandırma

Ölçekte manuel sınıflandırma çöker. Ayda 50.000 yeni belge üreten bir şirket, her birini etiketlemek için kullanıcılara güvenemez. Otomatik sınıflandırma motorları içeriği kalıplar için tarar: Luhn kontrolleriyle kredi kartı numaraları, Sosyal Güvenlik Numaraları, sağlık kaydı tanımlayıcıları, ihracat kontrolü sınıflandırmaları. Belge külliyatınızda eğitilen makine öğrenmesi modelleri, bağlamı (sözleşme, fatura, özgeçmiş) algılar ve etiket atar. Microsoft Purview'un Hassas Bilgi Türleri ve Eğitilebilir Sınıflandırıcıları, Symantec DLP, Forcepoint ve Netskope bunları sunar. Hassasiyet ve geri çağırma önemlidir: Hassas içeriği kaçırmadan yanlış pozitifleri azaltmak için güvenlik, hukuk ve iş sahipleriyle iterasyon gerekir.

Kademe Başına İşleme Kuralları

Her kademe için somut kurallar tanımlayın. Genel: paylaşım üzerinde kısıtlama yok, ancak etiket yanlışlıkla yeniden sınıflandırmayı önlemek için kalır. Dahili: yalnızca kimliği doğrulanmış çalışanlarla paylaşım, onaysız dış alıcı yok, transferlerde 30 günlük varsayılan son kullanma tarihi. Gizli: dış paylaşım onaylı ortaklar gerektirir, şifreleme zorunlu (depolamada AES-256, TLS 1.3), alıcıya özgü kimlik doğrulama, 7 günlük son kullanma tarihi, 12 ay saklanan indirme günlükleri. Kısıtlı: paylaşımdan önce onay zorunlu, uçtan uca şifreleme zorunlu, yalnızca adlandırılmış alıcılar, ilk indirmede sona erdir, 6 yıl ve üzeri saklama süresiyle tam denetim izi, tüm taraflar için MFA zorunlu. Bu kuralları bir intranet derinliklerine gömmek yerine erişilebilir bir politika belgesinde yayınlayın.

Dosya Transfer Araçlarıyla Entegrasyon

Transfer araçları etiketi okumalı ve kuralları uygulamalıdır. Kullanıcı Kısıtlı bir dosya yüklerse araç, uçtan uca şifreleme ayarlarını zorunlu kılmalı ve paylaşılabilir bağlantı seçeneklerini reddetmelidir. Gizli bir dosya gönderilirse alıcı kimlik doğrulanana kadar indirmeyi engellemelidir. Microsoft Purview, OneDrive ve Teams ile yerel olarak entegre olur. Egress ve Virtru, sınıflandırma odaklı kontrollerle giden transfer etrafında konumlanır. WeTransfer, Smash veya SwissTransfer gibi geçici araçlar için uygulama ağ geçidinde gerçekleşir veya kullanıcı eğitimine dayanır; bu araçlar kurumsal etiketleri okumadığından.

Gerçekten İşe Yarayan Kullanıcı Eğitimi

Sınıflandırma kullanıcı katılımı olmadan başarısız olur. Etkili eğitim, işletmeden gerçek örnekler gösterir: Gizli anlaşma belgesi nasıl görünür, Dahili olarak etiketlendiğinde ne yanlış gider, ardından gelen düzenleyici para cezası ne kadardır. Kısa, role özgü modüller saatlik genel kursları geçer. Finans ekipleri düzenlenmiş finansal veriyi tanımayı öğrenir. İK çalışan KBB'yi tanımayı öğrenir. Ürün ekipleri yayın öncesi materyalleri öğrenir. Yıllık yenileyin ve ekiplerin eski dosyaları gözden geçirip sürüklenen etiketleri düzelttiği yeniden sınıflandırma alıştırmalarını ekleyin. Önemli ölçütler: etiketlenen dosya yüzdesi, denetimde doğru etiketlenen yüzde, kullanıma sunulduktan sonra hassas veri olaylarındaki azalma.

Sınıflandırma Kayması ve Denetim

Etiketler zamanla kayar. Dosyalar kopyalanır, e-postayla gönderilir, yeni sürümler olarak kaydedilir ve yeniden dışa aktarılır; bazen etiketleri kaybeder. Dönemsel denetimler kaymayı yakalar. Aylık 100 dosyalık bir örneklem tarayın, etiketlerin içerikle eşleştiğini doğrulayın, gerektiğinde yeniden sınıflandırın. Yanlış etiketleme oranlarını ekip veya sistem bazında takip ederek eğitimin veya otomasyonun nerede güçlendirilmesi gerektiğini belirleyin. SOC 2 Tip II ve ISO 27001 denetimleri için çalışan bir sınıflandırma programının kanıtı, CC6.1 (mantıksal erişim) ve A.8.2 (varlık sınıflandırma) kontrollerinde daha iyi değerlendirme sağlar. Sınıflandırma aynı zamanda GDPR Madde 32 (riske dayalı uygun güvenlik) ve HIPAA risk analizlerinde de yer alır.

HexaTransfer, kademe gerektirmeden her dosya için uçtan uca AES-256-GCM şifreleme uygular; bu da özel yapılandırma gerekmeksizin Gizli ve Kısıtlı paylaşım için uygun bir araç haline getirir. hexatransfer.com adresinden ücretsiz, hesap açmadan ve dosya başına 10 GB limitle deneyin.

Sınıflandırma göz alıcı değildir ve bir ihlal olmadan nadiren finansman alır. Ancak uygulamaya girdiğinde her dosya paylaşım kararını bir tahminden bir kurala dönüştürür. Kademe kanalı belirler, kanal korumayı uygular ve denetim izi sürecin işlediğini kanıtlar. Dört kademeyle başlayın, mümkün olan yerlerde otomatikleştirin, kullanıcıları gerçek örneklerle eğitin ve programı her yıl işletmenizin tabi olduğu düzenlemelere karşı gözden geçirin.