Veri kaybı önleme (DLP) çözümleri, hassas bilginin kurum dışına kontrolsüz biçimde çıkmasını sınırlamak için kullanılır. Ancak kurumun verisi ve çalışma biçimi tanınmadan kurulan bir DLP ürünü ya işleri gereksiz yere durdurur ya da beklenen olayları yakalamaz. Başarılı bir proje, teknik kurulumdan önce veri akışlarını anlamakla başlar.
Hassas veriyi ve sahiplerini belirleyin
İlk adım, kurumunuz için neyin hassas olduğunu tanımlamaktır. Müşteri listeleri, fiyat teklifleri, personel bilgileri, finansal tablolar, ürün reçeteleri veya teknik çizimler bunlara örnek olabilir. Her veri türü için bir sahip belirleyin: Bu kişi, verinin nasıl kullanılabileceğine karar veren iş birimi temsilcisidir.
Veri sınıflandırması için karmaşık bir şema gerekmez. “Genel”, “kurum içi” ve “gizli” gibi az sayıda seviye tanımlamak ve her seviyenin nasıl paylaşılabileceğini yazmak iyi bir başlangıç noktasıdır. Seviyeler ne kadar sadeyse kullanıcıların uygulaması da o kadar kolay olur.
Kişisel veriler bu listede ayrıca ele alınmalıdır. DLP, kişisel verilerin korunmasına yönelik teknik tedbirlerden biri olarak değerlendirilebilir; ancak tek başına yasal yükümlülüklerin karşılandığı anlamına gelmez. Çalışanların bilgilendirilmesi ve izlemeye ilişkin politikalar için hukuk danışmanınızla birlikte çalışmanızı öneririz.
Paylaşım kanallarını ve istisnaları çıkarın
Veri, kurum içinde ve dışında pek çok yoldan hareket eder. Ekiplerle kısa görüşmeler yaparak hangi kanalların iş için gerekli olduğunu belirleyin:
- USB bellekler ve harici diskler
- Kurumsal ve kişisel e-posta hesapları
- Web tarayıcı üzerinden dosya yükleme ve bulut depolama hizmetleri
- Ortak klasörler ve dosya sunucuları
- Yazıcılar ve anlık mesajlaşma uygulamaları
Aynı dosyanın farklı bağlamlarda farklı anlam taşıdığını unutmayın. Satış ekibinin bir teklifi müşteriye e-postayla göndermesi olağan bir iştir; aynı dosyanın kişisel bir bulut hesabına yüklenmesi ise farklı bir senaryodur. Meşru iş akışlarını ve bunların istisnalarını önceden yazmak, politikaların gereksiz engel oluşturmasını önler.
Kuralların uygulanacağı cihazları da listeye ekleyin. Hangi işletim sistemlerinin kullanıldığı ve kurumsal ağ dışında çalışan cihazların (örneğin evden ya da sahadan çalışan kullanıcıların bilgisayarları) nasıl yönetileceği, ürün seçimini ve pilot planını doğrudan etkiler.
Pilotla başlayın, önce izleyin
Politikaları tüm kuruma aynı anda engelleme modunda uygulamak yerine sınırlı bir kullanıcı grubuyla pilot çalışma yapın. Pilotun ilk döneminde yalnızca izleme ve raporlama yapmak, gerçek veri hareketlerini görmenizi ve kuralları buna göre ayarlamanızı sağlar. Pilot grubunu hassas veriyle yoğun çalışan ve farklı paylaşım kanallarını kullanan birimlerden, örneğin satış, finans ve teknik ekiplerden seçin.
Pilot sonunda şu soruları birlikte değerlendirin: Politikalar beklenen olayları yakaladı mı? Yanlış alarmlar hangi durumlarda oluştu? Meşru işler nasıl etkilendi? Kuralların uygulanabilirliğini değerlendirirken kullanıcı geri bildirimi, teknik raporlar kadar değerlidir. Uyarı ve engelleme kurallarına ancak bu değerlendirmeden sonra, aşamalı olarak geçin.
Teslimatı yalnızca kurulum olarak görmeyin
DLP süreklilik gerektiren bir süreçtir. Teslimat kapsamında ürün kurulumunun yanında kural sahiplerini, istisna taleplerinin nasıl değerlendirileceğini, olayların kim tarafından inceleneceğini ve politikaların hangi aralıklarla gözden geçirileceğini de tanımlayın. Yeni bir iş süreci ya da uygulama devreye girdiğinde kuralların güncellenmesi gerekebilir. Kullanıcılara kuralların neden uygulandığını anlatan kısa bir bilgilendirme yapmak da uyarı mesajlarının doğru anlaşılmasına yardımcı olur.
Ürün seçimi de bu ihtiyaçlara göre yapılmalıdır. Safetica ve Netwrix Endpoint Protector seçeneklerini veri kullanım senaryolarınıza göre değerlendiriyor, pilot uygulamayla politikaların günlük çalışmaya etkisini sizinle birlikte gözden geçiriyoruz.