Verizon 2023 DBIR'a göre ihlallerin yaklaşık %74'ü insan unsuru içerir; ve sızdırılan verilerin çoğu "herkes erişebilsin" diye yanlış sınıflandırılmış dosyalardan gelir. Peki masanızdaki o Excel dosyası gerçekten "Açık" mı, yoksa "Gizli" mi?

Merhaba, ben Güvenlik Uzmanı. Bu derste bir kurumun en değerli varlığını — bilgiyi — tanımayı, doğru sınıflandırmayı (Gizli / Dahili / Açık) ve etiketlemeyi öğreneceğiz. Soldaki interaktif erişim kontrolü sahnesinde (secAccessControl3D) farklı sınıftaki verilere kimin erişebildiğini deneyerek görün: sınıflandırma değiştikçe erişim kapıları nasıl açılıp kapanıyor, gözlemleyin.

BİLGİ VARLIĞI NEDİR? Bilgi varlığı (information asset), kurum için değer taşıyan ve korunması gereken her türlü bilgidir. Sadece dosyalar değil; müşteri listeleri, sözleşmeler, kaynak kodu, çalışan özlük verileri, e-postalar, hatta bir uzmanın kafasındaki bilgi (know-how) de varlıktır. ISO/IEC 27001:2022 Annex A 5.9 (Bilgi ve diğer ilişkili varlıkların envanteri), bu varlıkların envanterinin tutulmasını ve her birine bir SAHİP atanmasını şart koşar. Sahibi olmayan varlık, korunamayan varlıktır. NEDEN SINIFLANDIRIYORUZ? Her veriye aynı seviyede koruma uygulamak hem pahalı hem imkânsızdır. Sınıflandırma, koruma çabasını verinin GERÇEK DEĞERİ ve HASSASİYETİ ile orantılar: en kritik veriye en güçlü kontrol. ISO 27001:2022 Annex A 5.12 (Bilginin sınıflandırılması) bunu zorunlu kılar; A 5.13 ise sınıfa uygun ETİKETLEME ister. ÜÇ TEMEL VERİ SINIFI • GİZLİ (Confidential / Restricted): İfşası kuruma, müşteriye veya kişilere ciddi zarar verir. Örnek: müşteri TC kimlik/IBAN bilgileri, sağlık verileri, ücret bordroları, ticari sırlar, parolalar, sözleşme şartları. KVKK'daki "özel nitelikli kişisel veri" (sağlık, din, biyometrik, ceza mahkûmiyeti vb.) en üst koruma sınıfına girer. • DAHİLİ (Internal): Yalnızca kurum içinde paylaşılır; dışarı sızması istenmez ama felaket değildir. Örnek: iç prosedürler, organizasyon şeması, proje planları, iç e-postalar. • AÇIK (Public): Herkesle paylaşılabilir, ifşası zarar vermez. Örnek: pazarlama broşürleri, basın bültenleri, yayımlanmış web içeriği, iş ilanları. (Bazı kurumlar 4 seviye kullanır: Açık / Dahili / Gizli / Çok Gizli. Seviye sayısı kurum politikasına göre değişir; ilke aynıdır.) SINIFI KİM BELİRLER? — VERİ SAHİBİ Sınıfı, verinin İŞ SAHİBİ (data owner) belirler; BT veya güvenlik ekibi değil. Şüphede kalırsanız bir üst sınıfı seçin (en yüksek hassasiyet ilkesi). Bir kayıt birden çok veri içeriyorsa, sınıf EN HASSAS parçaya göre belirlenir (bir Excel'de tek bir TC numarası varsa o dosya "Gizli"dir). ETİKETLEME (Labeling) Sınıf belirlenince görünür hale getirilmelidir: dosya adı/üstbilgisinde "[GİZLİ]", e-posta konusunda etiket, paylaşım ortamında erişim grubu, basılı belgede damga. Etiketsiz veri, herkesin "Açık" sanıp yanlış paylaşacağı veridir. İŞ YERİNDE DOĞRU DAVRANIŞLAR (DO) ✓ Şüphede kalınca bir üst sınıfı seç. ✓ Gizli belgeyi paylaşmadan önce alıcının "bilmesi gereken" (need-to-know) ilkesine uyduğunu doğrula. ✓ Gizli veriyi onaylı, şifreli kanaldan (kurumsal paylaşım, şifreli e-posta) gönder. ✓ Masada/ekranda gizli belge bırakma — temiz masa / temiz ekran ilkesi (Annex A 7.7). ✓ Artık gerekmeyen gizli veriyi politikaya uygun, güvenli biçimde imha et (kırpma/silme). YAPILMAMASI GEREKENLER (DON'T) ✗ Müşteri verisini kişisel e-posta veya WhatsApp/kişisel bulut ile gönderme. ✗ "Hızlı olsun" diye gizli dosyayı "herkese açık" link ile paylaşma. ✗ Etiketi olmayan dosyayı otomatik "Açık" varsayma. ✗ USB/yazıcı çıktısı ile gizli veriyi denetimsiz dışarı taşıma. ✗ Sınıflandırmayı keyfine göre düşürme (declassify) — bu yetki sahibindedir. KVKK BAĞLANTISI Kişisel veri (KVKK m.3) bir bilgi varlığıdır ve genellikle EN AZINDAN "Gizli" sınıfındadır. KVKK m.12 "veri güvenliğine ilişkin yükümlülükler" gereği veri sorumlusu uygun teknik ve idari tedbirleri almak zorundadır; doğru sınıflandırma bu tedbirin temelidir. Özel nitelikli kişisel veriler ek koruma (kural olarak şifreleme, erişim kısıtı, log) gerektirir. Yanlış sınıflandırma → yanlış paylaşım → veri ihlali → KVKK m.12'ye göre Kurul'a 72 saat içinde bildirim ve idari para cezası riski.

• Bilgi varlığı = kurum için değerli her bilgi; her varlığın bir SAHİBİ olmalı (ISO 27001 A 5.9). • Üç temel sınıf: GİZLİ (ifşası ciddi zarar) / DAHİLİ (kurum içi) / AÇIK (herkesle paylaşılabilir). • Sınıfı veri SAHİBİ belirler; karışık içerikte sınıf EN HASSAS parçaya göre yükselir. • Şüphede kal → bir üst sınıfı seç; her veriyi sınıfına göre ETİKETLE (A 5.12 / A 5.13). • Kişisel veri en az "Gizli"dir; KVKK m.12 uygun teknik/idari tedbir ister, özel nitelikli veri ek koruma gerektirir. • Temiz masa/ekran (A 7.7) uygula; gizli veriyi onaylı, şifreli kanaldan gönder; sınıf düşürme yalnız sahibin onayıyla.