Veri Güvenliği Duruş Yönetimi (DSPM) Nedir? Nasıl Çalışır?
DSPM (Veri Güvenliği Duruş Yönetimi), kurumların sahip olduğu tüm verileri keşfederek yanlış yapılandırma ve güvenlik risklerini tespit eden bir güvenlik yaklaşımıdır. Kurumların veri görünürlüğünü artırmasına ve olası veri ihlallerini önlemesine yardımcı olur.
Kurumsal verinin tek bir sunucu odasında toplandığı dönem, işletmelerin büyük bölümü için geride kalmış görünmektedir. Günümüzde aynı müşteri kaydı hem şirket içi bir veritabanında, hem bir SaaS uygulamasında, hem de bir çalışanın aceleyle paylaştığı bulut klasöründe eş zamanlı olarak bulunabilmektedir. Veri Güvenliği Duruş Yönetimi, yani Data Security Posture Management (DSPM), tam olarak bu dağınıklığı görünür kılmayı ve hassas verinin nerede durduğunu, kimin eriştiğini ve hangi risklere maruz kaldığını sürekli biçimde değerlendirmeyi amaçlayan bir yaklaşım olarak tanımlanabilmektedir.
DSPM, klasik anlamda bir “koruma” ürünü olmaktan çok, verinin güvenlik durumunu ölçen bir görünürlük ve risk yönetimi katmanı olarak konumlanmaktadır. Ağ ve erişim tarafındaki kontroller trafiği denetlerken, DSPM sorunun kaynağına yönelerek “bu veri neden burada duruyor ve buraya kimin erişmesi gerekiyordu?” sorusunu sürekli olarak yeniden sormaktadır. Bu nedenle DSPM, ZTNA ve merkezi loglama gibi bileşenler birbirinin alternatifi değil, tamamlayıcısı olarak değerlendirilmelidir.
DSPM Nedir?
DSPM, bir kurumun sahip olduğu tüm veri varlıklarının keşfedilmesini, sınıflandırılmasını ve bu varlıklar üzerindeki risklerin önceliklendirilmesini kapsayan bir güvenlik disiplinidir. Buradaki “duruş” ifadesi, verinin belirli bir andaki güvenlik olgunluğunu anlatmakta ve bu olgunluğun zaman içinde değişebileceğine işaret etmektedir. Nitekim bir veri kümesi bugün doğru yetkilerle korunuyor olsa bile, yeni bir entegrasyon ya da yanlış yapılandırılmış bir paylaşım izni nedeniyle yarın açık hale gelebilmektedir.
Bu ihtiyacın neden büyüdüğünü anlamak için IBM’in verilerine bakmak yeterli olabilir. IBM Cost of a Data Breach 2024 raporuna göre ihlallerin %40’ı birden fazla ortamda saklanan verileri kapsamış, üçte birinden fazlası ise yönetilmeyen kaynaklarda duran gölge veriyi (shadow data) içermiştir.
DSPM Nasıl Çalışır?
DSPM çözümleri genellikle birbirini izleyen bir döngü halinde çalışmaktadır:
- Keşif: Şirket içi sunucular, bulut depolama alanları, veritabanları ve SaaS uygulamaları taranarak veri varlıklarının envanteri çıkarılmaya çalışılır. Bu aşamada çoğu kurumun varlığından haberdar olmadığı yedekler ve test kopyaları da ortaya çıkabilmektedir.
- Sınıflandırma: Bulunan veriler kimlik bilgisi, finansal kayıt, sağlık verisi veya ticari sır gibi kategorilere ayrılarak hassasiyet düzeyleri belirlenir.
- Erişim analizi: Her veri kümesine hangi kullanıcı, uygulama veya servis hesabının eriştiği çıkarılır; kullanılmayan ya da aşırı geniş yetkiler tespit edilmeye çalışılır.
- Risk önceliklendirme: Şifrelenmemiş bir veri tabanı ile herkese açık bir bulut klasörü aynı ağırlıkta değerlendirilmez; risk, verinin hassasiyeti ve maruziyeti birlikte hesaplanarak sıralanır.
- Sürekli izleme ve düzeltme: Tespit edilen bulgular ilgili ekiplere yönlendirilir ve yeni riskler için izleme kesintisiz sürdürülür.
Bu döngünün son iki adımı, erişim kontrolüyle doğrudan ilişkilidir. DSPM’in ortaya çıkardığı “gereğinden fazla yetki” bulgularının kalıcı biçimde kapatılabilmesi için kimlik odaklı bir erişim modeline ihtiyaç duyulmaktadır. Berqnet ZTNA çözümü, kullanıcıların tüm ağa değil yalnızca yetkili oldukları uygulamalara erişmesini sağlayarak bu bulguların pratikte karşılığını oluşturabilmekte; Cihaz Durum Kontrolü (DPC) ise erişim talebini gönderen cihazın güvenlik durumunu değerlendirerek riskli uç noktaların hassas veriye ulaşmasını sınırlandırabilmektedir.
Geleneksel Yaklaşım ile DSPM Arasındaki Farklar
| Kriter | Geleneksel Veri Güvenliği | DSPM Yaklaşımı |
|---|---|---|
| Odak noktası | Altyapı ve çevre güvenliği | Verinin kendisi ve bulunduğu konum |
| Kapsam | Bilinen sistemler | Bilinen ve bilinmeyen (gölge) veri kaynakları |
| Değerlendirme sıklığı | Dönemsel denetimler | Sürekli izleme |
| Risk bakışı | Tekil açık listeleri | Hassasiyet ve maruziyet birlikte önceliklendirilir |
| Uyum katkısı | Belge temelli | Kanıt ve envanter temelli |
Gölge Veri ve Gölge Yapay Zeka Başlığı
DSPM’i son dönemde gündemin üst sıralarına taşıyan gelişmelerden biri de yapay zeka araçlarının kontrolsüz kullanımı olmuştur. IBM Cost of a Data Breach 2025 raporuna göre incelenen kurumların %20’si gölge yapay zeka (shadow AI) ile bağlantılı bir ihlal yaşamış, bu olaylar ortalama ihlal maliyetine yaklaşık 670 bin dolar eklemiştir. Aynı raporda, yapay zeka kaynaklı ihlal bildiren kurumların %97’sinin uygun erişim kontrollerinden yoksun olduğu belirtilmektedir.
Tablonun pratikteki karşılığı oldukça tanıdıktır: bir çalışan, müşteri listesini özetletmek için onaysız bir çevrimiçi araca yükleyebilmekte ve bu hareket hiçbir kayda düşmeden tamamlanabilmektedir. Bu tür akışların görünür hale gelmesinde Berqnet SASE platformunun Secure Web Gateway bileşeni ile web ve uygulama filtreleme yetenekleri belirleyici olabilmekte; hangi kullanıcının hangi bulut servisiyle ne ölçüde etkileşim kurduğu merkezi olarak izlenebilmektedir. Tehditler sürekli değişir ve gelişir; bu nedenle güvenlik sistemlerinizin de bu değişime göre aksiyon alabilmesi gerekir.
Türkiye’de KVKK Uyumu Açısından DSPM
Türkiye’deki tabloya bakıldığında da benzer bir eğilim görülmektedir. Kişisel Verileri Koruma Kurumu’nun faaliyet verilerine göre 2024 yılında Kurul’a 281 veri ihlal bildirimi ulaşmışken, bu sayı 2025 yılında 328’e yükselmiştir. Aynı dönemde 876 veri sorumlusuna 352 milyon TL’nin üzerinde idari para cezası uygulanmıştır.
6698 sayılı Kanun kapsamında hazırlanması beklenen kişisel veri envanteri, uygulamada çoğu zaman elle doldurulan bir tablo olarak kalmaktadır. DSPM, bu envanteri gerçek sistem taramalarına dayandırarak uyum sürecine somut bir zemin kazandırabilmektedir. Envanterin yanı sıra “kim, ne zaman, hangi kaynağa erişti” sorusunun yanıtlanabilmesi de gerekmektedir; bu noktada 5651 sayılı yasaya uygun loglama ve merkezi kayıt yetenekleri denetim süreçlerini kolaylaştırabilmektedir. Berqnet’in merkezi yönetimi, gelişmiş tehdit önleme ve esnek mimarileriyle veri güvenliğini daha etkin ve sürdürülebilir hale getirir.
DSPM Projesine Başlarken Dikkat Edilmesi Gerekenler
- Tüm veriyi aynı anda kapsamaya çalışmak yerine kritik iş birimlerinden başlayan kademeli bir kapsam planlanması yararlı olabilmektedir.
- Sınıflandırma etiketlerinin kurumun kendi iş süreçleriyle uyumlu tanımlanması, sonradan oluşacak yanlış pozitifleri azaltabilmektedir.
- Bulguların yalnızca raporlanması yeterli görülmemeli, düzeltme adımlarının sahipleri baştan belirlenmelidir.
- Erişim politikalarının merkezi bir platform üzerinden yönetilmesi, farklı lokasyonlarda tutarlılığın korunmasına katkı sağlayabilmektedir.
Kaynakça
Sıkça Sorulan Sorular
En çok okunanlar
