Veri Sınıflandırması: Genel, Kurum İçi, Gizli, Kısıtlı

Veri sınıflandırma, verileri hassasiyetlerine ve yetkisiz ifşa, değiştirme veya kaybın etkisine göre kategoriler hâlinde düzenleme sürecidir. Sınıflandırma, sonraki tüm güvenlik kararlarını yönlendirir: hangi şifrelemenin gerekli olduğu, veriye kimlerin erişebileceği, verilerin nasıl saklanıp aktarılacağı ve ne kadar süreyle saklanacağı. Sınıflandırma olmadan kuruluşlar ya çok fazla kontrol uygular (kaynakları israf eder) ya da çok az kontrol uygular (hassas verileri korumasız bırakır).

Çoğu ticari kuruluş dört sınıflandırma düzeyi kullanır. PUBLIC veriler herkesle serbestçe paylaşılabilir — pazarlama materyalleri, basın bültenleri. INTERNAL (veya Özel) veriler gizli değildir; ancak kuruluş dışına paylaşılmamalıdır — çalışan dizinleri, kurum içi politikalar. CONFIDENTIAL veriler, yetkisiz ifşanın kuruluşa zarar vermesi nedeniyle korunmalıdır — mali raporlar, sözleşmeler. RESTRICTED (veya Highly Confidential) veriler en sıkı kontrollere tabidir — ticari sırlar, PII, korunan sağlık bilgileri, kimlik bilgileri.

Hükümet sınıflandırma sistemleri ticari sistemlerden farklıdır. ABD hükümeti verileri Unclassified, Controlled Unclassified Information (CUI), Confidential, Secret ve Top Secret olarak sınıflandırılır. Top Secret/SCI (Sensitive Compartmented Information) en yüksek düzeydir ve özel tesisler (SCIF'ler) ile geçmiş araştırmaları gerektirir. Security+ sınavı, hem ticari hem de hükümet sınıflandırma şemalarını ve hükümet sınıflandırmalarına eşlik eden güvenlik izni süreçlerini sınar.

Veri sahibi (IT ekibinden değil, üst düzey bir iş birimi rolünden) verileri sınıflandırmaktan ve uygun kontrollerin uygulanmasını sağlamaktan sorumludur. Veri emanetçisi, sahibi adına kontrolleri uygulayan ve sürdüren IT uzmanıdır. Bu ayrım önemlidir: sınıflandırma kararını sahibi verir; emanetçi bu kararı uygular. Veri sahipleri sürece katılmadığında veriler çoğu zaman sınıflandırılmadan kalır veya en düşük düzeye atanır; bu da yüksek değerli veri kümelerinde gizli bir risk oluşturur.

Veriler sınıflandırıldıktan sonra, işleyen kişilerin gereksinimleri bilmesi için etiketler uygulanmalıdır. Dijital etiketleme; üst veri etiketlerini, dosya özelliklerini, belge üst ve alt bilgilerini ve filigranları içerir. Fiziksel etiketleme basılı belgelere, depolama ortamlarına ve ekipmanlara uygulanır. Her sınıflandırma düzeyi belirli işleme kuralları içerir: Restricted veriler için aktarım sırasında ve beklerken şifreleme, yedeklere iki kişinin erişimi, geri dönüşüm yerine parçalama ve güvenlik ekibi tarafından onaylanmamış bulut depolama hizmetlerinin yasaklanması gerekebilir.

Sınıflandırma, şifreleme gereksinimlerini doğrudan belirler. PUBLIC veriler genellikle şifreleme gerektirmez. INTERNAL veriler aktarım sırasında (TLS) şifrelenmelidir. CONFIDENTIAL veriler, erişim günlükleriyle birlikte hem aktarım sırasında hem de beklerken şifreleme gerektirir. RESTRICTED veriler genellikle güçlü şifreleme (AES-256), anahtar yönetimi için donanım güvenlik modülleri (HSM), alan düzeyinde veritabanı şifrelemesi ve düzenli anahtar yenileme gerektirir. Data Loss Prevention (DLP) araçları, hassas verilerin aktarımını uyarmak veya engellemek için sınıflandırma etiketlerini kullanır.

Sınıflandırma, her katmanda erişim denetimi kararlarını yönlendirir. Restricted veriler yalnızca bilmesi gerektiğini kanıtlamış kişilerin erişimine açık olmalı; bu erişim, role dayalı veya öznitelik tabanlı erişim denetimiyle uygulanmalıdır. Sınıflandırma, ayrıcalıklı erişim yönetimini de etkiler: Teknik olarak tüm tablolara erişebilecek bir veritabanı yöneticisinin, görevi bunu açıkça gerektirmediği sürece Restricted sınıfındaki tablolara erişimi kısıtlanmalıdır. Erişim incelemeleri, hiçbir kullanıcının ihtiyacının üzerinde erişimi korumadığını yeniden doğrulamalıdır.

PII, belirli bir kişiyi tanımlayabilen her türlü veridir — ad, adres, Sosyal Güvenlik Numarası, e-posta, telefon, biyometrik veriler veya cihaz tanımlayıcıları. PII genellikle Confidential veya Restricted sınıflandırma katmanına girer. Kuruluşlar PII'nin nerede bulunduğunu (veri keşfi) belirlemeli, uygun şekilde sınıflandırmalı, düzenlemelerin (GDPR, CCPA, HIPAA) zorunlu kıldığı denetimleri uygulamalı ve saklama ile imha kurallarını tanımlamalıdır. Hassas PII — finansal, sağlıkla ilgili veya biyometrik veriler — genel PII'den daha güçlü korumalar gerektirir.

PHI, HIPAA tarafından korunan ve bireysel olarak tanımlanabilir her türlü sağlık bilgisidir. Tanıları, tedavi kayıtlarını, faturalandırma kodlarını ve bir hastayla ilişkilendirilebilen tüm verileri kapsar. PHI her zaman Restricted katmanında sınıflandırılır ve şunları gerektirir: şifreleme, denetim izleri, gerekli olan en az düzeyde erişim, tedarikçilerle iş ortağı sözleşmeleri (BAA) ve keşfedilmesinden itibaren 60 gün içinde ihlal bildirimi. PHI ihlali, Internal sınıfındaki verilerin ihlalinin doğurmayacağı düzenleyici yükümlülükleri tetikler.

Sınıflandırma, veri yaşam döngüsünün tamamında geçerlidir. Veriler saklama süresinin sonuna ulaştığında, sınıflandırma düzeyine uygun olarak imha edilmelidir. Restricted veriler için kriptografik silme (şifreleme anahtarlarının yok edilmesi), degaussing (manyetik imha), fiziksel parçalama veya NIST 800-88 uyumlu temizleme gerekir. Dosyaları yalnızca silmek veya sürücüleri yeniden biçimlendirmek, dosya kurtarma araçları verileri yeniden oluşturabileceğinden Confidential veya Restricted veriler için yeterli değildir.

Veri Kaybını Önleme (DLP) araçları, sınıflandırma politikalarını otomatik olarak uygular. İçerik denetimi yapan DLP, sınıflandırma ölçütleriyle eşleşen örüntüleri (SSN'ler, kredi kartı numaraları, sağlıkla ilgili anahtar kelimeler) bulmak için dosyaları ve ağ trafiğini tarar. Uç nokta DLP'si, sınıflandırılmış verilerin USB sürücülerine kopyalanmasını veya onaylanmamış bulut hizmetlerine yüklenmesini önler. Ağ DLP'si, dışarı giden trafiği inceler. Makine öğrenmesine dayalı sınıflandırma araçları, içerik analizine göre belgeler ve e-postalar gibi yapılandırılmamış verileri otomatik olarak etiketleyebilir.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: veri sınıflandırması, verileri hassasiyet ve etkiye göre Public, Internal, Confidential ve Restricted katmanlarında düzenler; veri sahipleri sınıflandırma kararlarını verirken emanetçiler denetimleri uygular ve sınıflandırma, her katman için şifreleme, erişim denetimi ve imha gereksinimlerini belirler. Sırada GDPR ilkelerini ve veri sahibi haklarını inceleyeceğiz.