Veri Kapıyı Çarpıp Çıkmaz: Şirket İçinden Veri Sızıntıları ve DLP’nin Önemi

“Firewall var, antivirüs var, EDR var… Daha ne olsun?”

Oldukça fazla şey olabilir.

Çünkü şirketinizin dışarıdan gelecek saldırılara karşı kapısında son teknoloji bir güvenlik görevlisi beklerken, içerideki biri müşteri listesini Excel’e aktarıp kişisel Gmail adresine gönderebilir.

Üstelik bunu yapmak için kapüşonlu bir hacker olmaya da gerek yok.

Bazen gerekenler sadece şunlardır:

Ctrl+C → Ctrl+V → Veriler Cepte!

Ve tebrikler…

Milyonlarca liralık güvenlik mimariniz, 24 KB’lık bir Excel dosyası karşısında hayatı sorgulamaya başlamıştır.

Bu yazıda şirketlerin çoğu zaman dışarıdaki saldırganlara odaklanırken gözden kaçırdığı başka bir riskten bahsedeceğiz:

Verinin içeriden dışarı çıkması.

Ve tabii ki bu hikâyenin önemli oyuncularından birinden:

DLP – Data Loss Prevention.

---

1. Veri Sızıntısı Deyince Neden Aklımıza Hep Hacker Geliyor?

Bir veri sızıntısı haberi gördüğümüzde zihnimizde hemen klasik sahne oluşuyor:

Karanlık oda.

Üç monitör.

Kapüşonlu biri.

Ekranda anlamsız şekilde akan yeşil karakterler.

Adam klavyeye birkaç saniye vuruyor:

“I’m in.”

Gerçek kurumsal hayat bazen çok daha az Hollywood tarzında ilerliyor.

Örneğin:

Bir çalışan işten ayrılmadan birkaç gün önce müşteri listesini Excel’e aktarır.

Başka biri önemli bir PowerPoint sunumunu evde çalışmak için kişisel e-posta adresine gönderir.

Bir başkası kaynak kodları kişisel bulut hesabına yükler.

Bir yönetici 300 kişinin maaş bilgilerinin bulunduğu Excel dosyasını yanlışlıkla şirket genelindeki dağıtım listesine gönderir.

Bir çalışan ChatGPT benzeri bir servise:

“Şu müşteri verilerini analiz eder misin?” diye sorar ve altına şirketin gerçek verilerini yapıştırır.

Kimse Matrix müziği açmamıştır.

Ama veri artık şirketin kontrol alanının dışındadır.

---

2. İçerideki İnsan Her Zaman “Kötü Adam” Değildir

Insider Threat denildiğinde önemli bir ayrım yapmamız gerekiyor.

Şirket içerisinden kaynaklanan veri kayıplarını kabaca üç gruba ayırabiliriz.

1 — Kötü niyetli çalışan

Ne yaptığını bilir.

Veriyi özellikle dışarı çıkarmaya çalışır.

Örneğin işten ayrılmadan önce:

• Müşteri listesini,
• Fiyatlandırma tablolarını,
• Kaynak kodları,
• Proje dokümanlarını,
• Teklifleri,
• Sözleşmeleri

Yanında götürmeye çalışabilir.

Klasik yaklaşım:

“Bunlar ileride lazım olur.”

Olmaz.

Onlar şirketin verisidir.

---

2 — İyi niyetli ama dikkatsiz çalışan

Aslında şirketten veri çalmak gibi bir amacı yoktur.

Sadece işi biraz kolaylaştırmaya çalışmaktadır.

“Akşam evde devam ederim.”

Dosya kişisel Gmail hesabına gider.

“Telefondan bakarım.”

WhatsApp’a gider.

“Buradan ekip daha kolay ulaşır.”

Kişisel Google Drive’a gider.

“AI bunu iki dakikada özetler.”

Kurumsal doküman bir üretken yapay zekâ servisine gider.

Niyet kötü değildir.

Sonuç kötü olabilir.

---

3 — Ele geçirilmiş çalışan hesabı

Burada çalışan hiçbir şey yapmamış olabilir.

Ancak phishing saldırısıyla hesabı ele geçirilmiştir.

Saldırgan artık dışarıdaki biri gibi görünmez.

Sisteme:

seyhan.tekelioglu@firma.com

Benzeri tamamen geçerli bir hesapla giriş yapmaktadır.

Firewall açısından kullanıcı içeridedir.

Active Directory açısından kullanıcı geçerlidir.

VPN açısından authentication başarılıdır.

Ama klavyenin başında çalışan olmayabilir.

İşte veri güvenliğinin zorlaştığı noktalardan biri tam olarak burasıdır.

---

3. Türkiye’den Gerçek Bir Örnek: “Bir Fotoğraf Çektim, Ne Olacak?”

Türkiye’de Kişisel Verileri Koruma Kurulu kararlarına yansıyan oldukça öğretici bir bankacılık vakası bulunuyor.

Bir banka çalışanı, kendisine görev amacıyla verilmiş müşteri bilgileri ve belgelerini görüntüleme yetkisini kullanarak bir müşterinin kimlik görüntüsüne erişiyor.

Buraya kadar teknik olarak erişim yetkisi mevcut.

Ancak daha sonra işler değişiyor.

Çalışan müşteri bilgilerini kişisel cep telefonuyla fotoğraflıyor ve üçüncü bir kişiyle paylaşıyor.

İşte veri güvenliğinde çok önemli bir ders:

Bir kullanıcının veriye erişmeye yetkili olması, o veriyle istediği her şeyi yapmaya yetkili olduğu anlamına gelmez.

Bu ikisi tamamen farklı şeylerdir.

Access Control bize şunu söyler:

“Bu kullanıcı bu veriyi görebilir mi?”

DLP ise başka bir soru sorar:

“Tamam, görebiliyor. Peki bu veriyi nereye götürüyor?”

Ve bana göre DLP’nin en güzel özeti budur.

---

4. Bir Başka Türkiye Vakası: GitHub Sürprizi

Bir başka KVKK kararında, bilgisayar oyunları alanında faaliyet gösteren bir şirkette eski bir web geliştiricisinin içerisinde kaynak kodları ve veri dosyaları bulunan bir klasörü yetkisiz şekilde GitHub’a yüklediği tespit ediliyor.

Bir yazılımcı için GitHub dünyanın en normal yerlerinden biridir.

Ancak şu küçük ayrıntı önemlidir:

Her kaynak kod GitHub’a yüklenmez.

Özellikle de:

Şirket size ait değilse.

Kurumsal veri güvenliğinde bazen problem kullanılan teknoloji değildir.

Problem:

Kurumsal veri + yanlış kanal kombinasyonudur.

GitHub kötü değildir.

Dropbox kötü değildir.

Google Drive kötü değildir.

USB kötü değildir.

E-posta kötü değildir.

Problem şudur:

Hangi veri, kim tarafından, hangi amaçla, nereye gönderiliyor?

DLP’nin cevaplamaya çalıştığı soru tam olarak budur.

---

5. Daha da İlginci: Eski Çalışan Geri Dönerse?

Türkiye’deki başka bir KVKK kararında ise ilaç sektöründe faaliyet gösteren bir şirkette oldukça ilginç bir durum görülüyor.

Yetkisiz erişim girişimlerinin araştırılması sonucunda olayın, şirketin siber güvenlik desteği aldığı firmanın bir çalışanıyla ilişkili olduğu belirleniyor.

Daha da ilginci:

Bu kişi aynı zamanda veri sorumlusu şirketin eski çalışanı.

İhlalin yaklaşık 1.000 kişiyi etkilediği tahmin edilmiş; bunların 297’sinin şirket çalışanı olduğu belirtilmiş.

Bu vaka bize çok önemli başka bir konuyu hatırlatıyor:

Offboarding (İşten Çıkış İşlemleri)

Çalışan işe başladığında:

17 form,

8 onay,

3 yönetici,

2 eğitim,

1 hoş geldin paketi vardır.

Çalışan ayrılırken bazen:

“AD hesabını kapattık mı?”

“Sanırım.”

“Sanırım” bir güvenlik kontrolü değildir.

Çalışanın ayrılmasıyla birlikte erişim hakları, servis hesapları, API anahtarları, VPN erişimleri, paylaşılan hesaplar ve ayrıcalıklı yetkiler sistematik biçimde kontrol edilmelidir.

---

6. Peki İnsanlar Şirketten Ne Kaçırıyor?

Cevap:

Değerli olan hemen hemen her şeyi.

Örneğin:

Ve listenin sonunda son yıllarda giderek önem kazanan yeni bir kategori var:

AI sistemlerine girilen kurumsal veriler.

Çalışan sadece işini hızlandırmak istemektedir:

“Bu sözleşmeyi özetle.”

Ama sözleşme şirket dışındaki bir sisteme aktarılmış olabilir.

Yeni nesil DLP stratejisinin artık yalnızca:

USB + Email + Web üçgeninden ibaret olmaması gerekiyor.

---

7. DLP Tam Olarak Ne Yapar?

DLP’nin açılımı:

Data Loss Prevention

Türkçede kabaca:

Veri Kaybı / Veri Sızıntısı Önleme

Ama DLP’yi sadece “dosya gönderilmesini engelleyen yazılım” olarak görmek eksik olur.

Modern bir DLP sistemi temel olarak şu soruların peşindedir:

Hangi veri?

Kişisel veri mi?

Kredi kartı mı?

Kaynak kod mu?

Finansal veri mi?

Şirket sırrı mı?

---

Kim kullanıyor?

Finans çalışanı mı?

DBA mi?

Yazılımcı mı?

Taşeron mu?

Yönetici mi?

---

Nereden alıyor?

Database?

Dosya sunucusu?

SharePoint?

Endpoint?

Cloud?

---

Nereye götürüyor?

USB?

E-mail?

Web upload?

Cloud Storage?

Printer?

Clipboard?

AI servisi?

---

Ne yapıyor?

Copy?

Upload?

Print?

Paste?

Send?

Compress?

Encrypt?

İşte bu sorular birleştiğinde güvenlik açısından anlamlı bir resim oluşmaya başlar.

---

8. DLP Olmadan Bir Gün

Saat 09:12

Bir çalışan 48.000 müşterinin bulunduğu:

customers_final_v8_REAL_FINAL.xlsx dosyasını açtı.

Sorun yok.

---

Saat 09:14

Dosyayı masaüstüne kopyaladı.

Hâlâ olabilir.

---

Saat 09:16

Dosyayı ZIP yaptı.

Hmm.

---

Saat 09:17

ZIP dosyasını kişisel Gmail hesabına yüklemeye başladı.

DLP:

“Bir dakika arkadaşım.”

İşte DLP’nin devreye girdiği yer burasıdır.

Sistem örneğin:

Sensitive Data → Personal Webmail → Upload kombinasyonunu tespit ederek:

• İşlemi engelleyebilir,
• Kullanıcıyı uyarabilir,
• Olayı loglayabilir,
• Güvenlik ekibine incident oluşturabilir,
• Yöneticiyi bilgilendirebilir.

Ve bütün bunlar dosya şirketi terk etmeden gerçekleşebilir.

---

9. “Ama Kullanıcı Dosyanın Adını Değiştirirse?”

İşte burada işler eğlenceli hale geliyor.

Kullanıcı:

customer_database.xlsx dosyasının adını:

tatil_fotograflari.xlsx yapabilir.

DLP:

“İsmi güzelmiş. Bir de içine bakalım.”

İyi bir DLP çözümü sadece dosya adına bakmaz.

İçeriği analiz eder.

Örneğin:

• Regex,
• Fingerprinting,
• Exact data matching,
• Machine learning,
• Document classification,
• Keyword,
• Metadata,
• Structured data analysis

Gibi yöntemlerle verinin ne olduğunu anlamaya çalışabilir.

Çünkü:

Kredi kartı numarasının adı “patates.xlsx” yapılınca kredi kartı numarası olmaktan çıkmaz.

---

10. USB: Kurumsal Dünyanın Küçük Ama Cesur Kahramanı

USB yaklaşık 3 santimetredir.

Ama gerektiğinde bir güvenlik ekibinin bütün hafta sonunu mahvedebilir.

Bir çalışan:

500 MB müşteri verisi,

2 GB proje dokümanı,

Kaynak kodları ve şirketin gelecek yıl strateji dokümanını birkaç dakika içerisinde USB belleğe aktarabilir.

DLP burada:

Confidential → Removable Media politikasını çalıştırabilir.

Örneğin işlemi:

Block edebilir.

Ya da:

Allow + Audit uygulayabilir.

Veya sadece şirket tarafından onaylanmış şifreli USB cihazlarına izin verebilir.

Önemli nokta şudur:

Her şeyi engellemek DLP değildir.

Doğru işlemi serbest bırakıp riskli işlemi engellemek DLP’dir.

---

11. DLP = “Çalışanları Gözetleme Sistemi” Değildir

Bu yanlış anlaşılma DLP projelerinde oldukça sık görülür.

DLP’nin amacı:

“Ahmet bugün ne yapmış?” değildir.

Amaç:

“Şirketin kritik verisine ne oluyor?” sorusudur.

İyi tasarlanmış bir DLP politikası insanlara değil: Veriye odaklanır.

Örneğin:

10.000 müşteri kaydı → Personal Gmail bir güvenlik olayı olabilir.

Ama:

Öğle yemeği menüsü.pdf → Personal Gmail SOC ekibinin hayatında heyecan yaratmamalıdır.

Aksi takdirde DLP sistemi kısa süre içerisinde dünyanın en pahalı:

“Alert üretme makinesine” dönüşür.

---

12. DLP Projelerinin En Büyük Hatası: BLOCK EVERYTHING!

Bazı şirketlerin DLP’ye yaklaşımı şöyledir:

USB BLOCK

GMAIL BLOCK

DROPBOX BLOCK

COPY BLOCK

PRINT BLOCK

UPLOAD BLOCK

Bir süre sonra kullanıcı:

WORK BLOCK durumuna gelir.

DLP’nin amacı şirketi çalışamaz hale getirmek değildir.

Amaç:

Risk bazlı kontrol oluşturmaktır.

Örneğin:

Public Data → Allow

Internal Data → Monitor

Confidential Data → Warn / Justification

Restricted Data → Block

Bu yaklaşım hem güvenliği hem de iş sürekliliğini korur.

Çünkü başarılı bir DLP projesinin formülü:

Security + Business Requirements + User Experience olmalıdır.

---

13. DLP’nin Görmesi Gereken Kanallar

Modern bir DLP mimarisinde yalnızca e-postayı kontrol etmek artık yeterli değildir.

Verinin hareket edebileceği başlıca alanlar:

Özellikle son kategori önümüzdeki dönemin en önemli veri güvenliği konularından biri olmaya adaydır.

---

14. Rakamlar Ne Diyor?

Konunun yalnızca teorik olmadığını uluslararası araştırmalar da gösteriyor.

Verizon’un 2025 Data Breach Investigations Report çalışmasında EMEA bölgesindeki ihlallerin yaklaşık %29’unun organizasyon içerisinden kaynaklandığı belirtiliyor.

Bunun yaklaşık %19’u istemeden yapılan hatalarla, %8’i ise yetkinin veya verinin kötüye kullanılması gibi durumlarla ilişkilendiriliyor.

2025 DBIR’ın “Privilege Misuse” kategorisinde ise 825 olay ve 757 doğrulanmış veri ifşası incelenmiş durumda.

Bu kategorideki ihlallerde tehdit aktörlerinin büyük çoğunluğunu iç aktörler oluşturuyor.

İşin ilginç tarafı:

İnsanların veriyi dışarı çıkarmasının nedeni her zaman James Bond filmi gibi “endüstriyel casusluk” değil.

Para…

Yeni işe geçiş…

Kendi şirketini kurmak…

Kolayına geldiği için prosedürü atlamak…

Hatta bazen sadece:

“Ben hep böyle yapıyorum.”

---

15. DLP’nin Asıl Gücü: Dosyayı Değil Davranışı Anlamak

Tek başına şu olay çok anlamlı olmayabilir:

User copied file.

Ama olayları birleştirelim:

08:43 → Kullanıcı CRM sisteminden yüksek miktarda veri çekti.

08:51 → Excel oluşturdu.

08:55 → Dosyayı ZIP yaptı.

09:01 → USB taktı.

09:02 → Dosyayı USB’ye kopyalamaya çalıştı.

Şimdi hikâye biraz değişti.

Özellikle kullanıcı:

Üç gün sonra şirketten ayrılacaksa hikâye çok daha ilginç hale gelir.

Bu nedenle modern veri güvenliği yaklaşımında:

DLP + UEBA + IAM + SIEM + SOC entegrasyonu oldukça değerlidir.

Tek tek olaylara bakmak yerine davranış zincirini görmek gerekir.

---

16. Şirketler Ne Yapmalı?

Teknoloji satın almak başlangıçtır.

Ama DLP projesi:

“Kurduk, agent dağıttık, bitti.” projesi değildir.

Başarılı bir DLP programında önce şirketin verisini tanıması gerekir.

1. Kritik veriyi belirleyin.

Neyi koruyoruz?

2. Veriyi sınıflandırın.

Public
Internal
Confidential
Restricted

3. Verinin nerede olduğunu bulun.

Database?

File Server?

Endpoint?

Cloud?

4. Kimlerin eriştiğini belirleyin.

Gerçekten bu kişilerin tamamının erişmesi gerekiyor mu?

5. Verinin hareketini izleyin.

Email?

USB?

Web?

Cloud?

AI?

6. Risk bazlı politikalar oluşturun.

Her şeyi BLOCK etmeyin.

7. Kullanıcıyı eğitin.

Çünkü en gelişmiş DLP çözümü bile güvenlik kültürünün yerini tamamen alamaz.

---

17. Sonuç: Verinin Bacakları Yoktur Ama Yine de Yürür

Şirketler yıllarca güvenliği şöyle düşündü:

Dışarıdaki kötü adamın içeri girmesini engelle.

Firewall kurduk.

IPS kurduk.

WAF kurduk.

EDR kurduk.

MFA kurduk.

Ama artık başka bir soruyu da sormamız gerekiyor:

İçerideki veri dışarı çıkıyor mu?

Çünkü kritik şirket verisi bazen karmaşık bir APT operasyonuyla değil:

USB bellekle,

Kişisel Gmail hesabıyla,

Yanlış gönderilmiş bir e-postayla,

GitHub repository’siyle,

Cloud storage hesabıyla

Veya artık:

Bir AI promptuyla şirketi terk edebilir.

Bu nedenle DLP’yi yalnızca bir güvenlik ürünü olarak görmek eksik kalır.

DLP aslında şirketin en değerli varlıklarından biri olan verinin hareketini kontrol eden güvenlik katmanıdır.

Ve iyi bir DLP sistemi kullanıcıya sürekli:

“HAYIR!” demez.

Doğru zamanda:

“Bu dosyayı gerçekten buraya göndermek istediğine emin misin?” der.

Bazen milyonlarca liralık bir veri ihlalini önlemek için gereken şey tam olarak bu sorudur.

---

Son Söz

Şirketinizin kapısında güvenlik görevlisi olabilir.

Turnikeleriniz olabilir.

Firewall’ınız olabilir.

SOC ekibiniz 7/24 ekranlara bakıyor olabilir.

Ama 100.000 satırlık müşteri listeniz:

customers_final_v8_REAL_FINAL.xlsx adıyla bir çalışanın masaüstünde duruyorsa…

Bence o Excel dosyasıyla küçük bir konuşma yapmanın zamanı gelmiştir. 😊

Seyhan Tekelioğlu

---

Konu Etiketleri

#CyberSecurity #DataSecurity #DLP #DataLossPrevention #DataProtection #InsiderThreat #InsiderRisk #InformationSecurity #InfoSec #KVKK #PersonalData #DataLeakage #DataBreach #CyberAwareness #SecurityAwareness #SOC #SIEM #UEBA #ZeroTrust #ArtificialIntelligence #GenerativeAI #CloudSecurity #EndpointSecurity #SiberGüvenlik #VeriGüvenliği #BilgiGüvenliği #VeriSızıntısı