DLP'ler Ham Veriyi Saklar Mı? Metadata-First Yaklaşımı

KVKK uyumu için kritik bir soru: DLP yazılımı dosya içeriğini saklar mı? Çünkü saklarsa kendisi de “veri işleyen” sıfatıyla KVKK kapsamına girer ve müşteri verisi başka bir yerde daha tutulmuş olur.

Bu yazıda klasik DLP yaklaşımı vs metadata-first yaklaşımını karşılaştırıyoruz.

Klasik DLP — ham içerik saklama

Geleneksel DLP yazılımları (özellikle on-premise eski jenerasyon):

• Dosya içeriğini tam olarak kendi sunucusuna kopyalar
• “Evidence” amacıyla saklanır, denetimde gösterilir
• Tipik retention 1-2 yıl
• Storage maliyeti yüksek (yüzlerce GB)

Pro:

• Forensic için ham kanıt mevcut
• Denetimde “tam ne olduğunu” gösterebilir

Kontra:

• KVKK uyum açısından risk — şirketin hassas verisi 2. yerde
• DLP vendor “veri işleyen” oldu, DPA kompleksitesi
• Disk maliyeti yüksek (50 PC × 1 yıl = ~500 GB)
• Vendor sızıntısı = müşteri verisi sızıntısı

Metadata-first yaklaşımı

VeritaDLP gibi modern DLP’ler:

• Ham içerik sadece RAM’de geçici işlenir
• Diske/cloud’a sadece metadata yazılır:
  • Dosya hash (SHA-256)
  • Dosya adı, boyut, MIME tipi
  • PII tespit sayıları (TC: 47, IBAN: 12)
  • Risk skoru (0-100)
  • Mask’li içerik özeti (≤300 char, partial visibility)
  • Kullanıcı, PC, zaman damgası
• Ham metin RAM’de zeroize edilir (bytearray overwrite + GC hint)

Pro:

• KVKK uyum kalbi — şirket verisi 2. yere yazılmıyor
• Disk maliyeti çok düşük (50 PC × 1 yıl = ~5 GB)
• Vendor sızıntısı senaryosunda müşteri verisi etkilenmez
• “DLP verilerimi topluyor mu?” sorusu kesin cevap: “hayır”

Kontra:

• Forensic için tam ham kanıt yok — sadece mask’li özet
• Çok hassas adli süreçte ham içerik istenebilir → opsiyonel Evidence Vault (müşteri kendi ağında)

VeritaDLP saklanan metadata örneği

{
  "event_id": "evt_4719",
  "occurred_at": "2026-05-18T14:23:18Z",
  "agent_id": "agt_abc123",
  "user": "ahmet.yilmaz",
  "hostname": "PC-MUH-12",
  "channel": "usb",
  "decision": "block",
  "file": {
    "name": "musteri-tc-listesi.xlsx",
    "size_bytes": 1234567,
    "sha256": "7d3c9f2a8e1b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0a1b2c3d4e5f6a7b8c9",
    "mime": "application/vnd.openxml..."
  },
  "pii_counts": {
    "tc_kimlik": 47,
    "iban": 12,
    "kredi_karti": 0
  },
  "risk_score": 92,
  "masked_summary": "...TC: 123******01, *****/İzmir adresinden 15.000 TL fatura..."
}

Ham içerik hiçbir yerde yok. Sadece “ne kadar PII, ne tip, hangi mask’li örnek” görülür.

KVKK uyumu — somut farklar

Soru	Klasik DLP	Metadata-first
DLP veriniz saklıyor mu?	Evet (ham içerik)	Hayır (sadece metadata)
KVKK Madde 4 (minimumda)?	Sıkı yorumda ihlal	Uyumlu
DLP vendor “veri işleyen”?	Evet	Sadece metadata processor
Müşteri DPA imzası	Tam veri işleyen DPA	Hafifletilmiş DPA
Vendor sızıntısı = müşteri sızıntısı?	Evet	Hayır

Disk maliyeti karşılaştırması

100 müşteri × 200 PC × 90 gün retention:

Klasik DLP (ham içerik):

• Ortalama event başına 50 KB (dosya ortalaması)
• 200 PC × 50 olay/gün × 90 gün × 50 KB = 45 GB / tenant
• 100 tenant × 45 GB = 4.5 TB
• Storage maliyeti: $50-100/ay/tenant

Metadata-first:

• Event başına 200-500 byte
• 200 PC × 50 olay/gün × 90 gün × 300 byte = 270 MB / tenant
• 100 tenant × 270 MB = 27 GB
• Storage maliyeti: < $5/ay/tenant

170x daha verimli. KOBİ pazarı için ekonomik fark belirleyici.

Evidence Vault — opsiyonel

Bazı tenant’lar (örn. avukatlık, hukuki forensic gereksinim) ham kanıt isteyebilir. Bu durumda:

Customer-Controlled Evidence Vault:

• Vault müşterinin kendi ağında (NAS, file server, S3 bucket)
• Encryption key müşteride — DLP vendor görmez
• Cloud sadece path referansı + hash tutar
• DLP “veri işleyen” pozisyonunda değildir — sadece path catalog

VeritaDLP bu modeli default kapalı sunar — müşteri ister, aktif eder. KVKK için temiz çözüm.

RAM hijyeni — kritik detay

Metadata-first yaklaşımının kalbi: ham metin RAM’de bile uzun kalmaz.

Pipeline:

1. Agent dosya içeriği RAM’e okur (1-3 saniye)
2. 3 katmanlı PII tarama yapılır
3. Mask’li özet üretilir
4. Ham metin RAM’den explicit zeroize edilir:

   raw_bytes = bytearray(raw_content)
   # ... işlem ...
   for i in range(len(raw_bytes)):
       raw_bytes[i] = 0
   del raw_bytes
   gc.collect()
   

5. Sadece masked özet + metadata cloud’a gider

Toplam ham metin yaşam süresi: 3-5 saniye RAM’de.

Yaygın yanılgı

“DLP ham içeriği görmüyor mu? O zaman nasıl tarama yapıyor?”

Yanlış soru. DLP görür, ama sadece geçici. RAM’de tarama yapar, sonuç çıkarır, ham içeriği siler. Klasik DLP kaydeder — fark burada.

Restoran metaforu: aşçı yemeği hazırlamak için malzemeyi görmek zorunda, ama tüm malzemeyi 1 yıl saklamak zorunda değil.

Sonuç

Metadata-first yaklaşım KOBİ DLP için doğru tercih:

• KVKK uyum kalbi
• Disk maliyeti 170x az
• Vendor sızıntı riski sıfır
• Forensic değer (masked özet) yine korunur

Hassas adli senaryoda Evidence Vault opsiyon — müşterinin kendi ağında.

VeritaDLP metadata-first felsefesi ile tasarlandı. Sözleşmede + DPA’da

• aydınlatma metninde açık şekilde belirtilir.