DLP'de Veri Maskeleme — Forensic Değer + Gizlilik Dengesi

DLP “ham veri saklamaz” derken aslında ne yapıyor? Cevap: veri maskeleme (data masking). Bu yazıda farklı maskeleme yöntemlerini ve VeritaDLP’nin neden “partial visibility” yaklaşımını seçtiğini anlatıyoruz.

Veri maskeleme nedir?

Hassas veriyi (PII) kişiyi tanımlamayacak şekilde dönüştürme. KVKK

• GDPR + HIPAA üçü de bunu zorunlu kılar. 5 ana yöntem:

1. Full mask (tam silme)

Tüm karakterleri tek karakterle değiştir:

Ham:    12345678901
Mask:   ***********

Pro: maksimum gizlilik. Kontra: forensic değer sıfır — “bu ne veriydi?” anlaşılmaz.

KVKK uyumu açısından en güvenli, ama operasyonel olarak işe yaramaz.

2. Partial visibility (kısmi görünür)

Bazı karakterler açık, geri kalan maskeli:

TC:     123******01
IBAN:   TR33 0006 **** **** **** **** 26
Kart:   4111 22** **** 4444

Pro: forensic değer korunur (veri tipi belli, takip mümkün). Kontra: kişiyi yine de tanımlayamaz (orta hane bilinmiyor) ama 2 ayrı olayda aynı kişiyse iz sürülebilir.

VeritaDLP bu yaklaşımı kullanır.

3. Tokenization (token ile değiştirme)

PII’yi anlamsız token ile değiştir:

Ham:    TC: 12345678901
Token:  TC: TC_X4Y8Z2K1

Token bir tabloda gerçek değerle eşleştirilir. Token yer dışı sızıntıda işe yaramaz, içeriden token ↔ gerçek değer eşleştirme yetkilendirilmiş kullanıcıdadır.

Pro: en yüksek güvenlik, gerçek veri ayrı vault’ta. Kontra: tokenization vault gerek — KOBİ için karmaşık.

E-ticaret + bankacılık kullanır, KOBİ için overkill.

4. Hashing (irreversible)

Tek yönlü hash:

Ham:    12345678901
SHA256: a3f5...c7d2 (64 char hex)

Pro: matematik olarak geri çevrilemez, deterministic (aynı veri aynı hash). Kontra: brute force riski (11 hane TC için 11^10 = milyar deneme). Salt eklenmeden güvensiz.

DLP’de fingerprinting için kullanılır — “bu dosya daha önce görülmüş mü” check.

5. Encryption (şifreli, anahtarla geri açılabilir)

AES-256-GCM gibi şifreleme:

Ham:    12345678901
Enc:    aB3xK7mP... (random)

Pro: anahtar olmadan açılamaz. Kontra: anahtar yönetimi karmaşık.

Mask değil aslında — veri-at-rest koruma. DLP içerik özetinde kullanılmaz, evidence vault’ta kullanılır.

VeritaDLP yaklaşımı — Partial visibility

İlk sürüm için partial visibility seçildi. Sebep:

• KVKK uyumu (kişi tanımlanamaz)
• Forensic değer (analist olayı anlar)
• Operasyonel basit (token vault yok)
• Mevcut KVKK aydınlatma metnine net açıklama

Standart mask patternleri:

PII	Ham	Mask	Açık bırakılan
TC	12345678901	123******01	İlk 3 + son 2
VKN	1234567890	12*****890	İlk 2 + son 3
IBAN	TR33 0006 1005 1978 6457 8413 26	TR33 0006 **** **** **** **** 26	Ülke + banka + son 2
Kart	4111 2222 3333 4444	4111 22** **** 4444	İlk 6 + son 4 (PCI-DSS)
Telefon	0532 555 33 22	0532 *** ** 22	Operatör + son 2
E-posta	mehmet@firma.com	m*****@firma.com	İlk harf + tam domain
Ad	Mehmet	Mehmet	Tam (yaygın, az tanımlayıcı)
Soyad	Özbakır	Ö*****r	İlk + son harf
Adres	Konak/İzmir, Atatürk Cad. No:5	****/İzmir, *** Cad. No:*	Sadece şehir
Plaka	34 ABC 123	34 *** **	İl kodu

Mask edilmeyen (bağlam için)

Bilinçli olarak açık tutulan:

• Sayılar (tarih, miktar, sayım) — “15.000 TL fatura”
• Şirket isimleri — “Asbesin Tekstil”
• Fiil/sıfat/cümle yapısı — “iade talep ediyor”
• Türkçe yer adları (şehir bazlı) — “İzmir”

Bu sayede forensic analist olayın ne hakkında olduğunu anlar, ama kişiyi tanımlayamaz.

Deterministic mask

Aynı veri her seferinde aynı maskeli çıktı:

TC 12345678901 → her zaman 123******01

Pro:

• 2 ayrı olayda “aynı kişi”yi takip
• Forensic değer artar (kullanıcı pattern analizi)

Kontra:

• Kasıtlı bir tradeoff — kimlik takip riski kabul edildi
• KVKK aydınlatma metninde net belirtildi

Mask örneği — gerçek senaryo

Ham (RAM’de, asla diske inmez):

Mehmet Özbakır 0532 555 33 22 numarasından aradı. TC: 12345678901, Konak/İzmir adresinden 15.000 TL fatura talep ediyor. Kart: 4111 2222 3333 4444

Saklanan (300 char masked):

Mehmet Ö*****r 0532 *** ** 22 numarasından aradı. TC: 123******01, *****/İzmir adresinden 15.000 TL fatura talep ediyor. Kart: 4111 22** **** 4444

Karşılaştırın:

• Kişiyi (Mehmet Özbakır) tanımlamak imkansız
• Olay bağlamı (iade talebi, 15.000 TL fatura) korunur
• 2. olayda aynı kişiyi (deterministic mask ile) tanıma

Tam alternatif: Strict Privacy Mode

Bazı tenant’lar maksimum gizlilik isteyebilir. Strict Privacy Mode:

• Masked özet bile saklanmaz
• Sadece PII sayım: “TC: 1, IBAN: 1, Kart: 1”
• Forensic değer sıfır, sadece “olay oldu” log’u

KVKK aşırı hassas sektörlerde (örn. avukatlık, sağlık özel kategori) tercih edilir. VeritaDLP tenant ayarı olarak sunulur.

Pratik test

Şirketinizde bir DLP demo isteyin, kendi PII’nizle test edin:

1. Bir Excel’de gerçek müşteri verisi seçin (sadece test için)
2. DLP’ye gönderin (test ortamda)
3. Sonuçtaki “saklanan özet”i bakın

Eğer DLP ham TC veya ham kart gösteriyorsa → KVKK uyumsuz, satın almayın.

Eğer partial visibility veya full mask gösteriyorsa → uyum sağlanıyor.

Sonuç

Veri maskeleme tek bir yöntem değil — 5 yaklaşım var. Partial visibility forensic değer + KVKK uyum dengesinde en pratik seçim. Tokenization KOBİ için karmaşık, full mask forensic’i öldürür.

VeritaDLP partial visibility default, Strict Privacy Mode opsiyon olarak sunar.