Güvenlik ve veri

Verileriniz kendi Azure’unuzda kalır

Ürün kendi Azure aboneliğinizde çalışır. Tarama sonuçları, günlükler, işlem kaydı ve yapılandırma kendi Azure depolama alanınızda kalır. Ek bir Microsoft lisans seviyesi gerekmez.

Yönetim erişimi

Evet ve bunu açıkça söylüyoruz. Her Azure Managed Application’da olduğu gibi, inthouse’un aboneliğinizde uygulama için dağıtılan kaynaklara yönetim erişimi vardır. inthouse içeriğinize erişmez: tarama sonuçları, günlükler ve yapılandırma kendi Azure depolama alanınızda kalır. Ayrıntılar için teknik ekibimiz size adım adım bilgi verir.

Güvenlik soru formları ve tedarikçi değerlendirmeleriyle de teknik ekibimiz ilgilenir.

İhtiyacınız olanlar

• taramak istediğiniz posta kutuları, OneDrive hesapları ve Teams sohbetlerinin zaten Microsoft 365’te olması;
• kurulum yapılacak bir Azure aboneliği;
• tek seferlik kurulum adımı için bir Global Administrator (Genel Yönetici);
• Teams için her çalışanın kendi erişim izni.

Azure Marketplace’ten yaklaşık 10 dakikada dağıtılır; ardından Global Administrator’ınızın tek seferlik kurulum adımı gelir. E5’e, ek bir Microsoft lisans seviyesine ya da ücretli bir Microsoft API’sine ihtiyacınız yoktur.

Kim ne yapabilir?

Ürünün Users sayfasından atanan üç rol:

• Admin (Yönetici): güvenlik ayarları ve roller dahil her şey.
• Security Manager (Güvenlik Yöneticisi): tarama ve silme çalıştırır, tespit kurallarını düzenler; ancak güvenlik ayarlarını ve rolleri değiştiremez.
• Reporter (Raporlayıcı): geçmişe, sonuçlara, işlem kaydına ve dışa aktarımlara salt okunur erişir ve Safe Scan çalıştırabilir. Sonuçları görmesi amaç için gerekli olan kişiler, örneğin KVKK sorumlunuz ya da bağımsız denetçiniz için uygundur; sonuçlarda çalışan iletişimine ait konu, dosya adı ve gönderen bilgileri göründüğü için bu rolü dar tutun.

Rol atamak için uygulama rolü atayabilen bir Microsoft Entra rolü gerekir (örneğin Global veya Cloud Application Administrator).

Silme kontrollüdür

• Silme, bir yönetici açana kadar kapalıdır.
• Safe Scan (güvenli tarama) bulur ve raporlar, hiçbir şey silmez.
• Her ajan için kesin bir silme sınırı belirlersiniz. Bir çalıştırma sınırdan fazlasını silecekse durur. Sınırı aşmaya yarayan bir düğme yoktur.
• İşlem kaydı yazılamazsa silme reddedilir.
• Bir OneDrive dosyası silinmeden önce kendi Azure depolama alanınıza yedeklenir; yedekleme başarısız olursa o dosya silinmez.
• Exchange ve OneDrive’da silme kalıcıdır; Teams mesajları Microsoft’un yumuşak silme (soft delete) yöntemiyle silinir.

Her işlemin kaydı

Her yönetimsel işlem: yapılandırma değişiklikleri, taramalar, silmeler, sınır değişiklikleri, rol değişiklikleri, dışa aktarımlar ve erişim izni kaldırmaları. Ürünün içinden hiç kimse, bir yönetici bile, kayıtları değiştiremez ya da silemez. İşlem kaydının bütünlüğü doğrulanabilir: Verify integrity (bütünlüğü doğrula), hiçbir kaydın değiştirilmediğini veya silinmediğini kontrol eder. CSV olarak dışa aktarabilirsiniz.

Sonuçlar ne içerir?

Bulduğu numarayı değil, hangi kuralın eşleştiğini kaydeder. Gözden geçiren kişinin ne yapacağına karar verebilmesi için sonuçlarda mesaj konuları, dosya adları ve gönderen adresleri yine de görünür. Bunları görmek içeriğin gözden geçirilmesidir. Sonuçlara erişim, atadığınız rollere bağlıdır; bu erişimi amaç için gerekli, mümkün olan en az kişiyle sınırlamanızı öneririz. İçeriği gizleyen ve gerektiğinde bir bulgunun tamamını ya da bir kısmını kayda geçen bir anahtarla gösteren bir sonuç görünümü Yakında.

Taramadan önce

Taramadan önce: kurumunuzda neler hazır olmalı. Hukuki tavsiye değildir; kendi hukuk danışmanınıza başvurun.

1. Çalışanlara yönelik aydınlatma ve açık rızalarının alınması. Hukuk danışmanınızın yönlendireceği şekilde, taramadan önce çalışanlar önceden aydınlatılmalı ve açık rızaları alınmalıdır. Aydınlatma: kurumsal e-posta, OneDrive ve Teams’in artık ihtiyaç duyulmayan kişisel veriler için taranabileceğini önceden, açık ve anlaşılır biçimde ve çalışanlara ulaşan bir kanaldan anlatan, bu işleme özgü bir aydınlatma metni: amaç, kapsam, yöntem, hukuki sebep ve dayandığı mevzuat, taramaların yapılacağı önceden duyurulan ve öngörülebilir dönemler, taramanın sonuçları, sonuçların ne kadar saklanacağı, veri alıcıları (sonuçları kimlerin göreceği) ve ilgili kişinin hakları. E-postaların kontrol edilebileceğine dair genel bir ifade ya da genel bir taahhütname büyük olasılıkla yeterli olmaz. Taramalar bu dönemlerde yapılır; hiçbir zaman gizli ya da habersiz yapılmaz, ara vermeden çalıştırılmaz ve her mesajı geldiği anda işlemez (e-posta yönlendirme veya DLP tarzı araçlarda olduğu gibi). İsteğe bağlı, elle başlatılan taramaları da önceden duyurun. Açık rıza: Teams için çalışanın aydınlatıldıktan sonra davet e-postasından kişisel olarak verdiği erişim izniyle alınır; bu izin aydınlatmanın yerine geçmez, 90 gün kullanılmazsa düşer ve yeniden verilmesi gerekir. Exchange Online ve OneDrive için açık rızayı kendi sürecinizle alır ve kayıt altına alırsınız; ürün bunu saklamaz veya doğrulamaz.

2. Yalnızca iş amaçlı kanallar ve özel kullanıma ilişkin yazılı bir politika. Taramayı yalnızca kurumsal, iş amaçlı iletişim kanallarıyla sınırlayın; kişisel ya da özel kanallar ve özel amaçlı yazışmalar kapsam dışında kalır. İş e-postası, Teams ve OneDrive’ın özel amaçla kullanılıp kullanılamayacağı, kullanılabilecekse hangi koşullarda; önceden belirlenmiş, çalışanlara duyurulmuş ve çalışanlarda haksız bir gizlilik beklentisi oluşmasını önleyecek açıklıkta.

3. Tanımlı bir amaç ve içeriğe erişimin gerekliliği. Örneğin: saklama ve imha politikanızın artık saklamanıza izin vermediği kişisel verilerin silinmesi. Ürünün kuralları içeriği okuyarak çalışır. Bu nedenle amaca içerik okunmadan, örneğin saklama süresine göre silme veya kayıtlar üzerinden ulaşılıp ulaşılamayacağını önce değerlendirin; içerik taramasını yalnızca bu yolların yetmediği ölçüde ve amacın gerektirdiği kapsamda, hazır kural paketleriyle kullanın. Kendi anahtar sözcükleriniz ve desenleriniz tamamen sizin değerlendirmeniz ve sorumluluğunuzdadır.

4. Güçlü bir delil olmadan bir kişiye yönelik değil. Rutin temizlik, duyurulan dönemlerde, çalışanlar aydınlatılmış ve açık rızaları alınmış olarak yapılır. Belirli bir çalışana yönelik ya da duyurulan dönemsel temizliğin dışında kalan her tarama, bulguların gözden geçirilmesi veya silme yalnızca güçlü bir delil bulunduğunda yapılmalıdır ve ayrı bir hukuki değerlendirme gerektirir. Rutin temizliği bir çalışan hakkındaki bir şüphe, şikâyet ya da disiplin süreci için kullanmayın. Bulguları (konu, dosya adı, gönderen) görmek içeriğin gözden geçirilmesidir.

5. Sınırlı kapsam ve sınırlı erişim. Hangi posta kutuları ve hesaplar, hangi tarih aralığı, hangi veri kategorileri. Kapsamı yalnızca kurumsal, iş amaçlı kanallarla ve iş iletişimiyle sınırlayın. Ürün bir posta kutusunun içinde iş ve özel yazışmayı ayıramaz; kapsamı posta kutusu, tarih aralığı ve kural seçimiyle siz belirlersiniz. Bu ayrım yapılamıyorsa kapsamı daha dar tutun. Özel amaçlı yazışmaları ve özel nitelikli kişisel verileri (ör. sağlık verileri), incelenmeleri zorunlu olmadıkça kapsam dışında bırakın. Bulguları görmek içeriğin gözden geçirilmesi olduğundan sonuçları kimin görebileceğine ve kimin silebileceğine amaçla sınırlı olarak, mümkün olan en az kişiyle karar verin ve ürünün rollerini buna göre atayın; işlem kaydını saklayın. İşten ayrılan çalışanların hesaplarının derhal kapatılması ve saklanması zorunlu verilerin erişime kapalı tutulması gibi kurum içi tedbirleri de gözden geçirin. Hiçbir şey silmeyen Safe Scan ile başlayın.

   Kanunen saklanması gereken veriler. Kurumunuzun kanuni bir saklama yükümlülüğü nedeniyle tutması gereken verileri (ör. ticari defter ve belgeler, personel ve bordro dosyaları, vergi kayıtları) belirleyin. Bu verilerin bulunduğu posta kutularını ve hesapları, ürünün kapsam ayarlarıyla (posta kutusu ve hesap seçimi, tarih aralığı, kural seçimi) her türlü silme kapsamının dışında bırakın ve bu verileri erişime kapalı tutun. Ürün klasör bazında hariç tutma yapmaz; bu tür veriler bir posta kutusunun içindeyse o posta kutusunu silme kapsamına almayın. Ürünün bugün yasal saklama (legal hold) özelliği yoktur; hariç tutma kapsam ayarlarıyla yapılır.

6. Kendi hukuk danışmanınızın görüşü, açık rızanın nasıl alınacağı dahil, ilk taramadan önce; kurulum sırasında teknik konularda tereddüt varsa teknik bir uzmanın görüşü.