İçeriğe atla
Bilgi Merkezi/Makale
Makale

DLP (Veri Kaybı Önleme) Nedir? Nasıl Çalışır?

DLP, hassas verinin kurum dışına sızmasını tespit edip önler. Veri güvenliğindeki yerini, türlerini, işleyişini ve KVKK ile ilişkisini anlattık.

Oğuzhan Gerçek··7 dk okuma
DLP (Veri Kaybı Önleme) Nedir? Nasıl Çalışır?

Kısa cevap: DLP (Data Loss Prevention, veri kaybı önleme), hassas verinin kurum dışına yetkisiz biçimde çıkmasını tespit edip önleyen teknoloji ve politikaların bütünüdür. Veriyi üç hâlinde izler: depolamada dururken, ağda aktarılırken ve uç noktada kullanılırken. İçeriği desen, belge parmak izi ya da tam veri eşleştirmesiyle tanır; kurala uyan işlemde kayıt tutar, kullanıcıyı uyarır, işlemi engeller ya da içeriği şifreler. Adındaki "kayıp" silinmeyi değil sızıntıyı anlatır; bu yüzden DLP yedeğin yerini tutmaz, yedek de DLP'nin.

DLP nedir?

NIST sözlüğündeki tanım DLP'yi, bir sistemin kullanımdaki (uç nokta işlemleri), aktarımdaki (ağ işlemleri) ve durağan (depolama) veriyi tanıma, izleme ve koruma yeteneği olarak açıklıyor. Bunu içeriği inceleyerek ve işlemin bağlamına bakarak yapar: veriyi kimin gönderdiği, hangi kanaldan, ne zaman ve kime gittiği. Amaç, verinin yetkisiz kullanımını ve aktarımını tespit edip önlemektir.

Adı yanıltabilir. NIST veri kaybını (data loss), özel, hassas ya da gizli bilginin hırsızlık veya sızıntı yoluyla açığa çıkması olarak tanımlıyor. DLP'nin önlediği şey verinin silinmesi değil, yanlış ellere geçmesidir. İlgili kavramın kısa tanımı sözlüğümüzde var.

Veri güvenliği ve DLP'nin yeri

Veri güvenliği, NIST Siber Güvenlik Çerçevesi'nin Şubat 2024 tarihli 2.0 sürümündeki tanımıyla verinin, kurumun risk stratejisine uygun yönetilerek gizliliğinin, bütünlüğünün ve erişilebilirliğinin korunmasıdır. NIST'in sözlüğündeki tanımlar şöyle:

  • Gizlilik (confidentiality): Bilgiye erişim ve bilginin açıklanması üzerindeki yetkili kısıtlamaları korumak.
  • Bütünlük (integrity): Bilgiyi uygunsuz değişikliğe ve yok edilmeye karşı korumak.
  • Erişilebilirlik (availability): Bilgiye zamanında ve güvenilir biçimde erişilebilmesini sağlamak.

CSF 2.0 durağan, aktarımdaki ve kullanımdaki verinin korunmasını ayrı sonuçlar olarak sayıyor; yedekler de aynı kategoride. DLP bu tablonun gizlilik tarafında durur. Kimin neye erişeceğini kimlik ve erişim yönetimi (IAM) belirler; DLP ise erişimi olan birinin veriyi yanlış yere göndermesini yakalar. Konunun ağırlığını Verizon'un 2026 Veri İhlali Araştırmaları Raporu (DBIR) gösteriyor: incelenen 22.000'i aşkın doğrulanmış ihlalin %62'sinde insan unsuru var.

DLP türleri: ağ, uç nokta, e-posta ve bulut

DLP, verinin yakalandığı yere göre dört başlıkta incelenebilir:

  • Ağ DLP: Aktarımdaki veriyi trafikten inceler. Microsoft'un ağ veri güvenliği çözümü, SASE ürünlerinden gelen trafikte izinsiz bulut depolamaya yüklemeleri, form gönderimlerini ve üretken yapay zekâyla etkileşimleri inceleyebiliyor.
  • Uç nokta (endpoint) DLP: Kullanımdaki veriyi cihazda izler. Microsoft'un Endpoint DLP özelliği Windows ve macOS cihazlarda panoya kopyalamayı, USB belleğe ya da ağ paylaşımına aktarmayı, yazdırmayı ve izinsiz bir bulut alanına yüklemeyi denetleyebiliyor. Cihazın diğer katmanları uç nokta güvenliği yazımızın konusu; ikisini birlikte DLP ve endpoint güvenliği hizmetimizde ele alıyoruz.
  • E-posta DLP: Giden iletiyi gönderilmeden inceler. Google'ın Gmail DLP kuralları iletiyi engelleyebiliyor, kullanıcıyı uyarabiliyor, yönetici incelemesi için karantinaya alabiliyor ya da yalnızca kayıt tutabiliyor; parola korumalı dosyaların içeriği ise taranmıyor. E-postanın diğer katmanlarını kurumsal e-posta yazımızda anlattık.
  • Bulut ve SaaS DLP: Bulutta duran ve paylaşılan veriye bakar. Purview DLP Exchange, SharePoint, OneDrive ve Teams'i; Google Workspace'in veri koruma kuralları Drive, Gmail, Chat ve Takvim'i kapsıyor.

NIST SP 800-215'e göre CASB (cloud access security broker) da kurum ile bulut sağlayıcısı arasında durur ve sağlayıcı sunucularına giren ve çıkan veriyi izleyerek DLP yeteneği sunar.

DLP nasıl çalışır?

İşleyiş üç adımdan oluşur. İlki envanter ve sınıflandırmadır: CSF 2.0, belirlenen veri türlerinin ve meta verilerinin envanterinin tutulmasını istiyor. Microsoft Purview'daki duyarlılık etiketleri içeriği sınıflandırıp şifreleme ve filigran gibi korumalar uygulayabiliyor. Etiket meta veride saklandığı için içerikle birlikte gidiyor ve DLP kuralları onu koşul olarak kullanabiliyor.

İkinci adım içeriği tanımaktır. Microsoft'un belgelerinde üç yöntem öne çıkıyor:

  • Desen ve düzenli ifade: Hassas bilgi türleri, kredi kartı ya da banka hesap numarası gibi veriyi sağlama toplamı (checksum) doğrulaması da içerebilen düzenli ifadelerle arar. Yakındaki anahtar kelimeler eşleşmeyi destekler; sonuca yüksek, orta ya da düşük güven düzeyi verilir.
  • Belge parmak izi: Parmak izi, standart bir formdan hassas bilgi türü üretir. Microsoft'un örneğinde boş bir patent şablonunun parmak izi, doldurulup dışarı gönderilen patent belgelerini yakalıyor.
  • Tam veri eşleştirme (EDM): EDM, genel desen yerine bir veri tabanındaki gerçek değerleri arar; tablo 100 milyon satıra kadar çıkabiliyor. Microsoft'a göre sonuç daha az yanlış pozitif.

Üçüncü adım eylemdir. Purview'da bir kural kullanıcıyı uyarabilir, paylaşımı gerekçe yazılması şartıyla aşılabilir biçimde ya da tamamen engelleyebilir, durağan veriyi güvenli bir karantina konumuna taşıyabilir; Exchange'de iletiyi şifreleyebilir. İzlenen bütün etkinlikler varsayılan olarak denetim kaydına yazılıyor. Sınıflandırma ve kanal bazlı politikaları veri güvenliği ve DLP hizmetimizde ele alıyoruz.

DLP nasıl devreye alınır?

Microsoft, politikaları önce simülasyon modunda devreye alıp etkilerini değerlendirmeyi, kısıtlayıcı modlara ancak bundan sonra geçmeyi öneriyor; bu modda kuraldaki eylemler uygulanmıyor. Amaç, geçerli iş akışlarını bozmadan kontrol hedefini tutturmak. Google Workspace'te kural etkin olmayan (inactive) durumda oluşturulup ekiple gözden geçirilebiliyor; Gmail'deki "yalnızca denetle" (audit only) eylemi iletiyi durdurmadan olayı kaydediyor. Pratikte sıralama şöyle kurulabilir:

  1. Envanteri çıkarın, önce birkaç kritik veri türünü seçin.
  2. Kuralı yalnızca kayıt tutan modda çalıştırın; eşleşmeleri iş birimleriyle gözden geçirip yanlış pozitif üreten koşulları daraltın.
  3. Önce uyarı ve gerekçeli aşmayı, sonra açık durumlarda engellemeyi devreye alın.

İçeriden kaynaklanan risk ve gölge yapay zekâ

NIST içeriden gelen tehdidi (insider threat), içerideki birinin yetkili erişimini bilerek ya da bilmeyerek zarar verecek biçimde kullanması olarak tanımlıyor. "Bilmeyerek" kısmı DLP'nin asıl alanıdır: dosyayı yanlış alıcıya gönderen ya da kişisel bir hesaba yükleyen çalışan kötü niyetli olmayabilir, ama veri yine dışarı çıkar. Erişimi zaten yetkili olduğu için erişim denetimi onu durdurmaz.

Hızla büyüyen bir kanal da üretken yapay zekâdır. DBIR 2026'ya göre kullanıcıların %67'si kurumsal cihazlarında yapay zekâ hizmetlerine kurumsal olmayan hesaplarla erişiyor; kurumsal cihazda düzenli yapay zekâ kullanan çalışanların oranı bir yılda %15'ten %45'e çıktı. Raporun DLP veri setinde izinsiz yapay zekâ kullanımı ("gölge yapay zekâ"), 2025'te kötü niyet taşımayan içeriden eylemler arasında üçüncü sıraya yükseldi. Dış yapay zekâ modellerine en çok gönderilen veri türü kaynak koduydu.

DLP ile yedekleme arasındaki fark

İkisi de veri korumanın parçasıdır, ama farklı riskleri karşılar. DLP gizliliği korur, yani verinin yetkisiz kişilere çıkmasını önler. Yedeğin işi ise erişilebilirlik: silinen, bozulan ya da şifrelenen veriyi geri getirir. Yedekleme türlerini yedekleme yazımızda anlattık.

Farkı en açık biçimde fidye yazılımı gösteriyor. NIST'in Haziran 2026 tarihli IR 8374 Rev. 1 yayınına göre saldırgan veriyi şifreleyip erişimi geri vermek için ödeme ister; bilgiyi çalıp açıklamamak için ek ödeme de talep edebilir. Yedek şifrelenen veriyi geri getirir, çalınan kopyayı geri getiremez. Saldırının aşamalarını fidye yazılımı yazımızda ele aldık.

DLP ve KVKK

KVKK'nın 12. maddesine göre veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için uygun güvenlik düzeyini temin edecek gerekli her türlü teknik ve idari tedbiri almak zorundadır (Lexpera'daki konsolide metin). Madde belirli bir teknolojinin adını vermiyor; DLP bu tedbirlerin teknik tarafında kullanılabilecek araçlardan biridir. Aynı maddeye göre işlenen veri kanuni olmayan yollarla başkalarınca elde edilirse veri sorumlusu bunu en kısa sürede ilgilisine ve Kurula bildirir. DLP kayıtları, hangi verinin ne zaman ve hangi kanaldan çıktığını göstererek bildirimin kapsamını belirlemeye yardım eder.

Bildirim hazırlığını 72 saat yazımızda anlattık; uyum tarafını KVKK / GDPR hizmetimizde ele alıyoruz. Kanunun kısa tanımını sözlüğümüzde bulabilirsiniz.

Sık sorulan sorular

DLP ne demek? Data Loss Prevention, yani veri kaybı önleme demek: hassas verinin kurum dışına yetkisiz biçimde çıkmasını önleyen teknoloji ve politikalar.

Veri güvenliği nedir? Verinin gizliliğini, bütünlüğünü ve erişilebilirliğini korumaktır. DLP bu işin gizlilik tarafına odaklanır.

DLP nasıl çalışır? İçeriği desen, parmak izi ya da tam veri eşleştirmesiyle tanır; kurala göre kaydeder, uyarır, engeller ya da şifreler.

Endpoint DLP nedir? Bilgisayarda panoya kopyalama, USB belleğe aktarma, yazdırma ve buluta yükleme gibi işlemleri izleyip kısıtlayan DLP türüdür.

DLP ile yedekleme arasındaki fark nedir? DLP verinin dışarı sızmasını önler, yedek silinen ya da şifrelenen veriyi geri getirir. Biri diğerinin yerini tutmaz.

Kaynaklar