Kullanıcılarınızın En Hassas Verileri Nerede Durmalı?

Taranmış bir pasaport “sadece bir dosya eki” değildir. Tek bir görüntü; tam adı, doğum tarihini ve yerini, uyruğu, bir belge numarasını ve bir yüzü açığa çıkarır. AB’nin GDPR’ı kapsamında, birini tanımlamak için kullanılan bir yüz görüntüsü özel nitelikli veridir — en katı yasal yükümlülükleri taşıyan türden — ve aynı kayıt, sızdığı anda kimlik dolandırıcılığı için ders kitabı niteliğinde bir hedeftir. Ürününüz böyle bir dosyayı kabul ettiği an bir çizgiyi geçmiş olursunuz: “dikkatle ele al”dan “şirketi bitirebilecekmiş gibi ele al”a.

Birçok ekip bu çizgiyi geçtiğini hiç fark etmez. Yükleme alanı, bir mizah görseli de tutsa bir doğum belgesi de tutsa aynı görünür. İşte bu yüzden bu yazı, hassas veri sisteminize girdiğinde gerçekten önemli olan kararlar için kısa ve pratik bir rehber — çoğu ekibin yanlış yaptığı kararla başlayarak: verinin fiziksel olarak nerede durması gerektiği.

Her veri eşit değildir

İlk adım, “kişisel veriyi” tek bir kova gibi görmeyi bırakmaktır. Bir teslimat adresi ile taranmış bir kimlik kartı, ikisi de kişisel veridir ama aynı risk sınıfında değildir. Çoğu gizlilik mevzuatı, özellikle hassas bir bilgi katmanını — sağlık kayıtları, biyometrik ve yüz verileri, finansal bilgiler, resmi kimlik belgeleri — ayırır ve ona daha ağır yükümlülükler ekler.

Ürününüz bu katmana dokunuyorsa iki sonuç doğar. Şifreleme, izolasyon ve denetim “olsa iyi olur” olmaktan çıkıp temel hâline gelir. Ve bu verinin nerede saklandığı ve kimin onu teslim etmeye zorlanabileceği sorusu, en hızlı hosting seçeneğinin yan etkisi değil, bilinçli verdiğiniz bir tasarım kararı olur.

No-code tuzağı

Hassas verili bir ürünün hızlı yayına alınması gerektiğinde, baştan çıkarıcı kısayol bir no-code veya low-code SaaS aracıdır. Bir form sürükle, bir veritabanı bağla, bitti. Bir dahili araç ya da bir pazarlama mikro sitesi için bu gayet iyi bir takastır. Pasaportlar ve tıbbi kayıtlar için ise yanlış bir temeldir — tek ve yapısal bir nedenle.

Çoğu no-code platformunda kullanıcılarınızın belgeleri sizin kontrol etmediğiniz bir altyapıda durur ve platformun kendisi bunları genellikle okuyabilir. Bu, yamalayabileceğiniz bir hata değildir. Mimarinin ta kendisidir.

Bu araçların pek azı gerçek uçtan uca şifreleme sunar; bu da sağlayıcının — ve sağlayıcıyı ele geçiren ya da ona celp gönderen herkesin — ham dosyaları görebileceği anlamına gelir. Onların ihlal geçmişini, veri işleme pratiklerini ve yargı alanını, anlasanız da anlamasanız da devralırsınız. En hassas veri sınıfı için kolaylık araçları bir kısayol değildir; sessizce kendi bilançonuza aldığınız bir yükümlülüktür.

Verinin fiziksel olarak nerede durduğu önemlidir

İşte insanları şaşırtan kısım: verinizi şifrelemek ve “saygın bir bulut” seçmek hikâyenin sonu değildir. Devrede iki ayrı şey vardır.

Veri yerleşimi (data residency), baytların fiziksel olarak nerede yaşadığıdır — hangi ülkenin veri merkezi onları tutar. Veri egemenliği (data sovereignty) ise hangi yasaların onları yönettiğidir ki bu her zaman aynı yanıt değildir. ABD merkezli bir sağlayıcı, ABD CLOUD Act gibi yasalar kapsamında kontrol ettiği veriyi teslim etmeye zorlanabilir — o baytlar fiziksel olarak başka bir ülkedeki sunucuda dursa bile. Anahtarları elinde tutan şirket başka bir yarımküredeki mahkemeye hesap veriyorsa, Frankfurt’taki yerleşim işe yaramaz.

Pratik sonuç: gerçekten hassas iş yükleri için, veriyi hesap vermesi gereken yargı alanında (çoğunlukla AB ya da başka güçlü gizlilikli bir yargı alanı), o yargı alanının yasası altında işletilen bir altyapıda barındırmak istersiniz — ve ideal olarak, şifreleme anahtarları platformda değil sizde olur. İşte bu kombinasyon, yabancı bir celbin sessizce sizin sorununuz hâline gelmesini engeller.

Çoğu zaman aynı anda iki rejim

Tek bir kural kitabı da nadiren olur. Başka bir yerde kurulu bir şirket olarak AB’deki kullanıcılara hizmet verdiğiniz an, büyük olasılıkla aynı anda birden fazla rejime tabi olursunuz — kendi yerel veri koruma yasanız ve GDPR; her birinin kendi tanımları, kendi yükümlülükleri ve kendi cezaları vardır.

Bu teorik değildir. Avrupa düzenleyicileri binlerce vakada 6 milyar avronun çok üzerinde GDPR cezası kesti; tek seferlik en büyük ceza bir milyar avronun kuzeyinde — ve bazı ulusal yasalar daha da ileri giderek sorumlu kişilere yalnızca şirkete değil, kişisel sorumluluk ekliyor. “Platformun böyle sakladığını fark etmemiştik” hiçbir zaman başarılı bir savunma olmadı.

İlk seferde doğru yapın

Bunların hiçbiri kahramanlık gerektirmez. Bir olay sırasında keşfetmek yerine bu şeylere erken ve bilinçli karar vermeyi gerektirir. Hassas veri işleyen her sistem için kendimize uyguladığımız kontrol listesi:

• Yalnızca arayüzde değil, veritabanı ve API katmanında izolasyon — bir kiracı, özenle hazırlanmış bir istekle bile bir diğerinin kayıtlarına asla ulaşamaz.
• Her hesapta MFA, aktarımda (TLS) ve durağan halde şifreleme ise olmazsa olmaz.
• Tehdit modelinin gerektirdiği her yerde sizin kontrol ettiğiniz anahtarlar — böylece platform operatörü veriyi okuyamaz.
• Her erişimin, değişikliğin ve onayın tam denetim izi, işlediğiniz yasaya uygun saklama ve silme kurallarıyla.
• Bilinçli veri yerleşimi — kaydın en hızlı olduğu yerde değil, verinin yasal olarak durması gereken yerde barındırın.
• Yayından önce gerçek bir güvenlik incelemesi ve sızma testi, ilk ihlal açıklamasından sonra değil.
• Hassas çekirdek için no-code yerine kendi sunucunuzda barındırma, böylece mimari üzerinde akıl yürütmek sizin elinizde olur.

Bu sizin için ne anlama geliyor

Rahatsız edici gerçek şu ki, pahalı an ihlal değildir — hassas belgeleri sıradan ekler gibi ele alma kararının ta kendisidir. Cezadan kaybedilen güvene, acil yeniden platforma taşımaya kadar her şey o tek kısayoldan akar.

İlk seferde doğru yapmak, no-code demosundan daha pahalıya mal olur ama alternatiflerin herhangi birinden çok daha ucuzdur. Ürününüz kimlik belgeleri, sağlık verileri ya da o üst katmandaki herhangi bir şeyi toplamaya başlamak üzereyse, bu kararları verme zamanı şimdidir — hâlâ birer mimari kararken, birer olay müdahalesi kararı olmadan. Tasarlamak ve işletmek için kurulduğumuz sistem tam da budur.