DSPM Nedir? Veri Güvenliği Duruş Yönetimi Açıklaması

Data Security Posture Management — DSPM — tanımından daha hızlı yayılan kısaltmalardan biri. Bu yazı, DSPM'in gerçekte ne anlama geldiğini, neden ortaya çıktığını, sık karıştırıldığı komşu kısaltmalardan nasıl farklılaştığını ve kuruluşunuzun buna ihtiyacı olup olmadığını nasıl anlayacağınızı açıklıyor.

Tek cümlelik tanım

DSPM, hassas verinizin nerede bulunduğunu, kimin ve neyin ona erişebildiğini ve bu erişimin uygun olup olmadığını sürekli olarak keşfetme ve boşlukları düzeltebilmeniz için işaretleme uygulamasıdır.

Vurgu veri ve duruş üzerindedir. Ağ değil, uç nokta değil, çevre (perimeter) değil: verinin kendisi ve onun ne ölçüde açığa çıktığının mevcut durumu.

DSPM neden ortaya çıktı

Güvenliğin tarihinin büyük bölümünde model çevre (perimeter) modeliydi. Kurumsal ağın etrafına bir sınır çizer, bu sınırı savunur ve içeride olana güvenirdiniz. Veri, sahip olduğunuz sunucularda, kontrol ettiğiniz bir veri merkezinde bulunurdu.

Bu model çözüldü. Veri artık SaaS uygulamalarında ve bulut platformlarında yaşıyor — Google Workspace, Microsoft 365, Salesforce, nesne depolama, veri ambarları — ve çalışanlar, yükleniciler, iş ortakları ve giderek artan biçimde otomatik ajanlar tarafından her yerden erişiliyor. Savunulacak tek bir çevre yok, çünkü veri her yerde ve erişim, bireysel kullanıcılar tarafından alınan binlerce küçük kararla veriliyor.

Bu dünyada önem taşıyan sorular değişti:

• Hassas verimiz tüm bu sistemler genelinde *nerede*?
• Onun her bir parçasına — dış taraflar ve insan olmayan kimlikler dahil — *kim* erişebiliyor?
• Bu erişim *uygun* mu, yoksa aşırı paylaşılmış, herkese açık ya da bayat mı?
• Bu durum değiştiğinde bunu nasıl *bileceğiz*?

DSPM, bu soruları yılda bir kez yapılan bir denetimde değil, sürekli olarak yanıtlamak üzere geliştirilmiş bir disiplindir.

DSPM, CSPM, DLP ve CIEM'den nasıl farklıdır

Kısaltma çorbası gerçek. İşte komşularla ilişkisi:

• CSPM (Cloud Security Posture Management), bulut *altyapısındaki* yanlış yapılandırmalara odaklanır — açık depolama kovaları, izin verici güvenlik grupları, şifrelenmemiş birimler. "Bulut güvenli şekilde yapılandırılmış mı?" sorusunu sorar. DSPM ise "veri, nerede bulunursa bulunsun açığa çıkmış mı?" sorusunu sorar. Depolama katmanında örtüşseler de farklı şeyleri hedeflerler.
• DLP (Data Loss Prevention), hassas verinin dışarı çıkmasını *durdurmaya* çalışır — kredi kartı numarası içeren bir e-postayı engellemek, bir dosya yüklemesini önlemek gibi. DLP, çıkış anındaki hareket halindeki veriyle ilgilidir. DSPM ise mevcut duruşla ilgilidir: herhangi bir şey hareket etmeden önce dosyanın zaten aşırı paylaşılmış olduğunu size söyler.
• CIEM (Cloud Infrastructure Entitlement Management), bulut platformlarındaki kimliklere ve onların yetkilerine odaklanır — kimin neyi yapabildiğine. DSPM, yetki bilgisini kullanır ancak merkezine *veriyi* koyar: erişimi önem taşıyan kaynaklara geri eşler ve açığa çıkmayı değerlendirir.

Yararlı bir zihinsel model: CSPM bulutu güvenceye alır, DLP çıkışları korur, CIEM izinleri çözer ve DSPM verinin kendisinin baştan itibaren açığa çıkmasını önler.

Bir DSPM yaklaşımı gerçekte ne yapar

Satıcı konumlandırmasından arındırıldığında, bir DSPM iş akışının dört hareketi vardır:

1. Keşfet. Verinin bulunduğu sistemlere bağlanın ve kaynakları, kimlikleri ve bunları birbirine bağlayan izinleri sayın. Envanterini çıkarmadığınız şeyi koruyamazsınız.
2. Sınıflandır. Hangi verinin hassas olduğunu anlayın — kişisel veri, mali kayıtlar, sırlar, düzenlemeye tabi içerik — böylece açığa çıkma, gerçekte neyin tehlikede olduğuna göre önceliklendirilebilir.
3. Açığa çıkmayı değerlendir. Kaynağı, kimliği ve izni birleştirerek riskleri bulun: herkese açık bağlantılar, dış paylaşım, aşırı yetkilendirilmiş erişim, bayat izinler, yanlış yapılandırmalar.
4. Önceliklendir ve düzelt. Bulguları gerçek riske göre sıralayın — hassasiyet çarpı erişim genişliği çarpı erişim düzeyi — ve bunları çözüme kadar götürün, ardından her değişiklikte yeniden kontrol edin.

"Sürekli" kısmı, duruş *yönetimini* belirli bir andaki taramadan ayıran şeydir. İnsanlar paylaştıkça, izin verdikçe ve unuttukça duruş sürekli kayar. Bir anlık görüntü, alındığı an bayatlar.

DSPM'e ihtiyacınız var mı?

Bu sorun büyük olasılıkla zaten sizde var; soru, onu yönetip yönetmediğinizdir. Kasıtlı bir DSPM yaklaşımına ihtiyacınız olduğunu gösteren birkaç işaret:

• Verinizin çoğu, kontrol ettiğiniz altyapı yerine SaaS ve bulut platformlarında yaşıyor.
• Paylaşım kendi kendine hizmet şeklinde işliyor — herhangi bir kullanıcı erişim verebiliyor — bu yüzden erişim envanteriniz eksik.
• Verilere kimin erişebildiği üzerinde kontrol sahibi olduğunuzu göstermenizi gerektiren uyumluluk yükümlülükleriniz var (SOC 2, ISO 27001, GDPR, HIPAA).
• Şu anda "bu hassas veri klasörünü kim görebiliyor?" sorusunu manuel bir araştırma yapmadan yanıtlayamıyorsunuz.
• Otomatik ajanlar ve hizmet hesapları verinize erişime sahip ve bunları kimse yönetmiyor.

Bunlardan birkaçı size tanıdık geliyorsa, siz izliyor olsanız da olmasanız da açığa çıkma zaten mevcuttur. DSPM, bunu sürekli olarak izleme ve bulduklarınıza göre hareket etme kararından ibarettir.

Google Workspace için pratikte DSPM

DSPM teoride platformdan bağımsızdır, ancak pratikte sistem sistem sunulur. Google Workspace üzerinde çalışan kuruluşlar için bu, Drive kaynaklarını ve paylaşımlarını sürekli keşfetmek, onlara erişebilen kimlikleri — insan, dış taraf, hizmet ve yapay zeka — eşlemek ve açığa çıkmaları ortaya koymak anlamına gelir: herkese açık bağlantılar, dış paylaşımlar, aşırı yetkilendirilmiş erişim, riskli OAuth uygulamaları ve yönetici yanlış yapılandırmaları. Duruş olarak çerçevelenen bu, tam da Google Workspace güvenliği sorunudur.

Pratikte iyi bir DSPM neye benzer

DSPM'i soyut olarak tanımlamak kolaydır, iyi bir uygulamayı tanımak ise daha zordur. Birkaç nitelik, gerçekten yararlı duruş yönetimini gürültülü bir tarayıcıdan ayırır:

• Acımasızca önceliklendirir. On bin bulgu döndüren bir araç, sorunu sadece yer değiştirmiştir. İyi bir DSPM, gerçek riske göre sıralar — hassasiyet çarpı erişim genişliği çarpı erişim düzeyi — böylece önemli olan birkaç tanesi üste çıkar, geri kalanı sırasını bekler.
• Kendini açıklar. "Q3-financials.xlsx üzerinde herkese açık bağlantı, URL'ye sahip herkes tarafından erişilebilir, çünkü paylaşım 4 Mart'ta bağlantıya sahip herkes olarak ayarlandı" eyleme geçirilebilir bir ifadedir. Bir bulgu kodu değildir. Açıklanabilirlik, bir uzman olmayan kişinin durumu yükseltmeden harekete geçmesini sağlayan şeydir.
• Varsayılan olarak salt okunurdur. Keşif, verinize yazma erişimi gerektirmemelidir. En hafif dokunuşlu araçlar, değiştirme yeteneği olmadan envanter çıkarır ve değerlendirir; bu da güvenlik aracının kendisinin bir riske dönüşmesini engeller.
• Döngüyü kapatır. Bir açığa çıkmayı bulmak işin yarısıdır; onu çözüme kadar takip etmek ve düzeltilmiş kaldığını doğrulamak diğer yarısıdır. Ölçülen ama hiçbir zaman giderilmeyen duruş, yalnızca daha ayrıntılı bir endişedir.

Yaygın yanlış anlamalar

Birkaç efsane ekipleri yavaşlatıyor:

• "DLP'miz var, o yüzden korunuyoruz." DLP çıkışları korur; dosyanın baştan itibaren içeride ve dışarıda aşırı paylaşılmış olduğunu size söylemez. İkisi birbirinin yerine geçmez, birbirini tamamlar.
• "Bulut sağlayıcımız verimizi güvence altına alıyor." Sağlayıcılar altyapıyı güvence altına alır ve kontrolleri sunar; paylaşımı ve erişimi nasıl *yapılandırdığınız* — ve dolayısıyla açığa çıkmanız — paylaşılan sorumluluk modeli kapsamında sizin sorumluluğunuzdadır.
• "Geçen yıl bir denetim yaptık." Duruş, ulaşılan bir durum değildir; sürdürülen bir durumdur. Geçen yılın denetimi artık var olmayan bir dünyayı tarif eder.

Bunların ötesini görmek, genellikle bir ekibin açığa çıkmanın baştan beri orada olduğunu fark ettiği andır — sadece sürekli olarak bakmıyorlardı.

8200.dev, Google Workspace için özel olarak tasarlanmış bir DSPM'dir: salt okunur keşif, her bulgunun *neden* riskli olduğuna dair sade dilde açıklamalar ve duruşunuzun gerçeği yansıtmasını sağlayan sürekli yeniden kontrol. Nasıl çalıştığı hakkında daha fazla bilgi edinin.

Bugün veri duruşunuzun nasıl göründüğünü merak mı ediyorsunuz? Ücretsiz güvenlik denetiminizi başlatın ve en hassas Google Workspace verinize kimin ve neyin erişebildiğine dair önceliklendirilmiş bir harita edinin.