Copilot’u Devreye Almadan Önce: Microsoft Purview ile Veri Güvenliği ve SC-401

Kurumlar Microsoft 365 Copilot’u devreye alırken genellikle lisans, eğitim ve kullanım senaryolarına odaklanıyor. Oysa projenin başarısını belirleyen asıl konu çoğu zaman gözden kaçıyor: veri güvenliği.

Copilot, kullanıcının zaten erişim yetkisi olan veriler üzerinden çalışır. Bu iyi bir tasarımdır, ancak bir sonucu vardır: Yıllardır “herkese açık” bırakılmış bir SharePoint klasörü, yanlış paylaşılmış bir maaş tablosu ya da etiketlenmemiş bir sözleşme, artık tek bir soruyla karşınıza çıkabilir. Yapay zekâ yeni bir güvenlik açığı yaratmaz; var olan açıkları görünür hale getirir.

Copilot öncesi veri güvenliği kontrol listesi

1. Hassas veriyi bulun ve sınıflandırın

Korunamayan şey bilinmeyen şeydir. Microsoft Purview, T.C. kimlik numarası, kredi kartı ve IBAN gibi hassas bilgi türlerini otomatik olarak tespit edebilir. Kuruma özel veriler için tam veri eşleştirme (EDM) ve eğitilebilir sınıflandırıcılar kullanılabilir.

2. Duyarlılık etiketleri tanımlayın

“Genel”, “Şirket İçi”, “Gizli”, “Çok Gizli” gibi duyarlılık etiketleri, dokümanın nerede olursa olsun nasıl korunacağını belirler. Etiket; şifreleme, filigran ve paylaşım kısıtlaması uygulayabilir. Otomatik etiketleme ile kullanıcıya bırakmadan doğru etiketin uygulanması sağlanabilir.

3. Veri kaybı önleme (DLP) kuralları kurun

DLP ilkeleri, hassas verinin e-posta, Teams, OneDrive ya da cihazlar üzerinden kurum dışına çıkmasını engeller veya kullanıcıyı uyarır. Endpoint DLP ile USB’ye kopyalama veya kişisel buluta yükleme gibi davranışlar da kontrol altına alınabilir.

4. Bekletme ve imha politikalarını belirleyin

Gereğinden uzun saklanan veri, hem risk hem de yapay zekâ için “gürültü”dür. Bekletme politikaları, yasal saklama sürelerine uyarken eski ve gereksiz verinin düzenli olarak temizlenmesini sağlar.

5. İç riskleri izleyin

Insider Risk Management, işten ayrılmak üzere olan bir çalışanın toplu veri indirmesi gibi riskli davranışları tespit eder. Adaptive Protection ise risk seviyesi yükselen kullanıcıya otomatik olarak daha sıkı DLP kuralları uygular.

6. Yapay zekâ kullanımını görünür kılın

Purview’daki DSPM for AI (Data Security Posture Management for AI), kurumda hangi yapay zekâ uygulamalarının kullanıldığını, hangi hassas verilerin bu uygulamalara gönderildiğini gösterir ve riskli durumlar için hazır politikalar önerir.

KVKK açısından neden önemli?

KVKK, kişisel verilerin korunması için “gerekli her türlü teknik ve idari tedbirin” alınmasını ister. Sınıflandırma, erişim kısıtlama, veri kaybı önleme ve kayıt tutma, bu tedbirlerin teknik karşılığıdır. Purview ile kurulan bir veri güvenliği yapısı, hem yapay zekâ projesini güvenli hale getirir hem de denetimlerde somut kanıt sağlar.

SC-401 sertifikası bu tablonun neresinde?

Yukarıdaki adımları kurgulayan ve yöneten kişi, Information Security Administrator rolüdür. Microsoft’un bu role yönelik sertifikası SC-401: Administering Information Security in Microsoft 365 sınavıdır. SC-401, daha önceki SC-400 sınavının yerini almıştır ve yapay zekâ hizmetlerinde veri korumayı da kapsar.

Sertifika şu yetkinlikleri belgeler:

• Hassas bilgi türleri, sınıflandırıcılar ve duyarlılık etiketleriyle veri koruma
• Veri kaybı önleme (DLP) ve Endpoint DLP
• Bekletme, kayıt yönetimi ve veri yaşam döngüsü
• Insider Risk Management ve Adaptive Protection
• Purview Audit, eDiscovery ve uyarı yönetimi
• Microsoft 365 Copilot gibi yapay zekâ hizmetlerinin kullandığı verinin korunması

Kimler için uygun?

Microsoft 365 yöneticileri, BT güvenlik ve uyum uzmanları, KVKK ve veri güvenliği süreçlerinden sorumlu ekipler ile Copilot projesini teknik olarak yürütecek kişiler. Microsoft 365 yönetiminde temel deneyim önerilir; bu konuda yeniyseniz önce Microsoft 365 Administrator (MS-102) eğitimiyle başlayabilirsiniz.

İ-Akademi’de SC-401 eğitimi

İ-Akademi’nin 28 saatlik (4 gün) Microsoft Information Security Administrator (SC-401) Eğitimi, yukarıdaki adımların tamamını gerçek senaryolarla uygulamalı olarak işler. Eğitim Türkçe verilir; İ-Akademi Pearson VUE Yetkili Sınav Merkezi olduğundan sınavınıza da aynı yerde girebilirsiniz.

Copilot projenize başlamadan önce veri güvenliği yapınızı birlikte değerlendirmek isterseniz bizimle iletişime geçin.