Güvenlik ve veri

Verileriniz kendi Azure’unuzda kalır

Ürün, Azure Managed Application olarak kendi Azure aboneliğinizde çalışır. Tarama sonuçları, günlükler, işlem kaydı ve yapılandırma kendi Azure depolama alanınızda kalır. E5’e, ek bir Microsoft lisans seviyesine ya da ücretli bir Microsoft API’sine ihtiyacınız yoktur.

Yönetim erişimi

Evet ve bunu açıkça söylüyoruz. Her Azure Managed Application’da olduğu gibi, Inthouse’un aboneliğinizde uygulama için dağıtılan kaynaklara yönetim erişimi vardır. Inthouse içeriğinize erişmez: tarama sonuçları, günlükler ve yapılandırma kendi Azure depolama alanınızda kalır. Ayrıntılar için teknik ekibimiz size adım adım bilgi verir.

Güvenlik soru formları ve tedarikçi değerlendirmeleriyle de teknik ekibimiz ilgilenir.

İhtiyacınız olanlar

• kurulum yapılacak bir Azure aboneliği;
• tek seferlik kurulum adımı için bir Global Administrator;
• taranacak her çalışanın kendi izni (Exchange, OneDrive ve Teams dahil tüm alanlarda);
• şirket içi Exchange Server ve DiskScanner için şirket içi sistemlere erişim.

Azure Marketplace’ten yaklaşık 10 dakikada dağıtılır; ardından Global Administrator’ınızın tek seferlik kurulum adımı gelir.

Kim ne yapabilir?

Ürünün Users sayfasından atanan üç rol; roller Microsoft Entra uygulama rolleridir:

• Admin (Yönetici): güvenlik ayarları ve roller dahil her şey.
• Security Manager (Güvenlik Yöneticisi): tarama ve aksiyon çalıştırır, kuralları düzenler; ancak güvenlik ayarlarını ve rolleri değiştiremez.
• Reporter (Raporlayıcı): geçmişe, sonuçlara, işlem kaydına ve dışa aktarımlara salt okunur erişir ve Safe Scan çalıştırabilir. Sonuçları görmesi amaç için gerekli olan kişiler, örneğin KVKK sorumlunuz için uygundur; sonuçlara erişimi gerekli en az kişiyle sınırlayın.

Rol atamak için uygulama rolü atayabilen bir Microsoft Entra rolü gerekir (örneğin Global veya Cloud Application Administrator).

Çalışan izni

Çalışan izin vermeden tarama yapılamaz. Her çalışan, kurumunuzun gönderdiği; logonuzu ve metninizi taşıyan, Türkçe veya İngilizce kişisel bağlantıdan izin verir. Kimin izin verdiğini, kimin beklemede olduğunu ve kimin izninin süresinin dolmak üzere olduğunu görebilir, tek adımda yeniden gönderebilirsiniz. İzin 90 gün kullanılmazsa düşer ve yeniden verilmesi gerekir. Bu izin, çalışanlara yönelik aydınlatma yükümlülüğünüzün yerine geçmez ve bir hukuki dayanak değildir; bkz. KVKK ve Kurul ilke kararı.

Aksiyon kontrollüdür

• Aksiyon modları, bir yönetici açana kadar kapalıdır; yeni bir kurulumda yalnızca Safe Scan mümkündür.
• Safe Scan yalnızca tarar ve raporlar; hiçbir öğeye dokunmaz.
• Her tarama alanı için kesin bir aksiyon sınırı belirlersiniz: tek çalıştırmada işlem görecek öğe sayısı. Sınırı aşacak bir çalıştırma durur. Sınırı aşmaya yarayan bir düğme yoktur; sınırı yükseltmek yönetici işlemidir ve kayda geçer.
• İşlem kaydı yazılamazsa aksiyon reddedilir.
• Aksiyon öncesinde OneDrive dosyalarının bir kopyası kendi Azure depolama alanınıza alınır; kopya alınamazsa o dosyaya aksiyon uygulanmaz.
• Exchange, OneDrive ve Teams’te alınan aksiyon geri alınamaz.

Her işlemin kaydı

Her yönetimsel işlem: yapılandırma değişiklikleri, taramalar, aksiyonlar, sınır değişiklikleri, rol değişiklikleri, dışa aktarımlar, Reveal görüntülemeleri ve izin kaldırmaları. Ürünün içinden hiç kimse, bir yönetici bile, kayıtları değiştiremez ya da kaldıramaz. İşlem kaydının bütünlüğü doğrulanabilir: Verify integrity (bütünlüğü doğrula), hiçbir kaydın değiştirilmediğini veya eksilmediğini kontrol eder. CSV olarak dışa aktarabilirsiniz.

Sonuçlar ne içerir?

Sonuçlarda eşleşen kural görünür; bulunan değerin kendisi kaydedilmez. İçeriği tam görmek için Reveal ile süre, gerekçe ve talep numarası girilir; her görüntüleme işlem kaydına yazılır. Sonuçlara erişim, atadığınız rollere bağlıdır; bu erişimi amaç için gerekli, mümkün olan en az kişiyle sınırlamanızı öneririz.

Taramadan önce

Taramadan önce: kurumunuzda neler hazır olmalı. Aşağıdaki başlıklar Kurul’un 2026/2035 sayılı ilke kararındaki ilkeleri özetler; hukuki tavsiye değildir; kendi hukuk danışmanınıza başvurun.

1. Somut bir aydınlatma. Çalışanlara, taramadan önce, ulaşan bir kanaldan ve bu işleme özgü bir aydınlatma metniyle: denetimin hukuki dayanağı ve amacı, denetimin içerik denetimi olduğu, içeriğe hangi hallerde erişileceği, kapsam (hangi kanallar, hangi kullanıcı grupları, hangi tarih aralığı), yöntem, taramaların yapılacağı önceden duyurulan dönemler, sonuçların ne kadar saklanacağı, sonuçları kimlerin göreceği ve ilgili kişinin hakları. E-postaların kontrol edilebileceğine dair genel bir ifade ya da genel bir taahhütname yeterli olmaz. Üründeki çalışan izni bu aydınlatmanın yerine geçmez ve bir hukuki dayanak değildir; hangi hukuki sebebe dayanacağınız hukuk danışmanınızla belirlenir.

2. İş ve özel kullanım için yazılı bir politika. Kurumsal e-posta, Teams ve OneDrive’ın özel amaçla kullanılıp kullanılamayacağı, kullanılabilecekse hangi koşullarda; önceden belirlenmiş, çalışanlara duyurulmuş ve çalışanlarda haksız bir gizlilik beklentisi oluşmasını önleyecek açıklıkta. Taramayı yalnızca kurumsal, iş amaçlı kanallarla sınırlayın.

3. İçeriğe erişimin gerekliliği. Ürünün kuralları içeriği okuyarak çalışır. Amaca içerik okunmadan, örneğin trafik verisi, kayıtlar veya önleyici teknik tedbirlerle ulaşılıp ulaşılamayacağını önce değerlendirin; içerik taramasını yalnızca bu yolların yetmediği ölçüde ve amacın gerektirdiği kapsamda kullanın. İçerik taramasının gerekli ve ölçülü olup olmadığı kurumunuzun değerlendirmesidir.

4. Belirli bir çalışana yönelik değil. Ürün, kurum politikalarına uyumu doğrulamak içindir; belirli bir çalışanı incelemek için tasarlanmadı. Karar, içerik incelemesini somut şüphe olan hallerle ve iddiayla sınırlı tutar; bir çalışan hakkındaki şüphe, şikâyet ya da disiplin süreci ayrı bir hukuki değerlendirme gerektirir ve bu ürünün konusu değildir.

5. Sınırlı kapsam, sınırlı erişim, kayıt. Hangi kullanıcı grupları, hangi tarih aralığı, hangi kurallar. Özel amaçlı yazışmaları ve hassas kişisel verileri, incelenmeleri zorunlu olmadıkça kapsam dışında bırakın; yazışmalardaki üçüncü kişilerin verilerini göz önünde tutun. Sonuçları kimin görebileceğine ve kimin aksiyon alabileceğine amaçla sınırlı olarak, mümkün olan en az kişiyle karar verin ve ürünün rollerini buna göre atayın; işlem kaydını saklayın. İşten ayrılan çalışanların hesaplarının derhal kapatılması ve saklanması zorunlu verilerin erişime kapalı tutulması gibi kurum içi tedbirleri de gözden geçirin. Hiçbir öğeye dokunmayan Safe Scan ile başlayın.

   Kanunen saklanması gereken veriler. Kurumunuzun kanuni bir saklama yükümlülüğü nedeniyle tutması gereken verileri (ör. ticari defter ve belgeler, personel ve bordro dosyaları, vergi kayıtları) belirleyin. Bu verilerin bulunduğu posta kutularını ve hesapları, ürünün kapsam ayarlarıyla (kullanıcı grubu ve hesap seçimi, tarih aralığı, kural seçimi) her türlü aksiyon kapsamının dışında bırakın ve bu verileri erişime kapalı tutun. Ürün klasör bazında hariç tutma yapmaz; bu tür veriler bir posta kutusunun içindeyse o posta kutusunu aksiyon kapsamına almayın. Ürünün yasal saklama (legal hold) özelliği yoktur; hariç tutma kapsam ayarlarıyla yapılır.

6. Kendi hukuk danışmanınızın görüşü ilk taramadan önce; kurulum sırasında teknik konularda tereddüt varsa teknik bir uzmanın görüşü.