GEODI Nedir? DSPM Platformu Veriyi Nasıl Bulur ve Sınıflandırır

Güvenlik yatırımı çoğunlukla ağa, uç noktaya ve kimliğe gider; veri ise yıllar içinde dosya sunucularına, paylaşımlı klasörlere, e-posta eklerine ve veritabanlarına dağılır. Üreticiye göre kurumsal bilginin %80'den fazlası belge, e-posta ve PDF gibi yapılandırılmamış biçimlerde duruyor. Bu içerikte hangi kişisel verinin bulunduğu dosya adından anlaşılmaz; elle hazırlanan envanter de kaynaklar değiştikçe eskir.

DSPM bu soruna verinin kendisinden bakar. Üreticinin aktardığı Gartner tanımına göre DSPM, hassas verinin nerede olduğunu, kimin erişebildiğini, nasıl kullanıldığını ve verinin güvenlik duruşunu görünür kılar.

GEODI bu kategoriye kurumsal arama ve anlamsal keşiften gelir: üretici, platformun yıllardır içerik bulup dizinlediğini ve sınıflandırdığını, yapay zekânın bu temelin üstüne eklendiğini vurguluyor. Hassas veriyi bulan dizin, denetçinin istediği belgeyi de bulur.

GEODI'nin bileşenleri şunlardır:

Bir tarama dört adımda ilerler:

1. Bağlanma ve dizinleme. GEODI kaynağı okuyup dizine alır. Üreticiye göre keşif sırasında kaynak veri değiştirilmez ve açık bir işlem tanımlanmadıkça yapılandırılan ortamın dışına çıkmaz.
2. Tanıma. Kurallar, meta veri, doğal dil işleme ve yapay zekâ birlikte çalışır; bir sözleşme, belirli bir kalıp içermese de bağlamından tanınabilir.
3. Sınıflandırma ve erişim analizi. İçerik hassasiyetine göre sınıflanır; kimlerin erişebildiği ve hangi paylaşımların gereğinden açık olduğu çıkarılır.
4. İşlem. Silme, maskeleme, şifreleme ya da karantina, kurala göre otomatik ya da onayla yürür. Onay tabanlı düzeltmede karar verinin sahibine ya da veri koruma sorumlusuna bırakılır.

Tarama süreklidir: "Kişisel veri içeren belge herkese açık bir konumda bulunamaz" gibi bir kural ihlal edildiği anda uyarı üretilir. Üretici, GEODI 10 ile tek bir keşif sunucusunun, verinin yapısına ve kurulum mimarisine bağlı olarak günde 3 terabayta kadar veri işleyebildiğini belirtiyor.

• Eskiyen envanter. Anketle hazırlanan envanter sürekli taramayla güncel kalır; hangi kişisel verinin nerede durduğu tahminle değil taramayla bulunur.
• Taranmış arşivler. Optik karakter tanıma (OCR) taranmış belgeyi metne çevirir; eski bir dilekçedeki kişisel veri de görünür olur.
• Kopyalar. Hassas bir belgenin kopyaları ve benzer sürümleri bulunur, hangi bilgisayarlara dağıldığı görülür; silme ya da karantina bütün kopyalara uygulanır.
• Unutulmuş yetkiler. Ayrılan çalışanlardan kalan erişimler ve herkese açık klasörlerde biriken hassas belgeler raporlanır.
• Test ve analiz. Maskeleme, anonimleştirme ve sentetik veri üretimi, ekiplerin gerçek kişisel veriyi taşımadan çalışmasını sağlar.
• Yapay zekâ projeleri. Kurumsal veri bir dil modeline ya da yapay zekâ ajanına verilmeden önce sınıflanır; gerekirse alanlar maskelenir ya da içerik dışarıda bırakılır.

GEODI Classifier, platformun kullanıcı tarafındaki sınıflandırma bileşenidir. Üreticinin sınıflandırma sayfası Microsoft Office, OWA, Microsoft 365, Shell, Mac ve SharePoint eklentilerinden söz ediyor: kullanıcı dosyayı kaydetmeden ya da e-postayı göndermeden önce sınıf seçer, etiket belgenin meta verisine yazılır. GEODI 10 duyurusuna göre Classifier, Windows, macOS, SharePoint ve Microsoft 365'te aynı sınıflandırma modeli ve politikalarıyla çalışıyor.

Üretici, elle verilmiş sınıfları otomatik sınıflandırmayla karşılaştıran bazı kullanıcılarında elle sınıflandırmanın riskli çıktığını yazıyor. GEODI iki yöntemi birlikte destekler; sınıflar düzeltme iş akışlarına ve kurumun mevcut veri sızıntısı önleme politikalarına girdi olabilir.

6698 sayılı KVKK'nın 12. maddesi, veri sorumlusundan kişisel verilerin hukuka aykırı işlenmesini ve bunlara hukuka aykırı erişilmesini önleyecek teknik ve idari tedbirleri almasını ister. Verinin nerede durduğu bilinmeden tedbir doğru yere uygulanamaz; GEODI'nin keşif ve sınıflandırma çıktıları burada teknik girdi olur. Silme, yok etme ve anonim hale getirme ise Kanunun 7. maddesi ve ilgili Yönetmelik kapsamında ayrı bir süreçtir; GEODI'nin iş akışı kayıtları bu sürecin yürütülmesine ve belgelenmesine yardımcı olabilir. Envanterle teknik keşfin ilişkisini hassas veri keşfi sayfamızda anlattık.

Uyum yükümlülüğü ise veri sorumlusu olarak kurumdadır: envanterin hazırlanması, VERBİS bildirimi, hukuki sebep ve saklama süresi kararları yazılımın değil kurumun işidir. Aynı çıktılar başka çerçevelerde de işe yarar:

• ISO/IEC 27001:2022 içindeki bilgi sınıflandırma (A.5.12), etiketleme (A.5.13), bilgi silme (A.8.10), veri maskeleme (A.8.11) ve veri sızıntısı önleme (A.8.12) kontrollerinde GEODI kayıtları teknik kanıt olabilir.
• PCI DSS şablonuyla bulunan kart verisi sistem yöneticisine bile gösterilmez; raporda yalnız sorun ve konumu yer alır.
• Hazır şablonlar arasında KVKK'nın yanında GDPR de bulunur.

GEODI, Türkiye Siber Güvenlik Kümelenmesi kataloğunda veri keşfi, veri sınıflandırma, hassas veri keşfi ve veri maskeleme kategorilerinde listeleniyor; DECE Software, Deloitte Technology Fast 50 Türkiye 2025 listesinde de yer aldı.

• DLP ürünü değildir. Verinin paylaşımını ve aktarımını politikayla izleyip korumak veri sızıntısı önleme (DLP) çözümlerinin işidir; GEODI'nin sınıfları bu politikaları besleyebilir.
• Cihaz envanteri çıkarmaz. Hangi sunucunun ve cihazın var olduğu sorusu OctoXLabs gibi siber varlık envanteri araçlarının alanıdır.
• Ayrıcalıklı oturumları yönetmez. Yetkili kullanıcının oturum sırasındaki erişimi Kron PAM gibi ayrıcalıklı erişim yönetimi katmanında ele alınır.
• Yedekleme, olay yönetimi ya da doküman yönetim sistemi değildir. Kayıtlarını olay yönetimi platformlarına aktarabilir, ama bu sistemlerin yerini almaz.
• Kullanıcının yetkisini aşmaz. GEODI Q, kullanıcının erişim izni olmayan bir belgeyi cevap üretirken kullanmaz.
• Hukuki sonucu kendisi doğurmaz. Bir anonimleştirmenin KVKK bakımından anonim hale getirme sayılıp sayılmadığı, veri seti ve yöntem özelinde değerlendirilir.

1. Tek bir kaynak seçin. Kişisel veri barındırdığından şüphelenilen bir dosya sunucusu ya da paylaşımlı klasör iyi bir başlangıçtır.
2. Kurulum modelini belirleyin. Bulut mu, kurum içi mi? GEODI Q kullanılacaksa model nerede çalışacak, dış bağlantı gerekecek mi? Kapalı ortamlarda çalışma biçimi ayrıca değerlendirilir.
3. Hazır şablonla başlayın. KVKK ya da PCI DSS şablonu kurulum yükünü azaltır; kuruma özgü belge türleri sonra eklenir.
4. Bulguları veri sahipleriyle okuyun. İlk silme ve karantina kararları, onay tabanlı düzeltmeyle klasörü tanıyan birim yöneticilerine bırakılır.
5. Uç noktalara yayın, kuralları kalıcı yapın. Ajanlar ManageEngine gibi yazılım dağıtım araçlarıyla bir kez dağıtılır, sonraki sürümleri GEODI sunucusundan kendileri alır. Pilotta bulunan riskler kurala dönüştürülür.

Innoset, GEODI'nin Türkiye iş ortağı olarak lisanslama, kurulum, PoC ve Türkçe teknik destek süreçlerini yürütüyor; kurulum seçenekleri GEODI sayfamızda yer alıyor.