Microsoft 365 veri kaybı önleme (Data Loss Prevention – DLP) politikalarını yapılandırmak işin yalnızca ilk bölümü. Asıl önemli nokta, bu kuralların Outlook, OneDrive ve SharePoint kullanan çalışanların günlük işlerini nasıl etkilediği. Bu yazı, daha önce hazırladığım DLP serisinin kullanıcı deneyimi bölümüdür. 2018 yılında gerçekleştirdiğim özgün laboratuvarı ekran görüntüleriyle koruyarak Microsoft Purview döneminde aynı kavramların nasıl değerlendirildiğini de paylaşmak istiyorum.
Ekim 2026 güncelleme notu: Aşağıdaki ekran görüntüleri 2018 yılına ait Office 365 Security & Compliance Center ortamından alınmıştır. Bugünkü Microsoft Purview arayüzü, menü isimleri ve uyarı davranışları farklılık gösterebilir. Görseller güncel arayüz ekran görüntüsü olarak sunulmamaktadır.
DLP kullanıcı deneyimi: Policy Tip, bildirim ve engelleme
Microsoft Purview DLP, tanımlanan hassas bilgi türleri ve koşullara göre kuralları değerlendirir. Bir eşleşme olduğunda kuralın eylemine göre kullanıcı yalnızca uyarı görebilir, e-posta bildirimi alabilir veya bir paylaşım/gönderim işlemi engellenebilir. Bir policy tip görülmesi, işlemin mutlaka engellendiği anlamına gelmez. Bu ayrım özellikle uç kullanıcıya açıklanmalıdır.
2018 laboratuvarı: OneDrive ve SharePoint üzerindeki uyarılar
Makalemin ilk üç bölümünde temel çalışma mantığı, ilke oluşturma ve oluşturduğumuz bu ilkenin canlı bir ortamda nasıl test edileceğini paylaşmıştım. Bu bölümde ise DLP aktif olan bir şirket ortamında çalışanların bundan nasıl etkileneceğini, yani kullanıcı deneyimini anlatacağım.
Öncelikle makale serisini okuduğunuzu düşünüyorum çünkü örnek en son kullandığım dokümanları şimdi kullanıcı gözü ile kontrol edeceğiz.
İlk olarak onedrive üzerinden “Mail Order” isimli ve DLP ilkesine takılan dokümanı kontrol aşağıdaki gibi bir uyarı göreceksiniz.
Bu doküman içerisindeki bilgilerin bazılarının “Credit Card Number” hassas verisi ile eşleştiğini belirtmektedir.
Bu mevcut dokümana ek olarak ben bilerek içerisinde 10 dan fazla kredi kartı içeren bir dokümanı 14:18 itibari ile shrepoint alt yapısını kullanan onedrive üzerine yerleştirdim ve bundan 15dk sonra bana aşağıdaki gibi bir mail geldi.
Öncelikle portal üzerinden son durumu kontrol edelim.
Evet ikon güncellenmiş, üzerinde artık bir ünlem var. İkonun üzerine tıklarsak bir önceki dokümanda olduğu gibi aşağıdaki açıklamayı görebiliyoruz;
Peki kullanıcı olarak şimdi ne yapmamız gerekiyor.
Öncelikle portal üzerinden yukarıdaki resimde de görebileceğiniz “report an issue” bölümüne tıklayarak bunun yanlış sınıflandırıldığını veya yanlış değerlendirildiğini bildirebiliriz.
Peki bir de Outlook deneyimine bakalım. Aynı dokümanı paylaşmak istediğimde henüz göndermeden policy tip çıkıyor karşıma;
Benzer şekilde yöneticiye düzeltme için rapor gönderebiliyoruz. Bunun için Policy Tip üzerine gelip report düğmesine basmamız yeterli.
Ya da yönetici dlp ilkesinde izin vermiş ise ki biz vermiştik, override linkine tıklayabilirsiniz.
Karşımıza yukarıdaki gibi iki seçenek çıkacaktır. Bunu hatırlatma için kuralda aşağıdaki bölümde izin verdiğimizi paylaşmak istiyorum;
Eğer buna izin vermek istemiyorsanız policy içerisindeki bu seçeneği iptal edin.
Gördüğünüz gibi DLP policy için bu çok kritik bir ayar çünkü kullanıcıya bu izni verirseniz DLP bu durumda iletimi kesmez. Mail gördüğünüz gibi dış dünyaya ulaştı.
Ancak yine ilkede tanımladığımız kullanıcıyı bilgilendir ayarından dolayı kullanıcıya aşağıdaki gibi bir mail gelecektir.
Peki kullanıcı bir şekilde false possitive olarak işaretler ise dokümanı, yani ey admin sen bir ilke belirlemişsin ama bu dokuman için bu doğru değil dediklerinde aşağıdaki rapor bölümünden bunları görüntüleyebiliriz.
https://protection.office.com/#/viewreports
Altından en alt bölümdeki “DLP false positives and overrides” linkine tıklayalım.
Makalemin bu bölümünün de sonuna geldim umarım faydalı bir makale olmuştur.
Güncel Microsoft Purview DLP ile aynı senaryoyu nasıl değerlendirmeliyiz?
DLP ilkeleri bugün Microsoft Purview portalında Data loss prevention alanında yönetilir. Yeni senaryolarda önce hassas bilgi türünü (örneğin kredi kartı bilgisi), kapsamı (Exchange Online, SharePoint, OneDrive, Teams veya uygun lisanslarla uç noktalar), eşleşme koşullarını ve ardından uygulanacak eylemi belirlemek gerekir. Aşağıdaki başlıklar, eski ekran görüntülerinin karşılığı olan kavramları açıklar; ürünün arayüzündeki her seçeneğin bütün lisanslarda aynı şekilde bulunduğu varsayılmamalıdır.
1. Policy Tips ve kullanıcı bilgilendirmesi
Kullanıcı e-posta hazırlarken veya OneDrive/SharePoint üzerinde hassas içerik bulunan dosyayla çalışırken, koşullar uygunsa uygulamanın içinde Policy Tip görebilir. Politika yapılandırmasına göre kullanıcıya ayrıca e-posta bildirimi gönderilebilir. Uyarının görüntülenme zamanı uygulama, içerik tarama süresi ve kuralın kapsamına göre değişebilir; eski laboratuvarda yaklaşık 15 dakika sonra e-posta gelmesi evrensel bir SLA değildir.
2. False positive ve kullanıcı geri bildirimi
Kredi kartı numarası gibi hassas bilgi türlerinde yanlış pozitif eşleşmeler oluşabilir. Kullanıcıya raporlama olanağı verildiyse ilgili uyarı üzerinden yanlış eşleşmeyi bildirebilir. Yönetici bu geri bildirimi yalnızca istisna açmak için değil, eşik değerlerini, kapsamı ve sınıflandırma doğruluğunu gözden geçirmek için kullanmalıdır.
3. Override: İş gerekçesiyle engeli aşma
Eski laboratuvarın en kritik noktası kullanıcıya override yetkisi verildiğinde engelleme eyleminin belirli şartlarda aşılabilmesiydi. Microsoft Purview DLP’de de uygun iş yüklerinde, kural bunu izin veriyorsa kullanıcı iş gerekçesi belirterek veya yanlış pozitif bildirerek engeli aşabilir. Override, varsayılan ve sınırsız bir yetki değildir: Policy Tip bildirimleri, ilgili kural eylemleri ve seçilen konumlarla birlikte yapılandırılır. Kritik hassas veri çıkışlarında gerekçesiz override açılmasını önermiyorum.
4. DLP olaylarının yönetici tarafından izlenmesi
2018’deki protection.office.com rapor ekranlarının yerine güncel Microsoft Purview yönetim deneyiminde DLP uyarıları, Activity Explorer ve uygun denetim kayıtları üzerinden araştırma yapılabilir. Hangi kuralın tetiklendiğini, işlem türünü, kullanıcı istisnasını ve varsa iş gerekçesini değerlendirmek gerekir. Erişim yetkileri ve veri saklama süreleri ortama ve lisansa göre değişir.
Üretim ortamında önerdiğim test yaklaşımı
- Gerçek müşteri veya ödeme kartı verileri yerine onaylı, sentetik test verisi kullanın.
- Kuralı doğrudan herkesi engelleyecek şekilde açmadan önce uygun senaryolarda simülasyon/denetim modunda değerlendirin.
- Exchange, OneDrive ve SharePoint için uyarı, engelleme ve kullanıcı istisnası davranışını ayrı ayrı test edin.
- Yanlış pozitif bildirimlerini ve override gerekçelerini düzenli izleyin; yalnızca bildirim gönderilmiş olmasını güvenlik kontrolünün başarılı olduğu şeklinde yorumlamayın.
- Değişiklik sonrası kullanıcıya görünen metinleri, politika önceliğini ve raporlamayı yeniden doğrulayın.
Özetle, DLP başarısı yalnızca hassas veriyi tespit etmek değil; iş süreçlerini gereksiz kesintiye uğratmadan doğru eylemi uygulayabilmektir. 2018’de kullanıcı tarafında gördüğümüz Policy Tip, bildirim, false positive ve override kavramları bugün de geçerli. Ancak karar verirken eski portal ekranlarını değil, mevcut Microsoft Purview politikasının gerçek davranışını esas almak gerekiyor.
Teknik referanslar: Microsoft Purview DLP policy reference; DLP notifications and policy tips; Activity Explorer.
