Test Ortamına Canlı Veri Kopyalamak: Riskler ve Maskeleme Yöntemleri

Test Ortamı da Bir Veri İşleme Ortamıdır

Yazılım geliştiren ekiplerde en yaygın alışkanlıklardan biri, bir hatayı yeniden üretmek ya da yeni bir özelliği “gerçekçi” veriyle denemek için canlı veritabanının yedeğini test ortamına açmaktır. Hızlıdır, kolaydır ve çoğu zaman kimse bunun bir kişisel veri işleme faaliyeti olduğunu düşünmez. Oysa test ortamına kopyalanan her ad, telefon numarası, adres ya da sipariş geçmişi, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında korunması gereken kişisel veridir.

Bu yazıda test verisi maskeleme konusunu farkındalık düzeyinde ele alıyoruz: canlı verinin test ortamında neden risk yarattığını, Kişisel Verileri Koruma Kurulu kararlarına yansımış örnekleri, maskeleme, sentetik veri ve alt küme seçimi seçeneklerini, test ortamında erişim ve log yönetimini ve bir test verisi politikasının nasıl çerçevelenebileceğini özetliyoruz.

Canlı Verinin Test Ortamında Neden Risk Olduğu

Canlı (üretim) ortam genellikle sıkı erişim kuralları, izleme ve yedekleme süreçleriyle korunur. Test, geliştirme ve hazırlık (staging) ortamları ise doğası gereği daha esnektir: daha çok kişi erişir, yetkiler geniş tutulur, dış yükleniciler ve stajyerler sisteme bağlanır, veritabanı dökümleri dizüstü bilgisayarlara ve paylaşımlı klasörlere taşınır. Aynı veri, daha zayıf bir kasaya konmuş olur.

KVKK'nın 12. maddesi, veri sorumlusunu kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almakla yükümlü tutar. Bu yükümlülük ortam ayrımı yapmaz; veri test sunucusunda da olsa aynı koruma beklenir.

Test Kopyalarında Öne Çıkan Riskler

Gerçek Olaylardan Örnekler

Kurul'un yayımladığı karar özetleri, test ve canlı ortam ayrımının veri güvenliği açısından nasıl değerlendirildiğini gösteriyor. Aşağıdaki iki örnekte sorun, canlı veriyi teste taşımak değil, testi canlı ortamda yapmaktır; ancak her ikisi de ortamların ayrılmasının ve kontrollü test sürecinin Kurul'un gözünde bir güvenlik tedbiri olduğunu ortaya koyar.

Bir internet servis sağlayıcısına ilişkin 12.03.2020 tarihli ve 2020/213 sayılı karar özetinde, yazılım geliştiricilere sözlü olarak iletilen bir değişikliğin test ortamı yerine gerçek ortamda yapılması sonucu bazı müşterilerin ödeme bilgileri başka kullanıcılara görünür hale gelmiştir. Kurul, test süreçlerinin yetersizliğini gerekli teknik ve idari tedbirlerin alınmadığının göstergesi olarak değerlendirmiştir.

Yardım masası paneli hizmeti veren bir şirkete ilişkin 27.04.2021 tarihli ve 2021/426 sayılı karar özetinde, yazılım geliştirme süreçlerinin test platformunda yapılması gerekirken veritabanı güncellemesinin canlı ortamda yapılması, başka şirketlerin destek kayıtlarının yetkisiz kişilerce görülmesine yol açmıştır. Kurul ayrıca ihlalin 72 saat içinde bildirilmemesini ayrı bir aykırılık olarak ele almıştır.

Bu kararlardan çıkan ders iki yönlüdür: Test ortamı ile canlı ortam birbirinden ayrılmalı, ama ayrılan test ortamına da canlı verinin kontrolsüz bir kopyası konmamalıdır. Aksi halde bir risk kapatılırken diğeri açılır. Kararlarda verilen idari yaptırımların genel çerçevesini 2026 KVKK idari para cezaları yazımızda bulabilirsiniz.

Maskeleme, Sentetik Veri ve Alt Küme Seçimi

Test ekiplerinin gerçekçi veriye ihtiyacı meşrudur; sorun, bu ihtiyacı gerçek kişilerin verisiyle karşılamaktır. Üç temel yaklaşım birlikte ya da ayrı ayrı kullanılabilir. Kurum'un Kişisel Veri Güvenliği Rehberi de veri maskelemeyi önerilen teknik tedbirler arasında sayar.

Maskelemede sık yapılan hata, yalnızca ad ve soyadı değiştirip doğum tarihi, posta kodu, unvan ya da serbest metin alanlarını olduğu gibi bırakmaktır. Bu alanlar bir araya geldiğinde kişi yeniden tanınabilir. Serbest metin alanları (müşteri notları, şikâyet açıklamaları, e-posta gövdeleri) özellikle risklidir; çoğu zaman en iyi çözüm bu alanları tamamen boşaltmaktır. Uygulama loglarında aynı sorunun nasıl ele alındığını uygulama loglarında maskeleme yazımızda anlattık.

Maskelenmiş verinin hâlâ kişisel veri olup olmadığı ayrı bir sorudur. Geri döndürülebilir yöntemlerle (örneğin bir eşleştirme tablosuyla) dönüştürülmüş veri, eşleştirme anahtarı bir yerde durdukça kişisel veri olmaya devam eder. Bu nedenle maskeleme riski azaltır ama test ortamını KVKK'nın dışına çıkarmaz.

Üç Yöntemin Karşılaştırması

Test Ortamı Erişim ve Log Yönetimi

Veri ne kadar iyi maskelenirse maskelensin, test ortamı yine bir bilgi sistemidir ve temel güvenlik kurallarına tabidir. Yazılım ekiplerinin günlük işini zorlaştırmadan uygulanabilecek başlıca kontroller şunlardır:

Ayrı kimlik ve yetki: Test ortamı canlı ortamla aynı yönetici hesaplarını paylaşmamalı; yükleniciler ve stajyerler için süreli hesaplar açılmalıdır.

Ağ ayrımı: Test sunucuları internete doğrudan açık olmamalı; canlı veritabanına test ortamından bağlantı kurulamamalıdır.

Döküm yasağı: Veritabanı yedeklerinin kişisel cihazlara, paylaşımlı sürücülere veya kişisel bulut hesaplarına indirilmesi yazılı olarak yasaklanmalı ve teknik olarak engellenmelidir.

Erişim kayıtları: Test ortamındaki veri erişimleri de kayıt altına alınmalı ve belirli aralıklarla gözden geçirilmelidir. Log kayıtlarının kendisinin kişisel veri içerebileceğini log kayıtları ve saklama süresi yazımızda ele aldık.

Yaşam döngüsü: İşi biten test ortamları ve içindeki veriler silinmeli; kimsenin hatırlamadığı eski kopyalar en sık sızıntı kaynağıdır.

Bu kontroller, sızma testi ve zafiyet taraması gibi düzenli güvenlik çalışmalarının kapsamına da alınmalıdır. Test ortamları çoğu zaman bu çalışmaların dışında bırakılır; oysa saldırganlar için en kolay giriş noktası genellikle burasıdır.

Test Verisi Politikası

Tek tek alınan önlemler, yazılı bir test verisi politikasına bağlanmadığında kişiden kişiye değişir. Kısa ve uygulanabilir bir politika şu soruları yanıtlamalıdır:

Hangi durumlarda canlı veriden türetilmiş veri kullanılabilir, hangi durumlarda yalnızca sentetik veri kullanılır?

Maskeleme hangi alanlara, hangi yöntemle ve kim tarafından uygulanır? Maskeleme kuralları kimin onayıyla değişir?

Canlı veriye istisnai erişim gerekiyorsa (örneğin yalnızca canlıda görülen bir hata) bu erişim kimin onayıyla, ne kadar süreyle ve hangi ortamda verilir?

Test ortamlarındaki veri ne zaman ve nasıl silinir? Silme kayıt altına alınıyor mu?

Yükleniciler ve dış geliştiriciler politikaya sözleşmeyle bağlanıyor mu?

Politika, kişisel veri saklama ve imha politikası ile veri envanteriyle uyumlu olmalıdır. Test ortamındaki kopyalar envanterde ayrı bir kayıt ortamı olarak görünmeli ve imha takvimine dahil edilmelidir. Bu yaklaşımın yazılım geliştirme yaşam döngüsünün tamamına nasıl yayılacağını tasarımdan gizlilik yazımızda anlattık.

Uygulama Adımları

Konuyu ilk kez ele alan bir Ar-Ge ekibi için gerçekçi bir başlangıç sırası şöyle olabilir:

Envanter: Mevcut tüm test, geliştirme ve hazırlık ortamlarını listeleyin; hangilerinde canlı veriden kopya bulunduğunu tespit edin.

Temizlik: Amacı sona ermiş kopyaları silin; kalanlara sahip ve son kullanma tarihi atayın.

Alan sınıflandırması: Veritabanı şemasında kişisel veri ve özel nitelikli kişisel veri içeren alanları işaretleyin.

Maskeleme hattı: Canlıdan teste aktarımı yalnızca otomatik maskeleme adımından geçen bir hatla yapın; elle döküm almayı kaldırın.

Sentetik veriye geçiş: Yeni projelerde test verisini baştan sentetik olarak tasarlayın.

Erişim ve log: Test ortamı yetkilerini daraltın, erişim kayıtlarını açın ve gözden geçirme sıklığını belirleyin.

Eğitim: Geliştiricilere, test ekiplerine ve yüklenicilere kısa bir bilgilendirme yapın; politikanın neden var olduğunu anlatın.

Sonuç ve Sonraki Adım

Canlı veriyi test ortamına kopyalamak hızlı bir kısayol gibi görünse de gerçek kişilerin verisini daha zayıf korunan bir ortama taşır ve bir sızıntı halinde sorumluluk veri sorumlusunda kalır. Test verisi maskeleme, sentetik veri ve küçük alt kümeler, ekiplerin gerçekçi test ihtiyacını karşılarken bu riski önemli ölçüde azaltır. Bu yöntemleri erişim kontrolü, log yönetimi ve yazılı bir test verisi politikasıyla birleştirmek, kalıcı bir çözüm sağlar.

Atılacak ilk adım, bugün hangi test ortamlarında canlı veri bulunduğunu görmek olabilir. Teknik tedbirlerin bütününe bakmak isteyenler KVKK teknik tedbirler kontrol listesi yazımızdan, test ortamlarının da dahil edildiği güvenlik çalışmalarının kapsamı için siber güvenlik hizmeti sayfamızdan yararlanabilir. Somut olay özelinde hukuki değerlendirme alınmalıdır.

Sık Sorulan Sorular