Veriyi Buldunuz. Peki Şimdi Ne Olacak? | GEODI Discovery #15

Data Governance: Keşiften Yönetişime

Bir kurum düşünelim. Hangi sistemlerde kişisel veri bulunduğunu biliyor. Hangi klasörlerde hassas dokümanlar olduğunu keşfetmiş. Duplicate verileri görmüş. Eski ve artık kullanılmayan içerikleri tespit etmiş. Verinin hangi sistemlerde yaşadığını haritalamış. Hatta yapay zekâ projelerinde hangi verilerin kullanılabileceğini değerlendirmeye başlamış.

Yani görünürlük var. Peki şimdi ne olacak?

Çünkü veriyi keşfetmek önemli bir başlangıçtır. Ama keşfedilen veri hakkında ne yapılacağını belirleyen kurallar yoksa, görünürlük tek başına yönetişim değildir. Asıl dönüşüm burada başlar:

Discovery → Understanding → Decision → Governance

Data Governance Bir Politika Dokümanı Değildir

Data Governance denildiğinde ilk akla gelen şeylerden biri politika ve prosedürlerdir. Kim hangi veriye erişebilir? Hangi veri ne kadar süre saklanmalı? Hangi bilgiler hassas kabul edilmeli? Veri sahibi kim? Hangi koşullarda veri silinmeli?

Bunların tamamı yönetişimin parçalarıdır. Ancak kurumun gerçek veri ortamı bilinmeden hazırlanan politikaların önemli bir problemi vardır:

Kağıt üzerinde tanımlanan veri dünyası ile gerçekte var olan veri dünyası aynı olmayabilir.

Politika şöyle diyebilir: Personel belgeleri yalnızca İnsan Kaynakları sistemlerinde tutulmalıdır.

Discovery sonucunda ise aynı belgelerin dosya sunucularında, kullanıcı bilgisayarlarında, e-posta eklerinde, eski proje klasörlerinde ve arşivlerde bulunduğu ortaya çıkabilir.

Bu noktada problem politikanın olmaması değildir. Politika ile gerçek veri ortamı arasındaki farktır.

Önce Gör. Sonra Yönet.

Bir şeyi yönetebilmek için önce onun varlığını bilmek gerekir. Bu nedenle gerçek Data Governance yolculuğunun ilk katmanı visibility olmalıdır. Kurum şu soruların cevaplarını bilmeli:

• Hangi verilerimiz var ve nerede bulunuyorlar?

• İçlerinde ne var?

• Hangi veriler hassas, hangileri kişisel veri?

• Hangileri birbirinin kopyası, hangileri güncelliğini kaybetmiş?

• Hangi veri hangi kişi, proje veya süreçle ilişkili?

• Kimlerin erişiminde ve ne kadar süredir tutuluyor?

Bu sorular cevaplanmadan; classification, retention, access governance, data minimization veya AI governance gibi süreçlerin önemli bir bölümü varsayımlara dayanır.

Discovery, Data Governance'ın envanterini değil; gerçekliğini oluşturur.

Veri Sahipsizse, Karar da Sahipsizdir

Bir doküman bulundu. İçerisinde müşteri bilgileri var. Hassas olarak değerlendirildi. Yedi yıldır sistemde duruyor. Başka üç kopyası daha bulundu.

Şimdi ne olacak? Silinsin mi? Arşivlensin mi? Erişimi kısıtlansın mı? Saklanmaya devam mı edilsin?

Bunların hiçbiri yalnızca teknolojinin vereceği kararlar değildir. Bir noktada şu soru ortaya çıkar:

Bu verinin sahibi kim?

Data Governance'ın kritik bileşenlerinden biri data ownership kavramıdır. Çünkü veriyle ilgili kararların bir sorumlusu olmalıdır.

Teknoloji veriyi keşfedebilir, riskleri görünür hale getirebilir ve ilişkileri gösterebilir. Ama iş bağlamını bilen veri sahibi “Bu veri bizim için hâlâ gerekli mi?” sorusunun cevabını verir.

Data Owner, Data Steward ve Teknoloji Aynı Şey Değildir

Sağlıklı bir yönetişim modelinde roller birbirinden ayrılır.

• Data Owner: Verinin iş açısından sahibidir. Verinin neden tutulduğunu, kimlerin kullanması gerektiğini ve iş değerini belirler.

• Data Steward: Tanımlanan veri politikalarının günlük süreçlerde uygulanmasına ve veri kalitesinin korunmasına yardımcı olur.

• IT / Security: Verinin saklandığı, erişildiği ve korunduğu teknik ortamları yönetir.

• Discovery Platformu: Verinin nerede olduğunu, ne içerdiğini ve hangi özelliklere sahip olduğunu görünür hale getirir.

Bu rollerin birbirinin yerine geçmesi gerekmez. Tam tersine, güçlü Data Governance bu katmanların aynı veri gerçekliği üzerinde çalışmasını gerektirir.

Sınıflandırma, Yönetişimin Ortak Dilidir

Bir kurumda aynı dosyaya farklı ekipler farklı gözlerle bakabilir.

• IT için: 2 MB PDF

• Security için: Hassas veri içeren doküman

• Legal için: 7 yıl saklanması gereken sözleşme

• Finance için: Müşteri sözleşmesi

• Data Owner için: Aktif ticari ilişkinin kaydı

Bunların hiçbiri yanlış değildir. Ancak yönetişim için ortak bir dil gerekir.

Bu nedenle classification yalnızca dosyanın üzerine PUBLIC / INTERNAL / CONFIDENTIAL etiketi koymak değildir. Verinin;

içeriği + hassasiyeti + iş değeri + sahipliği + yaşam döngüsü

birlikte değerlendirilmelidir. Böylece farklı ekipler aynı veri hakkında aynı bağlam üzerinden karar verebilir.

Politika, Veriye Dokunduğu Anda Gerçek Olur

Bir retention policy dokümanında “X tipi kayıtlar 5 yıl saklanacaktır.” yazması kolaydır. Asıl soru şudur:

Hangi dosyaların X tipi kayıt olduğunu biliyor musunuz?

Aynı durum diğer politikalar için de geçerlidir.

• Data Minimization Policy: Hangi verinin artık gerekli olmadığını biliyor musunuz?

• Sensitive Data Policy: Hassas verinin nerede olduğunu biliyor musunuz?

• Access Policy: Verinin hangi ortamlarda kopyalarının bulunduğunu biliyor musunuz?

• AI Governance Policy: AI'ın hangi kurumsal verilere erişebildiğini biliyor musunuz?

Politikanın uygulanabilir olması için policy ile actual data arasında bağ kurulmalıdır.

Data Governance Statik Bir Proje Değildir

Bugün yapılan bir discovery çalışması kurumun bugünkü veri ortamını gösterir.

Ama yarın yeni dosyalar oluşturulur, yeni kullanıcılar gelir, projeler başlar ve biter, veriler kopyalanır, yeni sistemler devreye alınır, eski sistemler kapanır ve AI yeni veri kaynaklarına bağlanır.

Dolayısıyla yönetişim bir kere yapılan envanter çalışması değildir. Yaşayan veri ortamının sürekli olarak anlaşılması ve yönetilmesidir. Bu nedenle daha gerçekçi model şudur:

Discover → Understand → Classify → Decide → Govern → Monitor → Discover Again

Bir döngü. Çünkü veri değiştikçe yönetişimin dayandığı gerçeklik de değişir.

Governance Dashboard'dan Önce Governance Data Gerekir

Yöneticilerin görmek istediği göstergeler oldukça nettir:

• Ne kadar hassas verimiz var ve nerelerde bulunuyor?

• Ne kadar ROT data var?

• Hangi veri sahipleri sorumlu?

• Retention süresi dolan ne kadar veri var?

• Hangi repository daha fazla risk taşıyor?

• Kişisel veri nerelerde yoğunlaşıyor?

• AI kullanımına açılan veri ne durumda?

Ancak iyi bir dashboard kötü veya eksik veriyi düzeltemez. Dashboard yalnızca kendisine verilen bilgiyi gösterir.

Bu nedenle Data Governance'ın temelinde önce güvenilir discovery verisi bulunmalıdır.

GEODI Perspektifi: Discovery'den Karara

GEODI Discovery yaklaşımının yönetişim açısından değeri yalnızca veri bulmak değildir.

Farklı veri kaynaklarında bulunan içeriklerin keşfedilmesi; metadata, içerik, OCR, veri türleri, hassas bilgiler ve ilişkilerin görünür hale gelmesi, kurumun yönetişim kararları için daha güçlü bir veri zemini oluşturabilir. Bu zemin üzerinde kurum;

• Data Classification ile veriyi anlamlandırabilir,

• Data Ownership ile sorumluluğu tanımlayabilir,

• Retention ile yaşam döngüsünü yönetebilir,

• Data Minimization ile gereksiz veriyi azaltabilir,

• Access Governance ile erişim kararlarını destekleyebilir,

• AI Governance ile yapay zekâya açılan veri alanını kontrol edebilir.

Böylece discovery'nin çıktısı bir rapor olarak kalmaz. Kurumsal karar mekanizmasının girdisine dönüşür.

Asıl Hedef Kontrol Değil, Güvenilir Veri Ortamıdır

Data Governance bazen yalnızca kısıtlama olarak algılanır. Daha fazla politika. Daha fazla kontrol. Daha fazla onay.

Oysa iyi yönetişimin amacı verinin kullanımını zorlaştırmak değildir. Tam tersine:

Doğru verinin, doğru kişi tarafından, doğru amaçla ve doğru süre boyunca güvenle kullanılabilmesini sağlamaktır.

İyi yönetilen veri yalnızca daha güvenli değildir. Daha kolay bulunur. Daha güvenilir olur. Daha doğru karar üretir. AI için daha değerlidir. Ve kurum için daha fazla iş değeri yaratır.

Keşif Bir Sonuç Değil, Başlangıçtır

Bu serinin başında şu soruyla başlamıştık: Veriniz nerede?

Sonrasında Dark Data'yı, yapılandırılmamış veriyi, OCR'ı, semantik aramayı, hassas ve kişisel verileri, veri haritalamayı, duplicate verileri, retention'ı ve AI Ready Data'yı konuştuk.

Bütün bu başlıklar aslında aynı noktaya bağlanıyor: Kurum sahip olduğu veriyi gerçekten tanıyor mu?

Data Governance ise bir sonraki soruyu soruyor: Tanıyorsanız, şimdi onu nasıl yöneteceksiniz?

Key Takeaway

Data Discovery size neye sahip olduğunuzu gösterir. Data Governance ise onunla ne yapacağınıza karar vermenizi sağlar.

Görmediğiniz veriyi yönetemezsiniz. Ama yalnızca görmek de yetmez.

Discover. Understand. Decide. Govern.

GEODI Discovery Series #15

Prepared by Zero Second

Helping organizations turn data discovery into trusted governance