Her Veriyi Sonsuza Kadar Saklamalı mıyız? | GEODI Discovery #13

Data Retention: Her Veriyi Sonsuza Kadar Saklamalı mıyız?

Bir dosya en son 2017 yılında açılmış. Projede çalışan ekip çoktan değişmiş. Müşteri ilişkisi yıllar önce sona ermiş. Dokümanın daha güncel üç versiyonu başka bir sistemde bulunuyor.

Ama dosya hâlâ orada. Üstelik yalnız değil.

Bir kopyası eski dosya sunucusunda. Bir kopyası arşivde. Bir kopyası kullanıcının kişisel klasöründe. Bir kopyası e-posta ekinde. Ve hepsinin yedeği alınmaya devam ediyor.

Kimse bu veriyi kullanmıyor. Kimse neden saklandığını tam olarak bilmiyor. Ama kurum onu saklamaya, yedeklemeye, korumaya ve riskini taşımaya devam ediyor.

Data Retention probleminin başladığı yer tam olarak burasıdır.

Depolama Ucuzladı. Veri Saklamak Ucuzlamadı.

Kurumsal veri hacmi büyüdükçe ilk akla gelen maliyet genellikle storage olur. Ancak yıllarca saklanan verinin gerçek maliyeti yalnızca kapladığı disk alanı değildir.

Bir veri saklandığı sürece:

• erişim yetkilerinin yönetilmesi,

• güvenlik kontrollerinin uygulanması,

• yedeklenmesi,

• gerektiğinde bulunabilmesi,

• regülasyonlara uygun şekilde yönetilmesi,

• olası bir güvenlik olayında değerlendirilmesi

gerekir. Dolayısıyla bir verinin saklanması teknik olarak mümkün olduğu için saklanması gerektiği sonucu çıkmaz.

Asıl soru şudur:

Bu veriyi hâlâ neden tutuyoruz?

Retention Policy ile Gerçek Veri Ortamı Aynı Şey Değildir

Birçok kurumun saklama politikası vardır. Örneğin belirli bir doküman kategorisinin 5 yıl, başka bir kayıt türünün 10 yıl saklanması gerektiği tanımlanmış olabilir.

Kağıt üzerinde sistem oldukça nettir. Gerçek veri ortamı ise çoğu zaman değildir. Çünkü retention politikasını uygulayabilmek için önce dosyanın ne olduğunu bilmeniz gerekir.

SCAN_004823.pdf

Bu dosya nedir? Bir sözleşme mi? Fatura mı? Kimlik fotokopisi mi? Personel belgesi mi? Teknik doküman mı?

Retention kararını yalnızca dosyanın oluşturulma tarihine bakarak veremezsiniz. Önce içeriği anlamanız gerekir.

Discovery → Understanding → Classification → Retention Decision

Bu nedenle etkili bir data retention yaklaşımı, yalnızca zaman bazlı bir silme mekanizması değildir. Verinin içeriği, bağlamı ve iş değeriyle birlikte değerlendirilmesini gerektirir.

“Eski Veri” ile “Süresi Dolmuş Veri” Aynı Şey Değildir

On yıllık bir sözleşmenin hâlâ hukuki veya operasyonel değeri olabilir. Altı aylık geçici bir export dosyasının ise hiçbir iş değeri kalmamış olabilir. Dolayısıyla:

Old ≠ Obsolete

Bir verinin yaşı önemli bir sinyaldir, ancak tek başına retention kararı değildir. Daha doğru değerlendirme için farklı sinyaller birlikte ele alınmalıdır:

Age + Content + Data Type + Usage + Business Context + Regulatory Requirement

Bu yaklaşım verinin yalnızca “kaç yıllık” olduğunu değil, neden hâlâ tutulduğunu sorgulamayı mümkün hale getirir.

ROT Data: Kurumların Sessiz Veri Yükü

Data retention çalışmalarında önemli kavramlardan biri ROT Data'dır:

• Redundant: Başka yerlerde de bulunan gereksiz kopyalar.

• Obsolete: Artık güncelliğini veya iş değerini kaybetmiş içerikler.

• Trivial: Kurumsal açıdan kalıcı değer taşımayan geçici veya önemsiz veriler.

Örneğin yıllardır saklanan eski rapor export'ları, geçici çalışma dosyaları, eski sunum versiyonları, kullanılmayan proje klasörleri, tekrarlanan dokümanlar ve eski e-posta ekleri kurumun toplam veri hacmi içerisinde ciddi bir alan oluşturabilir.

Ancak ROT data'nın asıl problemi çok yer kaplaması değildir. İçerisinde ne bulunduğunu bilmeden saklanmaya devam etmesidir.

Gereksiz Veri, Gereksiz Risk Demektir

Şöyle bir klasör düşünelim:

Eski Personel Dosyaları / 2014

Klasör aktif olarak kullanılmıyor. Ancak içerisinde T.C. Kimlik Numaraları, adresler, telefon numaraları, banka bilgileri, imzalı belgeler ve başka kişisel bilgiler bulunuyor.

Bu verinin artık iş açısından gerekli olmadığı bir durumda bile sistemde yaşamaya devam etmesi, kurumun koruması gereken veri yüzeyini büyütür.

Bir güvenlik olayında saldırgan “Bu veri aktif olarak kullanılıyor mu?” diye sormaz. Erişebildiği veriye bakar.

Bu nedenle retention aynı zamanda bir data security konusudur. Tutmadığınız verinin sızma riski yoktur.

Ama “Eski Olanı Silelim” de Doğru Yaklaşım Değildir

Data minimization ile kontrolsüz veri silme birbirine karıştırılmamalıdır. Bir dokümanın uzun süredir açılmamış olması onun değersiz olduğu anlamına gelmez.

Hukuki yükümlülükler, sözleşmesel gereksinimler, denetim ihtiyaçları veya kurumsal hafıza nedeniyle bazı verilerin uzun süre korunması gerekebilir.

Bu nedenle doğru retention yaklaşımı Keep Everything ile Delete Everything Old arasında değildir. Amaç:

Keep What You Need.

Know Why You Keep It.

Dispose of What You No Longer Need.

Retention Kararı İçin Önce Görünürlük Gerekir

Bir kurum veri ortamını yeterince tanımıyorsa şu soruların cevapları da belirsiz kalır:

• Hangi verilerimiz var?

• Nerelerde bulunuyor?

• Ne kadar eski?

• En son ne zaman kullanıldı?

• Hangi veri kategorisine ait?

• Kişisel veya hassas veri içeriyor mu?

• Başka kopyaları var mı?

• Aktif bir iş sürecini destekliyor mu?

• Saklama gereksinimi devam ediyor mu?

• Artık silinmeye veya arşivlenmeye aday mı?

Bu soruların cevabı olmadan retention policy büyük ölçüde teorik kalır. Çünkü bilmediğiniz verinin yaşam döngüsünü yönetemezsiniz.

GEODI Perspektifi

GEODI Discovery yaklaşımı, farklı veri kaynaklarında bulunan içeriklerin keşfedilerek veri ortamının daha görünür hale getirilmesine yardımcı olur.

Dosyanın yalnızca adı ve lokasyonu değil; içeriği, metadata'sı, tarih bilgileri ve keşfedilen veri türleri gibi farklı özellikler birlikte değerlendirilebilir.

Bu görünürlük sayesinde kurumlar veri ortamlarını aktif içerikler, eski veriler, tekrarlanan içerikler, hassas bilgiler ve retention açısından değerlendirilmesi gereken veri kümeleri üzerinden inceleyebilir.

Böylece retention çalışmaları yalnızca hazırlanmış politika dokümanlarına değil, kurumun gerçek veri ortamına dayanabilir.

Discovery'nin görevi her eski dosyayı otomatik olarak silmek değildir. Asıl değer, kurumun şu kararı bilinçli verebilmesini sağlamaktır:

Keep → Archive → Review → Dispose

Veri Yaşam Döngüsünün Sonunda Bir Karar Olmalı

Kurumsal veri yönetimi çoğunlukla verinin oluşturulmasına odaklanır. Nasıl toplayacağız? Nerede saklayacağız? Nasıl sınıflandıracağız? Nasıl koruyacağız?

Ancak veri yaşam döngüsünün bir de sonu vardır. Ve iyi data governance yalnızca verinin nasıl oluşturulduğunu değil, ne zaman artık tutulmaması gerektiğini de yönetir.

Çünkü kurumların hedefi mümkün olan en fazla veriyi saklamak değil; gereken veriyi, gereken süre boyunca, doğru nedenle saklamak olmalıdır.

Key Takeaway

Data Retention, veriyi ne kadar süre saklayabileceğiniz değil; ne kadar süre saklamanız gerektiğini bilmektir.

Çünkü bazen en güvenli veri, artık sahip olmadığınız veridir.

GEODI Discovery Series #13

Prepared by Zero Second

Helping organizations discover, understand and govern their data with confidence