Microsoft Purview Suite
Microsoft Purview Suite, kurumsal uyum (compliance) gereksinimlerini tek pakette toplar. KVKK + GDPR + ISO 27001 + finansal denetim + sektörel düzenleyici (BDDK, EPDK, SPK, KVKK Kurul) talepleri için: Data Loss Prevention (DLP), eDiscovery Premium (hukuki ihtilafta veri toplama), Insider Risk Management (içeriden veri sızıntısı algılama), Information Barriers (departman izolasyonu), Records Management (saklama politikaları) ve Compliance Manager (çerçeve haritası + skor). Microsoft 365 E5 ve E5 Compliance paketinde dahildir.
DLP — Veri Sızıntı Önleme
T.C. Kimlik No, IBAN, sağlık verisi pattern algılama + politika.
eDiscovery Premium
Hukuki ihtilafta tüm posta+dosya+sohbet toplama + analiz + üretim.
Insider Risk Management
Ayrılan personel veri kopyası, anomalik indirme paterni.
Records Management
Yasal saklama (7 yıl, 10 yıl), otomatik silme.
Microsoft Purview Suite — beş kritik modül
Microsoft Purview Suite, eski Microsoft 365 Compliance ürünlerinin birleştiği bütünleşik bir uyum platformudur. Resmi modül listesi Microsoft Purview overview sayfasında.
- Data Loss Prevention (DLP): E-posta, dosya, Teams ve uç nokta üzerinde hassas veri (T.C. kimlik no, IBAN, sağlık kayıtları, kredi kartı pattern'leri) tespit + politika tabanlı engelleme. Endpoint DLP ile cihaz üzerinde de çalışır.
- Insider Risk Management: Çalışan davranış paterni analizi — ayrılış öncesi anomalik veri indirme, kişisel bulut hesaplara dosya kopyalama, kasıtlı veya kazara veri ifşası tespiti. Pseudonymized analiz; gizlilik korunur.
- eDiscovery Premium: Yargısal süreç veya iç soruşturma için tüm Microsoft 365 verisinde (e-posta, Teams, SharePoint, OneDrive) arama, hold (tutma), inceleme (review) ve ihracat. Standard eDiscovery'ye göre custodian yönetimi + analytics (near-duplicate, threading) eklenir.
- Records Management: Belge saklama (retention) politikaları + sürelerin sonunda otomatik silme veya başka lokasyona taşıma. KVKK saklama yükümlülükleri (örn. ticari belge 10 yıl, çalışan kaydı 10 yıl) için kritik.
- Communication Compliance: Teams sohbetleri ve e-posta üzerinde uygunsuz dil, hakaret, gizli bilgi paylaşımı veya sektör spesifik regülatör ihlali (örn. finansta market manipülasyonu işaretleri) tespiti.
- Information Barriers: Departman arası izolasyon — örnek: yatırım bankasında M&A ekibi ile satış ekibinin Teams üzerinden direkt mesajlaşmasını engelleme (Çin Duvarı).
- Compliance Manager: KVKK, GDPR, ISO 27001, NIST CSF, SOC 2 gibi 300+ uyum çerçevesinin kontrol haritası + mevcut yapılandırmaya göre uyum skoru.
KVKK için Purview hangi sorunları çözer?
KVKK ve ikincil mevzuatın talep ettiği "teknik ve idari tedbirler" kapsamında Purview Suite'in birebir karşılığı:
| KVKK gereği | Purview modülü | Pratik çıktı |
|---|---|---|
| Veri envanteri (madde 5) | Data Map + DLP keşif | Hangi dosyada T.C. kimlik no, IBAN, sağlık verisi var? |
| Veri minimizasyonu + amaç sınırlılığı | Sensitivity Labels + DLP | Otomatik etiketleme + paylaşım kısıtı |
| Aktarım güvenliği | DLP + Sensitivity Labels | Dışarı gönderim engelleme veya şifreleme zorunluluğu |
| Saklama-imha politikası | Records Management | Yasal süre sonunda otomatik silme + audit kanıtı |
| 72 saat ihlal bildirimi (madde 12) | eDiscovery Premium + Audit | Etkilenen kişi listesi + olay zaman çizelgesi |
| İlgili kişi başvurusu (madde 11) | eDiscovery + Data Subject Request | Belirli kişinin tüm verisini bulma + sunma + silme |
| Çalışan denetimi | Insider Risk Management | Anomalik veri davranışı tespit |
| Hukuk-finans-IK ayrımı | Information Barriers | Çapraz erişim kısıtı uygulaması |
Hangi pakette dahil, hangisinde eklenti?
Purview Suite'in lisanslama matrisi karışık olabilir — Microsoft'un Compliance licensing sayfasından doğrulanabilir özet:
- Microsoft 365 E5: Purview Suite'in tamamı dahil — DLP + Insider Risk + eDiscovery Premium + Records Management + Communication Compliance + Information Barriers + Compliance Manager.
- Office 365 E5: Temel Purview (DLP + eDiscovery temel + Sensitivity Labels) dahil; Insider Risk, Records Management, Communication Compliance YOK.
- Microsoft 365 E5 Compliance add-on: M365 E3 üzerine eklenebilen sadece Purview Suite paketi.
- Microsoft 365 E3: Yalnız Information Protection Plan 1 (Sensitivity Labels + temel DLP) dahil; Purview Suite ayrı eklenmeli.
- Microsoft 365 Business Premium add-on: KOBİ için Purview Suite + Defender Suites birleşik add-on'u (M365 Business Premium üzerine eklenebilir).
- Standalone modüller: DLP, eDiscovery, Records Management bazen ayrı SKU'lar olarak da satın alınabilir; karmaşık karar, CSP iş ortağı üzerinden teyit önerilir.
Hangi kurum için kritik?
- Finans sektörü: BDDK regülasyonu, KVKK + ETK + ödeme verisi (PCI-DSS) çoklu uyum yükü.
- Sağlık (klinik, hastane): KVKK 6. madde "özel nitelikli kişisel veri" + Sağlık Bakanlığı SBSGM uyumu — Records Management + DLP kritik.
- Hukuk firması: Avukatlık Kanunu 36. madde mesleki gizlilik + KVKK çift uyum + eDiscovery Premium yargısal süreç için zorunlu.
- Gümrük müşavirliği: Müşteri ticari sırrı + KVKK + Gümrük Kanunu 10+ yıl belge saklama — Records Management uygulaması ideal.
- Kamu / belediye: KVKK + 4982 sayılı Bilgi Edinme Kanunu + Sayıştay denetimi — eDiscovery zorunlu.
- İlaç + Ar-Ge ağırlık şirketler: Ticari sır + patent süreci + Insider Risk Management — fikri mülkiyet sızıntısı.
- ISO 27001 / 27701 sertifikasyon hedefli kurumlar: Compliance Manager kontrol haritası + audit kanıt zinciri.
Pilot uygulama — pratik yaklaşım
Purview Suite alındıktan sonra "tüm modülleri aynı anda devreye al" stratejisi başarısızlığa götürür. Önerilen 8-12 haftalık aşamalı yaklaşım:
- Hafta 1-2 — Veri envanteri (Data Map): Microsoft 365 + Azure + on-prem (gerekirse) veri kaynaklarının haritası, otomatik tarama ile hassas veri pattern'lerinin tespiti.
- Hafta 3-4 — Sensitivity Labels: "Genel / İç / Gizli / Yüksek Gizli" temel etiket setinin kurulumu + Office uygulamalarına entegre.
- Hafta 5-6 — DLP pilot: Tek bir politika (örn. "T.C. kimlik no içeren dosya dışarı çıkmasın") audit mode'da; sahte pozitif analizi.
- Hafta 7-8 — Records Management: En kritik 2-3 belge tipi için retention politikası (finansal belge 10 yıl, çalışan kaydı 10 yıl).
- Hafta 9-10 — eDiscovery + Compliance Manager: Hukuk ekibi için eDiscovery erişim setup; Compliance Manager üzerinde KVKK kontrol haritası.
- Hafta 11-12 — Insider Risk + Communication Compliance: Aşamalı, başlangıç politikaları (sadece "yüksek risk" senaryolar), İK + Hukuk işbirliği.
- Aşamalı dağıtım yapılırsa Purview yatırımı atıl kalmaz; aksi halde "lisans var ama kullanılmıyor" durumu yaygındır.
Lisanslama
Per User Per Month · NCE (Add-on veya M365 E5 içi)
- Aylık
- 1 yıl
Microsoft 365 E5 ve M365 E5 Compliance içinde dahildir. M365 Business Premium ve M365 E3 üzerine add-on olarak da satılır. Modül modül standalone alım mümkün ancak fiyat açısından paket genelde daha avantajlı. Güncel fiyat için Microsoft'un Purview sayfasından veya CSP iş ortağınızdan teklif alın. NCE (New Commerce Experience): 7 gün içinde lisans iptal/azaltma; sonrası taahhüt sonuna kadar kilitlidir. Yıllık taahhütte aylık%ye göre belirgin indirim olur.
Kim İçin Uygundur?
Sıkça Sorulan Sorular
KVKK kapsamındaki teknik tedbirlerin önemli bir kısmını karşılar (veri envanteri, DLP, sensitivity labels, retention, audit log). İdari tedbirler — politika dokümanları, çalışan eğitimi, VERBİS bildirimi, ilgili kişi başvuru süreçleri — Purview'in dışındadır ve Xen Bilişim danışmanlığıyla tamamlanır. KVKK danışmanlık sayfası.
Evet. Microsoft, "Defender and Purview Suites for Microsoft 365 Business Premium" add-on'u sunar — KOBİ müşterilerine kurumsal güvenlik + uyum paketini Business Premium üzerine eklemek için tasarlandı. Tek başına "Purview Suite for Business Premium" add-on'u da mevcut. Güncel ürün adlandırması Microsoft'un satış kanalından teyit edilir.
Standard eDiscovery: temel arama + hold + export. Premium eDiscovery: ek olarak custodian yönetimi (kişi bazlı tutma), analytics (near-duplicate detection, email threading), inceleme akışı (review set), gelişmiş raporlama. Avukatlık Kanunu kapsamındaki hukuk firmaları + büyük yargısal süreç yaşayan kurumlar için Premium zorunlu olur.
Microsoft pseudonymization kullanır: analiz aşamasında kullanıcılar takma adlarla görünür; sadece gerçek bir risk sinyalinde, yönetici-onaylı süreçle gerçek kimlik açılır. Şirket içi etik komitesi + İK + Hukuk'un onayı + KVKK aydınlatma metnine dahil edilmesi şart. Yapılandırma kararı şirket politikasıyla hizalanmalı.
Yasal kaynaklar: Türk Ticaret Kanunu (ticari defter 10 yıl), Vergi Usul Kanunu (defter-belge 5 yıl), İş Kanunu (özlük dosyası 10 yıl), KVKK (kişisel veri saklama süresi amaca bağlı), Gümrük Kanunu (10 yıl gümrük belgesi), Avukatlık Kanunu (dava dosyası kesinleşme + 10 yıl). Purview Records Management bu süreleri etiket-bazlı politikaya çevirir; süre dolunca otomatik silme veya başka lokasyona taşıma.
Microsoft Compliance Manager 300+ uyum çerçevesinin kontrol haritasını sunar; bu listede KVKK için spesifik bir Türkiye haritası genelde mevcuttur (sürüm zamanla değişebilir). Eğer mevcut Compliance Manager şablonu KVKK'yı yeterince kapsamıyorsa, GDPR şablonu üzerinden KVKK kontrolleri eşlenir (iki regülasyon büyük ölçüde benzer prensipler taşır). Xen Bilişim her tenant'a özelleştirilmiş kontrol haritası hazırlar.
Xen Bilişim Devreye Alım Süreci
- 1. Keşif & boyutlandırma: Mevcut altyapı, kullanıcı sayısı, OS/bulut dağılımı ve uyum gereksinimleri analiz edilir; doğru SKU ve lisans adedi önerilir.
- 2. Pilot kurulum: 10-25 cihazlık alt küme devreye alınır; mevcut güvenlik stack ile entegrasyon test edilir; alarm + raporlama yapılandırılır.
- 3. Tam yaygınlaştırma (rollout): Faz faz tüm endpoint'lere açılır; politika şablonları uygulanır; kullanıcı eğitimi + IT runbook teslim edilir.
- 4. Optimizasyon & takip: Devreye alımdan sonra 90 günlük ince ayar: false-positive triajı, politika sıkılaştırma, KPI gözden geçirme ve çeyrek bazlı sağlık kontrolü.
Tipik uçtan uca süre: 2-4 hafta (kullanıcı sayısı ve entegrasyon kapsamına göre değişir).