Duyarlılık Etiketleri: Sınıflandırma Şeması ve Otomatik Etiketleme

Etiket projelerinin çoğu teknik ayarda değil, ilk hafta kullanıcının önüne çıkan on beş seçenekli menüde çöker. Kullanıcı rastgele seçer, “Gizli” belgeler “Genel” etiketle dışarı gider, DLP kuralları yanlış girdiyle çalışır. Duyarlılık etiketi dosyanın ve e-postanın meta verisine yazılır; içeriği şifreleyebilir, belgeye işaret basar ve DLP’ye karar girdisi verir. Bu rehber, Microsoft 365 yöneticileri ve bilgi güvenliği sorumluları için şemanın nasıl kurulacağını, hangi ayarın hangi riski karşıladığını ve otomatik etiketlemenin hangi sırayla açılacağını anlatır.

Sınıflandırma şemasından etiket yapısına

İşe onaylı bir sınıflandırma politikasıyla başlayın. Etiket projesi bu politikayı yazmanın yerine geçmez; politika yoksa önce o masaya oturulur. Politikada genellikle dört düzey olur: Genel, Kurum İçi, Gizli ve Çok Gizli. Sahada en sık gördüğümüz hata bu düzeyleri departman, proje veya müşteri adına göre çoğaltmaktır. Kullanıcı belgeyi kaydederken birkaç saniyede karar verir. Uzun menü tahmin üretir.

Gerçek ayrım ihtiyacı çoğunlukla koruma davranışından doğar. “Gizli” verinin bir kısmı tüm çalışanlara açık olabilir, bir kısmı yalnız belirli bir ekibe. Bu durumda ana etiketin altına alt etiket tanımlanır. Alt etiketi olan ana etiket doğrudan uygulanamaz; kullanıcı her zaman bir alt etiket seçer. Aşağıdaki şema orta ölçekli bir üretim şirketi için örnek olarak hazırlanmıştır.

Etiket	Örnek içerik	Koruma	İşaretleme
Genel	Katalog, basın bülteni	Yok	Yok
Kurum İçi	Prosedür, iç duyuru	Şifreleme yok	Alt bilgi
Gizli / Tüm Çalışanlar	Bütçe, sözleşme taslağı	Şirket içi kullanıcılara şifreleme	Üst ve alt bilgi
Gizli / Belirli Kişiler	Teklif, müşteri çizimi	Kullanıcı izin atar	Üst bilgi, filigran
Çok Gizli	Birleşme, prototip verisi	Sabit grup, süreli erişim	Filigran

Listedeki sıra önceliği belirler: aşağı indikçe hassasiyet artar. Otomatik etiketleme hangi etiketi seçeceğine bu sıraya bakarak karar verir; “daha düşük etikete geçişte gerekçe iste” ayarı da neyin düşürme sayılacağını buradan okur. Sırayı sonradan değiştirebilirsiniz, ama raporlar ve DLP kuralları bu sıraya göre yazılmış olur. Sırayı ilk günden doğru kurun.

Etiket ayarları: şifreleme, işaretleme, kapsam

Kapsam

Her etiket bir veya birkaç kapsam için tanımlanır: dosyalar, e-postalar, toplantılar, gruplar ve siteler. Portaldaki kapsam adları zaman içinde değişebiliyor; kendi kiracınızda gördüğünüz seçenekleri esas alın. Dosya ve e-posta etiketlerini site etiketlerinden ayrı tutmak yönetimi sadeleştirir. Tek etiketle hem belgeyi hem Teams ekibini yönetirseniz iki ayrı karar sürecini birbirine kilitlersiniz. Birini değiştirmek istediğinizde öteki de kımıldar.

Şifreleme

Şifreleme Azure Rights Management hizmetiyle yapılır ve koruma dosyayla birlikte gider. Dosya bir USB belleğe kopyalansa da yetkisi olmayan açamaz. İki temel yaklaşım var:

• İzinleri şimdi ata: Yönetici hangi kullanıcı, grup veya alan adının hangi izin düzeyiyle (Ortak Sahip, Ortak Yazar, Gözden Geçiren, Görüntüleyen ya da özel) erişeceğini belirler. İçerik erişiminin sona erme tarihi ve çevrimdışı erişim süresi burada ayarlanır.
• Kullanıcının izin atamasına izin ver: Outlook’ta “İletme” (Do Not Forward) veya “Yalnızca Şifrele” davranışı, Office uygulamalarında ise kullanıcının kişileri seçtiği bir pencere çıkar. Alıcısı her seferinde değişen teklif ve proje dokümanı için uygundur.

Şifrelemenin bir operasyon bedeli var. Şifreli dosyada arama, eKeşif ve ortak yazma için SharePoint ve OneDrive’da etiket entegrasyonu açık olmalıdır; kapalıysa arama sonuçlarından dosyalar sessizce düşer. Etiket sahibinin ayrıldığı veya izinlerin hatalı verildiği durumda içeriği geri almak için Rights Management süper kullanıcı özelliğini kontrollü bir hesapla planlayın. Mobil ve üçüncü taraf uygulamaların şifreli içeriği açıp açamadığını pilotta deneyin. Kâğıt üzerinde değil, cihazda.

# SharePoint ve OneDrive'da Office dosyaları için etiket entegrasyonu
Connect-SPOService -Url https://contoso-admin.sharepoint.com
Set-SPOTenant -EnableAIPIntegration $true

# Etiketlerin ve sıralarının kontrolü (Security & Compliance PowerShell)
Connect-IPPSSession
Get-Label | Format-Table DisplayName, Priority, ContentType -AutoSize
Get-LabelPolicy | Format-Table Name, Labels -AutoSize

Konsolda ilk bakılacak yer Get-Label çıktısındaki Priority sütunudur. Portalda gördüğünüz sıra ile buradaki öncelik uyuşmuyorsa otomatik etiketleme beklemediğiniz etiketi basar.

İçerik işaretleme

Üst bilgi, alt bilgi ve filigran etiketin görünen yüzüdür; yazdırılan veya ekran görüntüsü alınan içerikte farkındalık sağlar. Dinamik değişkenlerle (${Item.Label}, ${User.Name}, ${Event.DateTime}) etiket adı, belgeyi etiketleyen kullanıcı ve tarih işarete yazılır. İşaret metni etiket adıyla aynı olmalı. “Gizli” etiketli belgenin altında “Hizmete Özel” yazıyorsa denetçi bunu tutarsızlık olarak not eder.

Varsayılan ve zorunlu etiketleme

Etiketler, etiket politikalarıyla kullanıcı veya gruplara yayımlanır. Politika ayarları benimsemeyi doğrudan belirler:

• Belgeler için varsayılan etiket: Yeni ve etiketsiz belgelere atanır. Çoğu kurumda “Kurum İçi” varsayılan olur. “Gizli” varsayılan yapılırsa dış paylaşımlar sürekli takılır ve kullanıcılar etiketi düşürmeyi refleks haline getirir.
• E-postalar için varsayılan etiket: Belgelerden ayrı ayarlanabilir. Dış yazışması yoğun ekiplerde e-postaya şifreli varsayılan etiket vermek teslim ve okuma sorunları doğurur.
• Zorunlu etiketleme: Kullanıcı etiket seçmeden kaydedemez veya gönderemez. Varsayılan etiketle birlikte açıldığında kullanıcı çoğu zaman zorunluluk uyarısını hiç görmez; iki ayarın kendi Office sürümlerinizdeki ortak davranışını pilotta gözlemleyin.
• Düşürme gerekçesi: Etiket kaldırılırken veya daha düşük etikete geçilirken kullanıcıdan gerekçe istenir; gerekçe denetim kaydına düşer.

Pilot grup için ayrı bir politika açın ve ona daha yüksek öncelik verin. Yeni etiketler ve varsayılan değişiklikleri böylece tüm kiracıya yayılmadan test edilir. Pilotsuz yayın, geri alması zor bir yayındır.

İstemci tarafı ve hizmet tarafı otomatik etiketleme

Bazı veri türleri kullanıcının seçimine bırakılmaz: TCKN, IBAN, kart numarası, sağlık verisi. Geçmişten kalan büyük içerik yığınları da elle etiketlenmez. Bu iki durumda otomatik etiketleme gerekir ve iki mekanizma birbirini tamamlar.

Özellik	İstemci tarafı	Hizmet tarafı
Nerede çalışır	Office uygulamaları, Outlook	Exchange iletimi, SharePoint, OneDrive
Davranış	Öner veya otomatik uygula	Otomatik uygula
Kullanıcı etkileşimi	Öneriyi reddedebilir	Yok
Eski içerik	Yalnız açılan belge	Durağan (mevcut) dosyalar da
Test	Pilot politika	Simülasyon modu

İstemci tarafında “öner” davranışıyla başlayın: kullanıcı belgeye TCKN yazdığında Office bir ipucuyla “Gizli” etiketini önerir. Önerinin ne sıklıkla reddedildiği kuralın kalitesini gösterir; sürekli reddedilen öneri kötü yazılmış bir koşuldur. Hizmet tarafı politikaları önce simülasyon modunda çalıştırın. Hangi dosya ve iletilerin etiketleneceği raporlanır, örnekler tek tek incelenir, politika ondan sonra açılır. Hizmet tarafı etiketleme kullanıcının elle uyguladığı etiketi değiştirmez. Bu bilinçli bir tasarımdır.

Koşul yazarken tek eşleşmeyle etiket basmayın; güven düzeyi ve örnek sayısı eşiklerini kullanın. Tek bir 11 haneli sayı içeren sipariş listesi “Gizli” değildir. Onlarca doğrulanmış TCKN içeren personel dökümü “Gizli”dir. Hassas bilgi türleri ve özel desenler DLP politikalarıyla aynı mantıkla kurulur; ayrıntısı Purview DLP politika tasarımı rehberinde. Hangi dosya sunucusunda ne kadar hassas veri olduğunu önceden bilirseniz eşikleri tahminle değil ölçümle koyarsınız; bunun için dosya sunucularında hassas veri keşfi adımlarını izleyin.

Site ve grup etiketleri

Gruplar ve siteler kapsamındaki etiketler; Microsoft 365 grupları, Teams ekipleri ve SharePoint siteleri için kapsayıcı düzeyinde Microsoft 365 güvenliği ayarları taşır: gizlilik (genel veya özel), misafir üye eklenip eklenemeyeceği, sitenin dış paylaşım seviyesi ve yönetilmeyen cihazlardan erişimin sınırlanması. Bu etiketlerin portalda görünmesi için Entra ID dizin ayarlarında etiket desteğinin açılması ve etiketlerin senkronize edilmesi gerekir. Senkronizasyon yapılmadan etiket seçeneği gelmez; destek kaydının sık sebebi budur.

# Entra ID'de grup etiket desteği açıldıktan sonra
Connect-IPPSSession
Execute-AzureAdLabelSync

Site etiketi sitedeki dosyaları etiketlemez; yalnız kapsayıcının davranışını yönetir. Bunu kullanıcı eğitiminde açıkça söyleyin. Söylemezseniz herkes “Çok Gizli” etiketli Teams ekibindeki dosyaların da korunduğunu varsayar. Varsayım koruma değildir. Dış paylaşımın site düzeyinde nasıl daraltıldığı SharePoint ve OneDrive dış paylaşım güvenliği yazısında anlatılıyor.

Benimseme ve sık hatalar

Etiket projesi, kurumsal siber güvenlik işlerinin çoğu gibi, ayardan çok kullanıcının doğru etiketi seçmesine dayanır. Sahada tekrar tekrar karşılaştığımız sorunlar ve karşılıkları:

Sorun	Belirti	Çözüm
Fazla etiket	Rastgele seçim	4–5 ana etiket, sınırlı alt etiket
Belirsiz adlar	“Hassas” ile “Gizli” karışır	Etiket açıklamasına örnek içerik yaz
Erken şifreleme	Dış alıcı açamıyor	Önce işaretleme, sonra şifreleme
Yüksek varsayılan	Toplu etiket düşürme	Varsayılanı “Kurum İçi” tut
Ölçülmeyen kullanım	Etiketsiz içerik birikir	Etkinlik gezgini ile aylık takip

Geçişi aşamalı yapın. Önce şifrelemesiz etiketler ve işaretleme; ardından “Gizli / Belirli Kişiler” gibi kullanıcı kontrollü şifreleme; en son sabit izinli “Çok Gizli” etiketi ve hizmet tarafı otomatik etiketleme. Her aşamada Purview’daki etkinlik gezgini (Activity explorer) ile etiket uygulama, değiştirme ve düşürme olaylarını; içerik gezgini (Content explorer) ile etiketli içeriğin nerede durduğunu izleyin. Düşürme gerekçelerinde aynı cümle tekrar ediyorsa etiket tanımı iş akışıyla çelişiyordur. Kullanıcıyı değil, tanımı düzeltin.

Etiket şeması bilgi varlığı envanteriyle de örtüşmeli; varlık sahiplerinin ve sınıflandırma düzeylerinin nasıl kayda geçirileceği bilgi varlığı envanteri hazırlama rehberinde. Özelliklerin güncel listesi için Microsoft’un duyarlılık etiketleri dokümantasyonunu esas alın; portal davranışı sürümler arasında değişebiliyor.

Uygulama kontrol listesi

• Sınıflandırma politikası onaylı; etiket adları politikayla birebir aynı.
• Etiket sırası düşükten yükseğe; alt etiketler yalnız gereken yerde.
• SharePoint ve OneDrive etiket entegrasyonu açık; şifreli dosyada arama ve ortak yazma denendi.
• Süper kullanıcı ve kurtarma süreci yazılı.
• Pilot etiket politikası ayrı ve daha yüksek öncelikte.
• Hizmet tarafı politikalar simülasyonda incelendi, örnek dosyalar doğrulandı.
• Dış iş ortaklarıyla şifreli içerik paylaşımı en az iki farklı kuruluşla denendi.

Etiketlemeyi DLP ve dış paylaşım kontrolleriyle birlikte kurmak isteyen ekipler kapsamı veri kaybı önleme ve DLP hizmet sayfasında bulabilir.

Sık sorulan sorular

Duyarlılık etiketi için Microsoft 365 E5 lisansı şart mı?

Elle etiketleme ve etikete bağlı şifreleme daha geniş bir lisans yelpazesinde kullanılabilir. Otomatik etiketleme, hizmet tarafı politikalar ve bazı gelişmiş özellikler ise genellikle E5 veya E5 Compliance düzeyinde lisans ister. Kapsam zaman zaman değiştiği için Microsoft 365 güvenlik ve uyumluluk lisanslama kılavuzunu proje başında kontrol edin.

Şifreli etiket uygulanmış bir dosyayı dış iş ortağı açabilir mi?

Açabilir, ama kimliğini doğrulayabilmesi gerekir: Entra ID hesabı, Microsoft hesabı veya kiracınızda tanımlı misafir kimliği. Etikette yetkilendirilen kişi veya alan adı listesinde olmayan kullanıcı dosyayı açamaz. Dışarı giden içerik için alan adı bazlı izin vermek, tek tek kullanıcı eklemekten daha sürdürülebilirdir.

Site etiketi sitedeki dosyaları da etiketler mi?

Hayır. Gruplar ve siteler kapsamındaki etiket kapsayıcının gizlilik, dış paylaşım ve yönetilmeyen cihaz erişim ayarlarını yönetir; içindeki dosyalara etiket basmaz. Dosyalar için doküman kitaplığına varsayılan etiket atayın veya otomatik etiketleme politikası kullanın.

Kaç etiketle başlamak doğru olur?

Dört-beş ana etiket yeterlidir. Ayrım gerekiyorsa en hassas düzeylerde alt etiket kullanın; departman veya proje adına göre alt etiket çoğaltmak seçim hatasını artırır.