Maskeli Balo: Pseudonymization (Takma Adlandırma) ve Veriyi Kör Etme Sanatı
Nisan 6, 2026
KVKK,Siber Savunma,Veri Güvenliği
Veri mahremiyeti dünyasında “Anonimleştirme” (Anonymization) ile “Takma Adlandırma” (Pseudonymization) genellikle birbirine karıştırılır, oysa hukuki ve teknik olarak aralarında devasa bir uçurum vardır.
Bunu bir maskeli balo metaforuyla açıklayalım:
- Anonimleştirme: Bir kişinin yüzünü estetik ameliyatla tamamen ve geri döndürülemez şekilde değiştirmektir. O kişi ameliyattan sonra kendi annesi tarafından bile tanınamaz. İnternetteki bir veri anonimleştirildiğinde, dünyanın en iyi hacker’ı veya en güçlü süper bilgisayarı gelse bile o verinin kime ait olduğunu artık bulamaz. Veri, “Kişisel Veri” olmaktan çıkar.
- Takma Adlandırma (Pseudonymization): Kişinin yüzüne şık bir balo maskesi takmaktır. Salondaki diğer davetliler (veya veritabanına sızan bir hacker) onun kim olduğunu bilemez. Ancak o maskenin ipini çözecek doğru anahtara (Key) sahip olan kişi, maskeyi çıkardığında altındaki gerçek yüzü (gerçek veriyi) tekrar görebilir. Veri maskelenmiştir ama hala “Kişisel Veri” statüsündedir.
Takma Adlandırma Nasıl Yapılır? (Teknik Kalkanlar)
Bir veriye maske takmanın birden fazla teknolojik yolu vardır. En sık kullanılan yöntemler şunlardır:
1. Tokenizasyon (Jetonlaştırma)
Daha önce bulut güvenlik mimarisini (Proxy) konuşurken değindiğimiz bu yöntem, takma adlandırmanın zirvesidir. Gerçek veri (Örn: Ahmet Yılmaz), tamamen rastgele üretilmiş ve anlamsız bir jetonla (Örn: X9B2-P1L4) değiştirilir. Jetonun içinde Ahmet’e dair matematiksel hiçbir ipucu yoktur. Gerçek veri ile jeton arasındaki eşleşme, bambaşka bir sunucudaki devasa bir “Eşleşme Tablosunda” (Kasa) tutulur. Hacker jetonu çalsa bile kasaya giremezse hiçbir şey elde edemez.
2. Kriptografik Şifreleme ve Görevler Ayrılığı (Separation of Duties)
Veri, güçlü bir şifreleme algoritması (AES-256 gibi) ile şifrelenir. “Ahmet Yılmaz” metni, d8e8fca2dc0f896fd7cb4cb0031ba249 gibi bir değere dönüşür. Ancak burada takma adlandırmayı başarılı kılan şey şifrenin kendisi değil, Görevler Ayrılığı (Separation of Duties) ilkesidir. Veritabanı yöneticisi (DBA) sadece şifreli veriyi (maskeyi) görür. O veriyi çözecek olan Kriptografik Anahtar (Key) ise bambaşka bir departmanda (örneğin Güvenlik Departmanında veya bir HSM cihazında) tutulur. İki departman bir araya gelmeden (veya sistem otomatik yetki vermeden) veri okunamaz.
3. Dinamik Veri Maskeleme (Dynamic Data Masking)
Veritabanında orijinal veri tüm çıplaklığıyla durur, ancak kullanıcı ekrana baktığında sistem o veriyi “anlık olarak” maskeler. Örneğin, bir çağrı merkezi çalışanı sistemden sizin profilinizi açtığında, kredi kartı numaranızı **** **** **** 1234 olarak, telefonunuzu +90 532 *** ** 45 olarak görür. Veri yerinde duruyordur, ancak yetkisi olmayan göze “Takma Adlı” bir formda yansıtılır.
Neden Bu Kadar Önemli? (KVKK ve İhlal Senaryosu)
KVKK veya GDPR’a göre takma adlı veri, maskesi çıkarılabildiği için hala kişisel veridir ve korunması gerekir. “Madem hala kişisel veri, neden bu kadar uğraşıyoruz?” diyebilirsiniz. Cevap, Risk Azaltma ve Hasar Kontrolü‘dür (Blast Radius).
Bir hastanenin veritabanının hacklendiğini düşünün:
- Senaryo A (Korumasız): Hacker veritabanını indirir. İçinde Ahmet Yılmaz – HIV Pozitif Hacker bunu internette yayınlar. Hasta mahvolur, hastane KVKK Kurulundan devasa bir ceza yer, itibarı sıfırlanır.
- Senaryo B (Pseudonymized): Hacker veritabanını indirir. İçinde Hasta_ID_99412 – HIV Pozitif Hacker kimin hasta olduğunu bilemez, çünkü Hasta_ID_99412’nin Ahmet Yılmaz olduğunu gösteren “Anahtar Tablosu”, ağın bambaşka, dışarıya tamamen kapalı ve hacklenmemiş bir odasında durmaktadır.
KVKK Kurulu bu iki senaryoyu incelerken, Senaryo B’deki hastaneye “Siz Madde 12’deki veri güvenliği yükümlülüklerinizi (teknik tedbirleri) yerine getirmişsiniz, veriyi hırsız için anlamsız kılmışsınız” der ve cezayı ya tamamen iptal eder ya da minimuma indirir. Takma adlandırma, hırsızın evden çaldığı kasanın içinden sadece “lunapark jetonları” çıkmasını sağlayan kusursuz bir illüzyondur.
Sonuç
Dijital dünyada veriden değer üretmek ile o veriyi korumak arasındaki savaşın tam ortasında Pseudonymization (Takma Adlandırma) durur. Veriyi tamamen yok edip (anonimleştirip) şirketi kör etmez; ancak veriyi çıplak bırakıp hackerları da sevindirmez. Veriye, sadece doğru zamanda ve doğru kişinin (anahtar sahibinin) çıkarabileceği dijital bir maske takar. Modern bir kurumun siber güvenlik duruşu, topladığı verilerin ne kadarını şeffaf bir fanusta, ne kadarını ise bu maskelerin ardında tutabildiğiyle doğrudan ölçülür.
Tags :
#GDPR,#KVKK,#Pseudonymization,#SiberSavunma,#Tokenizasyon,#VeriMahremiyeti,#VeriMaskeleme
Share This :