10.1 Sınıflandırma kuralları

Policy → Rules → Classification Rules içerik kurallarını barındırır. Bir kural, bir belgenin veya e-postanın metnine bakar ve koşulları sağlandığında tek bir eylem gerçekleştirir:

Kapsamdaki her etkin kural her seferinde değerlendirilir; sınıflandırma kurallarında kural sırası ve “ilk eşleşen kazanır” ilkesi yoktur (bkz. Motor nasıl karar verir).

Kural listesi

Adın yanındaki rozetler

Delete şunu sorar: “Are you sure you want to delete the rule”…“? To disable it instead, turn off the Enabled switch rather than using Delete.” Devre dışı bırakmak kuralı (ve raporlardaki geçmişini) korur; bir kuralı geçici olarak kapatmanın daha güvenli yoludur.

Kural ekleme: boş veya şablondan

+ Add Default rule (veya + Add rule to Group), Add a rule yan panelini açar (“Start blank or from a template”).

• Blank rule — “Start from scratch with one empty condition.” Yeni kuralın adı New Rule’dur; eylemi Recommend, eşleşme All conditions (AND), bir boş desen koşulu vardır ve Labels listenizdeki ilk etiket önceden seçilidir.
• Şablon kartları — her biri bir kategori, ad, açıklama ve 2 conditions · all (AND) · enforce gibi bir özet satırı gösterir. Şablon; koşulları, eşleşme kipini ve önerilen bir eylemi doldurur ve Label alanını bilerek boş bırakır: kaydedebilmek için bir etiket seçilmelidir.

Her iki durumda da Scope’ta bir grup seçiliyken oluşturulan kural o gruba atanır.

25 yerleşik şablon, KVKK kapsamında Türk kişisel verilerini işleyen kurumlar için yazılmıştır; uluslararası kümeler de vardır. Adları ve anahtar sözcükleri bu sürümde Türkçe görünür. Kategoriye göre:

Adım adım kural oluşturma

1. Policy → Rules → Classification Rules’a gidin. Herkesin alacağı bir kural için Scope’u Default olarak, gruba özel bir kural için bir grup olarak ayarlayın.
2. + Add Default rule’a (veya + Add rule to Group) tıklayın ve Blank rule ya da bir şablon seçin.
3. Yan panelde benzersiz bir Policy name girin.
4. Action seçin. Recommend veya Enforce için Label’ı ve etiketin alt hassasiyetleri varsa isteğe bağlı olarak bir Sub-sensitivity seçin. Warn için Warning message yazın.
5. Match (All / Any) ayarlayın ve koşulları oluşturun: + Pattern condition, + Keyword condition, + AI document type. Her biri için Min. count ve Counting ayarlayın.
6. İsteğe bağlı: Exceptions, Recipient exceptions (Outlook) ekleyin, Modules’ü kısıtlayın ve Group targeting’i (gruplar ve hariç tutulan gruplar) ayarlayın.
7. Yan panelin alt bilgisindeki Save’e tıklayın. Save devre dışıysa alt bilgi nedenini belirtir (ör. “Select a label (data class) to enable Save.”).
8. Sayfanın altındaki Test a rule alanına örnek metin yapıştırın ve Run Test’e tıklayın.
9. Üst çubuktaki Publish & Sign’a tıklayın.

Kural yan paneli

Yan panelin başlığı kural adıdır (veya New rule), alt başlığı “Edit classification rule”. Alanlar yerel bir kopyada düzenlenir; Save’e basılana kadar taslakta hiçbir şey değişmez. Yan paneli kapatmak düzenlemeleri atar.

Genel ayarlar

Eylemlerin ayrıntısı

Recommend bir öneri üretir. Önerinin görüldüğü yerler:

• sınıflandırıcı penceresi (kaydetme, gönderme, şeritteki Classify, sağ tık Classify), önerilen en yüksek etiket önceden seçili olarak açılır; ayarlanmışsa kuralın alt hassasiyetiyle birlikte;
• arka plandaki dosya izleyici, dosyayı kullanıcının files waiting (bekleyen dosyalar) listesine ekler ve (canlı değişikliklerde) bir bildirim gösterir — önerilen bir etiketi asla dosyaya yazmaz;
• Ada web paneli etiketi önceden seçer.

Enforce, “bu içerik bu etiketi gerektirir” anlamına gelir. Tam etkisi içeriğin bulunduğu yere bağlıdır (bkz. Kuralların nerede ve ne zaman çalıştığı): dosya izleyici sessizce etiketler veya etiketi yükseltir; klasik Outlook sessizce etiketler, yükseltir veya engeller; Office’te kaydetme, gerekli etiketin altındaki bir kaydı engeller.

Mask (***) bağımsız ve geri alınamaz bir içerik değişikliğidir:

• Eşleşen her değerin her geçtiği yer, aynı sayıda * karakteriyle değiştirilir (100 geçiş → 100 değiştirme). Counting yalnızca kuralın tetiklenip tetiklenmediğini (Min. count) etkiler, neyin maskelendiğini asla etkilemez.
• Match: Any ile yalnızca sağlanan koşullar maskelenir; All ile tüm koşulların eşleşmeleri maskelenir.
• İstisnalar uygulanır. Outlook’ta alıcı istisnaları uygulanır (her alıcı istisna kapsamındaysa maskeleme yapılmaz).
• Etiket uygulanmaz ve maskeleme kuralları etiket seçimine hiçbir zaman katılmaz.
• Maskeleme kuralları YZ koşulu içeremez (“A masking rule cannot use an AI condition.”) — YZ metin parçalarını değil, belge türlerini bulur.
• Masaüstü Office (Windows) ve klasik Outlook, kural başına sayı ve bir önizleme içeren Masking Will Be Applied onayını gösterir: “If you continue, the items below will be PERMANENTLY replaced with ***. This action cannot be undone.” Düğmeler: Mask and Continue / iptal. İptal, kaydetmeyi veya göndermeyi durdurur.
• Outlook on the web, yeni Outlook ve Outlook for Mac gönderimde (Send) otomatik maskeler (orada onay mümkün değildir) ve gönderim devam eder.
• Arka plandaki dosya izleyici maskeleme için dosyaları asla düzenlemez. Masking pending (user warned) kaydını yazar, dosyayı kullanıcının maskeleme listesine ekler ve canlı değişikliklerde bildirim gösterir; kullanıcı dosyayı Office’te açıp kaydederek onaylı maskelemeyi uygular.

Warn (user continues) yazdığınız bir mesajı gösterir. Hiçbir zaman etiket uygulamaz ve aynı içerikte Recommend, Enforce ve Mask kurallarıyla serbestçe birleşir.

Birden çok Warn kuralı aynı anda eşleştiğinde kullanıcı tek bir pencere görür: mesajlar art arda, en katı kip (Confirm, Notify’a üstündür) ve en katı gerekçe (Required > Optional > Off).

Warn’ın göründüğü yerler:

Koşullar

Desen (regex) koşulu

Anahtar sözcük koşulu

Virgülle ayrılmış liste alanları. Anahtar sözcükler, destekleyici anahtar sözcükler, alıcı istisnaları ve posta kuralı alan adlarının hepsi aynı girdiyi kullanır: girdiler virgülle ayrılarak yazılır; alan odaktayken tam olarak yazılan görünür, alandan çıkıldığında liste normalleştirilmiş olarak (a, b, c) gösterilir. Boş girdiler atılır. Alan adı ve adres listeleri ayrıca kırpılır, küçük harfe çevrilir ve baştaki @ kaldırılır.

Yerleşik doğrulayıcılar

Bir deseni güvenilir bir veri türüne dönüştüren doğrulayıcılardır: regex adayları bulur, doğrulayıcı ise yalnızca görünüşte doğru olan numaraları eler.

Şablonların sağladığı desenler. Şablonların kullandığı ifadeler bunlardır; kendi kurallarınıza kopyalayabilirsiniz.

National ID (use with TCKN checksum)   \b[1-9][0-9]{10}\b
Payment card (use with Luhn)           \b(?:[0-9]{13,19}|[0-9]{4}[ -][0-9]{4}[ -][0-9]{4}[ -][0-9]{1,7}|[0-9]{4}[ -][0-9]{6}[ -][0-9]{4,5})\b
IBAN, no spaces (use with IBAN mod-97) \b[A-Z]{2}[0-9]{2}[A-Z0-9]{11,30}\b
E-mail address                         [\w.+-]+@[\w-]+\.[\w.-]+
IPv4 address                           \b(?:[0-9]{1,3}\.){3}[0-9]{1,3}\b
Turkish mobile number                  \b(?:\+90|0)?5[0-9]{9}\b
Passport number (letter + 8 digits)    \b[A-Z][0-9]{8}\b
AWS access key                         \bAKIA[0-9A-Z]{16}\b
Private key block                      -----BEGIN (?:RSA |EC |OPENSSH |PGP )?PRIVATE KEY-----
10-digit tax number (no checksum)      \b[0-9]{10}\b

Ödeme kartı ifadesi yalnızca gerçek kart gruplamalarını (bitişik 13–19 hane, 4-4-4-4, 4-6-5, 4-6-4) ayırıcı olarak boşluk veya tireyle kabul eder. Her haneden sonra ayırıcıya izin veren daha gevşek desenler, elektronik tablolardaki ve PDF’lerdeki ilgisiz sayıları birleştirerek Luhn denetiminden tesadüfen geçen “kart numaraları” üretir.

Kendi desenlerinizi yazma

• Aynı ifade hem konsolda ve web eklentilerinde (JavaScript) hem de Windows/macOS ajanlarında (.NET) çalışır. Her ikisinin de anladığı sözdizimini kullanın. (?i) gibi satır içi bayraklar konsolun denetiminde reddedilir; bunun yerine karakter sınıfları ([Cc]onfidential) veya bir anahtar sözcük koşulu kullanın.
• \b sözcük sınırlarını ve açık uzunlukları tercih edin; sınırsız .* kullanmaktan kaçının.
• Ajanlar tek bir regex değerlendirmesini 2 saniye sonra durdurur ve bir belgenin metninin en fazla ilk 2.000.000 karakterini çözümler.
• Bir istemcide derlenemeyen desen atlanır; diğer kuralları hiçbir zaman durdurmaz.
• Dörtlü bloklar hâlinde yazılmış IBAN’lar için örnek (kullanmadan önce Test a rule ile doğrulayın): IBAN mod-97 ile birlikte \b[A-Z]{2}[0-9]{2}(?: ?[A-Z0-9]{4}){2,7}(?: ?[A-Z0-9]{1,3})?\b.

YZ belge türü koşulları

Bir AI document type koşulu, şirket içinde çalışan model belgenin belirli bir türde (bordro, özgeçmiş, tıbbi kayıt, …) olduğundan en az eşik kadar emin olduğunda sağlanır. Anahtar sözcük içermez. Belge türleri, eğitim ve ölçülen doğruluk Bölüm 11 (Policy → AI Classification)’de anlatılır; bu kısım yalnızca kural alanlarını listeler.

• YZ koşulları Windows ve macOS ajanları tarafından (dosya izleme; Windows’ta ayrıca Office kaydetme/gönderme ve sağ tık Classify) ve yalnızca YZ modülü açıkken değerlendirilir (Policy → Rules → Agent Rules → Modules, varsayılan olarak kapalı). Web eklentileri ve konsolun Test a rule aracı bir YZ koşulunu hiçbir zaman sağlamaz.
• Seçilen eşikteki ölçülmüş kesinliği %95’in altında olan, hiç ölçülmemiş veya Document or a part kullanan bir YZ kuralında Enforce ayarlanırsa yan panel, nedeniyle birlikte Enforcing with low measured accuracy. ve “Run it in test mode first, or raise the threshold.” gösterir. Bu bir uyarıdır; Save yine de kullanılabilir.
• YZ kuralı oluşturmanın en hızlı yolu, bu yan paneli önceden doldurulmuş olarak açan Policy → AI Classification sayfasıdır.

Destekleyici anahtar sözcükler

İstisnalar (hariç tutma)

İstisnalar, kuralı bastıran koşullardır. İstisnalardan herhangi biri sağlanırsa kural bulgu, uyarı veya maskeleme üretmez — bir DLP politikasındaki istisna gibi. Koşullarla aynı alanları kullanır ve + Exception pattern, + Exception keyword ve + Exception AI type ile eklenir. İstisnalar isteğe bağlıdır.

Tipik kullanımlar: bir test verisi işareti (TEST DATA – NOT REAL), herkese açık bir şablon veya kurumun kendi yayımladığı IBAN.

Alıcı istisnaları (Outlook)

Eşleştirme kuralları:

• Her alıcı kapsamda olmalıdır. Tek bir dış alıcı kuralın çalışmasına yeter; bu nedenle Bcc’ye güvenilir bir adres eklemek zorlamayı kapatamaz.
• Eşleştirme birebirdir: contoso.com, sub.contoso.com veya contoso.com.tr adreslerini kapsamaz; tam adres yalnızca o kişiyi kapsar.
• Herhangi bir alıcı adresi SMTP adresine çözümlenemezse hiçbir istisna uygulanmaz.
• Tüm eylemlere uygulanır: Recommend, Enforce, Mask ve Warn. Klasik Outlook’ta e-posta iletilerine uygulanır; toplantı istekleri bu istisna olmadan değerlendirilir.

Modüller

Modules, kuralın nerede değerlendirileceğini kısıtlar. Hiçbiri işaretli değilse kural tüm modüllerde çalışır (“Runs in ALL modules. Tick one or more to restrict where this rule is evaluated.”). İşaretliyse: “Runs only in the ticked modules (n of 11).”

Grup hedefleme

Grup kuralları, bir grubun aldığı Default kurallara eklenir; onların yerini almaz. Bir Default kuralı tek bir grupta durdurmak için o grubu hariç tutun.

Kaydetme: yan paneli ve yayını neler engeller

Motor nasıl karar verir

Aynı motor konsol test aracında, web eklentilerinde ve Windows/macOS ajanlarında çalışır. Her içerik parçası için:

1. Devre dışı kurallar, etiketi devre dışı olan kurallar, Mask kuralları (ayrıca işlenir) ve Modules listesi çağıran modülü içermeyen kurallar atlanır.
2. İstisnalar — herhangi bir istisna sağlanırsa kural atlanır.
3. Koşullar — her koşul eşleşmelerini sayar (doğrulayıcılar ve sayım kipi uygulandıktan sonra) ve sayı Min. count’a ulaştığında sağlanır; YZ koşulları model olasılığını eşikle karşılaştırır. Match bunları birleştirir (All / Any).
4. Eşleşen bir kural bir bulgu (Recommend/Enforce), bir uyarı (Warn) veya test kipinde bir test kipi eşleşmesi (yalnızca denetim) üretir.
5. Yalnızca Outlook: alıcı istisnaları her alıcıyı kapsayan kuralların bulguları ve uyarıları atılır.
6. Önerilen etiket = tüm Recommend ve Enforce bulguları arasındaki en yüksek etiket. “En yüksek”, etiketin Labels merdivenindeki konumudur (Labels listesinin en altı en yüksektir). Kuralların liste sırasının hiçbir etkisi yoktur.
7. Önerilen alt hassasiyet = aynı etiketi öneren en yüksek güvenli bulgunun alt hassasiyeti (bir tane belirtiyorsa).
8. Gerekli etiket = yalnızca Enforce bulguları arasındaki en yüksek etiket. Recommend bulguları kullanıcıyı hiçbir zaman kısıtlamaz.
9. Mask kuralları aynı istisna/koşul/modül mantığıyla ayrıca değerlendirilir ve değiştirilecek değerlerin listesini üretir.

Güven. Her bulgu 0 ile 100 arasında bir güven değeri taşır; bu değer Test a rule aracında, sınıflandırıcıda ve denetim kaydında gösterilir. 50’den başlar; sağlanan bir desen koşulunda doğrulayıcı varsa 75’ten; bir anahtar sözcük koşulu sağlandığında +15; kuralın 3 veya daha fazla eşleşmesi olduğunda +5; üst sınır 100. YZ koşullarında model olasılığı (×100) daha yüksekse o kullanılır. Güven, alt hassasiyetler arasında seçim yapar (7. adım); hangi etiketin kazanacağını değiştirmez.

Enforce iki şiddette uygulanır. Outlook’ta (klasik ve web) gönderimde gerekli etiket birebir sabitlenir: daha düşük bir etiket yükseltilir (klasik) veya engellenir (web); eşit veya daha yüksek dereceli farklı bir etiket ise “Sensitive data detected in the content requires exactly the”…” label.” mesajıyla engellenir. Diğer her yerde (Office kaydetme, sağ tık Classify, web paneli, dosya izleyici) Enforce bir tabandır: kullanıcı o etiketi veya daha yüksek herhangi birini seçebilir; dosya izleyici de yalnızca yükseltir, hiçbir zaman düşürmez.

Kuralların nerede ve ne zaman çalıştığı

YZ koşulları yalnızca ajanlarda (dosya izleme; Windows’ta ayrıca Office kaydetme/gönderme ve sağ tık Classify) ve yalnızca YZ modülü açıkken sağlanır.

Kuralı test etme

Classification Rules sayfasının altındaki Test a rule kartı, istemcilerin motorunu yayımlanmamış kurallar dahil taslağa karşı çalıştırır. Metin tarayıcınızda kalır; sunucuya hiçbir şey gönderilmez.

1. Kutuya örnek metin yapıştırın veya yazın (yer tutucu: “E.g. Employee national ID (TCKN) 12345678950, IBAN TR33 0006 1005 1978 6457 8413 26…”).
2. Run Test’e tıklayın (metin girildiğinde etkinleşir).
3. Sonucu okuyun:
   • yeşil kutu: “n rules matched:”, kural başına bir satır — IBAN × 3 — confidence 80%, Enforce kuralları için (enforced); Warn kuralları … — warning (confirm, justification optional): “message” biçiminde; ve Recommended label: …;
   • kırmızı kutu: “No findings — no rule matched this text.”

Test aracının yapmadıkları:

Uygulamalı örnekler

Örnek 1 — Ödeme kartı numaraları → Confidential, zorla

1. + Add Default rule → Blank rule. Ad: Payment card numbers.
2. Action Enforce, Label Confidential.
3. Match All conditions (AND). Desen koşulu: yukarıdaki ödeme kartı ifadesi, Validator Luhn, Min. count 1, Counting Unique matches.
4. Yanlış pozitifleri azaltmak için isteğe bağlı ikinci koşul: Keyword card, visa, mastercard, cvv, expiry — Match All ile numaranın kart bağlamıyla birlikte geçmesi gerekir.
5. Kaydedin, 4111 1111 1111 1111 ile test edin, yayımlayın.

Etkisi: geçerli bir kart numarasıyla kaydedilen dosya, dosya izleyici tarafından Confidential olarak etiketlenir (veya bu etikete yükseltilir); kaydetmede etiket zorunluysa Word dosyayı Internal veya Public olarak kaydetmeyi reddeder; kart numarası içeren bir Outlook e-postası gönderimde Confidential olarak etiketlenir.

Örnek 2 — IBAN sayısı ≥ 5 → Strictly Confidential

Bir faturada tek bir IBAN olağandır; IBAN listesi ise bir müşteri veya bordro dosyasıdır.

1. Yeni kural IBAN list, Action Enforce, Label Strictly Confidential.
2. IBAN ifadesiyle desen koşulu, Validator IBAN mod-97, Min. count 5, Counting Unique matches (beş kez tekrarlanan aynı IBAN bir kez sayılır).
3. İsteğe bağlı: Min. count 1, Action Recommend, Label Confidential olan ikinci bir IBAN kuralı.

İki kuralla birlikte üç IBAN içeren bir belgeye Confidential önerilir; beş farklı IBAN içeren bir belge Strictly Confidential gerektirir — yüksek etiket kazanır.

Örnek 3 — İK dosyası: anahtar sözcük VE geçerli T.C. kimlik numarası

Match All: Keyword payroll, employment contract, personnel file + TCKN checksum ile T.C. kimlik numarası deseni. Action Enforce, Label Confidential, Sub-sensitivity Personal data (tanımlıysa). Eğitim materyali için SAMPLE – NOT REAL istisna anahtar sözcüğünü ekleyin.

Örnek 4 — Kişisel veri dışarı çıkmadan önce uyar

Action Warn, mesaj “This content looks like it contains personal data. Make sure the recipient is authorised before you continue.”, Mode Confirm, Justification Required. Koşullar: T.C. kimlik numarası (TCKN checksum), IBAN (IBAN mod-97) — herhangi biri (Any). Alıcı istisnaları: contoso.com, contoso.com.tr. Kurum içi posta kesintiye uğramaz; herhangi bir dış alıcı uyarıyı tetikler ve gerekçe denetim kaydına yazılır.

Örnek 5 — Kart numaralarını yalnızca e-postada maskele

Action Mask (***), Luhn ile ödeme kartı deseni, Modules: Outlook ve Web add-in · Outlook. Klasik Outlook Mask and Continue sorar; Outlook on the web otomatik maskeler. Belgelere dokunulmaz.

Sınıflandırma kurallarının yazdığı denetim olayları