IBM'in 2025 Veri İhlali Maliyeti Raporu, ortalama ihlal maliyetini 4.44 milyon dolar olarak belirtiyor. Kişisel verileri içeren ihlaller, GDPR ve HIPAA kapsamında en büyük düzenleyici cezaları beraberinde getiriyor; bunun nedeni kişisel veri ihlallerinin teknik olarak düzeltilmesinin daha pahalı olması değil, düzenleyicilerin bunları farklı şekilde ele almasıdır. GDPR cezaları, küresel yıllık gelirin yüzde dördüne ulaşabilir. HIPAA sivil cezaları ise ihlal kategorisi başına yılda 1.9 milyon dolara kadar çıkabiliyor. Kişisel verilerin envanterinin eksik olduğu bir sistemin tek bir ihlalinden kaynaklanan kurumsal risk, veri mühendisliği sorunu değil; yönetim kurulu gündeminde yer alan düzenleyici ve finansal bir risktir.
Çoğu kuruluş, talep üzerine eksiksiz bir kişisel veri envanteri oluşturamaz. Varonis, IBM Guardium, BigID, Microsoft Purview, Strac gibi standart kişisel veri keşif araçları, yapılandırılmış veritabanlarını, bulut depolama alanlarını, SaaS platformlarını ve dosya paylaşımlarını taramada başarılıdır. Bağlanabildikleri her şeye bağlanırlar. Bağlanamadıkları şeyleri tarayamazlar. z/OS'taki VSAM dosyalarında JDBC bağlantı noktaları bulunmaz. Toplu işlem sırasında müşteri verilerini çalışma belleğinde tutan COBOL programları, verileri API'ler aracılığıyla açığa çıkarmaz. JCL veri kümesi tanımları bir veri kataloğuna kaydedilmez. ATM işlemlerinin %95'ini işleyen ve tahmini 3 trilyon dolarlık günlük ticareti yöneten ana bilgisayar katmanı, kurumsal veri varlıklarındaki en büyük, en yoğun kişisel veri içeren ve sistematik olarak en az taranan katmandır. Bulamadığınız şeyi koruyamazsınız ve çoğu kuruluş henüz her şeyi bulamamıştır.
Kataloğunuzun Ulaşamadığı Kişisel Bilgiler
SMART TS XL VSAM kaynağından COBOL programları aracılığıyla kişisel verilerin (PII) izini sürerek, bu verileri devralan her bir alt veri kümesine kadar ulaşır.
DAHA FAZLASINI ÖĞRENİN…Kişisel Bilgilerin Keşfinde Eski Katmanın En Zor Kısmı Olmasının Nedenleri
Kişisel verilerin (PII) keşfinde karşılaşılan standart zorluk, yüzlerce veritabanı ve dosya paylaşımına dağılmış isimler, adresler, sosyal güvenlik numaraları ve ödeme kartı verilerini bulmaktır; bu zorlu bir iştir ancak modern araçlarla üstesinden gelinebilir. Çoğu PII keşif aracının temelini oluşturan kalıp eşleştirme yaklaşımları, erişilebilir bağlantılara sahip yapılandırılmış verilerde iyi sonuç verir: sütunları tarayın, düzenli ifade kalıpları uygulayın, PII imzalarıyla eşleşen alanları işaretleyin, sınıflandırın ve envanter oluşturun.
Eski katman, kalıp eşleştirme yaklaşımını bozan dört özellik sunar:
Anlamsal bir sinyal içermeyen kısaltılmış alan adları. COBOL alan adları modern lehçelerde 30 karakterle sınırlıdır ve eski kodlarda genellikle 8 karakterlik kısaltılmış biçimde yazılırdı: CUST-NM, SSN-NO, ACCT-ADDR, BRTH-DTDesen eşleştirme özelliğine sahip bir tarayıcı, tanımlama işlemini gerçekleştirir. social_security_number or customer_name PII alan göstergelerinin sınıflandırma için hiçbir dayanağı olmadığı için SSN-NO or CUST-NM COBOL adlandırma kurallarını anlamadan. Kısaltma kuralı başlı başına bir meta veri sorunudur; alan kişisel tanımlayıcı bilgiler (PII) içerir, ancak adı modern adlandırma kurallarına göre tasarlanmış bir tarayıcıya bunu açıkça belirtmez.
Kompozit yapılara gömülü PII. COBOL kayıtları genellikle birden fazla veri öğesini tek bir alana paketler veya aynı baytlar üzerinde farklı yorumları üst üste bindirmek için REDEFINES kullanır. Bir müşteri kaydı alanı CUST-FULL-DATA gibi tanımlanmıştır PIC X(100) Bu alan, sabit konumlu alt alanlara sahip tek bir dize halinde birleştirilmiş ad, adres ve telefon numarası içerebilir; bu yapı, alan tanımını okuyan ancak alan tanımını oluşturan ve okuyan program mantığını anlamayan herhangi bir tarayıcı için tek bir opak metin alanı olarak görünür.
Çalışma belleği üzerinden aktarılan kişisel veriler (PII). COBOL toplu iş programları sıklıkla VSAM dosyalarından kişisel verileri okur, bunları çalışma belleği değişkenlerinde işler ve çıktıları veri kümelerine yazar. Kişisel veriler, yürütme sırasında bellekte, kalıcı bir veri deposunda değil, çalışma belleğinde bulunur ve program sona erdiğinde kaybolur. Kalıcı depolamayı tarayan bir veri keşif taraması, VSAM kaynağını ve çıktı veri kümesini bulur, ancak verilerin derlendiği, dönüştürüldüğü ve potansiyel olarak kaydedildiği işleme ara aşamasını bulamaz.
Kişisel veriler (PII), düz dosya arayüzleri aracılığıyla BT/OT sınırını geçiyor. Ana bilgisayar VSAM dosyalarından çıkarılan müşteri verileri, genellikle sütun meta verilerini içermeyen düz dosya arayüzleri, CSV özetleri, sabit uzunluktaki kayıt dosyaları ve konumsal format dosyaları aracılığıyla alt sistemlere aktarılıyor. Düz dosya, belirli bayt konumlarında kişisel veriler içeriyor, ancak dosyayı alan alt sistem tarayıcısının, kayıt düzenini tanımlayan COBOL FD girdisi de analiz edilmedikçe, konumları alan anlamlarına eşleyecek bir şeması bulunmuyor.
Bölünmüş Mülkiyet Alanında Kişisel Veri Envanteri Zorluğu
Hem eski ana bilgisayar sistemlerine hem de modern bulut platformlarına sahip bir işletme, temelde iki farklı keşif yaklaşımını kapsayan bir kişisel veri envanteri sorunuyla karşı karşıyadır. Modern katmana standart araçlarla erişilebilir. Eski katman ise farklı bir yöntem gerektirir. Uyumluluk gereksinimi, GDPR'nin silme hakkı, HIPAA'nın asgari gerekli standardı, PCI-DSS'nin kart sahibi veri kapsamı, CCPA'nın tüketici veri envanteri, her iki katman için de eşit derecede geçerlidir. Bir GDPR veri sahibi erişim talebi, yalnızca veri kataloğuna bağlanan sistemler değil, tüm sistemlerde belirli bir birey hakkında tutulan tüm kişisel verilerin envanterini gerektirir.
Ortak mülkiyet esasına dayalı kişisel veri envanterinin birlikte çalışması gereken üç bileşeni vardır:
Modern veri envanteri , bulut veritabanları, SaaS platformları, veri ambarları, API günlükleri ve dosya paylaşımları, standart kişisel tanımlayıcı bilgi (PII) keşif araçlarıyla ele alınabilir. Bu kategorideki araçlar, PII kalıplarını tarar, düzenlemelere göre sınıflandırır ve yapılandırılmış envanterler oluşturmak için veri kataloğu platformlarıyla entegre olur. IBM Guardium, politika odaklı sınıflandırma ile yapılandırılmış veritabanlarını ve ana bilgisayar veritabanlarını (DB2) kapsar. Microsoft Purview, Microsoft bulut hizmetlerini kapsar. BigID ve Varonis ise yapılandırılmamış veriler de dahil olmak üzere daha geniş ekosistemleri kapsar.
Eski veri envanteri , VSAM dosyaları, ana bilgisayar DB2 şemaları, COBOL programı WORKING-STORAGE, JCL veri kümesi tanımları, kişisel tanımlayıcı bilgilerin (PII) nerede tanımlandığını, saklandığını ve işlendiğini belirlemek için kaynak kod analizini gerektirir. Bu analiz, COBOL programlarını okuyarak, yalnızca yazdıkları veri depolarını değil, hangi verileri işlediklerini de anlamayı amaçlar.
Sınır ötesi veri akışı envanteri , kişisel verilerin eski sistemlerden modern platformlara, genellikle şema içermeyen düz dosya arayüzleri aracılığıyla nasıl aktarıldığını gösteren yolların izlenmesini gerektirir; bu da verilerin COBOL kaynak kodundan JCL iş akışlarına ve verilerin bağlanabilir sistemlere ulaştığı uç noktalara kadar izlenmesini gerektirir. Ana bilgisayardan her gece çıkan düz dosya, kayıt düzenini tanımlayan şema hedef veri kümesinin sütun tanımlarına bağlanana kadar kişisel veri etiketiyle işaretlenmez.
Eksiksiz kişisel veri envanteri oluşturan kuruluşlar, üç bileşenin tamamını ele alan kuruluşlardır. GDPR denetimlerinde veya HIPAA incelemelerinde başarısız olan kuruluşlar genellikle ilk bileşeni ele almış ve diğerlerinin de kapsandığını varsaymıştır.
COBOL'a Özgü Kişisel Tanımlayıcı Bilgi Kalıpları ve Bunları Bulma Yöntemleri
Desen 1: FD Kayıtlarında ve Defterlerde Doğrudan Kişisel Bilgilerin Yer Alması
En basit COBOL PII (Kişisel Tanımlayıcı Bilgi) kalıbı: Bir FD girdisinde veya COPY üyesinde adı, türü veya bağlamı açıkça PII'yi gösteren bir alan. Kısaltılmış adlandırma kurallarında bile, belirli kalıplar sürekli olarak mevcuttur:
COBOL
01 CUSTOMER-RECORD.
05 CUST-ID PIC 9(10).
05 CUST-LAST-NM PIC X(30). *> Last name -- PII
05 CUST-FIRST-NM PIC X(20). *> First name -- PII
05 CUST-DOB PIC 9(8). *> Date of birth -- PII
05 CUST-SSN PIC 9(9). *> Social Security -- PII (HIGH SENSITIVITY)
05 CUST-ADDR-1 PIC X(40). *> Address line 1 -- PII
05 CUST-ADDR-2 PIC X(40). *> Address line 2 -- PII
05 CUST-CITY PIC X(25). *> City -- PII
05 CUST-STATE PIC X(2).
05 CUST-ZIP PIC 9(5). *> ZIP code -- potentially PII
05 CUST-PHONE PIC 9(10). *> Phone number -- PII
05 CUST-EMAIL PIC X(60). *> Email -- PII
Statik analiz, ad kalıbı eşleştirmesi (içeren alanlar) kombinasyonu yoluyla kişisel tanımlayıcı bilgiler (PII) adayı alanları belirler. NM, NAME, SSN, DOB, ADDR, PHONE, EMAIL, BRTH, ACCT) ve tür analizi (kişisel veriler için uygun uzunlukta PIC X alanları, SSN veya telefon numaraları için uygun uzunlukta PIC 9 alanları). Çıktı, belirsiz durumlar için insan doğrulaması gerektiren aday bir PII alan envanteridir.
Desen 2: REDEFINES Yapılarında PII
REDEFINES, aynı fiziksel depolama alanının birden fazla yorumunu oluşturur. Temel tanımda genel veri depolama alanı olarak tanımlanan bir alan, REDEFINES varyantlarından birinde kişisel tanımlayıcı bilgiler (PII) içerebilir:
COBOL
05 ACCT-DETAIL PIC X(120).
05 ACCT-PERSONAL REDEFINES ACCT-DETAIL.
10 ACCT-HOLDER-NM PIC X(40). *> PII in REDEFINES variant
10 ACCT-HOLDER-DOB PIC 9(8). *> PII in REDEFINES variant
10 ACCT-TAX-ID PIC 9(11). *> PII (EIN or SSN) in REDEFINES
10 FILLER PIC X(57).
05 ACCT-BUSINESS REDEFINES ACCT-DETAIL.
10 ACCT-BUS-NAME PIC X(60). *> Business name -- not personal PII
10 ACCT-REG-NO PIC X(20).
10 FILLER PIC X(40).
Kişisel Bilgilerin kapsamı ACCT-DETAIL Bu durum, yalnızca temel alan tanımından belirlenemez. Hangi varyantın kişisel tanımlayıcı bilgiler (PII) içerdiğini ve hangi programların kişisel varyanta, hangilerinin ise iş varyantına eriştiğini belirlemek için REDEFINES yapısının analizini gerektirir. Yalnızca sütunu profilleyen bir tarayıcı ACCT_DETAIL Hedef veritabanında, sütun tanımından kişisel tanımlayıcı bilgilerin (PII) içeriğini belirlemenin bir yolu yoktur; PII, COBOL kaynak yapısında yer almaktadır.
Desen 3: PII, ÇALIŞMA-DEPOLAMA alanında bir araya getirilmiştir.
Çalışma belleğinde birden fazla kaynaktan kişisel verileri (PII) bir araya getirip daha sonra çıktıya yazan programlar, kalıcı dosya tanımlarında görünmeyen kişisel verilerin açığa çıkmasına neden olabilir:
COBOL
WORKING-STORAGE SECTION.
01 WS-REPORT-LINE.
05 WS-CUST-NAME PIC X(50).
05 FILLER PIC X(2) VALUE SPACES.
05 WS-CUST-SSN PIC X(11). *> Formatted SSN: XXX-XX-XXXX
05 FILLER PIC X(2) VALUE SPACES.
05 WS-CUST-BALANCE PIC ZZZ,ZZZ,ZZZ.99.
PROCEDURE DIVISION.
MOVE CUST-LAST-NM TO WS-CUST-NAME
STRING CUST-SSN(1:3) '-' CUST-SSN(4:2) '-' CUST-SSN(6:4)
DELIMITED SIZE INTO WS-CUST-SSN
WRITE REPORT-RECORD FROM WS-REPORT-LINE.
Bu program, çalışma belleğinde biçimlendirilmiş bir Sosyal Güvenlik Numarası (SSN) oluşturur ve bunu bir rapor dosyasına yazar. Kişisel tanımlayıcı bilgiler (PII) iki yerde bulunur: kaynak VSAM dosyası (dosyanın PII sınıflandırması kapsamındadır) ve rapor çıktı dosyası; bu dosya, onu yazan COBOL programı analiz edilmedikçe PII içerdiği şeklinde sınıflandırılmayabilir. WRITE REPORT-RECORD FROM WS-REPORT-LINE Bu ifade, müşteri SSN'sini rapor dosyasına bağlayan veri soy ağacı olayıdır ve yalnızca PROSEDÜR BÖLÜMÜ'nde görülebilir.
Desen 4: JCL Veri Kümesi Tanımlarında Kişisel Tanımlayıcı Bilgiler (PII)
JCL, programların okuyup yazacağı veri kümelerini tanımlar. Kişisel tanımlayıcı bilgiler (PII) içeren bir veri kümesine referans veren bir JCL DD ifadesi, kendi içinde veri içermese bile PII veri akışının bir parçasıdır:
JCL
//CUSTPROC JOB (ACCT-001),'CUSTOMER PROCESSING'
//STEP01 EXEC PGM=CUSTUPDT
//CUSTMSTR DD DSN=PROD.CUSTOMER.MASTER.FILE,DISP=SHR
//CUSTOUT DD DSN=BATCH.CUSTOMER.EXTRACT.FILE,
// DISP=(NEW,CATLG),
// SPACE=(CYL,(10,5))
//CUSTLOG DD SYSOUT=*Veri kümesi PROD.CUSTOMER.MASTER.FILE COBOL programı nedeniyle PII envanterinde yer almaktadır. CUSTUPDT Bu veri setinden okuma işlemleri yapılır ve müşteri kayıtları içerir. Veri seti BATCH.CUSTOMER.EXTRACT.FILE PII sınıflandırması gerektirir çünkü CUSTUPDT Müşteri verilerini buraya yazar. JCL, kaynak veri kümesini program aracılığıyla çıktı veri kümesine bağlayan veri soy ağacı kaydıdır; bu bağlantı, yalnızca JCL'nin çağırdığı programla birlikte analiz edilmesiyle görülebilir.
Mevzuat Eşleştirmesi: Her Çerçeve Ne Gerektiriyor ve Eski Veriler Nereye Uyum Sağlıyor?
Farklı düzenlemeler, kişisel verilerin keşfedilme kapsamına ilişkin farklı gereksinimler getirmektedir:
GDPR (AB ve AEA kişisel verileri), kuruluşların AB sakinlerinin kişisel verilerinin işlenmesine ilişkin tüm kayıtları (RoPA) tutmasını, verilerin nerede saklandığını, hangi amaçla, hangi yasal dayanağa göre ve hangi saklama süresiyle işlendiğini belgelemelerini gerektirir. Bir kuruluşun ana bilgisayarda AB müşteri verilerini işlediği GDPR uyumlu bir RoPA, bu verileri işleyen ana bilgisayar VSAM dosyalarının, COBOL programlarının ve JCL iş akışlarının RoPA'da yer almasını gerektirir. Silme hakkı, belirli bir bireyle ilgili tüm verileri tanımlama ve silme yeteneğini gerektirir; bu da, otuz yıldır üretimde olan ana bilgisayar veri kümeleri de dahil olmak üzere, o bireyin verilerinin göründüğü tüm yerleri bilmeyi gerektirir.
HIPAA (ABD Korunan Sağlık Bilgileri Yasası), kapsama giren kuruluşların ve iş ortaklarının, nerede bulunursa bulunsun, sağlık bilgilerini (PHI) korumasını gerektirir. Ana bilgisayar COBOL sisteminde sağlık bilgilerini, hasta kayıtlarını, talep verilerini, yetkilendirme kayıtlarını işleyen bir kuruluş, bu sistemi HIPAA risk değerlendirmesine ve ihlal bildirimi kapsamına dahil etmelidir. 2025 HIPAA Güvenlik Kuralı güncellemeleri, eski sistem güvenlik kontrollerine yönelik uygulama dikkatini artırmış ve eski sistemler için sağlık bilgisi envanterini önceki uygulama döngülerine göre daha yüksek bir öncelik haline getirmiştir.
PCI-DSS v4.0 (kart sahibi verileri), kart sahibi verilerini depolayan, işleyen veya ileten tüm sistemleri kapsayan tanımlı bir Kart Sahibi Veri Ortamı (CDE) gerektirir. Çoğu büyük banka ve perakendecinin işlem işleme mimarisini tanımlayan, ana bilgisayarda çalışan bir COBOL programı aracılığıyla ödeme kartı işlemlerini işleyen bir kuruluşun CDE'si içinde bir ana bilgisayar sistemi bulunur. Kapsam dahilindeki sistemleri kart sahibi verileri açısından tarama PCI-DSS gerekliliği, ana bilgisayar CDE bileşenleri için geçerlidir.
Finansal hizmetler için DORA (AB Dijital Operasyonel Direnç Yasası), kritik işlevlerde yer alan tüm sistemleri kapsayan ve özellikle üçüncü taraf ve eski sistem risklerine dikkat eden bir BT risk yönetimi gerektirmektedir. Bir finans kurumunun işlemleri işleyen ve müşteri verilerini tutan ana bilgisayar COBOL sistemleri, DORA'nın BT risk çerçevesinin kapsamındadır ve kritik işlevleri destekleyen tüm BT varlıklarının güncel bir envanterinin tutulmasını gerektirir.
Ortak nokta şu: düzenleyici kurumların kişisel verilerin envanterine ilişkin gerekliliklerinde "eski sistemler hariç" diye bir istisna bulunmuyor. Bulunması en zor olan veriler, bir sorun çıktığında düzenleyicilerin soracağı verilerdir.
Keşif-Maskeleme-Yönetişim İş Akışı
Kişisel verilerin tespiti, üç aşamalı uyumluluk iş akışının ilk adımıdır:
Keşif , eski ve modern tüm veri depolarında kişisel verilerin nerede bulunduğunu belirler. Çıktı, yapılandırılmış bir envanterdir: her veri deposu, her veri kümesi, belirli kişisel veri kategorilerini içerdiği sınıflandırılan her alan ve her bulguya uygulanan düzenleyici çerçeveler.
Kişisel verilerin korunması, üretim dışı ortamlarda (geliştirme, test, analiz) ve tam üretim verilerinin gerekli olmadığı ancak veri yapısı ve hacminin önemli olduğu durumlarda maskeleme yoluyla sağlanır. GDPR, üretim dışı ortamlarda kişisel verilerin anonimleştirme ve takma adlandırma gibi tekniklerle korunmasını zorunlu kılar. Ana bilgisayar VSAM dosyalarındaki kişisel verileri tanımlayan bir keşif programı, test ortamlarında gerçek müşteri verilerini sentetik eşdeğerleriyle değiştiren maskelemeyi mümkün kılar; ancak bu, yalnızca kişisel veri alanları, kayıt düzenlerini tanımlayan COBOL FD girişlerinde ve copybook'larda doğru şekilde tanımlanmışsa geçerlidir.
Yönetişim , zaman içinde kişisel verilerin envanterini korur; yeni kişisel veri içeren sistemlerin eklendiği, mevcut kişisel veri verilerinin taşındığı veya kullanımdan kaldırıldığı ve düzenleyici gerekliliklerin envantere alınması gerekenlerin kapsamını değiştirdiği zamanları takip eder. Eski sistemler için yönetişim, yalnızca veri depolarının periyodik olarak yeniden taranmasını değil, aynı zamanda yeni kişisel veri riskleri oluşturan kod değişikliklerinin, bir çıktı dosyasına yeni bir alan yazmak için değiştirilen bir COBOL programının, yeni bir veri kümesini içerecek şekilde değiştirilen bir JCL işinin veya mevcut bir kayıt düzenine kişisel veri alanı ekleyen bir copybook değişikliğinin izlenmesini de gerektirir.
2026 Kurumsal Veri Uyumluluğu Durumu araştırmasının bulgularına göre, kuruluşların yalnızca %2'si yapay zeka ortamlarının tamamen uyumlu olduğunu düşünüyor; bu durum eski sistemler için de geçerli: uyumluluk, standart araçların kapsadığı ve kapsamadığı noktalar arasındaki sınırda zayıflıyor. Çoğu kuruluş için bu sınır, tam olarak eski sistemin çevresi boyunca uzanıyor.
Ne kadar SMART TS XL Eski Sistemlerde Kişisel Bilgilerin Keşfini Destekler
SMART TS XLKişisel verilerin keşfindeki rolü, kaynak kod analizi katmanıdır; bu, standart kişisel veri keşif araçlarının eski ortamlarda çalışmalarını yapabilmesinden önceki adımdır ve bu araçların eski veri depolarını doğru şekilde sınıflandırmak için ihtiyaç duyduğu meta verileri üreten adımdır.
Statik kod analizi özelliği, ad kalıbı analizi, tür analizi ve bağlam analizi yoluyla kişisel veri içerebilecek potansiyel alanları belirlemek için her COBOL FD girdisini, COPY üyesini, SELECT yan tümcesini ve PROCEDURE DIVISION'ı analiz eder. Çıktı, ad, tür, uzunluk veya kullanım bağlamı kişisel veri içerdiğini düşündüren her alanı içeren, program, veri kümesi ve alana göre düzenlenmiş, alan düzeyinde bir kişisel veri adayı envanteridir; bu envanter, sonraki maskeleme ve sınıflandırma araçlarının gerektirdiği COBOL teknik meta verilerini (tür, uzunluk, hassasiyet) de içerir.
Uygulama bağımlılık eşlemesi, kişisel verilerin akış haritasını oluşturur: kişisel veriler içeren bir VSAM dosyasından okuyan her program, kaynaktan kişisel verileri devralan bir alt veri kümesine yazan her program, kişisel veriler içeren veri kümeleri oluşturan veya tüketen her JCL iş adımı. Bu soy ağacı haritası, sınır ötesi veri akışı envanteridir; kişisel verilerin ana bilgisayar kaynağından, onu nihayetinde modern sistemlere ulaştıran dönüştürme programları ve JCL iş akışları aracılığıyla nasıl hareket ettiğinin kaydıdır.
JCL genişletme özelliği, her bir kişisel veri içeren veri kümesinin tüm operasyonel bağlamını izler: hangi JCL işlerinin ona referans verdiğini, hangi sırayla, hangi işlem kodlarıyla ve işin ondan hangi alt veri kümelerini oluşturduğunu gösterir. GDPR silme hakkı talepleri için, bu operasyonel harita, ara çalışma dosyaları, sıralama çalışma veri kümeleri ve toplu işlem sırasında oluşturulan rapor dosyaları da dahil olmak üzere, belirli bir müşterinin verilerinin kaynak kaydının işlenmesi sonucunda yazılmış olabileceği her yeri tanımlar.
Kurumsal arama özelliği, veri sahibi erişim taleplerini ve düzenleyici denetimleri desteklemek amacıyla kişisel verilerin envanterini sorgulanabilir hale getirir: belirli bir alana erişen her programı, belirli bir anahtar değerine sahip kayıtlar içeren her veri kümesini, belirli bir veri kümesini işleyen her JCL işini bulun. Bu arama özelliği, kişisel verilerin envanterini statik bir belgeden canlı bir sorgu arayüzüne dönüştürür; bu araç, "bu kişinin verileri nerede?" sorusuna haftalar yerine saatler içinde cevap verir.
Faaliyet gösteren kuruluşlar için miras modernizasyonu programları SMART TS XLKişisel verilerin (PII) tespitine yönelik analiz, uyumluluk için bir ön koşuldur: PCI-DSS, HIPAA ve GDPR kapsamındaki uyumluluk, hassas verilerin orijinal ortamından ayrıldığı anda bu verileri de kapsar. Taşınan verilerle birlikte gelen PII, taşıma öncesinde envantere kaydedilmeli, taşıma sırasında korunmalı ve taşıma sonrasında yeniden doğrulanmalıdır. Sadece kod taşımıyorsunuz, risk de taşıyorsunuz.
Uyumluluk Kapsamı, Kişisel Verileri İçeren Her Şeyi İçerir
Kişisel verilerin korunmasını düzenleyen yasal çerçeveler olan GDPR, HIPAA, PCI-DSS, CCPA, DORA, evrensel bir kapsam göz önünde bulundurularak yazılmıştır. Bu düzenlemeler, verilerin bulunduğu her yerde, verilerin saklandığı sistemin yaşına, modern bir bağlantı aracına sahip olup olmamasına ve kuruluşun veri kataloğunun bu verilere erişim izni olup olmamasına bakılmaksızın geçerlidir.
Eski sistemlerdeki kişisel verilerin tespitindeki eksiklik, düzenleyicilerin mazeret olarak kabul ettiği teknik bir sınırlama değildir. Bu, denetim eylemlerinin uygun güvenlik önlemlerinin uygulanmaması olarak değerlendirdiği bir uyumluluk açığıdır; modern sistemler için geçerli olan aynı standart, doğru denetim için farklı tespit yöntemleri gerektiren sistemlere de uygulanır.
Bu açığı kapatmak, kurumsal veri altyapısının ana bilgisayar katmanının önemli miktarda kişisel tanımlayıcı bilgi (PII) içerdiğini, standart keşif araçlarının standart bağlantı yöntemleriyle bu verilere ulaşamadığını ve bu verileri yöneten COBOL programlarının ve JCL iş akışlarının kaynak kod analizinin eksiksiz bir envanter oluşturmanın yolu olduğunu kabul etmeyi gerektirir. Hem eski hem de modern katmanlarda eksiksiz keşif, teknik bir hedef değil, uyumluluk programlarının değerlendirildiği temel ölçüttür.
