KVKK Kapsamında Alınması Gereken Teknik Tedbirler: Kontrol Listesi

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 12. maddesi, veri sorumlularına kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak için "uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri" alma yükümlülüğü getirir. Kanun bu tedbirleri tek tek saymaz; ancak Kişisel Verileri Koruma Kurulu'nun yayımladığı Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) uygulamada temel çerçeveyi oluşturur.

Aşağıdaki kontrol listesi, bu rehberdeki teknik tedbirleri BT ekiplerinin günlük diliyle ve somut sorularla ele alıyor.

1. Veri envanteri: neyi koruduğunuzu bilin

Tüm tedbirlerin başlangıç noktası, hangi kişisel verinin hangi sistemde, kim tarafından ve ne amaçla işlendiğini bilmektir. İdari tarafta hazırlanan kişisel veri envanteri, BT'nin sistem envanteriyle eşleşmelidir.

• Kişisel veri barındıran tüm sunucu, veritabanı, dosya paylaşımı ve bulut hizmetlerinin listesi var mı?
• Bu listede "gölge BT" (kişisel Dropbox, WhatsApp grupları, USB bellekler) dikkate alındı mı?
• Özel nitelikli kişisel veriler (sağlık, biyometrik vb.) ayrı işaretlendi mi?

2. Erişim yetkilendirmesi ve kullanıcı hesapları

• Yetki matrisi: Hangi rolün hangi veriye erişebileceği yazılı ve güncel mi?
• En az yetki: Kullanıcılar yalnızca işleri için gereken verilere mi erişiyor? Herkese açık "Ortak" klasörleri gözden geçirin.
• İşten ayrılma süreci: Ayrılan çalışanın hesapları aynı gün kapatılıyor mu? İnsan kaynakları ile BT arasında bir bildirim akışı var mı?
• Çok faktörlü doğrulama (MFA): Uzaktan erişim, e-posta ve yönetici hesaplarında zorunlu mu?
• Parola politikası: Ortak kullanılan hesaplar ve varsayılan parolalar kaldırıldı mı?
• Periyodik gözden geçirme: Yetkiler yılda en az bir kez gözden geçiriliyor mu?

3. Log kayıtları ve izleme

Bir ihlal yaşandığında "kim, neye, ne zaman erişti?" sorusuna cevap verebilmek, hem ihlalin boyutunu belirlemek hem de Kurul'a bildirim yapmak için kritiktir.

• Kişisel veri barındıran sistemlerde erişim ve işlem logları tutuluyor mu?
• Loglar, kayıtları tutulan sistemin yöneticisinin değiştiremeyeceği merkezi bir yerde toplanıyor mu?
• Loglar düzenli olarak inceleniyor mu, yoksa sadece saklanıyor mu? Olağan dışı erişimler için alarm tanımlı mı?
• Saat senkronizasyonu (NTP) tüm sistemlerde yapılandırılmış mı? Zaman damgaları tutarsızsa loglar delil değerini yitirir.

4. Ağ ve uygulama güvenliği

• Güvenlik duvarı kuralları gözden geçirilmiş, gereksiz "any-any" kurallar kaldırılmış mı?
• Kişisel veri barındıran sunucular kullanıcı ağından ayrı bir segmentte mi?
• İnternete açık uygulamalar düzenli olarak zafiyet taramasından geçiyor mu?
• Uç noktalarda güncel bir koruma yazılımı (antivirüs/EDR) var ve merkezi olarak izleniyor mu?
• İşletim sistemi ve uygulama güncellemeleri planlı olarak uygulanıyor mu?

5. Şifreleme

• Dizüstü bilgisayarlarda disk şifreleme (BitLocker, FileVault) etkin mi? Kayıp veya çalıntı bir dizüstü bilgisayar en sık görülen veri ihlali senaryolarından biridir.
• Veriler ağ üzerinden aktarılırken şifreleniyor mu (HTTPS, VPN, şifreli e-posta)?
• Yedekler şifreli mi? Şifreleme anahtarları yedekle aynı yerde mi duruyor?
• Taşınabilir bellek kullanımı kısıtlanmış veya şifreli cihazlarla sınırlandırılmış mı?

6. Veri kaybını önleme ve yedekleme

• Kişisel veri içeren sistemlerin yedekleri düzenli alınıyor ve geri yükleme testi yapılıyor mu?
• Yedeklerin en az bir kopyası fidye yazılımından etkilenmeyecek şekilde (değiştirilemez veya çevrimdışı) saklanıyor mu?
• Hassas verilerin e-posta veya bulut depolama ile kurum dışına çıkışı izleniyor ya da sınırlanıyor mu (DLP)?

7. Silme, yok etme ve anonimleştirme

Saklama süresi dolan verinin silinmesi de bir güvenlik tedbiridir: tutulmayan veri sızdırılamaz.

• Saklama ve imha politikasında belirtilen süreler sistemlerde teknik olarak uygulanıyor mu?
• Hizmet dışı bırakılan diskler ve cihazlar güvenli şekilde siliniyor veya imha ediliyor mu? İmha tutanağı tutuluyor mu?
• Test ortamlarında gerçek kişisel veriler yerine maskelenmiş veya anonim veriler kullanılıyor mu?

8. Tedarikçiler ve bulut hizmetleri

• Kişisel verilere erişen BT tedarikçileri ile veri güvenliği yükümlülüklerini içeren sözleşmeler yapıldı mı?
• Kullanılan bulut hizmetlerinin verileri hangi ülkede tuttuğu biliniyor mu? Yurt dışına aktarım, KVKK'nın 9. maddesinde 2024'te yapılan değişikliklerle yeni bir düzene kavuştu; bu konuyu mutlaka hukuk danışmanınızla ele alın.

9. İhlal anında: 72 saat

Kurul kararına göre, kişisel veri ihlalinin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirim yapılması beklenir; etkilenen kişilere de makul en kısa sürede bildirim yapılmalıdır. Bu süre, önceden hazırlanmamış bir kurum için çok kısadır.

• İhlal durumunda kimin karar vereceği ve kimin bildirim yapacağı belirlenmiş mi?
• BT ekibi, ihlalin kapsamını (hangi veriler, kaç kişi, hangi tarih aralığı) loglardan hızla çıkarabilir mi?
• Olay müdahale planı en az yılda bir kez masa başı tatbikatla test ediliyor mu?

Nereden başlamalı?

Her şeyi aynı anda yapmaya çalışmak yerine, en büyük riski en az çabayla azaltan adımlardan başlayın. Çoğu kurum için mantıklı bir başlangıç sırası şöyledir:

1. E-posta, uzaktan erişim ve yönetici hesaplarında MFA
2. Dizüstü bilgisayarlarda disk şifreleme
3. İşten ayrılanların hesaplarının zamanında kapatılması
4. Kişisel veri barındıran sistemlerin loglarının merkezi olarak toplanması
5. Değiştirilemez yedekleme ve geri yükleme testi

Bu adımların her biri aynı zamanda fidye yazılımı ve kimlik avı saldırılarına karşı da en etkili tedbirler arasında yer alır. Yani KVKK uyumu için yapılan yatırım, genel siber güvenlik düzeyinizi de doğrudan yükseltir.