Hizmete neler dahil?
- Kişisel veri işleyen sistemlerin teknik değerlendirmesi
- Kurum rehberindeki teknik ve idari tedbirlerle boşluk analizi
- Erişim kontrolü, loglama, şifreleme, DLP ve yedekleme önerileri
- Önceliklendirilmiş teknik tedbir planı
- 72 saatlik ihlal bildirimine hazırlık için teknik müdahale planı
- Politika ve prosedürlerin teknik bölümlerinin hazırlanması
- Uygulanan tedbirler için kanıt listesi
- Kurumunuzun hukuk danışmanıyla koordinasyon
Bu içerik genel bilgilendirmedir, hukuki danışmanlık yerine geçmez. Kurumunuza özgü hukuki değerlendirme için hukuk danışmanınıza başvurunuz.
KVKK teknik tedbirler nedir?
KVKK teknik tedbirler, kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek ve verilerin muhafazasını sağlamak için alınan teknolojik kontrollerdir. 6698 sayılı Kanun'un 12. maddesi, veri sorumlusunun uygun güvenlik düzeyini sağlamaya yönelik gerekli her türlü teknik ve idari tedbiri almasını öngörür.
Kanun hangi ürünün kullanılacağını tek tek saymaz. Hangi tedbirlerin "uygun" olduğu; işlenen verinin niteliğine, işletmenin büyüklüğüne ve risklere göre belirlenir. Kişisel Verileri Koruma Kurumu'nun yayımladığı "Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler)" bu konuda başvurulan temel kaynaktır.
Bu hizmet neyi kapsar, neyi kapsamaz?
Bu hizmet, KVKK uyumunun teknik ve idari tedbirler boyutuna odaklanır. Aydınlatma metinleri, açık rıza metinleri, sözleşmeler ve hukuki yorum gerektiren konular hukuk danışmanının alanıdır. Uyum çalışmalarında kurumunuzun hukuk danışmanı veya hukuk bürosuyla birlikte çalışır, teknik tarafın ihtiyaç duyduğu bilgi ve kanıtları sağlarız.
| Kapsamda | Hukuk danışmanının alanında |
|---|---|
| Veri envanterindeki sistemlerin teknik incelemesi | Hukuki işleme şartlarının değerlendirilmesi |
| Erişim kontrolü, loglama, şifreleme, DLP, yedekleme tasarımı | Aydınlatma ve açık rıza metinleri |
| Güvenlik politikaları ve prosedürlerinin teknik bölümleri | Sözleşmeler, veri işleyen sözleşmeleri |
| İhlal tespiti ve müdahale planının teknik adımları | Kurul'a bildirimin hukuki içeriği |
| Teknik tedbirlerin kanıtlarının hazırlanması | VERBİS kaydının hukuki değerlendirmesi |
Hangi teknik tedbirler hangi riski azaltır?
Aşağıdaki tablo, sık uygulanan teknik tedbirleri amaçları ve ilgili çözümlerle eşleştirir. Hangi tedbirlerin önceliklendirileceği değerlendirme sonucunda belirlenir.
| Teknik tedbir | Amacı | İlgili çözüm / hizmet |
|---|---|---|
| Erişim kontrolü ve yetki yönetimi | Kişisel veriye yalnızca ihtiyacı olanların erişmesi | Kimlik ve erişim yönetimi (MFA) |
| Log kaydı ve izleme | Kimin hangi veriye ne zaman eriştiğinin izlenebilmesi | Yönetilen güvenlik hizmetleri (SOC) |
| Şifreleme | Kaybolan cihaz veya ele geçirilen dosyada verinin okunamaması | Disk, dosya ve iletim şifrelemesi |
| Veri sızıntısı önleme (DLP) | Kişisel verinin e-posta, USB veya bulut yoluyla kontrolsüz çıkışının önlenmesi | DLP çözümleri |
| Yedekleme | Verinin kaybolması veya fidye yazılımıyla şifrelenmesi halinde geri dönülebilmesi | Yedekleme ve felaket kurtarma |
| Ağ güvenliği ve segmentasyon | Yetkisiz dış erişimin ve iç yayılmanın sınırlanması | Güvenlik duvarı, VPN |
| Sızma testi ve zafiyet taraması | Açıkların saldırganlardan önce bulunması | Sızma testi ve zafiyet analizi |
| Yama ve güncelleme yönetimi | Bilinen açıkların kapatılması | Uç nokta ve sunucu yönetimi |
İdari tedbirler neleri kapsar?
İdari tedbirler, teknik kontrollerin doğru kişilerce, tanımlı kurallarla ve sürdürülebilir şekilde uygulanmasını sağlayan organizasyonel düzenlemelerdir. Teknik bir çözüm ne kadar güçlü olursa olsun, kimin sorumlu olduğu ve nasıl işletileceği tanımlanmadığında etkisi zayıflar.
Kurum rehberinde ve uygulamada sık karşılaşılan idari tedbir başlıkları:
- Kişisel veri güvenliği politikası ve prosedürlerinin hazırlanması
- Çalışanlara yönelik farkındalık eğitimleri
- Çalışanlarla gizlilik taahhütleri ve görev değişikliğinde yetkilerin güncellenmesi
- Veri işleyenlerle (dış hizmet sağlayıcılar) yapılan sözleşmelerde güvenlik hükümleri
- Kişisel veri envanterinin hazırlanması ve güncel tutulması
- Risk analizi ve periyodik iç denetimler
Bu tedbirlerin bir kısmı hukuk biriminin, bir kısmı insan kaynaklarının, bir kısmı BT ekibinin sorumluluğundadır. Çalışmada teknik tarafın bu birimlerle nasıl bağlanacağını netleştiririz. Kanun'un 12. maddesi ayrıca veri sorumlusunun kendi kurumunda gerekli denetimleri yapmasını veya yaptırmasını öngörür; düzenli iç kontroller bu nedenle planın parçası olmalıdır.
Veri ihlali olursa ne kadar sürede bildirilmeli?
Kişisel Verileri Koruma Kurulu'nun 2019/10 sayılı kararına göre veri sorumlusu, ihlali öğrendiği tarihten itibaren en kısa sürede ve en geç 72 saat içinde Kurul'a bildirmelidir. Kanun'un 12. maddesi ayrıca ilgili kişilerin de bilgilendirilmesini öngörür.
72 saatlik süre kısadır; bu sürede ne olduğunu, hangi verilerin etkilendiğini ve kaç kişinin etkilendiğini tespit edebilmek, ihlal öncesinde yapılan hazırlığa bağlıdır. Teknik açıdan hazırlık şunları içerir:
- Logların yeterli ayrıntıda tutulması ve gerektiğinde erişilebilir olması
- Kişisel verinin hangi sistemlerde bulunduğunu gösteren güncel bir envanter
- Olay anında kimin ne yapacağını tanımlayan yazılı bir müdahale planı
- Etkilenen sistemlerin izole edilmesi ve yedekten dönüş adımları
- Bildirim için gereken bilgilerin toplanmasına yönelik bir kontrol listesi
Bildirimin hukuki içeriği ve ilgili kişilere yapılacak açıklamalar hukuk danışmanınızla birlikte hazırlanmalıdır.
VERBİS kaydı teknik tedbirlerle nasıl ilişkilidir?
VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), kayıt yükümlülüğü bulunan veri sorumlularının işleme faaliyetlerini bildirdiği sistemdir. Kayıt sırasında alınan teknik ve idari tedbirlerin de belirtilmesi istenir. Bu nedenle beyan edilen tedbirlerin gerçekte uygulanıyor olması ve kanıtlanabilmesi önemlidir. Kayıt yükümlülüğünün kurumunuz için geçerli olup olmadığı hukuk danışmanınızla birlikte değerlendirilmelidir.
Kimler için uygun?
- Müşteri, çalışan veya hasta verisi işleyen ve teknik tedbirlerini gözden geçirmek isteyen işletmeler
- Sağlık, eğitim, finans, hukuk ve mali müşavirlik gibi hassas veri işleyen sektörler
- Hukuk danışmanı uyum çalışmasını yürüten ve teknik tarafta destek arayan kurumlar
- Bir veri ihlali yaşamış veya ihlal şüphesi olan ve hazırlığını güçlendirmek isteyen firmalar
- Denetim veya müşteri soru formlarında teknik tedbirlerini belgelemesi gereken kuruluşlar
Süreç nasıl işler?
- Ön görüşme: Hangi kişisel verilerin hangi sistemlerde işlendiği ve mevcut uyum çalışmasının durumu konuşulur.
- Teknik değerlendirme: Erişim kontrolü, loglama, şifreleme, yedekleme, ağ ve e-posta güvenliği gibi alanlarda mevcut durum incelenir.
- Boşluk analizi: Mevcut tedbirler, Kurum rehberinde yer alan teknik ve idari tedbir başlıklarıyla karşılaştırılır.
- Önceliklendirilmiş plan: Eksik tedbirler risk ve uygulanabilirliğe göre sıralanır.
- Uygulama desteği: İstenirse DLP, loglama, güvenlik duvarı ve yedekleme gibi tedbirlerin uygulanmasında destek verilir.
- Kanıt ve dokümantasyon: Uygulanan tedbirler için politika, prosedür ve teknik kanıtlar hazırlanır; ihlal müdahale planının teknik adımları yazılır.
KVKK teknik tedbirleri daha geniş bir güvenlik programının parçası olarak ele almak isterseniz siber güvenlik danışmanlığı sayfasına da bakabilirsiniz. Kurumunuzun teknik tedbirlerini birlikte değerlendirmek için KVKK teknik tedbirler danışmanlığı teklifi isteyin.
KVKK Teknik Tedbirler ve Uyum Danışmanlığı: sık sorulanlar
KVKK'da teknik tedbirler nerede düzenlenir?
Veri güvenliğine ilişkin yükümlülükler 6698 sayılı Kanun'un 12. maddesinde düzenlenir. Bu madde, veri sorumlusunun uygun güvenlik düzeyini sağlamak için gerekli teknik ve idari tedbirleri almasını öngörür. Kurum'un yayımladığı Kişisel Veri Güvenliği Rehberi, bu tedbirlerin neler olabileceğini ayrıntılı olarak açıklar.
KVKK veri ihlali kaç saat içinde bildirilmeli?
Kurul'un 2019/10 sayılı kararına göre veri sorumlusu, ihlali öğrendikten sonra en kısa sürede ve en geç 72 saat içinde Kurul'a bildirmelidir. Bu süre içinde ihlalin kapsamını tespit edebilmek için logların, veri envanterinin ve müdahale planının önceden hazır olması gerekir. Bildirimin hukuki içeriği hukuk danışmanınızla birlikte hazırlanmalıdır.
KVKK uyumu için belirli bir ürün almak zorunlu mu?
Kanun belirli bir ürün veya marka zorunlu tutmaz. Veri sorumlusundan, işlediği verinin niteliğine ve risklere uygun teknik ve idari tedbirleri alması beklenir. DLP, loglama veya şifreleme gibi çözümler bu tedbirleri uygulamanın yollarıdır.
Bu hizmet hukuki danışmanlık yerine geçer mi?
Hayır. Bu hizmet KVKK uyumunun teknik ve idari tedbirler boyutuna odaklanır. Aydınlatma metinleri, açık rıza, sözleşmeler ve hukuki yorum gerektiren konular için kurumunuzun hukuk danışmanıyla birlikte çalışırız.
DLP, KVKK uyumunda ne işe yarar?
DLP (Data Loss Prevention, veri sızıntısı önleme) çözümleri, kişisel verilerin e-posta, USB bellek, bulut depolama veya yazıcı gibi kanallardan kontrolsüz biçimde çıkmasını tespit eder veya engeller. Bu, Kanun'un 12. maddesinde öngörülen hukuka aykırı erişimin önlenmesi amacını destekleyen teknik tedbirlerden biridir. DLP tek başına uyum sağlamaz; erişim kontrolü ve loglama gibi diğer tedbirlerle birlikte ele alınmalıdır.
Teknik tedbirlerin uygulandığı nasıl kanıtlanır?
Yazılı politika ve prosedürler, sistem yapılandırma kayıtları, erişim ve log raporları, yedek geri dönüş testleri ve sızma testi raporları kanıt olarak kullanılabilir. Bu kanıtların düzenli olarak güncellenmesi önemlidir. Çalışma sonunda hangi tedbir için hangi kanıtın tutulacağını gösteren bir liste hazırlanır.
