Kişisel verilerin güvenliği için BT tarafında erişim, kayıt, yedekleme ve olay yönetimi önem taşır. Bu yazı, KVKK kapsamındaki teknik tedbirleri iş süreçleriyle birlikte ele alır.
Kişisel veri içeren sistemler yalnızca insan kaynakları veya müşteri kayıtlarından ibaret değildir; e-posta kutuları, destek talepleri, muhasebe uygulamaları, kamera kayıtları ve bulut klasörleri de bu kapsama girebilir. BT tarafındaki teknik tedbirler, bu verilerin yetkisiz erişim, kayıp, değiştirilme veya yanlış paylaşım riskini azaltır. Ancak teknik önlemler tek başına uyum anlamına gelmez; süreçler, idari tedbirler ve hukuki değerlendirmeyle birlikte ele alınmalıdır.
Bu yazı genel bilgilendirme amaçlıdır. Uygulamada mevzuat ve Kişisel Verileri Koruma Kurumu’nun rehberleri esas alınmalı, gerektiğinde hukuk danışmanına başvurulmalıdır. Kurumun Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) ile Veri Güvenliğine İlişkin Yükümlülükler sayfası iyi bir başlangıç noktasıdır.
Önce veri akışını görünür kılın
Hangi kişisel verinin hangi uygulamada bulunduğunu, kimlerin işlediğini ve eriştiğini, ne kadar süre saklandığını bilmeden doğru teknik öncelikleri belirlemek zordur. İnsan kaynakları, satış, muhasebe, operasyon ve BT birlikte bir veri envanteri oluşturabilir. Amaç her ayrıntıyı ilk seferde tamamlamak değil, kişisel veri içeren temel sistemleri ve riskli akışları görünür kılmaktır.
Verinin kurum dışındaki hizmet sağlayıcılara, mobil cihazlara veya paylaşımlı klasörlere gidip gitmediğini de not edin. Yeni bir uygulama veya entegrasyon devreye alındığında envanteri güncellemek, sonradan ortaya çıkan kör noktaları azaltır.
Temel teknik tedbir alanları
Erişim yetkilerini sınırlayın
Kişisel verilere erişim iş gereğiyle sınırlı olmalıdır. Herkese geniş klasör veya uygulama erişimi vermek yerine rol temelli yetkilendirme uygulayın. Okuma, değiştirme, silme ve dışa aktarma yetkileri aynı şey değildir; gerektiğinde bunları birbirinden ayırın.
İşe giriş, görev değişikliği ve ayrılışta erişimleri gözden geçirin. Yönetici hesaplarını günlük kullanım hesaplarından ayırın. Ortak hesaplar, erişimi kimin kullandığını izlemeyi zorlaştırdığı için sınırlandırılmalıdır.
Kimlik doğrulama ve parola yönetimi
Güçlü ve benzersiz parolalar, parolaların güvenli saklanması ve çok faktörlü doğrulama temel katmanlardır. Önceliği e-posta, bulut uygulamaları, uzaktan erişim ve yönetim panellerine verin. Başarısız giriş denemeleri ve olağandışı oturumlar için uyarı mekanizması tanımlayın.
Parola politikasının işe yaraması, çalışanların onu uygulayabilmesine de bağlıdır. Parola paylaşma ihtiyacını ortadan kaldıran kişisel hesaplar ve kurumsal bir parola yöneticisi gibi güvenli saklama yöntemleri, yazılı kural kadar önemlidir.
Ağ ve uç nokta güvenliği
Güvenlik duvarı, ağ ayrıştırma, güncel uç nokta koruması ve düzenli güncelleme, kişisel veri işleyen sistemlerin korunmasında temel rol oynar. Misafir ağını iş ağından ayırın; sunucular, kullanıcı cihazları ve yönetim ağı arasındaki erişimi ihtiyaçla sınırlayın. İnternete açık hizmetleri ve uzaktan erişim noktalarını düzenli olarak gözden geçirin.
Bilgisayar, sunucu ve mobil cihazlarda işletim sistemi ve uygulama güncellemelerini planlı biçimde yürütün. Kaybolabilecek veya çalınabilecek cihazlarda ekran kilidi, disk şifreleme ve uzaktan yönetim seçeneklerini devreye alın.
Kayıt, izleme ve olay yönetimi
Erişim, yetki değişikliği, başarısız giriş ve veri dışa aktarma gibi olaylar, sistemin niteliğine uygun biçimde kayıt altına alınmalıdır. Kayıtların nerede tutulduğu, kimlerin erişebildiği, ne kadar süre saklandığı ve hangi uyarıların incelendiği belli olmalıdır. Çok fazla kayıt toplamak yerine anlamlı, değiştirilmeye karşı korunan ve gerçekten incelenen bir kayıt düzeni kurmak daha işe yarar.
Şüpheli erişim, yanlış alıcıya gönderim veya kayıp cihaz gibi durumlarda çalışanın hangi kanalı kullanacağını, kimin haberdar edileceğini ve ilk teknik adımları yazılı hale getirin. Bu adımlar genellikle kanıtları korumayı, etkilenen hesabı veya cihazı sınırlamayı ve ilgili birimleri bilgilendirmeyi içerir. Olayın koşullarına göre hukuki ve idari değerlendirme de gerekebilir.
Yedekleme, geri dönüş ve silme
Yedekleme, hizmet sürekliliğinin olduğu kadar veri güvenliğinin de parçasıdır. Kritik verinin yedeği ayrı tutulmalı, yedeklere erişim sınırlanmalı ve geri yükleme düzenli olarak denenmelidir. Yedekler de kişisel veri içerebilir; bu yüzden aynı erişim ve koruma yaklaşımı onlara da uygulanmalıdır.
Saklama süresi sona eren verinin silinmesi, yok edilmesi veya anonim hale getirilmesi, kurumun belirlediği politika ve yükümlülüklerle uyumlu olmalıdır. Kullanılacak teknik yöntem sistemin yapısına göre seçilmeli; yedeklerde ve dışa aktarılmış dosyalarda kalan kopyalar da hesaba katılmalıdır.
Tedarikçi ve bulut hizmetlerini yönetin
Kişisel verinin işlendiği dış hizmetlerde sorumluluğu yalnızca sözleşmeye bırakmayın. Hangi kullanıcıların eriştiğini, destek erişiminin nasıl açıldığını, veri aktarımı ve yedekleme düzenini, hizmet sona erdiğinde verinin nasıl geri alınacağını öğrenin. Tedarikçiye verilen yönetici erişimlerini ve ortak hesapları belirli aralıklarla gözden geçirin.
Bulut uygulamalarında paylaşım bağlantılarını, dış kullanıcı davetlerini ve herkese açık klasörleri düzenli olarak kontrol edin. Bir kullanıcının iş ihtiyacı değiştiğinde paylaşımlarının da güncellendiğini doğrulayın.
Yeni bir uygulama alırken veya mevcut sistemi başka bir hizmete bağlarken güvenliği sona bırakmayın. Erişim modeli, yönetici hesapları, kayıt tutma, veri dışa aktarma, yedekleme ve hizmetten ayrılma süreci kurulumdan önce sorulmalıdır; sistem canlıya alındıktan sonra yapılan düzeltmeler daha zahmetli olur.
Uygulanabilir bir başlangıç planı
Önce kişisel veri açısından en kritik alanları seçin ve her biri için erişim, yedek, güncelleme ve kayıt durumunu çıkarın. Önceliklendirmede verinin niteliğini, erişen kişi sayısını, kullanılan ortamı ve olası etkinin ciddiyetini birlikte değerlendirin; insan kaynakları dosyaları ile herkese açık olmayan bir rapor aynı riski taşımayabilir. Ayrı yönetici hesabı, çok faktörlü doğrulama veya unutulmuş ayrılış hesaplarının kapatılması gibi adımlar kısa sürede anlamlı iyileştirme sağlayabilir.
Teknik tedbirleri kanıtlanabilir ve güncel tutun
Teknik tedbirler bir kez yapılıp biten bir proje değildir. Erişim listeleri, güncelleme kayıtları, geri yükleme denemeleri ve olay kayıtları, tedbirlerin gerçekten uygulandığını göstermeye yardımcı olur. Bu belgeleri erişimi sınırlandırarak ve gereğinden fazla kişisel veri içermeyecek şekilde saklayın.
Personel değişiklikleri, yeni uzaktan çalışma düzenleri veya kapatılan uygulamalar erişim, yedek ve kayıt tasarımına yansıtılmalıdır. Küçük ve düzenli gözden geçirmeler, yönetilemeyen büyük bir kontrol listesinden daha kalıcı sonuç verir.
Kontrol listesi
- Kişisel veri içeren sistemler, veri akışları ve sorumluları belirlendi mi?
- Erişimler iş ihtiyacına göre veriliyor ve düzenli olarak gözden geçiriliyor mu?
- E-posta, bulut, uzaktan erişim ve yönetici hesaplarında çok faktörlü doğrulama kullanılıyor mu?
- Güncelleme, ağ ayrıştırma ve uç nokta koruma süreçleri işletiliyor mu?
- Erişim ve kritik işlem kayıtları korunuyor ve inceleniyor mu?
- Olay bildirimi ve ilk teknik müdahalenin sorumluları belli mi?
- Yedekler korunuyor ve geri yükleme düzenli olarak deneniyor mu?
- Saklama süresi dolan veriler için uygulanan teknik silme veya yok etme yöntemi gözden geçiriliyor mu?