KVKK İçin Alınması Gereken Teknik Güvenlik Önlemleri
Yasal çerçeve
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesi, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için gerekli teknik ve idari tedbirleri almasını zorunlu kılar. Kişisel Verileri Koruma Kurulu'nun yayımladığı güvenlik rehberi bu tedbirleri ayrıntılı olarak listeler. Bu yazı hukuki danışmanlık değildir; teknik tarafı özetler.
Temel teknik tedbirler
1. Yetki ve erişim yönetimi
- Her çalışan yalnızca işi için gereken veriye erişmeli (en az yetki ilkesi)
- Ortak kullanıcı hesabı kullanılmamalı
- İşten ayrılan personelin erişimleri hemen kapatılmalı
- Kritik sistemlerde iki aşamalı doğrulama kullanılmalı
2. Şifreleme
- Veri iletiminde TLS (HTTPS) zorunlu olmalı
- Özel nitelikli veriler ve kimlik numarası gibi alanlar veritabanında şifrelenmeli
- Taşınabilir cihazlar ve yedekler şifrelenmeli
- Parolalar geri döndürülemez şekilde (bcrypt, Argon2) saklanmalı
3. Loglama ve izleme
Kişisel verilere kimin, ne zaman eriştiği kaydedilmeli; loglar değiştirilemeyecek şekilde saklanmalı ve düzenli incelenmelidir. Olağan dışı erişimler için alarm kurulması önerilir.
4. Yedekleme
Düzenli, şifreli ve test edilmiş yedekler alınmalı; yedeklere erişim de yetkiyle sınırlandırılmalıdır.
5. Güncel yazılım ve sertleştirme
İşletim sistemi, veritabanı ve uygulama bileşenleri güncel tutulmalı; kullanılmayan servisler kapatılmalıdır.
6. Ağ güvenliği
Güvenlik duvarı, segmentasyon ve veritabanının internete doğrudan açık olmaması temel gerekliliklerdir.
7. Sızma testi ve zafiyet taraması
Kurul rehberi, sistemlerin düzenli olarak sızma testinden geçirilmesini önerir. Test bulgularının kapatıldığının da belgelenmesi önemlidir.
Veri ihlali olursa
Kanuna göre ihlal, öğrenildiği andan itibaren en kısa sürede Kurul'a ve ilgili kişilere bildirilmelidir; Kurul bu süreyi kararında 72 saat olarak yorumlamıştır. Hazırlıklı olmak için bir olay müdahale planı yazılı hale getirilmelidir.
Sonuç
KVKK uyumu yalnızca aydınlatma metni ve sözleşmelerden ibaret değildir; teknik tedbirler de denetlenir. Sistemlerinizin teknik açıdan değerlendirilmesi için siber güvenlik testleri hizmetimizi inceleyebilir veya teklif alabilirsiniz.