KVKK ve Bilgi Güvenliği: KOBİ'ler İçin Pratik Rehber

KVKK denince akla önce hukuki metinler geliyor: aydınlatma metni, açık rıza, VERBİS kaydı. Bunlar gerekli ama tek başına yeterli değil. Kanunun teknik tarafı da var ve bir denetimde ya da veri ihlalinde asıl bakılan yer orası.

Bu yazı hukuki görüş değil; kanunun IT tarafında karşılığı olan maddeleri, bir KOBİ'nin gerçekten yapabileceği adımlara çeviriyor. Hukuki metinleriniz için mutlaka bir avukatla çalışın.

Önce şu soru: hangi veriyi nerede tutuyorsunuz?

Kanunun teknik tarafındaki her yükümlülük tek bir şeye dayanıyor: neyi koruduğunuzu bilmek. Çoğu işletmede kişisel veri sanılandan çok daha fazla yerde duruyor.

• Muhasebe programı: müşteri ve personel kimlik bilgileri, IBAN'lar.
• E-posta kutuları: sözleşmeler, kimlik fotokopileri, sağlık raporları — genellikle hiç silinmeden yıllarca duruyor.
• Ortak klasörler: "Personel", "Özlük", "Eski Belgeler" gibi herkesin erişebildiği paylaşımlar.
• Web sitesi: iletişim ve başvuru formlarından gelen kayıtlar.
• Kamera kayıtları: görüntü de kişisel veri.
• Kişisel cihazlar: çalışanların telefonundaki iş e-postası, evdeki bilgisayarda duran kopyalar.
• Bulut hesapları: kim, hangi hesapla, nereye dosya yüklemiş?

Bu listeyi çıkarmak sıkıcı ama pazarlıksız. "Nerede olduğunu bilmediğim veriyi koruyorum" diyebilen bir kurum yok.

Erişim: herkes her şeyi görmemeli

En sık gördüğümüz eksik bu. Ortak sunucuda bir "Paylaşım" klasörü açılıyor, herkese tam yetki veriliyor ve yıllar içinde içine özlük dosyalarından ücret bordrolarına kadar her şey giriyor. Teknik olarak bir güvenlik açığı değil ama kanunun beklediği "gerekli teknik tedbir" tam olarak bu.

Yapılacak iş: klasörleri departman bazında ayırmak ve erişimi işin gerektirdiğiyle sınırlamak. Muhasebe klasörüne satış ekibinin erişmesi gerekmiyorsa erişmemeli. Bu düzenleme bir kez yapılıyor, sonra yeni personel katılımında tekrarlanıyor.

İkinci adım: yönetici yetkilerini sınırlamak. Günlük işini yönetici hesabıyla yapan bir kullanıcının bilgisayarına bulaşan zararlı yazılım, o kullanıcının erişebildiği her şeye erişiyor.

Ayrılan personel: en çok atlanan konu

Bir çalışan ayrıldığında e-posta hesabı kapatılıyor. Genelde orada kalıyor. Oysa erişim listesi çok daha uzun: VPN hesabı, sunucu kullanıcısı, bulut depolama, muhasebe programı kullanıcısı, web sitesi paneli, ortak kullanılan hesapların parolaları, şirket telefonundaki kayıtlı oturumlar.

Bunların hepsi kapatılmadığında, ayrılmış bir kişinin kişisel verilere erişimi devam ediyor. Bir ihlal yaşandığında "eski çalışanın hesabı açıktı" cümlesi savunulabilir bir durum değil.

Çözüm bir çıkış kontrol listesi. Kim hangi sisteme erişiyordu, hangileri kapatıldı, ne zaman, kim tarafından. Yazılı olmayan süreç uygulanmıyor.

Yedekleme de bir KVKK meselesi

Kanun verinin gizliliğinden olduğu kadar erişilebilirliğinden de bahsediyor. Fidye yazılımı yüzünden müşteri kayıtlarınıza erişemez hâle gelmeniz de bir veri güvenliği ihlali sayılabiliyor.

İki nokta önemli. Birincisi yedeğin gerçekten çalıştığının doğrulanması — geri dönüşü hiç denenmemiş yedek, yedek sayılmıyor. İkincisi yedeğin de korunması: yedek dosyaları kişisel veri içeriyor ve şifrelenmemiş bir yedek diski, ana sistemden daha kolay çalınabiliyor.

İhlal olursa: 72 saat

Bir veri ihlali yaşandığında kurula bildirim yapma yükümlülüğü var ve süre kısa. Kritik olan şu: o an ne yapacağınızı önceden belirlemediyseniz süre, kimin kime haber vereceğini tartışırken geçiyor.

Önceden yazılması gerekenler:

1. 01Kim haberdar edilecek? İşletme sahibi, IT sorumlusu, hukuk danışmanı — isim ve telefonla.
2. 02Sistem hemen kapatılacak mı? Yayılmayı durdurmak gerekiyor ama delil de korunmalı; kararın önceden verilmiş olması gerekiyor.
3. 03Hangi verilerin etkilendiği nasıl tespit edilecek? Kayıt (log) tutulmuyorsa bu soru cevaplanamıyor.
4. 04İlgili kişilere bildirim metni kim yazacak?

Bu maddelerin hiçbiri teknik olarak zor değil. Zor olan, olay olmadan önce oturup yazmak.

Kayıt tutmak (loglama)

Kim, ne zaman, hangi veriye erişti? Bu soru hem denetimde hem ihlal sonrası incelemede soruluyor. Sunucu ve uygulama kayıtları tutulmuyorsa cevap "bilmiyoruz" oluyor.

Küçük ölçekte karmaşık sistemlere gerek yok: sunucudaki dosya erişim kayıtlarının açık olması, e-posta sisteminde oturum kayıtlarının tutulması ve bu kayıtların makul bir süre saklanması çoğu durum için yeterli bir başlangıç.

Uygulanabilir bir öncelik sırası

Hepsini aynı anda yapmak gerekmiyor. Etkisi en yüksek olandan başlayan bir sıra:

1. 01Veri envanterini çıkarın — nerede ne var.
2. 02Ortak klasör erişimlerini daraltın ve yönetici yetkilerini sınırlayın.
3. 03Ayrılan personel çıkış listesini yazın ve uygulamaya başlayın.
4. 04Yedeği doğrulayın; geri dönüş testi yapın ve yedeği şifreleyin.
5. 05İhlal planını bir sayfaya yazıp erişilebilir bir yere koyun.
6. 06Kayıt tutmayı açın ve saklama süresini belirleyin.

Dışarıdan hizmet alıyorsanız: veri işleyen sözleşmesi

IT desteğini, muhasebeyi ya da bulut hizmetini dışarıdan alıyorsanız, o taraf sizin adınıza kişisel veri işliyor demektir. Bu durumda aranızda yazılı bir sözleşme bulunması gerekiyor.

Sözleşmede yer alması gerekenler:

• Hangi verilerin hangi amaçla işleneceği
• Verinin nerede saklanacağı — özellikle yurt dışı aktarımı söz konusuysa
• Alınacak teknik ve idari tedbirler
• İhlal durumunda size ne kadar sürede bildirim yapılacağı
• Hizmet bittiğinde verinin iade edileceği ya da silineceği
• Alt yüklenici kullanılıp kullanılmayacağı

Dördüncü madde pratik açıdan kritik: sizin bildirim süreniz, hizmet sağlayıcınızın size haber verdiği andan değil, ihlalin öğrenildiği andan işlemeye başlıyor.

Aydınlatma ve rıza: teknik tarafın rolü

Aydınlatma metinleri ve açık rıza süreçleri hukuki bir konu, ama teknik tarafın da payı var. Web sitenizdeki iletişim formu, çerez bildirimi ve bülten kaydı bu sürecin fiilen uygulandığı yerler.

Teknik olarak sağlanması gerekenler: formdaki onay kutusunun zorunlu olması, verilen onayın tarihiyle birlikte kayıt altına alınması, çerezlerin onay verilene kadar çalışmaması ve bülten aboneliğinde çift adımlı doğrulama.

Son madde hem uyum hem teslimat açısından değerli: onay e-postasına tıklanmadan listeye eklenmeyen bir abone, hem izinli hem gerçek bir abone oluyor.

Yılda bir kez gözden geçirin

Uyum bir kere yapılıp bitirilen bir iş değil; kurum değiştikçe veri akışı da değişiyor. Yılda bir kez kontrol edilecekler:

1. 01Veri envanteri hâlâ güncel mi? Yeni bir yazılım ya da yeni bir veri türü eklendi mi?
2. 02Kimlerin hangi verilere erişimi var? Görev değiştirenler ve ayrılanlar temizlendi mi?
3. 03Yedekler çalışıyor mu, geri dönüş test edildi mi?
4. 04Hizmet aldığınız üçüncü taraflar değişti mi, sözleşmeleri güncel mi?
5. 05Saklama süresi dolan veriler silindi mi?

Beşinci madde en sık atlanan: mevzuat yalnızca veriyi korumayı değil, gereğinden uzun saklamamayı da istiyor. Süresiz saklanan veri hem yükümlülük hem risk.

Özet

KVKK'nın teknik tarafı, aslında iyi bilgi güvenliği uygulamalarının kendisi: neyi nerede tuttuğunuzu bilmek, erişimi ihtiyaçla sınırlamak, ayrılan personelin erişimini kapatmak, yedeği doğrulamak ve kötü gün için önceden bir plan yazmak.

Bu maddelerin kaçının sizde tamam olduğunu görmek istiyorsanız, mevcut durumu birlikte çıkarabiliriz.