KVKK teknik ve idari tedbirler listesi: BT tarafında ne yapılmalı?
KVKK teknik ve idari tedbirler, 6698 sayılı Kanun’un 12. maddesi gereği veri sorumlusunun kişisel verileri hukuka aykırı işlemeye, hukuka aykırı erişime ve kayba karşı korumak için almak zorunda olduğu önlemlerdir. Kişisel Verileri Koruma Kurulu’nun Ocak 2018 tarihli Kişisel Veri Güvenliği Rehberi 17 teknik ve 10 idari tedbir sayar; BT tarafında işin özü erişim kontrolü, loglama, şifreleme, yedekleme ve ağ güvenliğidir.
KVKK teknik ve idari tedbirler nedir?
Arkadaşlar, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12. maddesi veri sorumlusuna üç iş veriyor: kişisel verinin hukuka aykırı işlenmesini önlemek, hukuka aykırı erişimi önlemek ve verinin muhafazasını sağlamak. Bunun için “uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri” almak gerekiyor.
Kanun tedbirleri tek tek saymıyor. Uygulamada yol gösteren belge, Kurul’un yayımladığı Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler). Rehberin kvkk.gov.tr’de yer alan sürümü Ocak 2018 tarihli. Rehber şunu da açıkça söylüyor: Bu tedbirlerin hepsi yüksek maliyet gerektirmiyor, bir kısmı zaten sistemlerinizde var ama açılmamış ya da kimse bakmıyor.
Biz sahada en çok şunu görüyoruz: KVKK uyumu hukuk tarafında aydınlatma metinleriyle bitmiş sayılıyor, BT tarafındaki tedbirler ise kâğıtta kalıyor. Bu rehberde BT ekibinin elinin değdiği tarafa odaklanıyoruz. Mevzuat ve Kurul kararları değişebildiği için uygulamadan önce güncel düzenlemeyi kvkk.gov.tr’den kontrol edin.
KVKK teknik tedbirler listesi: BT tarafında ne yapılmalı?
Kurul rehberindeki teknik tedbirler özet tablosunda 17 başlık var. Bunları BT ekibinin işine göre gruplayarak yazıyoruz:
- Erişim: yetki matrisi, yetki kontrolü, kullanıcı hesap yönetimi. Kim hangi veriye, hangi yetkiyle erişiyor; işten ayrılanın hesabı aynı gün kapanıyor mu?
- İz: erişim logları ve log kayıtları. Kişisel veri içeren sisteme kimin, ne zaman girdiği ve ne yaptığı kayıt altında mı?
- Ağ ve uygulama: ağ güvenliği, uygulama güvenliği, güvenlik duvarları, saldırı tespit ve önleme sistemleri, güncel anti-virüs sistemleri.
- Veriyi koruma: şifreleme, anahtar yönetimi, veri maskeleme, veri kaybı önleme yazılımları (DLP, Data Loss Prevention).
- Süreklilik: yedekleme. Kişisel veri içeren sistemlerin yedeği alınıyor ve geri dönüşü test ediliyor mu?
- Doğrulama: sızma testi. Kurduğunuz önlemlerin gerçekten çalışıp çalışmadığını bağımsız bir gözle sınamak.
- Yaşam sonu: silme, yok etme veya anonim hale getirme. Saklama süresi dolan veri sistemlerde kalmamalı.
Erişim kontrolü nasıl kurulur? Yetki matrisi örneği
Erişim kontrolü, KVKK teknik tedbirlerinin omurgası. Kurul’un yayımladığı karar özetlerinden birinde konu, yetkili bir çalışanın işi gereği olmadığı halde müşteri verisini sorgulaması. Yani mesele sadece dışarıdan gelen saldırı değil; içeride “herkes her şeyi görüyor” düzeni.
Örnek verelim: 40 çalışanı olan bir işletme düşünelim; kişisel veri tutan 6 sistemi var: ERP, CRM, bordro, e-posta, dosya sunucusu, kamera kayıtları. Yetki matrisi 40 × 6 = 240 hücreden oluşur. Her hücreye “yok, okuma, yazma, yönetici” yazdığınızda kimin neye neden eriştiği bir sayfada görünür hale gelir. Çoğu zaman bordro klasörünü görmemesi gereken 10–15 kişinin gördüğü bu tabloda ortaya çıkıyor.
- 1. Kişisel veri içeren sistemlerin listesini çıkarın.
- 2. Her sistem için rolleri tanımlayın: kişiye değil, göreve yetki verin.
- 3. Yetki matrisini doldurun ve ilgili birim yöneticisine onaylatın.
- 4. Ortak kullanılan hesapları kaldırın; herkes kendi hesabıyla girsin.
- 5. Yönetici hesaplarında ve uzaktan erişimde çok faktörlü doğrulama (MFA, Multi-Factor Authentication) kullanın.
- 6. İşe giriş, görev değişikliği ve işten çıkışta yetki değişikliğini İK ile BT arasında yazılı bir akışa bağlayın.
- 7. Yetkileri altı ayda bir gözden geçirin; gözden geçirmenin kaydını saklayın.
Loglama nasıl yapılmalı? Hangi kayıtlar tutulur?
Log tutmak tek başına tedbir değil; log okunmuyorsa ihlal olduğunda sadece “olmuş” demeye yarar. Loglamada üç şeye bakıyoruz: neyin kaydedildiği, kaydın değiştirilemez durması ve birinin düzenli bakması.
- Kişisel veri içeren sistemlerde başarılı ve başarısız girişler, toplu dışa aktarma, yetki değişiklikleri ve silme işlemleri kayda geçmeli.
- Loglar, kaydı üreten sunucudan ayrı bir yerde toplanmalı; sunucuya giren kişi kendi izini silememeli.
- Tüm cihazların saati aynı kaynaktan alınmalı; yoksa olay anında kayıtları yan yana koyamazsınız.
- Mesai dışı giriş, kısa sürede çok sayıda kayıt sorgulama gibi durumlar için uyarı kuralı tanımlanmalı.
- Logların ne kadar süre saklanacağı yazılı olarak belirlenmeli ve bu süre politikaya işlenmeli.
KVKK idari tedbirler nelerdir?
Rehberin idari tedbirler özet tablosunda 10 başlık var. BT bunların sahibi değil ama hepsine veri sağlıyor:
- Kişisel veri işleme envanterinin hazırlanması.
- Kurumsal politikalar: erişim, bilgi güvenliği, kullanım, saklama ve imha.
- Sözleşmeler: veri sorumluları arasında ve veri sorumlusu ile veri işleyen arasında.
- Gizlilik taahhütnameleri.
- Kurum içi periyodik ve rastgele denetimler.
- Risk analizleri.
- İş sözleşmesi ve disiplin yönetmeliğine Kanun’a uygun hükümlerin eklenmesi.
- Kurumsal iletişim: kriz yönetimi, Kurul’u ve ilgili kişiyi bilgilendirme süreçleri.
- Bilgi güvenliği ve Kanun konusunda eğitim ve farkındalık faaliyetleri.
- Yükümlüyseniz Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) bildirim.
KVKK teknik ve idari tedbirler nasıl uygulanır? Adım adım
Biz sahada bu işi bir defalık proje gibi değil, yılda birkaç kez dönen bir döngü gibi kuruyoruz:
- 1. Envanter: Hangi kişisel veri, hangi sistemde, kimde duruyor? Kâğıt dosyaları ve kamera kayıtlarını da unutmayın.
- 2. Mevcut durum: 17 teknik ve 10 idari tedbirin her birinin karşısına “var, kısmen var, yok” yazın.
- 3. Önceliklendirme: Önce en çok kişiyi etkileyen ve en kolay kapanan boşlukları alın; çoğu zaman bunlar ortak hesaplar, açık klasörler ve test edilmemiş yedekler oluyor.
- 4. Sorumlu ve tarih: Her eksik maddeye bir isim ve bir bitiş tarihi yazın.
- 5. Uygulama: Erişim, log, yedek ve şifreleme işlerini BT; politika ve sözleşmeleri hukuk ve İK ile birlikte yürütün.
- 6. Kanıt: Yapılan her tedbirin ekran görüntüsünü, raporunu ya da tutanağını saklayın. Denetimde “yaptık” değil “işte kaydı” demeniz gerekecek.
- 7. Gözden geçirme: Yılda en az bir kez iç denetim yapın, yeni sistemleri envantere ekleyin.
Veri ihlali olursa ne yapılır? 72 saat kuralı
Kanun’un 12. maddesi, işlenen verilerin kanuni olmayan yollarla başkalarınca elde edilmesi halinde veri sorumlusunun bunu en kısa sürede ilgili kişiye ve Kurul’a bildirmesini istiyor. Kurul, 24 Ocak 2019 tarihli ve 2019/10 sayılı kararıyla bu “en kısa süre”yi, ihlalin öğrenildiği andan itibaren en geç 72 saat olarak yorumladı. Gecikme olursa gecikmenin gerekçesi de bildirime eklenmeli.
BT tarafı için anlamı şu: 72 saatin içinde ne olduğunu, hangi verinin ve kaç kişinin etkilendiğini söyleyebilmek için loglar, envanter ve yetki matrisi önceden hazır olmalı. Fidye yazılımı özelinde ilk saatlerde ne yapılacağını “Fidye yazılımı nasıl önlenir?” rehberimizde anlattık. Süre ve bildirim usulünü uygulamadan önce Kurul’un güncel duyurularından kontrol edin.
Tedbir, emanete gösterilen saygıdır
Müşterinin, çalışanın, adayın verisi bize emanet. Teknik ve idari tedbirler bu emaneti koruyan arkadaşlarımızın emeğini görünür kılıyor. Siz de KVKK teknik ve idari tedbirlerinizi BT tarafında sahaya indirmek isterseniz bizimle iletişime geçebilirsiniz. Sormak istediğiniz her konuda gerekli desteği vermeye hazırız.
Sık sorulan sorular
KVKK teknik tedbirler nelerdir?
Kurul’un Kişisel Veri Güvenliği Rehberi’nde 17 teknik tedbir sayılır: yetki matrisi, yetki kontrolü, erişim logları, kullanıcı hesap yönetimi, ağ güvenliği, uygulama güvenliği, şifreleme, sızma testi, saldırı tespit ve önleme sistemleri, log kayıtları, veri maskeleme, veri kaybı önleme yazılımları, yedekleme, güvenlik duvarları, güncel anti-virüs sistemleri, silme, yok etme veya anonim hale getirme ve anahtar yönetimi.
KVKK idari tedbirler nelerdir?
Rehberdeki 10 idari tedbir; kişisel veri işleme envanteri, kurumsal politikalar, veri işleyenlerle sözleşmeler, gizlilik taahhütnameleri, iç denetimler, risk analizleri, iş sözleşmesi ve disiplin yönetmeliğine hükümler eklenmesi, kriz ve bildirim süreçleri, eğitim ve farkındalık faaliyetleri ile yükümlüyse VERBİS bildirimidir.
KVKK teknik ve idari tedbirler rehberine nereden ulaşılır?
Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler), Kişisel Verileri Koruma Kurumu’nun kvkk.gov.tr adresindeki Rehberler bölümünde yer alır. Erişilebilen sürüm Ocak 2018 tarihlidir; uygulamadan önce Kurum’un sitesinde güncellenmiş bir sürüm olup olmadığını kontrol edin.
KVKK teknik tedbirler için ISO 27001 belgesi zorunlu mu?
Hayır. Kanun belirli bir standart ya da belge şart koşmaz; uygun güvenlik düzeyini sağlayacak tedbirleri ister. ISO 27001 bilgi güvenliği yönetim sistemi bu tedbirleri düzenli bir çerçeveye oturtmak için kullanılabilir ama tek başına uyum kanıtı sayılmaz.
KVKK teknik ve idari tedbirler alınmazsa ne olur?
Kanun’un 18. maddesi, 12. maddedeki veri güvenliği yükümlülüklerini yerine getirmeyen veri sorumlularına idari para cezası öngörür. Ceza tutarları her yıl yeniden değerleme oranıyla güncellendiğinden güncel tutarı Kurum’un duyurularından kontrol edin.
İlgili hizmet: Bilgi teknolojileri