6698 sayılı Kişisel Verilerin Korunması Kanunu, veri sorumlularından kişisel verilerin hukuka aykırı işlenmesini ve bunlara hukuka aykırı erişilmesini önlemek için uygun güvenlik düzeyini sağlayan teknik ve idari tedbirleri almasını ister. Kişisel Verileri Koruma Kurumu’nun yayımladığı rehber de bu tedbirleri ayrıntılandırır.
Bu yazı hukuki danışmanlık yerine geçmez; teknik tarafta nereden başlanacağına dair bir yol haritasıdır.
Erişim: kim neyi görebilir?
- Kişisel veriye erişimi görev gereği olanlarla sınırlayın
- Rol ve yetki tanımlarını yazılı hâle getirin
- Ayrılan çalışanların erişimlerini aynı gün kapatın
- Kritik sistemlerde çok faktörlü kimlik doğrulama kullanın
Kayıt: kim ne zaman ne yaptı?
Kişisel veri içeren sistemlere erişim kayıtlarının (log) tutulması, bir ihlal durumunda ne olduğunu anlamanın tek yoludur. Kayıtlar değiştirilemeyecek şekilde saklanmalı ve düzenli olarak incelenmelidir.
Koruma
- Taşınabilir cihazlarda ve yedeklerde şifreleme
- Güncel işletim sistemi ve uygulamalar, düzenli güvenlik yamaları
- Uç nokta koruması ve e-posta güvenliği
- Düzenli sızma testi ve zafiyet taraması
Yedekleme
Yedek almak yetmez; yedekten geri dönülebildiği düzenli olarak test edilmelidir. Yedekler de en az asıl veri kadar korunmalıdır.
İhlal olursa
Kurul kararına göre veri ihlalleri, öğrenildiği andan itibaren en kısa sürede ve en geç 72 saat içinde Kurul’a bildirilmelidir. Bunun mümkün olması için ihlali fark edecek izleme ve kimin ne yapacağını tarif eden bir müdahale planı önceden hazır olmalıdır.
Teknik tedbirlerin çoğu tek seferlik bir kurulum değil, sürekli işletilen bir süreçtir.
Racurity, teknik tedbirlerin kurulmasından 7/24 izlemeye kadar bu süreci uçtan uca yürütür; uyum tarafında da danışmanlık verir.
Bu konuda sizin için ne yapabileceğimizi konuşalım.
15 dk görüşme planlayın