6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesi, veri sorumlularının kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun güvenlik düzeyini sağlamaya yönelik teknik ve idari tedbirleri almasını zorunlu tutar. Pratikte bu, BT altyapısı ile şirket içi süreçlerin birlikte ele alınması demektir.
İdari tedbirler
- Veri envanteri: Hangi kişisel verileri, hangi amaçla, nerede ve ne kadar süre tuttuğunuzu belirleyin.
- Politikalar: Kişisel veri saklama ve imha politikası, erişim yetki matrisi ve gizlilik taahhütleri hazırlayın.
- Eğitim: Çalışanları kişisel verilerin korunması ve güvenli çalışma konusunda düzenli olarak eğitin.
- Tedarikçi sözleşmeleri: Veri işleyen tedarikçilerle veri güvenliği yükümlülüklerini içeren sözleşmeler yapın.
- Kayıt yükümlülükleri: VERBİS kayıt yükümlülüğünüz olup olmadığını güncel kriterlere göre kontrol edin.
Teknik tedbirler
- Yetki ve erişim yönetimi: Herkes yalnızca işi için gereken verilere erişmeli; işten ayrılanların erişimi hemen kapatılmalı.
- Kimlik doğrulama: Kritik sistemlerde çok faktörlü doğrulama kullanın.
- Şifreleme: Dizüstü bilgisayarlarda disk şifreleme, veri aktarımında HTTPS ve VPN kullanın.
- Kayıt (log) tutma: Kişisel verilere kimin, ne zaman eriştiğini izleyebilecek kayıtlar tutun.
- Güncelleme ve zafiyet yönetimi: Sistemleri düzenli güncelleyin, zafiyet taraması yapın.
- Yedekleme: Verileri güvenli biçimde yedekleyin ve geri yükleme testleri yapın.
- Veri minimizasyonu: İhtiyaç duymadığınız veriyi toplamayın, süresi dolan veriyi imha edin.
Veri ihlali olursa
Kişisel Verileri Koruma Kurulu kararı uyarınca veri ihlalleri, öğrenildiği tarihten itibaren en kısa sürede ve en geç 72 saat içinde Kurula bildirilmelidir; etkilenen kişilere de makul en kısa sürede bilgi verilmelidir. Bu süreyi tutturabilmek için kimin neyi yapacağını tanımlayan bir ihlal müdahale planı önceden hazır olmalıdır.
Uyum bir proje değil, süreçtir
Sistemler, çalışanlar ve tedarikçiler değiştikçe riskler de değişir. Yılda en az bir kez yapılan iç denetim ve güvenlik değerlendirmesi, tedbirlerin güncel kalmasını sağlar. Hukuki değerlendirmeler için bir KVKK danışmanı ya da avukatla birlikte çalışmanızı öneririz.
ujans; KVKK uyum çalışmalarının teknik ayağında erişim yönetimi, şifreleme, kayıt tutma, yedekleme ve güvenlik değerlendirmesiyle destek verir.