BT tarafında KVKK ve bilgi güvenliği uyumu

Önce kapsamı belirleyin

Uyum çalışmasına "her şeyi güvenli hale getirelim" diye başlamak, hiç başlamamakla aynı sonucu verir. Önce hangi verinin nerede olduğunu bilmek gerekir.

Veri envanteri çıkarılır: hangi sistemde hangi tür veri var, kimler erişiyor, ne kadar saklanıyor, nereye yedekleniyor. Bu tablo olmadan sonraki maddelerin hiçbiri değerlendirilemez.

Erişim yetkileri

• Kullanıcı hesapları kişiye özel mi, ortak hesap kullanılıyor mu
• Klasör yetkileri işe göre mi verilmiş, herkes her şeyi görüyor mu
• Yönetici hesapları günlük kullanımdan ayrı mı
• Yetkiler yılda bir gözden geçiriliyor mu
• Ayrılan personelin erişimi aynı gün kapatılıyor mu

Ortak hesap kullanımı denetimde en sık takılan maddedir. "Muhasebe" adlı ortak bir hesapla çalışılıyorsa, bir işlemi kimin yaptığı hiçbir zaman bilinemez.

Kayıt ve log yönetimi

Denetimde sorulan soru genelde şudur: bir olay yaşandığında kimin ne yaptığını gösterebiliyor musunuz?

• Sunucu ve uygulama logları tutuluyor mu
• Loglar ne kadar süre saklanıyor
• Log kayıtları değiştirilemez şekilde mi duruyor
• 5651 kapsamındaki internet erişim kayıtları tutuluyor mu

Log tutulmuyorsa, bir veri ihlali yaşandığında neyin etkilendiğini söylemek de mümkün olmaz. Bu, bildirim yükümlülüğünü yerine getirmeyi zorlaştırır.

Saklama ve imha

Veriyi toplamak kadar, gereğinden uzun tutmamak da yükümlülük.

• Her veri türü için saklama süresi belirlenmiş mi
• Süre dolduğunda silme ya da anonimleştirme yapılıyor mu
• Kamera kayıtlarının süresi ayarlı mı
• Yedeklerde de saklama süresi tanımlı mı

Şifreleme ve aktarım

• Dizüstü bilgisayarlarda disk şifreleme açık mı
• Yedekler şifreli mi saklanıyor
• Uzaktan erişim şifreli kanaldan mı yapılıyor
• Kişisel veri içeren dosyalar e-posta ekiyle gelişigüzel dolaşıyor mu

Son madde en yaygın açıklardan biri. Personel listesi ya da müşteri veritabanı e-posta ekiyle dolaşıyorsa, teknik önlemlerin çoğu anlamsızlaşır.

Personel ve farkındalık

• Gizlilik taahhütnamesi imzalanıyor mu
• Yılda bir bilgi güvenliği bilgilendirmesi yapılıyor mu
• İşe giriş ve çıkış süreçleri yazılı mı
• Şüpheli durum bildirimi için bir kanal var mı

Teknik önlemlerin tamamı yanlış bir tıklamayla aşılabilir; en ucuz kontrol maddesi budur.

Denetime hazırlık dosyası

Müşteri denetimi ya da belgelendirme sürecinde istenenler genelde şunlar: veri envanteri, erişim yetki matrisi, yedekleme ve geri dönüş test kayıtları, log saklama politikası, olay müdahale planı, tedarikçi listesi ve gizlilik sözleşmeleri.

Bu dosya bir kez hazırlandığında güncel tutmak kolaydır. Hazırlanmadığında ise her denetim talebi haftalarca telaş demektir.

Sık sorulan sorular