Veri İhlalinden Korunmak: Önleyici Tedbirler ve İlk 72 Saat

Veri ihlali, kişisel verilerin yetkisiz kişilerce ele geçirilmesi, açıklanması, değiştirilmesi veya erişilemez hale gelmesidir. KVKK'ya göre veri sorumlusu, ihlali öğrendiği andan itibaren en geç 72 saat içinde Kurul'a bildirmek ve etkilenen kişilere makul sürede haber vermek zorundadır. Bildirim yükümlülüğünün ihlali, ihlalin kendisinden ayrı bir yaptırım sebebidir. Bu yazı, ihlali önlemek için alınacak tedbirleri ve gerçekleştiğinde izlenecek adımları anlatır.

Şirketler için önleyici tedbirler

Teknik tedbirler

• Erişim yetkilendirmesi: Her çalışan yalnız görevinin gerektirdiği veriye erişmeli; yetkiler işten ayrılışta aynı gün kapatılmalı.
• İki adımlı doğrulama: Panel, e-posta ve bulut hesaplarının tamamında zorunlu olmalı. Ele geçirilen parolaların büyük kısmı bu adımda durur.
• Şifreleme: Veri tabanı ve yedeklerde durağan halde şifreleme, aktarımda TLS.
• Log kaydı: Kim hangi veriye ne zaman eriştiği kayıt altında olmalı; ihlal anında kapsamı belirleyen tek kaynak budur.
• Güncelleme ve yedekleme: Sunucu ve uygulama güncellemeleri düzenli, yedekler test edilmiş olmalı.
• Veri minimizasyonu: Toplanmayan veri sızdırılamaz. Formlarda gerekmeyen alanları kaldırmak en ucuz güvenlik tedbiridir.

İdari tedbirler

• Çalışan eğitimi ve gizlilik taahhütnamesi; oltalama (phishing) tatbikatı
• Veri işleyenlerle yazılı sözleşme ve tedarikçi güvenlik değerlendirmesi
• Yazılı ihlal müdahale planı: kim haber verilir, kim karar verir, kim bildirim yapar
• Envanter ve saklama sürelerinin uygulanması; süresi dolan verinin imhası

Kurul kararlarında en sık rastlanan bulgular, bu listenin ilk maddeleridir: gereğinden geniş erişim yetkileri, iki adımlı doğrulamanın olmaması ve log tutulmaması.

İhlal gerçekleştiğinde: ilk 72 saat

1. Durdurun. Sızıntının kaynağını kapatın; ele geçirilmiş hesapların parolalarını ve oturumlarını iptal edin.
2. Kapsamı belirleyin. Hangi veri kategorileri, kaç kişi, hangi zaman aralığı, özel nitelikli veri var mı?
3. Kanıtları koruyun. Logları ve sistem görüntülerini saklayın; inceleme ve olası hukuki süreç için gerekir.
4. Kurul'a bildirin. 72 saat içinde, Kurum'un sitesindeki Veri İhlali Bildirim Formu ile. Bilgilerin tamamı hazır değilse aşamalı bildirim yapılabilir; süreyi beklemek gecikme sayılır.
5. İlgili kişilere haber verin. Makul en kısa sürede, anlaşılır bir dille: ne oldu, hangi verileri etkiledi, ne yapmaları önerilir, kiminle iletişime geçebilirler.
6. Kayıt tutun. İhlalin etkileri ve alınan aksiyonlar kayıt altına alınır; Kurul talep ettiğinde sunulur.
7. Kök nedeni giderin. Aynı açığın tekrarını engelleyecek kalıcı düzeltme yapılmalı ve belgelenmelidir.

Bireyler için: kendi verinizi korumak

• Her hizmette farklı parola kullanın, parola yöneticisi kurun.
• E-posta ve banka hesaplarında iki adımlı doğrulamayı açın.
• Sızıntı bildirim servislerinden e-posta adresinizin geçmiş ihlallerde yer alıp almadığını kontrol edin.
• Beklemediğiniz "hesabınız kapatılacak" mesajlarındaki bağlantılara tıklamayın; adresi elle yazarak girin.
• Gereksiz izin isteyen uygulamaları kaldırın; kullanmadığınız hesapları kapatın.
• Bir ihlal bildirimi aldığınızda ilgili hizmetin parolasını ve aynı parolayı kullandığınız diğer hesapları değiştirin.

Web sitesi tarafında sık atlanan riskler

• Form verilerinin e-postayla gönderilmesi: Şifresiz e-posta trafiği ve paylaşılan gelen kutuları, yetkisiz erişimin en yaygın yollarındandır.
• Test ortamında gerçek veri: Test ve geliştirme ortamları genellikle daha az korunur; buralarda anonim veri kullanılmalıdır. Bkz. anonim hale getirme.
• Üçüncü taraf betikler: Sitede çalışan her betik, ziyaretçi verisine erişebilir. Hangi araçların çalıştığını bilmek ilk adımdır; ücretsiz tarama bunu listeler.
• Eski verinin birikmesi: Silinmeyen kayıtlar, ihlal anında etkilenen kişi sayısını büyütür. Bkz. imhayı gerektiren haller.

Sıkça sorulan sorular

Küçük bir ihlali de bildirmek zorunda mıyım?

Kurul'a bildirim, ihlalin kişilerin hak ve özgürlükleri açısından risk oluşturması halinde gerekir. Risk değerlendirmesini yapan ve belgeleyen taraf veri sorumlusudur; tereddütte bildirim yapmak daha güvenlidir.

72 saat ne zaman başlar?

İhlalin öğrenildiği andan itibaren. "Öğrenme" anının kaydı, bildirim gecikmesi tartışmalarında belirleyicidir.

Veri işleyende yaşanan ihlalden ben mi sorumluyum?

Bildirim yükümlülüğü veri sorumlusundadır. Veri işleyen, ihlali gecikmeksizin veri sorumlusuna bildirmekle yükümlüdür; bu, sözleşmede açıkça düzenlenmelidir.

İhlal bildirimi yaparsam ceza kesinleşir mi?

Bildirim tek başına ceza sebebi değildir; Kurul, alınan tedbirleri ve müdahalenin niteliğini değerlendirir. Bildirmemek ise ayrı bir ihlaldir.