Bilkomsis rehberleri
KVKK için log kayıtları: teknik olarak ne tutulmalı?
Kişisel verilere kimin, ne zaman ve nasıl eriştiğini gösteremeyen bir şirket, bir veri ihlali şüphesinde ne olduğunu da açıklayamaz. Kişisel Verileri Koruma Kurulu’nun Kişisel Veri Güvenliği Rehberi, kayıt (log) tutmayı veri sorumlularının alması gereken teknik tedbirler arasında sayar. Bu rehber konunun teknik tarafını ele alır; saklama süreleri ve hukuki yükümlülükler için hukuk danışmanınızın görüşünü alın.
Hangi kayıtlar tutulmalı?
| Kaynak | Kaydedilecek olaylar |
|---|---|
| Kimlik doğrulama (Active Directory, Microsoft 365) | Başarılı ve başarısız oturum açmalar, hesap kilitlenmeleri, şifre değişiklikleri |
| Yönetici işlemleri | Yetki değişiklikleri, yeni hesap açma, grup üyelikleri, sistem ayarı değişiklikleri |
| Kişisel veri içeren uygulamalar (İK, CRM, muhasebe) | Kayıt görüntüleme, değiştirme, silme ve dışa aktarma; kim, ne zaman, hangi kayıt |
| Dosya sunucusu | Hassas klasörlerde dosya açma, silme ve yetki değişikliği |
| Veritabanı | Kişisel veri tablolarına yönetici erişimi ve toplu sorgular |
| Güvenlik duvarı ve VPN | Dışarıdan bağlantılar, VPN oturumları, engellenen erişimler |
Kayıtların güvenilir olması için
- Saat eşitlemesi: Tüm sunucu ve cihazların saati aynı kaynaktan (NTP) eşitlenmelidir; aksi halde farklı sistemlerdeki olaylar birbiriyle ilişkilendirilemez.
- Merkezi toplama: Kayıtlar üretildikleri sistemde kalırsa, o sistemi ele geçiren biri izlerini silebilir. Kayıtları ayrı bir log sunucusunda veya log yönetim sisteminde toplayın.
- Değiştirilemezlik: Kayıtların sonradan değiştirilmediğini gösterebilmek için yazma korumalı depolama veya bütünlük doğrulaması kullanın.
- Erişim kısıtlaması: Log kayıtları da kişisel veri içerir. Yalnızca yetkili kişiler görebilmeli ve kayıtlara erişim de kayıt altına alınmalıdır.
- Saklama süresi: Ne kadar süre saklanacağını hukuk danışmanınızla birlikte belirleyin ve süresi dolan kayıtları düzenli olarak imha edin.
Kayıt tutmak yetmez, incelemek gerekir
Hiç bakılmayan kayıtlar yalnızca olaydan sonra işe yarar. Başarısız oturum açma artışları, mesai dışında yapılan toplu veri dışa aktarımları ve yönetici gruplarına yeni eklenen hesaplar gibi olaylar için uyarı tanımlayın ve haftalık kısa bir gözden geçirme düzeni kurun.
Örneğin varsayımsal bir şirkette ayrılmak üzere olan bir çalışanın son haftasında CRM’den tüm müşteri listesini dışa aktardığı, ancak bunun ancak aylar sonra fark edildiği düşünülebilir. Dışa aktarma kayıtları tutuluyor ve toplu dışa aktarmalar için uyarı tanımlı olsaydı, olay aynı gün görülebilirdi.
KVKK teknik tedbirleri hizmetimiz kapsamında kayıt tutma düzeninizi sistemlerinize göre birlikte kurabiliriz.