Bilkomsis rehberleri
KVKK teknik tedbirleri: Şirketler için kontrol listesi
KVKK, kişisel verilerin güvenliği için veri sorumlusundan hem idari hem teknik tedbirler almasını bekler. Hangi tedbirin gerektiğine dair hukuki değerlendirme hukuk veya KVKK danışmanınıza aittir. Bu rehber, kararlaştırılan teknik tedbirlerin IT sistemlerinde nasıl uygulanacağına odaklanır. Kurum’un yayımladığı güncel rehberlere kvkk.gov.tr üzerinden ulaşabilirsiniz.
Kişisel verinin nerede durduğunu bilin
Tedbir almadan önce kişisel verilerin hangi sistemlerde bulunduğunu çıkarın: dosya sunucuları, ERP ve muhasebe yazılımları, e-posta kutuları, paylaşılan klasörler, yedekler ve dizüstü bilgisayarlar. Veri envanterindeki her kayıt, sorumlu birimi ve saklama süresini de içermelidir.
Teknik tedbirler kontrol listesi
| Tedbir | IT tarafında uygulama örneği |
|---|---|
| Yetkilendirme | Klasör ve uygulama yetkilerinin rol bazlı ve “en az yetki” ilkesiyle verilmesi |
| Kimlik doğrulama | Kritik sistemlerde çok faktörlü doğrulama, ortak hesapların kaldırılması |
| Erişim kayıtları | Kişisel veri içeren sistemlerde erişim ve işlem kayıtlarının tutulması ve korunması |
| Şifreleme | Dizüstü bilgisayarlarda disk şifreleme, yedeklerin ve veri aktarımının şifrelenmesi |
| Yedekleme | Düzenli yedek, ayrı ortamda kopya ve geri yükleme testleri |
| Ağ güvenliği | Güvenlik duvarı kuralları, ağ bölümlendirme, uzaktan erişimin VPN ile sınırlandırılması |
| Güncelleme ve zafiyet yönetimi | Sistemlerin güncel tutulması, düzenli zafiyet taraması |
| Saklama ve imha | Süresi dolan verilerin sistemlerden ve yedeklerden planlı şekilde silinmesi |
İşten ayrılış ve görev değişikliklerini sürece bağlayın
Yetkiler çoğu zaman verilirken dikkat edilir, ama geri alınırken unutulur. İnsan kaynakları sürecine bağlı bir kontrol listesiyle işten ayrılan veya görevi değişen çalışanın erişimlerini aynı gün güncelleyin. Yetkileri yılda en az bir kez sorumlu birimlerle birlikte gözden geçirin.
Uyguladığınızı kanıtlayabilin
Bir denetimde veya veri ihlali şüphesinde, tedbirin var olduğunu göstermek kadar düzenli uygulandığını kanıtlamak da önemlidir. Yetki gözden geçirme tutanaklarını, yedek test sonuçlarını, zafiyet tarama raporlarını ve imha kayıtlarını tarihli olarak saklayın.
Örneğin varsayımsal bir şirkette personel özlük dosyaları herkesin erişebildiği ortak bir klasörde bulunuyorsa, ilk adım klasörü ayırmak ve erişimi insan kaynakları ekibiyle sınırlamaktır. Ardından bu klasöre erişim kayıtları açılır ve eski kopyalar temizlenir.
Veri ihlali için hazırlıklı olun
Bir ihlal fark edildiğinde kimin haberdar edileceğini, kayıtların nasıl korunacağını ve teknik incelemenin nasıl yapılacağını önceden yazın. Kurul’a ve ilgili kişilere bildirim yükümlülüğü ile süreleri hukuk danışmanınızla birlikte netleştirin.
KVKK teknik tedbirleri hizmetimiz kapsamında KVKK teknik tedbirlerinin sistemlerinizde uygulanmasını planlayabiliriz.