KVKK Uyumu İçin BT Tarafında Atılması Gereken 8 Adım

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel veri işleyen tüm işletmelere çeşitli yükümlülükler getirir. Aydınlatma metinleri ve açık rıza gibi konular hukuk ekiplerinin gündemindeyken, kanunun veri güvenliğine ilişkin yükümlülükleri büyük ölçüde BT altyapısıyla karşılanır.

Kanun, veri sorumlularının kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ile verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almasını öngörür. Peki bu pratikte ne anlama geliyor?

1. Veri envanteri çıkarın

Hangi kişisel verileri, hangi sistemlerde, kimlerin erişimiyle ve ne kadar süre tuttuğunuzu bilmeden koruyamazsınız. BT ekibi; ERP, CRM, e-posta, dosya sunucuları, yedekler ve bulut hizmetlerindeki verilerin haritasını çıkarmada kilit rol oynar.

2. Erişimi yetkiyle sınırlayın

• Her çalışan yalnızca işi için gereken verilere erişebilmeli,
• Ortak hesaplar kaldırılmalı, kişiye özel hesaplar kullanılmalı,
• İşten ayrılan personelin erişimleri aynı gün kapatılmalı,
• Yetkiler düzenli aralıklarla gözden geçirilmelidir.

3. Kimlik doğrulamayı güçlendirin

Güçlü parola politikaları ve özellikle uzaktan erişimde, e-postada ve yönetim panellerinde çok faktörlü doğrulama (MFA) zorunlu hale getirilmelidir.

4. Verileri şifreleyin

• Dizüstü bilgisayarlarda ve taşınabilir cihazlarda disk şifreleme,
• Web siteleri ve uygulamalarda HTTPS,
• Özel nitelikli kişisel veriler (sağlık, biyometrik veriler vb.) için ek şifreleme ve erişim kontrolleri uygulanmalıdır.

5. Kayıt tutun ve izleyin

Kim, hangi veriye, ne zaman erişti? Bu sorunun yanıtını verebilmek için sistem, uygulama ve güvenlik cihazı kayıtları merkezi olarak toplanmalı ve makul bir süre saklanmalıdır. Kayıtlar, bir ihlal şüphesinde olayın kapsamını belirlemenin tek yoludur.

6. Yedekleme ve imha süreçlerini tanımlayın

Kişisel veriler, işlenme amacı ortadan kalktığında silinmeli, yok edilmeli veya anonim hale getirilmelidir. Bu yükümlülük yedekleri de kapsar. Saklama sürelerini belirleyen bir politika ve bu sürelere uygun yedekleme düzeni oluşturulmalıdır.

7. Üçüncü taraflara dikkat edin

Bulut hizmetleri, yazılım sağlayıcıları ve dış kaynak BT firmaları da kişisel verilerinize erişebilir. Bu taraflarla yapılan sözleşmelerde veri güvenliği yükümlülükleri açıkça tanımlanmalı, yurt dışına veri aktarımı söz konusuysa mevzuattaki aktarım şartları değerlendirilmelidir.

8. İhlal müdahale planı hazırlayın

Kişisel veri ihlali yaşandığında Kişisel Verileri Koruma Kurulu'na en kısa sürede ve en geç 72 saat içinde bildirim yapılması beklenir; ilgili kişilerin de makul süre içinde bilgilendirilmesi gerekir. Bu sürede hareket edebilmek için:

• İhlali kimin tespit edip kime bildireceği,
• Etkilenen sistem ve verilerin nasıl belirleneceği,
• Hukuk ve yönetimle iletişimin nasıl kurulacağı

önceden yazılı hale getirilmelidir.

Sonuç

KVKK uyumu bir defalık bir proje değil, sürekli işleyen bir süreçtir. Veri envanteri, yetki yönetimi, MFA, şifreleme, kayıt tutma, imha politikası ve ihlal planı; teknik tedbirlerin temelini oluşturur. Hukuk ve BT ekiplerinin birlikte çalışması, hem yasal riskleri hem de itibar kayıplarını en aza indirir.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Kurumunuza özel değerlendirme için hukuk danışmanınızla birlikte çalışmanızı öneririz.

KVKK kapsamındaki teknik tedbirlerin altyapınızda uygulanması için Gray Group BT ekibinden destek alabilirsiniz.