KVKK teknik tedbirler: BT ekibi için kontrol listesi

6698 sayılı Kişisel Verilerin Korunması Kanunu, veri sorumlularından kişisel verileri korumak için “uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri” almalarını ister. Kanun bu tedbirlerin ne olduğunu saymaz. Bu boşluğu Kişisel Verileri Koruma Kurumu’nun yayımladığı Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) doldurur. Rehber, teknik tedbirleri bir özet tabloda toplar. Bu yazıda o tabloyu BT ekibinin gerçekten uygulayabileceği bir kontrol listesine çeviriyor, her başlığın altyapıdaki karşılığını gösteriyoruz. Kanunun genel çerçevesini merak ediyorsanız önce KVKK nedir? yazımıza göz atabilirsiniz.

Rehber teknik tedbir olarak neleri sayıyor?

Rehberin özet tablosunda teknik tedbirler şu başlıklarla yer alır: yetki matrisi, yetki kontrol, erişim logları, kullanıcı hesap yönetimi, ağ güvenliği, uygulama güvenliği, şifreleme, sızma testi, saldırı tespit ve önleme sistemleri, log kayıtları, veri maskeleme, veri kaybı önleme yazılımları, yedekleme, güvenlik duvarları, güncel anti-virüs sistemleri, silme, yok etme veya anonim hale getirme ve anahtar yönetimi.

Rehber, tek bir güvenlik ürünüyle tam güvenlik sağlanabileceği görüşünün her zaman doğru olmadığını vurgular ve birbirini tamamlayan, düzenli olarak kontrol edilen tedbirleri önerir. Ayrıca tedbirler belirlenirken kişisel verinin niteliğinin ve saklandığı ortamın dikkate alınmasını ister. Yani her başlık her kurumda aynı derinlikte uygulanmaz; ama her başlık için “bizde bunun karşılığı ne?” sorusunun bir cevabı olmalıdır.

Aşağıdaki başlıklar rehberin 17 maddesini beş grupta topluyor. Her grubun sonunda kısa bir kontrol listesi var.

Erişim: kim, neye, ne kadar erişebilir?

Rehber, çalışanlara yalnızca işleri için gerekli olduğu ölçüde erişim yetkisi tanınmasını, bunun için bir erişim yetki ve kontrol matrisi hazırlanmasını önerir. Güçlü parola, başarısız giriş denemelerinin sınırlandırılması, yönetici yetkisinin yalnızca ihtiyaç anında kullanılması ve işten ayrılan çalışanların hesaplarının vakit kaybetmeden kapatılması aynı başlığın parçalarıdır. Kurum’un 2022 tarihli kullanıcı güvenliği duyurusu da iki faktörlü kimlik doğrulamayı ve başarısız giriş sınırlarını ayrıca tavsiye eder.

• Departman ve rol bazında bir yetki matrisi var mı, en son ne zaman gözden geçirildi?
• Dosya sunucusu ve ERP yetkileri bu matrise göre mi verilmiş, yoksa zamanla birikmiş mi?
• İşten ayrılan personelin hesabı aynı gün kapatılıyor mu? Bunu kim, hangi kayıtla yapıyor?
• Yönetici hesapları günlük kullanıcı hesaplarından ayrı mı? Paylaşılan “admin” parolası var mı?
• Uzaktan erişimde ve e-postada çok faktörlü kimlik doğrulama açık mı?

Bu başlığın altyapıdaki karşılığı kimlik ve erişim yönetimi çözümleridir: Active Directory hesaplarının düzenli yönetimi ve ayrıcalıklı hesapların parolalarının kasada tutulup oturumlarının kayıt altına alınması.

Ağ ve uygulama güvenliği

Rehber, internetten gelen izinsiz erişime karşı öncelikli tedbir olarak güvenlik duvarı ve ağ geçidini gösterir. Kullanılmayan yazılım ve servislerin kaldırılmasını, yama yönetimini, kişisel veri içeren ağ bölümlerinin ayrılmasını, düzenli zafiyet taraması ve sızma testini, güncel tutulan anti-virüs ürünlerini ve web ya da mobil kanallardan veri toplanıyorsa bağlantıların SSL veya daha güvenli bir yolla kurulmasını ister.

• Güvenlik duvarında saldırı tespit ve önleme (IPS) açık ve imzaları güncel mi?
• Kişisel veri işleyen sunucular misafir Wi-Fi ve üretim ağından ayrı bir bölümde mi?
• Sunucu ve bilgisayarların güncellemeleri planlı olarak uygulanıyor mu, desteği biten sistem kaldı mı?
• Tüm uç noktalarda anti-virüs kurulu, güncel ve merkezi konsoldan izleniyor mu?
• Son sızma testi ne zaman yapıldı, bulgular kapatıldı mı?

Karşılıkları: ağ güvenliği tarafında FortiGate gibi yeni nesil güvenlik duvarları, uç tarafta ise uç nokta güvenliği.

Kayıt ve izleme: ne olduğunu gösterebiliyor musunuz?

Rehber, tüm kullanıcıların işlem hareketlerinin düzenli olarak kayıt altına alınmasını, güvenlik yazılımı uyarılarının ve erişim kayıtlarının düzenli kontrol edilmesini ve bir olay yaşandığında delillerin toplanıp güvenli şekilde saklanmasını ister. Çalışanların fark ettikleri güvenlik zafiyetlerini bildirebileceği resmi bir raporlama yolu olması da bu başlığın parçasıdır.

• Güvenlik duvarı, sunucu ve etki alanı kayıtları merkezi bir yerde toplanıyor mu?
• Kayıtlar ne kadar süre saklanıyor ve değiştirilmeye karşı korunuyor mu?
• Kritik uyarıları kim, hangi sıklıkla inceliyor?
• Bir ihlal şüphesinde “kim, ne zaman, hangi dosyaya erişti?” sorusuna cevap verebiliyor musunuz?

Karşılıkları: Firewall Analyzer ile güvenlik duvarı kayıtlarının analizi ve 5651 loglama altyapısı. Konunun temelini loglama nedir? yazımızda anlattık.

Verinin kendisi: şifreleme, maskeleme, sızıntı önleme

Rehber, kaybolma ve çalınmaya karşı cihazlarda şifreleme kullanılmasını, şifre anahtarlarının yalnızca yetkililerin erişebildiği bir ortamda tutulmasını ve uluslararası kabul görmüş şifreleme yöntemlerinin tercih edilmesini önerir. Bulutta tutulan kişisel veriler için şifreleme ve uzaktan erişimde iki kademeli kimlik doğrulama ayrıca vurgulanır. Veri maskeleme ve veri kaybı önleme yazılımları da tabloda ayrı başlıklardır.

• Dizüstü bilgisayarlarda tam disk şifrelemesi açık mı, kurtarma anahtarları nerede?
• USB belleklere ve kişisel bulut hesaplarına kişisel veri çıkışı izleniyor ya da sınırlanıyor mu?
• Test ortamlarında gerçek müşteri verisi yerine maskelenmiş veri mi kullanılıyor?
• Kişisel verinin hangi klasörlerde ve sistemlerde durduğunu biliyor musunuz?

Karşılığı: Safetica DLP, hassas veriyi bulur, e-posta, USB, bulut ve yazıcı üzerinden hareketini izler ve kurala göre uyarır ya da engeller.

Yedekleme ve imha

Rehberin yedekleme bölümü oldukça nettir: Veri zarar gördüğünde en kısa sürede faaliyete dönebilmek için yedek gerekir, fidye yazılımlarına karşı bir yedekleme stratejisi geliştirilmelidir, yedeklere yalnızca sistem yöneticisi erişebilmeli ve veri seti yedekleri ağ dışında tutulmalıdır. Aynı tabloda silme, yok etme veya anonim hale getirme de teknik tedbir olarak yer alır. Bakım ya da onarım için servise gönderilen bir cihazda bile rehber, veri taşıyan diskin sökülüp saklanmasını önerir.

• Kişisel veri içeren sistemlerin yedeği alınıyor ve en az bir kopyası ağ dışında ya da değiştirilemez mi?
• Yedekleme sistemine erişim, günlük kullanıcı hesaplarından ayrı mı?
• Son geri yükleme testi ne zaman yapıldı?
• Saklama süresi dolan veriler için bir imha süreci ve kaydı var mı? Bu süre yedeklerde de uygulanıyor mu?
• Arızalı disk ve eski bilgisayarlar veriler güvenli şekilde silinmeden dışarı çıkıyor mu?

Karşılığı: yedekleme çözümlerimiz ve bir kopyanın Türkiye’deki veri merkezinde durduğu UnnaBulut.

Nereden başlamalı?

Kontrol listesinin tamamını bir ayda kapatmaya çalışmayın. Önce kişisel verinin nerede durduğunu çıkarın; çünkü şifreleme, yetki ve yedekleme kararlarının hepsi bu haritaya bağlıdır. Ardından en büyük riski taşıyan birkaç başlığı seçin: çoğu işletmede bunlar ayrılan personelin hesapları, ağ içinde duran yedekler ve merkezi olmayan kayıtlardır. Her tedbiri uyguladıktan sonra kanıtını saklayın: yapılandırma ekran görüntüsü, rapor, test kaydı. Denetimde ve olası bir ihlalde işinize yarayacak olan budur.

Özet: tedbir ve altyapıdaki karşılığı

ISO 27001 ve KVKK çalışmalarında bu listeyi sizin altyapınıza göre önceliklendiriyor, tedbirleri uyguluyor ve her birini denetime hazır şekilde belgeliyoruz.

Bu yazı teknik bir rehberdir, hukuki görüş değildir. Hangi tedbirin sizin için zorunlu olduğu, saklama ve imha süreleri, ihlal bildirimi gibi konular güncel mevzuata ve Kurul kararlarına göre değişebilir. Bu değerlendirmeleri mutlaka hukuk danışmanınızla birlikte yapın.