Pazartesi sabahı muhasebe sunucusundaki dosyaların uzantıları değişmiş. Ya da bir müşteri, adına gönderilmiş sahte bir faturadan söz ediyor. Ya da bir çalışanın e-posta hesabından yüzlerce kişiye bağlantı gitmiş. Hangisi olursa olsun, kişisel veri içeren bir sistemde yetkisiz erişim şüphesi varsa saat işlemeye başlamıştır. Kişisel Verileri Koruma Kurulu, ihlalin veri sorumlusu tarafından öğrenildiği andan itibaren en geç 72 saat içinde Kurul’a bildirilmesini bekler. Bu yazıda o 72 saatin BT, yönetim ve hukuk açısından nasıl geçirilmesi gerektiğini adım adım anlatıyoruz. Önleyici tedbirleri KVKK teknik tedbirler kontrol listemizde ele aldık; bu yazı, tedbirlere rağmen bir şey olduğunda ne yapılacağıyla ilgilidir.
72 saat nereden geliyor?
6698 sayılı Kanun’un 12. maddesi, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kurul’a bildirmesini ister. Kurul, 24.01.2019 tarihli ve 2019/10 sayılı kararıyla “en kısa süre” ifadesini 72 saat olarak yorumlamıştır. Kararın BT ekibini doğrudan ilgilendiren başlıca noktaları şunlardır:
- Süre, ihlalin öğrenildiği tarihten itibaren başlar; olayın gerçekleştiği tarihten değil. Bu yüzden “ne zaman fark ettik?” sorusunun cevabı kayıtlı olmalıdır.
- Bildirim, Kurum’un internet sitesinde yayımlanan Kişisel Veri İhlal Bildirim Formu ile yapılır. Tüm bilgiler aynı anda sağlanamıyorsa aşamalı olarak sunulabilir.
- 72 saat içinde bildirim yapılamazsa, bildirimle birlikte gecikmenin gerekçesi de açıklanır.
- Etkilenen kişiler belirlendikten sonra onlara makul en kısa sürede, doğrudan ya da uygun bir kanalla bilgi verilir.
- İhlal bir veri işleyen nezdinde, örneğin bir hizmet sağlayıcıda gerçekleşirse, veri işleyen durumu gecikmeksizin veri sorumlusuna bildirir.
- İhlale ilişkin hususlar, etkileri ve alınan önlemler kayıt altına alınır ve Kurul incelemesine hazır tutulur.
- Veri sorumlusunun, raporlama sorumluluğunu da kapsayan bir ihlal müdahale planı hazırlaması ve bunu düzenli olarak gözden geçirmesi beklenir.
Hangi olayın bildirim gerektiren bir ihlal olduğu hukuki bir değerlendirmedir. BT ekibinin görevi bu değerlendirmeyi doğru ve hızlı yapılabilir kılacak bilgiyi üretmektir.
İlk saatler: sınırla, ama kanıtı silme
İlk refleks genellikle “her şeyi kapat, yeniden kur” olur. Bu hem yayılmayı durdurmayabilir hem de olayın kapsamını gösterecek izleri siler. İlk saatlerde yapılacaklar:
- Olay sorumlusunu belirleyin. Kararları kim verecek, yönetimi ve hukuk danışmanını kim bilgilendirecek? Tek bir koordinatör olmalıdır.
- Zamanı kaydedin. İhlalin ne zaman, kim tarafından, hangi bulguyla fark edildiğini yazın. 72 saatin başlangıcı bu kayıttır.
- Etkilenen sistemleri ağdan ayırın. Sunucuyu kapatmak yerine ağ bağlantısını kesin; bellek ve disk üzerindeki izler korunur. Fidye yazılımı şüphesinde yedekleme sistemini üretim ağından hemen ayırın.
- Ele geçirilmiş olabilecek hesapları kilitleyin. Şüpheli kullanıcı ve yönetici hesaplarının şifrelerini değiştirin, oturumlarını sonlandırın. Dış firma ve VPN hesaplarını da gözden geçirin.
- Kayıtları güvenceye alın. Güvenlik duvarı, sunucu, etki alanı ve e-posta kayıtlarının üzerine yazılmadan kopyasını alın. Kayıtlar bu olayın kanıtıdır.
Bu adımları olay anında ilk kez düşünmek zordur. Kimin kimi arayacağını, hangi sistemin nasıl ayrılacağını önceden yazılı hâle getirin. İş sürekliliği planı yazımız bu hazırlığın genel çerçevesini anlatır.
İlk gün: ne oldu, hangi veri etkilendi?
Kurul’a yapılacak bildirimde ve yönetimin kararlarında en çok ihtiyaç duyulan bilgi, olayın kapsamıdır. İlk 24 saatte şu soruların cevabını arayın:
- Saldırgan ya da yetkisiz kişi ilk nereden girdi? Kimlik avı e-postası mı, internete açık bir uzak masaüstü portu mu, ele geçirilmiş bir tedarikçi hesabı mı?
- Hangi sistemlere erişildi? Kişisel veri içeren veritabanları, dosya sunucuları ya da e-posta kutuları bunların arasında mı?
- Veri yalnızca şifrelendi mi, yoksa dışarı da çıkarıldı mı? Güvenlik duvarı kayıtlarında olağan dışı büyük veri çıkışı var mı?
- Hangi veri kategorileri etkilendi (kimlik, iletişim, finans, sağlık) ve yaklaşık kaç kişi?
- Olay ne zaman başladı? Bulgular olayın fark edilmesinden çok önceye mi uzanıyor?
Bu soruların cevabı, kayıtların varlığına ve saklandığı süreye bağlıdır. Güvenlik duvarı kayıtlarını Firewall Analyzer ile analiz eder, 5651 loglama altyapısındaki kayıtlardan belirli bir saatteki bağlantıları çıkarırız. Uç nokta güvenlik ürünlerinin olay kayıtları da hangi bilgisayardan başlandığını gösterir. Kayıt tutulmayan bir ortamda kapsamı belirlemek çoğu zaman mümkün olmaz ve en kötü senaryoyu varsaymak gerekir.
İkinci ve üçüncü gün: bildirime hazırlık ve geri dönüş
Bildirim dosyasını hazırlayın
BT ekibi, hukuk danışmanının Kişisel Veri İhlal Bildirim Formu’nu doldurabilmesi için teknik bir özet hazırlar: olayın zaman çizelgesi, etkilenen sistemler, veri kategorileri, tahmini kişi sayısı, alınan önlemler ve devam eden incelemeler. Bilinmeyenleri “bilinmiyor, inceleniyor” diye açıkça yazın; aşamalı bildirim bu durum için vardır.
Temiz kaynaktan geri dönün
Sistemleri, olaydan etkilenmediğinden emin olduğunuz yedeklerden geri yükleyin. Geri yüklemeden önce giriş noktasının kapatıldığından emin olun; aksi hâlde aynı saldırgan aynı yoldan yeniden girer. Geri yüklenen sistemlerde tüm yönetici şifrelerini değiştirin. Burada yedekleme stratejinizin gerçek testi yaşanır: yedeğin bir kopyasının ağ dışında ya da değiştirilemez olması, geri dönüşü günlerden saatlere indirebilir. Konunun ayrıntısı fidye yazılımından korunma ve 3-2-1-1-0 yedekleme kuralı yazılarımızda.
İlgili kişileri hazırlayın
Etkilenen kişilere yapılacak bilgilendirmenin metnini hukuk danışmanıyla birlikte hazırlayın. İletişim kanalını ve çağrı merkezine ya da müşteri temsilcilerine verilecek cevapları önceden belirleyin.
72 saatlik zaman çizelgesi
| Zaman | BT ekibi | Yönetim ve hukuk |
|---|---|---|
| İlk saatler | Sistemleri ağdan ayırma, hesap kilitleme, kayıtların kopyası | Olay sorumlusu atama, hukuk danışmanını bilgilendirme, fark etme zamanını kaydetme |
| İlk gün | Giriş noktası, etkilenen sistemler, veri çıkışı analizi | Etkilenen veri kategorileri ve kişi sayısı üzerine ön değerlendirme |
| İkinci gün | Giriş noktasını kapatma, temiz yedekten geri dönüş planı | Bildirim gerekip gerekmediğine karar, bildirim formu taslağı |
| Üçüncü gün | Teknik özetin tamamlanması, geri dönüş | Kurul’a bildirim (en geç 72. saatte; hazırsa daha önce), ilgili kişilere bilgilendirme hazırlığı |
| Sonrası | Kök neden analizi, kalıcı tedbirler | Kayıtların saklanması, müdahale planının güncellenmesi |
Olaydan önce hazırlanmak
72 saat, hazırlığı olan bir kurum için yeterli, hazırlığı olmayan için çok kısadır. Şimdiden yapabilecekleriniz:
- Yazılı bir ihlal müdahale planı hazırlayın: kim, kimi, hangi sırayla arar? Plan, Kurul kararının da beklediği bir belgedir.
- Güvenlik duvarı, sunucu, etki alanı ve e-posta kayıtlarını merkezi bir yerde, değiştirilmeye karşı korunarak saklayın.
- Yedeklerin bir kopyasını ağ dışında tutun ve geri yüklemeyi düzenli olarak test edin.
- Yönetici hesaplarını ve dış firma erişimlerini kayıt altına alın; ayrıcalıklı oturumların kaydı, olay incelemesinde en değerli kanıtlardan biridir.
- Yılda en az bir kez, bir masa başı tatbikatıyla planı deneyin.
Unna ile olay müdahalesine hazırlık
Önce dinleriz: kişisel verinin hangi sistemlerde durduğunu ve bugün hangi kayıtları tuttuğunuzu birlikte çıkarırız. Birlikte planlarız: müdahale adımlarını, iletişim listesini ve sistemlerin ayrılma yöntemini yazılı hâle getiririz. Uygularız: kayıt, yedekleme ve erişim tedbirlerini altyapınıza kurarız. Yanınızda kalırız: olası bir olayda teknik incelemede ve geri dönüşte ekibinizle birlikte çalışırız. Uyum çalışmalarının bütünü için ISO 27001 ve KVKK sayfamıza, geri dönüş için felaket kurtarma çözümlerimize göz atabilirsiniz.
Bu yazı teknik bir rehberdir, hukuki görüş değildir. Bir olayın bildirim gerektiren bir ihlal olup olmadığı, bildirimin içeriği, ilgili kişilere bildirim ve olası yaptırımlar güncel mevzuata ve Kurul kararlarına göre değerlendirilmelidir. Bu kararları mutlaka hukuk danışmanınızla birlikte verin.
