KVKK Teknik Tedbirler

KVKK Teknik Tedbiler

Günümüzün en büyük soru ve sorunlarından biri olan kişisel mahremiyet ile ilgili dünya genelinde yapılan yasal düzenlemelerin, ülkemizdeki yorumu olan KVKK (kişisel verileri koruma kanunu) hakkında daha önce birkaç makale ile sizlere ulaşmıştık. Bugün biraz daha detaya inip işletmelerin KVKK ile ilgili alması gereken teknik tedbirlere değineceğiz.

Tedbirler kısmına geçmeden önce KVKK ile ilgili ortaya çıkan kafa karışıklığını gidermek amacıyla kurumun hazırladığı sıkça sorulan sorular dokümanına bakmanızda da fayda olacaktır. İlgili dokumana bu bağlantıdan erişebilir veya indirebilirsiniz.

KVKK’ya uyum noktasında kurumun hazırladığı rehberde belirtilen ve kanunlaştırılan tedbirler idari ve teknik tedbirler olarak ikiye ayrılıyor. KVKK idari tedbirler daha çok sözleşmeler ve hukuki konular üzerinden ele alınacağı için biz sadece teknik tedbirlerden bahsedeceğiz.

KVKK için kurum genel prosedürü şu şekilde özetleyebiliriz;

• İşletmenizde kişisel veri barındırıyor musunuz?
• Cevabınız evet ise bu veriyi neden barındırıyorsunuz?
• Ne kadar süre ile elinizde tutacaksınız?
• Bu veriyi elinizde tuttuğunuzdan veri sahibinin haberi ve izni var mı?
• Bu kişisel yahut özel nitelikli kişisel verinin güvenliğini nasıl sağlıyorsunuz?
• Bu kişisel veriye kimler, nasıl erişebiliyor?
• Bu KVKK ya dahil ve denetimine tabi kişisel veriler yurt dışına nasıl saklanıyor.
• KVKK hükümleri gereğince bu veriyle ilgili olarak işletmenizin ilişki içinde olduğu taraflar aydınlatma metinleri ile bilgilendirildi mi?
• Kişisel veri imha ve anonim hale getirme prosedürünüz var mı?
• Elinizde bulunan veriler ile ilgili veri tasnifi ve sınıflandırılması yapıldı mı?
• Veri güvenliği ile ilgili tedbirleri KVKK rehberde belirtildiği gibi aldınız mı?
• Veri kaybı önleme noktasında aldığınız tedbirler nelerdir?
• Kişisel verilerin tutulduğu dijital ortamların güvenliği için sızdırmazlık testleri yapıldı mı?
• Kişisel verilerin korunması noktasında bilgi işlem, bilgi işleme ve bilgi güvenliği politikası oluşturuldu mu?
• Kişisel verilerin muhafaza ve işlenmesi noktasında ilgili personelin KVKK eğitimleri yapıldı mı?

Bu sorular ışığında her işletmenin ihtiyacı olabilecek gereksinimleri içeren teknik tedbirleri detaya girip sizleri sıkmadan özetlemek gerekirse;

• Fiziksel bir güvenlik duvarı cihazı konumlandırmak ve olabilecek en güvenli şekilde yapılandırmak
• 5651 nolu yasa gereği internet trafiğini kayıt altına almak
• Bilinen tüm virüsler için ve ransomware gibi zararlıları engelleyebilecek bir anti virüs yazılımı tüm bilgi işleyen cihaz ve bilgisayarlara konumlandırıp, yapılandırmak
• Hem anti virüs yazılımı hem de güvenlik duvarı için trafik ve tehdit izleme alt yapısının kurulması
• Veri kaybı önleme yazılımlarının ilgili bilgisayarlarda konumlandırılması
• Windows alt yapılı bilgi işlem sistemleri üzerinden active directory yapısının kurulması. Kimlik denetiminin yapılması
• Hotspot ve misafir erişim denetimi sistemlerinin devreye alınması.
• İç ve dış olmak kaydıyla birden fazla yedekleme alt yapısının kurulması, aralıklarla felaket senaryolarının devreye alınması
• Dış kullanıcılar için erişimlerin denetlenmesi
• İnternet siteleri üzerinden gerekli düzenlemelerin yapılması
• Yazılımsal veri imha sistemlerinin devreye alınması
• Penetrasyon testlerinin 6 ayda bir yapılması
• Kullanıcı veri gizliliği eğitimlerinin aralıklarla yapılması

Yukarıda prosedürel ve tedbir bağlamında özetlemeye çalıştığımız yapı ile ilgili daha fazla detay almak, sisteminizin en ince ayrıntısına kadar KVKK ‘ya uygun bir şekilde inşa edilmesi, KVKK tedbirleri ve danışmanlık hizmetleri hakkında bilgi almak için bizlere dilediğiniz zaman ulaşabilirsiniz.