Bilgi Güvenliği ve Veri İhlali Yönetimi

Veri güvenliği, KVKK’nın veri sorumlusuna yüklediği en temel yükümlülüktür ve bir ihlal yaşandığında şirketin ilk sorulacağı soru, gerekli tedbirleri alıp almadığıdır. Bilgi güvenliği politikalarınızı hazırlıyor, alınması gereken teknik ve idari tedbirleri belirliyor, sızma testi ve zafiyet analizlerini koordine ediyoruz. Bir veri ihlali yaşandığında ise ilk saatlerden Kurul’a bildirime kadar süreci sizinle birlikte yönetiyoruz.

Kişisel veri ihlali nedir?

Kişisel veri ihlali, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesidir. Bir siber saldırı, fidye yazılımı, yanlış kişiye gönderilen bir e-posta, kaybolan bir dizüstü bilgisayar veya yetkisiz bir çalışanın verilere erişmesi ihlale yol açabilir.

KVKK’nın 12. maddesi uyarınca veri sorumlusu ihlali en kısa sürede ilgili kişiye ve Kurul’a bildirmek zorundadır. Kurul bu süreyi, ihlalin öğrenilmesinden itibaren 72 saat olarak yorumlamıştır. Bildirim Kurul’un Veri İhlali Bildirim Formu ile yapılır; gecikme olursa gerekçesi de bildirilmelidir.

Teknik ve idari tedbirler nelerdir?

Teknik tedbirler yetki ve erişim yönetimi, şifreleme, kayıt (log) tutma, yedekleme, ağ ve uygulama güvenliği gibi bilgi sistemlerine ilişkin önlemlerdir. İdari tedbirler ise politikalar, prosedürler, çalışan eğitimleri, gizlilik taahhütleri ve veri işleyenlerle yapılan sözleşmeler gibi kurumsal önlemlerdir. Kurul’un Kişisel Veri Güvenliği Rehberi bu tedbirleri ayrıntılı olarak sayar.

Kapsam

Bilgi güvenliği politikalarının hazırlanması, teknik ve idari tedbirlerin belirlenmesi, sızma testi ve zafiyet analizlerinin koordinasyonu
Kişisel veri güvenliği ihlallerine ilişkin aksiyon planlarının hazırlanması ve veri ihlali bildirim süreçlerinin yürütülmesi
İhlal sonrasında Kurul incelemesinde şirketin temsili

Nasıl Çalışıyoruz

Mevcut teknik ve idari tedbirlerin Kurul rehberi esas alınarak değerlendirilmesi
Eksik tedbirlerin önceliklendirilmesi ve bilgi teknolojileri ekibiyle birlikte eylem planı hazırlanması
Bilgi güvenliği politikası, erişim yetki matrisi ve ihlal müdahale prosedürünün yazılması
İhlal anında izlenecek adımların, sorumluların ve iletişim zincirinin belirlenmesi; tatbikat
İhlal yaşandığında etki analizi, Kurul’a ve ilgili kişilere bildirim ve sonrasındaki yazışmaların yürütülmesi

Ekip

Ali Gül Kurucu Ortak

Buse Yüceer Avukat

Burcu Kulotu Avukat

Sık Sorulan Sorular

Her veri ihlalini Kurul'a bildirmek zorunda mıyız?

KVKK, Avrupa'daki GDPR'dan farklı olarak düşük riskli ihlaller için bir bildirim istisnası öngörmez. Kişisel veriler kanuni olmayan yollarla başkaları tarafından elde edilmişse bildirim yapılması gerekir. Bildirim yapılıp yapılmayacağı konusunda tereddüt varsa, 72 saatlik süre geçmeden hukuki değerlendirme alınmalıdır.

72 saat ne zaman başlar?

Sürenin başlangıcı, veri sorumlusunun ihlali öğrendiği andır. İhlalin tüm ayrıntıları henüz belli değilse bildirim eldeki bilgilerle yapılır, eksik bilgiler sonradan tamamlanır.

İhlali ilgili kişilere nasıl bildirmeliyiz?

İlgili kişiye bildirim, ihlalden etkilenen kişiler tespit edildikten sonra makul olan en kısa sürede yapılır. Kişinin iletişim adresi biliniyorsa doğrudan, bilinmiyorsa veri sorumlusunun internet sitesi gibi uygun yollarla bildirilir. Bildirimde ihlalin ne zaman ve nasıl gerçekleştiği, etkilenen veriler, olası sonuçlar ve alınan önlemler açık ve sade bir dille anlatılmalıdır.

Sızma testini siz mi yapıyorsunuz?

Hayır. Sızma testi ve zafiyet analizlerini bu alanda uzman teknik firmalar yapar. Biz testin kapsamının hukuki yükümlülüklere göre belirlenmesini, test firmasıyla yapılacak sözleşmeyi ve çıkan bulguların KVKK açısından değerlendirilmesini koordine ediyoruz.

Bu hizmet hakkında görüşmek ister misiniz? Bizimle bir görüşme planlayın, ilk görüşme ücretsizdir.

Görüşme Planla