KVKK Uyum ve Bilgi Güvenliği Danışmanlığı

KVKK teknik tedbirleri: bilgi güvenliği tarafında neler yapılır?

KVKK uyum danışmanlığının teknik ayağı, kişisel verinin hangi sistemlerde bulunduğunu bilmek ve bu sistemlere erişimi kontrol edip kayıt altına almaktır. MAV Cloud’un KVKK danışmanlığı bu teknik tedbirlere odaklanır:

• Veri envanteri: kişisel verinin tutulduğu uygulama, veritabanı, dosya sunucusu, e-posta ve bulut servisleri haritalanır; her sistem için veri sahibi ve erişen roller belirlenir.
• Erişim yetkilendirme: rol bazlı yetki matrisi hazırlanır, ortak kullanılan hesaplar ayrıştırılır, ayrılan personelin hesap kapatma süreci tanımlanır, kritik sistemlerde MFA uygulanır.
• Loglama: kişisel veri içeren sistemlerde kimin, ne zaman, hangi kayda eriştiği izlenebilir hale getirilir; kayıtlar merkezi olarak SIEM ve log yönetimi altyapısında saklanabilir.
• Şifreleme: dizüstü bilgisayar diskleri, yedekler ve veri aktarımları için şifreleme durumu kontrol edilir; anahtar yönetimi sorumluluğu belirlenir.
• Yedekleme: yedeklerin kapsamı, saklama yeri ve geri dönüş testleri gözden geçirilir; fidye yazılımına karşı immutable backup seçeneği değerlendirilir.

Bu tedbirler birbirine bağlıdır. Veri envanteri çıkarılmadan hangi sistemlerde loglama yapılacağı belirlenemez; yetki matrisi olmadan log kayıtlarında olağan dışı erişim ayırt edilemez. Çalışma bu yüzden envanterle başlar ve diğer adımlar envanterdeki sistem önceliklerine göre sıralanır.

Sık karşılaşılan teknik eksikler arasında ortak kullanılan yönetici hesapları, işten ayrılmış personelin açık kalan hesapları, şifrelenmemiş dizüstü bilgisayarlar, kişisel veri içeren dosya paylaşımlarında herkese açık klasörler ve hiç geri dönüş testi yapılmamış yedekler yer alır. Bu bulgular, aşağıdaki çıktılarda risk seviyesiyle birlikte raporlanır.

Kişisel verinin bulunduğu altyapı dışarıda barındırılıyorsa, sağlayıcının veri merkezi lokasyonu, erişim kayıtları ve yedekleme süreçleri de değerlendirme kapsamına alınır. MAV Cloud’un cloud ve yedekleme hizmetleri Türkiye lokasyonlu altyapıda çalıştığından, verinin nerede tutulduğu sorusu teknik olarak belgelenebilir. Bulut servislerinde ise hangi yönetim ayarlarının kurum tarafından, hangilerinin sağlayıcı tarafından yönetildiği ayrı ayrı listelenir; paylaşılan sorumluluk modeli bu şekilde görünür hale gelir.

KVKK uyum danışmanlığı teknik değerlendirme çıktıları

Değerlendirme; sistem yöneticileri ve veri sahibi birimlerle yapılan görüşmeler, yapılandırma incelemeleri ve örnek kayıt kontrolleriyle yürütülür. Sonunda kuruma yalnızca bir eksik listesi değil, uygulanabilir bir çalışma seti teslim edilir:

1. Sistem bazlı bulgu raporu: her sistem için mevcut durum, risk seviyesi ve önerilen teknik tedbir.
2. Önceliklendirilmiş aksiyon planı: hızlı kazanımlar (örneğin MFA, yetki temizliği) ile yatırım gerektiren adımlar (log altyapısı, şifreleme) ayrı ayrı planlanır.
3. Politika taslakları: erişim, parola, yedekleme ve log saklama politikaları için teknik içerik hazırlanır.
4. Doğrulama: uygulanan tedbirler gerektiğinde zafiyet taraması ile teknik olarak kontrol edilir.

Bu hizmet bilgi güvenliği ve teknik tedbirler kapsamındadır; hukuki danışmanlık yerine geçmez. Aydınlatma metinleri, açık rıza ve başvuru süreçleri gibi hukuki konular kurumun hukuk danışmanıyla birlikte ele alınır. MAV Cloud’un ISO/IEC 27001 ve ISO/IEC 27701 sertifikaları, bilgi güvenliği ve kişisel veri yönetimi süreçlerinde referans alınan çerçeveyi gösterir.

Teknik tedbirlerin mevcut durumunu Kurum rehberindeki başlıklara göre gözden geçirmek için KVKK teknik tedbirler kontrol listesi kullanılabilir; sonuç yazdırılıp iç kayıt olarak saklanabilir.