KVKK Teknik Tedbirler Kontrol Listesi: Kişisel Veri Güvenliği Öz Değerlendirmesi

6698 sayılı Kanun’un 12 nci maddesi, veri sorumlusundan kişisel verilerin güvenliği için gerekli her türlü teknik ve idari tedbiri almasını ister. Bu sayfadaki araç, kvkk teknik tedbirler başlığını Kişisel Verileri Koruma Kurumu’nun rehberine dayanan 15 maddelik bir kvkk kontrol listesine dönüştürür. Her madde Evet, Kısmen veya Hayır olarak işaretlenir; araç ağırlıklı bir puan hesaplar ve eksikleri önem sırasına göre listeler.

Yanıtlar yalnızca tarayıcıda tutulur, hiçbir sunucuya gönderilmez. Sonuç bir öz değerlendirmedir; hukuki danışmanlık yerine geçmez, uyum denetimi veya belgelendirme anlamına gelmez.

KVKK teknik tedbirler ne anlama gelir?

Teknik tedbirler, kişisel verilere yetkisiz erişimi, hukuka aykırı işlemeyi ve veri kaybını önlemek için bilgi sistemlerinde uygulanan güvenlik kontrolleridir. Dayanağı 6698 sayılı Kanun’un 12 nci maddesidir.

Kanun maddesi veri sorumlusunun üç amaç için uygun güvenlik düzeyini sağlamasını ister: hukuka aykırı işlemeyi önlemek, hukuka aykırı erişimi önlemek ve verilerin muhafazasını sağlamak (6698 sayılı Kanun, madde 12). Kanun belirli bir ürün veya yöntem saymaz; tedbirlerin kuruluşun yapısına, faaliyetine ve işlediği verinin hassasiyetine göre belirlenmesi beklenir.

Kurumun yol gösterici kaynağı Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) belgesidir ve güncel baskısı Nisan 2025 tarihlidir. Rehberin teknik tedbirler özet tablosunda yetki matrisi, erişim logları, kullanıcı hesap yönetimi, ağ ve uygulama güvenliği, şifreleme, sızma testi, saldırı tespit ve önleme, veri maskeleme, veri kaybı önleme, yedekleme, güvenlik duvarı, güncel anti-virüs, silme ve anonimleştirme ile anahtar yönetimi yer alır. Araçtaki 15 madde bu başlıklar gruplanarak oluşturulmuştur; Tablo 4.1’de ayrı bir satır olan anahtar yönetimi de araçta ayrı bir madde olarak yer alır.

Teknik ve idari tedbirler arasındaki fark

Teknik tedbirler sistemlerde çalışan kontrollerdir; idari tedbirler ise bu kontrolleri yöneten politika, sözleşme ve süreçlerdir. Bu kontrol listesi yalnızca teknik tarafı ölçer.

Rehberin idari tedbirler tablosunda kişisel veri işleme envanteri, kurumsal politikalar, veri işleyenlerle sözleşmeler, gizlilik taahhütnameleri, risk analizleri, eğitim ve farkındalık çalışmaları ile VERBİS bildirimi gibi başlıklar bulunur. Bu başlıklar araçta puanlanmaz. İki taraf birbirinden bağımsız da değildir: yetki matrisi teknik bir kontrol olsa da kimin hangi veriye neden eriştiğini idari bir erişim politikası belirler.

Kontrol listesi nasıl kullanılır?

Her madde için Evet (1), Kısmen (0,5) veya Hayır (0) seçilir; yanıtlar maddenin 1 ile 3 arasındaki ağırlığıyla çarpılır ve sonuç 0-100 arası bir puana dönüştürülür; 15 maddenin toplam ağırlığı 31’dir. Yetki matrisi, parola ve MFA, erişim logları, şifreleme ve yedekleme 3 ağırlıkla en yüksek etkiye sahip maddelerdir.

Puan 50’nin altındaysa düzey düşük, 50-79 arasında orta, 80 ve üzerindeyse yüksek olarak gösterilir. Eksikler ağırlık sırasına göre listelenir ve her eksiğin yanında kısa bir öneri ile ilgili hizmet bağlantısı yer alır. Yazdır / PDF olarak kaydet düğmesi yalnızca yanıtlarla birlikte kontrol listesini yazdırır; bu çıktı kurum içi kayıt olarak saklanabilir.

Yanıtlar, ilgili sistemin sorumlusuyla birlikte verilmelidir. Var olduğu düşünülen bir kontrolün çalıştığını gösteren bir kayıt yoksa o madde Kısmen olarak işaretlenmelidir.

Her madde için hangi kanıt saklanmalı?

Bir tedbir, onu gösteren bir kayıtla anlam kazanır. Aşağıdaki tablo araçtaki 15 maddeyi ve her biri için saklanabilecek tipik kanıtı gösterir.

Madde (ağırlık)	Saklanabilecek kanıt
Yetki matrisi ve ihtiyaç kadar erişim (3)	Güncel yetki matrisi belgesi, periyodik yetki gözden geçirme kaydı
Güçlü parola ve MFA (3)	Parola politikası ayarları, MFA kapsam listesi, ayrılan çalışan hesaplarının kapatılma kaydı
Erişim ve işlem logları (3)	Log kaynakları listesi, saklama süresi ayarı, örnek log çıktısı
Ağ güvenliği (2)	Güvenlik duvarı kural incelemesi, ağ bölümleme şeması, uzaktan erişim (VPN) yapılandırması
Aktarımda ve depolamada şifreleme (3)	TLS ayarları, disk ve veritabanı şifreleme ayarı, anahtarların nerede ve kimde tutulduğu
Şifreleme anahtarı yönetimi (2)	Anahtar envanteri, anahtara erişebilen hesap listesi, rotasyon kaydı, bulut hizmeti bitiminde anahtar imha planı
Zararlı yazılım koruması ve yama yönetimi (2)	Koruma ajanı kapsama raporu, yama uyum raporu
Saldırı tespit/önleme ve olay izleme (2)	IDS/IPS ve olay izleme kural listesi, alarm inceleme kaydı
Sızma testi ve zafiyet taraması (2)	Sızma testi raporu, bulguların kapatılma takibi, tarama raporları
Erişimi kısıtlı güvenli yedekleme (3)	Yedekleme politikası, ağdan ayrı tutulan kopyanın kaydı, geri yükleme testi kaydı, yedeğe erişebilen hesap listesi
Uygulama güvenliği (1)	Yazılım sürüm envanteri, güvenli yapılandırma kontrol kaydı
Veri kaybı önleme ve taşınabilir medya (1)	DLP veya USB kısıtlama politikası, istisna listesi
Veri maskeleme ve anonimleştirme (1)	Test ortamı maskeleme kuralları, anonim raporlama örnekleri
Silme ve yok etme süreci (2)	Saklama ve imha politikası, periyodik imha tutanakları
Sunucu odası ve saklama ortamlarının fiziksel güvenliği (1)	Giriş-çıkış kayıtları, yetkili personel listesi, onarıma giden cihazlardan depolama biriminin sökülme kaydı

Eksikler hangi sırayla kapatılmalı?

Önce ağırlığı yüksek ve Hayır işaretli maddeler ele alınmalıdır; bunlar yetkisiz erişimi ve veri kaybını doğrudan etkiler. Aracın eksik listesi bu sırayı izler.

Uygulamada üç grup öne çıkar. Kimlik ve erişim tarafında MFA, yetki matrisi ve ayrılan çalışan hesaplarının zamanında kapatılması kısa sürede uygulanabilir. Görünürlük tarafında erişim logları ve olay izleme olmadan bir ihlalin ne zaman ve nasıl gerçekleştiği anlaşılamaz; bu konu SIEM ve log yönetimi ile ele alınabilir. Dayanıklılık tarafında yedeklerin ağdan ayrı ve erişimi kısıtlı tutulması, geri yüklemenin de test edilmesi gerekir; yedeklemenin KVKK açısından ayrıntıları KVKK uyumlu veri yedekleme rehberinde anlatılıyor.

Kısmen işaretli maddeler çoğu zaman en hızlı kazanımdır: kontrol vardır ama kapsamı eksiktir ya da kaydı tutulmamıştır. Rehber zafiyet taramaları ve sızma testlerinin düzenli yapılmasını önerir; penetrasyon testi raporu aynı zamanda tablodaki kanıtlardan biridir.

Veri ihlali bildirimi ile teknik tedbirlerin ilişkisi

Teknik tedbirler bir ihlalin hem önlenmesini hem de zamanında bildirilmesini mümkün kılar. Kanun’un 12 nci maddesinin beşinci fıkrası, verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde veri sorumlusunun durumu en kısa sürede ilgili kişiye ve Kurula bildirmesini öngörür.

Kişisel Verileri Koruma Kurulu’nun 24.01.2019 tarihli ve 2019/10 sayılı kararı, Kurula bildirimin öğrenme tarihinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılmasını esas alır (KVKK, veri ihlali bildirimi). Bu sürede ihlalin kapsamını, etkilenen veri kategorilerini ve kişi sayısını belirlemek, erişim logları ve olay kayıtları olmadan oldukça zordur. Rehber de istenmeyen olaylarda delillerin toplanıp güvenli şekilde saklanmasını önerir.

Sık yapılan hatalar

En sık görülen hata, tedbirlerin tek bir güvenlik ürünü kurulunca tamamlandığının düşünülmesidir. Rehber de tek bir ürünle tam güvenlik sağlanabileceği görüşünün her zaman doğru olmadığını vurgular.

1. Log toplayıp incelememek: kayıtlar tutulur ama uyarılara bakılmaz ve saklama süresi belirsiz kalır.
2. Şifreleme anahtarını verinin yanında saklamak: anahtar ayrı ve erişimi kısıtlı bir ortamda tutulmadığında şifreleme beklenen korumayı sağlamaz.
3. Yedeği canlı sistemle aynı ağda tutmak: fidye yazılımı canlı verilerle birlikte yedeği de etkileyebilir.
4. Ayrılan çalışanların hesaplarını geç kapatmak: eski hesaplar en kolay yetkisiz erişim yollarından biridir.
5. Test ortamına gerçek veri kopyalamak: maskeleme yapılmadığında üretimdeki korumalar test ortamında geçersiz kalır.
6. İmhayı yalnızca belgede bırakmak: saklama ve imha politikası vardır ama imha tutanağı yoktur.

MAV Cloud’da KVKK güvenlik danışmanlığı

MAV Cloud, kontrol listesindeki teknik maddelerin değerlendirilmesini ve eksiklerin kapatılmasını KVKK güvenlik danışmanlığı hizmeti kapsamında ele alır. Çalışma mevcut sistemlerin incelenmesi, kanıtların toplanması ve öncelikli bir iş planıyla ilerler.

MAV Cloud; bilgi güvenliği yönetimi için ISO/IEC 27001 ve gizlilik bilgi yönetimi için ISO/IEC 27701 belgelerinin yanı sıra ISO 22301, ISO/IEC 20000 ve ISO 9001 belgelidir (sertifikalarımız).

MAV Cloud’un yedekleme depolama alanı Türkiye’de bulunur. Bu bilgi bir hukuki zorunluluk iddiası değildir; verinin nerede tutulacağı ve yurt dışına aktarım, sektöre özgü düzenlemelerle birlikte ayrıca değerlendirilmelidir.

Bir güvenlik olayında ilk müdahale süresi önemlidir. MAV Cloud’un hizmet seviyesi sözleşmesindeki ilk müdahale hedefleri kritik öncelikte 15 dakika, yüksek öncelikte 1 saat, orta öncelikte 4 saat, düşük öncelikte 1 iş günüdür.

Sıkça Sorulan Sorular

KVKK teknik ve idari tedbirler listesi zorunlu bir format mı?

Hayır. Kurum rehberi tedbirleri örnek başlıklarla açıklar; Kurumun veri güvenliği yükümlülüklerine ilişkin sayfası da tek bir model öngörülemeyeceğini belirtir. Uygun tedbirler kuruluşun riskine ve işlediği veriye göre belirlenir.

Yüksek puan KVKK’ya uyumlu olunduğunu gösterir mi?

Hayır. Puan yalnızca teknik tedbirlerin öz değerlendirmesidir; idari tedbirleri, işleme şartlarını ve aydınlatma yükümlülüğünü kapsamaz. Sonuç hukuki danışmanlık yerine geçmez.

Kontrol listesi ne sıklıkla doldurulmalı?

Yılda en az bir kez ve büyük sistem değişikliklerinden sonra doldurulması makul bir uygulamadır. Yazdırılan çıktılar karşılaştırıldığında ilerleme izlenebilir.

Bulut hizmeti kullanılırken teknik tedbirlerin sorumluluğu kimde?

Kanun, verilerin veri sorumlusu adına başka bir kişi tarafından işlenmesi hâlinde tedbirler konusunda veri sorumlusunu bu kişiyle birlikte müştereken sorumlu tutar. Rehber de bulut sağlayıcısının güvenlik önlemlerinin veri sorumlusunca değerlendirilmesini önerir.

Yanıtlar bir yere kaydediliyor mu?

Hayır. Yanıtlar tarayıcıda kalır ve sunucuya gönderilmez. Kayıt gerekiyorsa yazdır düğmesiyle PDF alınabilir.

Maddelerin bir kısmı henüz net değilse liste ilgili ekiplerle birlikte yeniden doldurulabilir; her turun çıktısı bir sonraki değerlendirme için başlangıç noktası olur.