KVKK’nin şirketler özelinde dikkate aldığı en önemli noktalardan biri de verilerin korunmasında şirketlerin alması gereken teknik tedbirleri alıp almadığı.
Kişisel verilerin güvenliğine ilişkin şirketlerin alması gereken birçok teknik tedbir bulunuyor. Özellikle teknik altyapılarını incelemeyen, geliştirmeyen ya da KVKK’nın dikkat ettiği alanlar için gerekli adımları atmayan şirketlerin cezalarla karşılaşması an meselesi. Her geçen gün şiddeti artan ve yapısı daha da karmaşıklaşan siber saldırılara da dikkat çeken Siberasist Genel Müdürü Serap Günal, tek bir siber güvenlik ürününün tam güvenlik sağlamayacağı gibi KVKK kapsamında uyumluluğu sağlayacak tedbirlerin alınmasına da yeterli olmayacağının altını çiziyor. Günal, şirketlerin uyumluluk aşamasında teknik altyapılarını inceleyerek KVKK’nin da işaret ettiği gerekli birçok teknik tedbiri alması gerektiğini belirtiyor.
Siber Güvenliğe Yatırım Yapmadan Kişisel Veri Korunamaz
Günümüzde bir hacker için veriye ulaşmak artık çok kolay. Saldırdığı herhangi bir şirketten, petrol gibi altın değerinde veri saçıldığını fark eden hackerlerin, işlerini kolaylaştıran ise gerekli siber güvenlik yatırımlarını yapmayan şirketler oluyor. Birçok veriye sahip olan ve gerekli siber güvenlik korumalarına sahip olmayan şirketlerin hem hackerlerin hem de KVKK’nin hedef tahtasında olduğunu dile getiren Serap Günal, veriye sahip olmanın getirdiği sorumlulukları yerine getirmeyen birçok şirketin ya hackerlerin saldırılarından ya da KVKK’nin talep ettiği teknik tedbirleri yerine getirmediğinden dolayı zarara uğrayacağını belirtiyor. Özellikle KVKK’nin yerine getirilmesini talep ettiği teknik tedbirlerin hem verileri korumada hem de şirketleri korumada önemli faydalar sağladığının altını çizen Günal’a göre, siber güvenliğe yatırım yapılmadan hiçbir veri güvenliğinin sağlandığı ve korunduğu söylenemez.
6 Ana Başlıkta Analiz ve 17 Gerekli Teknik Tedbir
Bir verinin korunmasına ilişkin şirketin nerede ve nasıl durması gerektiğini KVKK’nin yol haritasıyla şirketlere aktardıklarını belirten Serap Günal, KVKK uyumluluğuna geçiş için öncelikle şirketin teknik altyapı durumunun 6 başlıkta analiz edilerek ve hukuki tedbirlere de uyumluluğu dengelenerek ihtiyacı olan teknik tedbirlerin önerildiğini belirtiyor.
KVKK’nın işaret ettiği ve şirketlerde analizinin yapılması gereken 6 ana başlık ise şu şekilde;
• Siber güvenliğin sağlanması
• Kişisel veri güvenliğinin takibi
• Kişisel veri içeren ortamların güvenliğinin sağlanması
• Kişisel verilerin bulutta depolanması
• Bilgi teknolojileri sistemleri tedariği, geliştirme ve bakımı
• Kişisel verilerin yedeklenmesi gibi başlıklarda şirketin gerekli teknik altyapı analizlerinin yapılması gerekiyor.
Şirketlerde yapılan analizler sonucunda, KVKK’nın talep ettiği teknik tedbirleri hem hukuki hem de teknik boyutları ile harmanlayarak şirketlere sunduklarını aktaran Serap Günal, bir şirketin tam kapsamlı güvenliği için 17 teknik tedbirden sorumlu tutulduğunu ifade ediyor.
KVKK’nın işaret ettiği ve şirketler tarafından alınması gereken 17 teknik tedbir ise şu şekilde;
1. Yetkilendirme matrisinin oluşturulmuş olması
2. Erişim loglarının tutulması
3. Yetki kontrolünün yapılması
4. Kullanıcı hesaplarının yönetilmesi
5. Ağ güvenliğinin sağlanması
6. Uygulamaların güvenliğinin sağlanması
7. Verilerin şifreleme yöntemleri ile şifrelenmesi
8. Sızma testleri yapılarak kurum güvenliğinin test edilmesi
9. Saldırı tespit ve önleme sistemlerinin oluşturulması
10. Log kayıtlarının incelenip yedeklenmesi
11. Veri maskelemelerinin yapılması
12. Veri kaybı önleme yazılımlarının kullanılması
13. Yedekleme sistemlerinin kullanılması
14. Güncel antivirüs sistemlerinin kullanılması
15. Verileri durumlarına göre silme, yok etme veya anonim hale getirme işlemlerinin yapılması
16. Güvenlik duvarlarına sahip olunması
17. Anahtar yönetiminin olması.
