KVKK uyumluluğu için bilgi güvenliği kontrol listesi

KVKK neden teknik tedbir ister?

6698 sayılı Kişisel Verilerin Korunması Kanunu, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak için 'uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri' alma yükümlülüğü getirir. Kurul rehberlerinde bu tedbirler somutlaştırılmıştır: erişim yetkileri, şifreleme, log kayıtları, yedekleme, sızma testleri ve daha fazlası.

Aşağıdaki liste, sahada en sık eksik gördüğümüz on iki teknik başlığı topluyor. Her madde hem denetimde sorulan bir soruya hem de gerçek bir riske karşılık geliyor.

1–4: Envanter ve erişim

Birinci adım veri envanteri: hangi kişisel veri, hangi sistemde, kim tarafından, ne amaçla işleniyor? Envanter olmadan diğer tedbirlerin kapsamı belirlenemez. İkinci adım erişim yetki matrisi: her sistemde kimin hangi yetkiyle bulunduğu yazılı ve güncel olmalı; işten ayrılanların hesapları aynı gün kapatılmalı.

Üçüncü adım kimlik doğrulama: tüm uzaktan erişimlerde ve yönetici hesaplarında çok faktörlü doğrulama zorunlu olmalı. Dördüncü adım ayrıcalıklı hesap yönetimi: yönetici hesapları kişisel hesaplardan ayrılmalı, paylaşılan şifreler kaldırılmalı ve yönetici oturumları kayıt altına alınmalı.

• Veri envanteri ve işleme amaçları
• Erişim yetki matrisi ve düzenli gözden geçirme
• Çok faktörlü kimlik doğrulama
• Ayrıcalıklı hesapların ayrılması ve izlenmesi

5–8: Ağ ve sistem güvenliği

Beşinci adım ağ segmentasyonu: kişisel veri barındıran sunucular, kullanıcı ağından ve misafir ağından ayrı segmentte olmalı; segmentler arası trafik güvenlik duvarı kurallarıyla sınırlanmalı. Altıncı adım yama yönetimi: işletim sistemi, uygulama ve ağ cihazı güncellemeleri tanımlı bir takvimle uygulanmalı, kritik yamalar için azami süre belirlenmeli.

Yedinci adım uç nokta koruması: merkezi yönetilen antivirüs ve EDR, disk şifreleme ve USB kontrolü. Sekizinci adım şifreleme: kişisel veriler hem aktarımda (TLS) hem de depoda (disk veya veritabanı düzeyinde) şifrelenmeli; anahtar yönetimi belgelenmeli.

• Ağ segmentasyonu ve güvenlik duvarı kuralları
• Yama yönetimi takvimi
• Uç nokta koruması ve disk şifreleme
• Aktarımda ve depoda şifreleme

9–12: İzleme, yedekleme ve süreklilik

Dokuzuncu adım log yönetimi (7/24 operasyon merkezi bu kaydı sürekli tutar): erişim ve işlem kayıtları merkezi bir sistemde toplanmalı, değiştirilemez şekilde saklanmalı ve düzenli olarak gözden geçirilmeli. Onuncu adım yedekleme: kişisel veri içeren sistemlerin yedekleri 3-2-1 kuralına göre alınmalı, en az biri çevrimdışı veya değiştirilemez olmalı ve geri yükleme düzenli test edilmeli.

On birinci adım sızma testi ve zafiyet taraması: yılda en az bir kez bağımsız sızma testi, düzenli otomatik zafiyet taraması ve bulguların kapatılma takibi. On ikinci adım olay müdahale planı: veri ihlali durumunda kimin ne yapacağı, Kurul'a 72 saat içinde bildirim dahil, yazılı ve tatbik edilmiş olmalı.

• Merkezi ve değiştirilemez log yönetimi
• 3-2-1 yedekleme ve geri yükleme testi
• Sızma testi ve zafiyet taraması
• Olay müdahale ve ihlal bildirim planı

Nereden başlamalı?

On iki maddenin tamamını aynı anda ele almak gerekmiyor. Sahada önerdiğimiz sıra: önce envanter ve erişim (1–4), çünkü diğer her şeyin kapsamını belirler; sonra yedekleme ve log (9–10), çünkü bir ihlalde en çok bunlar sorulur; ardından ağ ve sistem sertleştirme; en son sızma testiyle doğrulama.

Haliç Bilişim güvenlik ekibi bu listeyi kurumunuzun mevcut durumuna uyarlayan bir değerlendirme yapıyor; eksikleri risk ve maliyete göre önceliklendiriyor. İlk değerlendirme görüşmesi ücretsiz.