KVKK Danışmanlık Hizmetleri

KVKK ve Bilişim Altyapısı

6698 sayılı Kişisel Verilerin Korunması Kanunu, çalışan bilgilerinden müşteri kayıtlarına, kamera görüntülerinden ziyaretçi defterine kadar kişisel veri işleyen hemen her işletmeyi ilgilendirir. Kanunun önemli bir kısmı aydınlatma metinleri, açık rıza ve sözleşmeler gibi hukuki konuları kapsar. Ancak bir o kadar önemli bir diğer kısmı da verinin fiilen nasıl saklandığı ve korunduğuyla, yani bilişim altyapısıyla ilgilidir.

Uygulamada en sık rastlanan durum, dokümanların hazırlanmış olması fakat sistemlerin bu dokümanlarla uyumlu olmamasıdır. Politika metninde "erişim yetkilendirilmiştir" yazarken ortak klasörde herkesin personel dosyalarını açabildiği bir yapı, denetimde ve olası bir veri ihlalinde ciddi sorun yaratır.

Grimax'ın Rolü

Grimax Bilişim olarak KVKK sürecinin teknik ve bilişim boyutunda çalışıyoruz. Hukuki metinlerin hazırlanması ve hukuki değerlendirmeler için işletmenizin avukatı veya hukuk danışmanıyla birlikte hareket ediyor, onların belirlediği gereklilikleri sistemlerinize uyguluyoruz. Bu iş bölümü, hem hukuki hem teknik tarafın kendi uzmanlık alanında kalmasını sağlar.

Teknik Tedbirler Kapsamında Yaptıklarımız

Veri envanterine teknik katkı

• Kişisel verilerin hangi sistemlerde, hangi klasörlerde ve hangi yazılımlarda tutulduğunun tespiti
• Kopyaların, eski yedeklerin ve unutulmuş dosya arşivlerinin bulunması
• Verinin şirket dışına hangi kanallarla çıktığının (e-posta, bulut, USB) belirlenmesi

Erişim ve yetki yönetimi

• Kullanıcı hesaplarının kişiye özel hale getirilmesi, ortak şifrelerin kaldırılması
• Personel, muhasebe ve müşteri klasörlerinde yalnızca ilgili kişilerin erişebileceği yetki yapısı
• Ayrılan çalışanların erişimlerinin kapatılması için yazılı bir prosedür
• Kritik sistemlerde çok faktörlü kimlik doğrulama

Koruma ve kayıt

• Dizüstü bilgisayarlarda ve taşınabilir disklerde şifreleme
• Güvenlik duvarı, uç nokta koruma ve güncelleme yönetimi
• Önemli sistemlerde erişim kayıtlarının (log) tutulması ve saklanması
• Düzenli yedekleme ve yedeklerin şifreli saklanması
• İmha süresi gelen verilerin güvenli şekilde silinmesi

Çalışma Süreci

1. Keşif: Sistemlerinizi, kullanılan yazılımları ve veri akışlarını yerinde inceleyip mevcut durumu raporluyoruz.
2. Teklif: Eksikleri önceliklendirerek hangi tedbirin hangi sırayla uygulanacağını ve kapsamını belirliyoruz.
3. Uygulama: Yetki düzenlemesi, şifreleme, yedekleme ve kayıt sistemlerini devreye alıyor, yapılan her adımı belgeliyoruz.
4. Destek: Personel değişiklikleri, yeni sistemler ve periyodik kontrollerle uyumun zamanla bozulmamasını sağlıyoruz.

Kamera Sistemleri ve Ziyaretçi Kayıtları

Güvenlik kameraları da kişisel veri işler. Kayıtların kimler tarafından izlenebildiği, ne kadar süre saklandığı ve kayıt cihazına uzaktan erişimin nasıl korunduğu teknik tedbirlerin bir parçasıdır. Kamera kayıt cihazlarının varsayılan şifreyle internete açık bırakılması, karşılaştığımız en yaygın risklerden biridir. Bu cihazların erişim ayarlarını ve saklama sürelerini de çalışma kapsamına dahil ediyoruz.

Veri İhlali Durumunda

Bir veri ihlali yaşandığında kanun, durumun belirli bir süre içinde Kişisel Verileri Koruma Kurulu'na bildirilmesini öngörür. Bu süreçte ilk ihtiyaç duyulan şey, ne olduğunun teknik olarak ortaya konmasıdır: hangi sisteme, ne zaman, hangi yolla erişildi ve hangi veriler etkilendi? Erişim kayıtları tutulmayan bir yapıda bu soruları cevaplamak neredeyse imkânsızdır. Bu yüzden kayıt tutmayı uyumun temel taşlarından biri olarak görüyoruz.

Sık Karşılaştığımız Eksikler

İncelediğimiz işletmelerde teknik tarafta birbirine benzeyen eksikler görüyoruz. Bunların çoğu kötü niyetten değil, işlerin yıllar içinde pratik çözümlerle büyümesinden kaynaklanır:

• Bütün çalışanların aynı kullanıcı adı ve şifreyle bilgisayarlara veya programlara girmesi
• Personel özlük dosyalarının herkesin erişebildiği ortak klasörde durması
• Müşteri listelerinin kişisel e-posta hesaplarına veya mesajlaşma uygulamalarına gönderilmesi
• Şifresiz dizüstü bilgisayarlarda ve USB belleklerde müşteri verisi taşınması
• Yıllar önce ayrılmış çalışanların hesaplarının hâlâ açık olması
• Yedeklerin şifresiz bir harici diskte, aynı ofiste ve çoğu zaman aynı masada tutulması

Bu eksiklerin her birinin çözümü genellikle karmaşık değildir; önemli olan bunları tespit etmek, sıraya koymak ve uygulamaktır. Hazırladığımız raporda her maddeyi neden önemli olduğu ve nasıl giderileceğiyle birlikte açıklıyoruz.

Yerinde Çalışmanın Önemi

Verinin nerede durduğunu anlamak için masa başında anket doldurmak yetmez; sunucuya, bilgisayarlara ve çalışma alışkanlıklarına yakından bakmak gerekir. Çayırova ve Gebze bölgesindeki işletmelerde bu incelemeyi yerinde yapıyor, çalışanlarınızla konuşarak gerçek iş akışını görüyoruz.

Ön Değerlendirme İsteyin

KVKK uyumunuzun teknik tarafının ne durumda olduğunu görmek istiyorsanız bir ön değerlendirme talep edin. Mevcut yapınızı inceleyip öncelikli eksikleri ve uygulanabilir bir yol haritasını paylaşalım.