KVKK ve küçük işletmeler: hangi teknik önlemler alınmalı?

Müşteri listesi tutan bir mağaza, hasta kaydı olan bir muayenehane, personel dosyaları bulunan bir atölye: Bunların hepsi 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında veri sorumlusudur. Kanunun 12. maddesi, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve verilerin muhafazasını sağlamak için “uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri” almasını ister.

Bu yazı, küçük bir işletmenin bu yükümlülük için atabileceği teknik adımları sade bir dille özetler. Hukuki bir danışmanlık değildir; aydınlatma metni, VERBİS kaydı ve sözleşmeler gibi idari konular için bir hukuk danışmanı ya da mali müşavirle görüşmenizi öneririz.

Kişisel Verileri Koruma Kurulu’nun yayımladığı Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler), bu konuda başvurulacak temel kaynaktır.

Teknik tedbirler kontrol listesi

1. Zararlı yazılıma karşı koruma

Kişisel veri işlenen her bilgisayarda ve sunucuda güncel, lisanslı bir güvenlik yazılımı bulunmalı; lisans süreleri takip edilmelidir. Birden fazla bilgisayar varsa tüm cihazların durumunu tek yerden görmek, hem güvenliği hem de denetimde kanıtlamayı kolaylaştırır.

2. Erişim yetkileri

Her çalışan yalnızca işi için gereken verilere erişebilmelidir. Muhasebe klasörünü herkesin açabildiği, ortak tek bir kullanıcı adıyla çalışılan bir ofis, en sık görülen zayıf noktadır.

• Her çalışana ayrı kullanıcı hesabı açın.
• İşten ayrılan çalışanın hesaplarını aynı gün kapatın.
• Yönetici yetkisini yalnızca gereken kişilere verin.

3. Güçlü parola ve iki faktörlü doğrulama

E-posta, muhasebe programı ve uzaktan erişim gibi kritik sistemlerde güçlü ve benzersiz parolalar kullanın. Mümkün olan her yerde iki faktörlü doğrulamayı açın. Uzak masaüstü ile dışarıdan sunucuya bağlanılıyorsa bu adım özellikle önemlidir.

4. Şifreleme

Dizüstü bilgisayarlar ve USB bellekler kaybolabilir ya da çalınabilir. Diskleri şifrelenmiş bir cihazdaki veriler, cihazı bulan kişi tarafından okunamaz. Kişisel veri taşıyan taşınabilir cihazlar için şifreleme, en etkili tedbirlerden biridir.

5. Yedekleme

Veriler düzenli olarak yedeklenmeli ve en az bir kopya ağdan ayrı tutulmalıdır. Yedekler de kişisel veri içerdiği için güvenli bir yerde saklanmalı ve arada bir geri yükleme testi yapılmalıdır.

6. Güncellemeler

İşletim sistemi ve yazılımların güvenlik güncellemelerinin düzenli yapılması, bilinen açıkların kapatılması anlamına gelir. Desteği sona ermiş işletim sistemleri kişisel veri işlenen bilgisayarlarda kullanılmamalıdır.

7. Kayıt ve izleme

Kim, hangi veriye, ne zaman erişti? Güvenlik yazılımlarının ve sistemlerin tuttuğu kayıtlar, bir olay yaşandığında ne olduğunu anlamanızı ve gerektiğinde tedbir aldığınızı göstermenizi sağlar.

8. Veri sızıntısını önleme

Müşteri listelerinin USB belleğe kopyalanması, kişisel e-postaya gönderilmesi ya da bulut hesaplarına yüklenmesi, dışarıdan bir saldırı olmadan da veri ihlaline yol açabilir. Veri kaybı önleme (DLP) çözümleri bu tür hareketleri kurallara göre kaydeder, uyarır veya engeller.

Bir ihlal yaşanırsa

Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, veri sorumlusunun bu durumu en kısa sürede ilgili kişiye ve Kurul’a bildirmesi gerekir. Kurul kararıyla bu süre, ihlalin öğrenilmesinden itibaren 72 saat olarak belirlenmiştir. Bu yüzden önceden bir olay planı hazırlamak ve kimi arayacağınızı bilmek önemlidir.

Nereden başlamalı?

Her şeyi aynı anda yapmak zorunda değilsiniz. Küçük bir işletme için en hızlı etkiyi şu üç adım sağlar:

1. Tüm bilgisayarlarda lisanslı ve merkezi olarak izlenen bir güvenlik yazılımı,
2. Ağdan ayrı tutulan düzenli yedek,
3. Kişiye özel hesaplar ve kritik sistemlerde iki faktörlü doğrulama.

Teknik tedbirlerin işletmenize göre planlanması konusunda yardımcı olabiliriz; cihaz sayınızı ve kullandığınız sistemleri yazmanız yeterli.