KVKK İçin Siber Güvenlik Kontrol Listesi

KVKK teknik tedbirlerden ne bekler?

Kanunun 12. maddesi veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almasını öngörür. Kişisel Verileri Koruma Kurumu'nun yayımladığı rehberler, bu tedbirlerin neler olabileceğine dair somut bir çerçeve sunar.

1. Envanter ve sınıflandırma

• Kişisel verilerin hangi sistemlerde, hangi uygulamalarda tutulduğunun envanteri
• Özel nitelikli kişisel verilerin (sağlık, biyometrik vb.) ayrıca işaretlenmesi
• Veri akış şemaları: veriler nereden gelip nereye gidiyor?

2. Erişim kontrolü

• Her kullanıcıya yalnızca işi için gereken yetki (en az yetki prensibi)
• Tüm uzaktan ve bulut erişimlerde çok faktörlü doğrulama
• Yönetici ve servis hesapları için PAM ile şifre kasası ve oturum kaydı
• İşten ayrılan personelin erişimlerinin aynı gün kapatılması
• Yetkilerin en az yılda bir gözden geçirilmesi

3. Log kayıtları ve izleme

• Kişisel veri içeren sistemlere erişimlerin kayıt altına alınması
• Logların merkezi, değiştirilemez ve yeterli süre saklanması
• SIEM ile şüpheli erişimlerin gerçek zamanlı tespiti

4. Ağ ve uygulama güvenliği

• Güncel firewall kuralları ve ağ segmentasyonu
• İnternete açık web uygulamaları için WAF
• Düzenli zafiyet taraması ve yılda en az bir sızma testi
• Uç noktalarda EDR ve disk şifreleme

5. Şifreleme ve yedekleme

• Taşınabilir cihazlarda ve dizüstü bilgisayarlarda disk şifreleme
• İletimde TLS, gerekli durumlarda veritabanı şifrelemesi
• Ağdan yalıtılmış, düzenli test edilen yedekler

6. Veri ihlali müdahalesi

Kurul kararı uyarınca veri ihlalinin öğrenilmesinden itibaren en geç 72 saat içinde Kurul'a bildirim yapılması beklenir. Bu sürede ihlalin kapsamını, etkilenen verileri ve kişileri tespit edebilmek ancak önceden hazırlanmış bir olay müdahale planı ve yeterli log kaydı ile mümkündür.

• Yazılı olay müdahale planı ve sorumlular listesi
• Olay anında başvurulacak teknik ekip ve iletişim kanalları
• Tatbikat: plan yılda en az bir kez prova edilmeli

Bu konuda destek alın

ÇETİNKALE olarak bu rehberdeki adımları kurumunuza uyarlıyor, kurulumu ve 7/24 yönetimi üstleniyoruz. İlgili hizmetlerimiz: Güvenlik Denetimi · PAM · SIEM ve 5651 Log Yönetimi.

Sık Sorulan Sorular