KVKK Projelerinde Göz Ardı Edilmesi Durumunda Ceza İle Karşılaşılabilecek Durumlar

Firmalar KVKK çalışmalarını büyük oranda evrak çalışması olarak görmekte ve işleyişe, veri kaybının önlenmesi ve tespitine yönelik çalışmalar ya firewall kurdum, DLP aldım, logluyorum seviyesinde kalıyor ya da o seviyeye bile çıkamıyor.

KVKK çalışmasının aşağıdaki adımlarının olmazsa olmaz olduğunu vurgulamak lazım. İlk olarak kişisel verilerin tespitinde atlanan adımlar:

1. Sistemlerin tamamında kişisel veriler tespit edilip, bunlardan hangilerinin silinmesi gerektiği tespit edilip, silinmeli.
2. Veri envanteri sadece içinde şu sözleşmede kişisel veri var, bu dokümanda kişisel veri var şeklinde bir Excel dokümanı değildir. Bu doküman en azından aşağıdaki sorulara cevap verebilmelidir [1].

• Hangi veritabanlarında kişisel veri var?
• Hangi tablolarda kişisel veri var?
• Hangi sunucularda kişisel veri var?
• Hangi dizinlerde kişisel veri var?
• Bulutta durum ne?

Veri envanteri eksiksiz oluşmadığı için de aşağıdaki veri kaybının önlenmesi ve tespitine yönelik maddeler eksik kalıyor. Esas ceza durumları da bu maddelerden ortaya çıkıyor [2,3,4].

1. Veri envanterinden yetki matrisleri üretilmeli. Veri envanteri ona göre hazırlanmalı.
2. KVKK ile SIEM ilişkisini sadece log tutmak olarak algılama yanılgısına düşmemeli [5].
3. Yetki matrislerinden yetki kontrol için SIEM kuralları oluşturulmalı. Bunun için kullanılacak SIEM in bu tarz korelasyonları destekleyebilmesi gerekir. [6]

Referanslar

1. https://medium.com/%40eakbas/kvkk-kapsam%C4%B1nda-veri-envanteri-ve-veri-envanterinin-yetki-matrisi-ve-yetki-kontrol%C3%BC-a%C3%A7%C4%B1s%C4%B1ndan-81e6a8e52a56
2. https://medium.com/%40eakbas/ing-bank-%C3%B6rne%C4%9Finden-%C3%A7%C4%B1karaca%C4%9F%C4%B1m%C4%B1z-kvkk-siem-dersi-nedir-796ec2ca936f
3. https://www.kvkk.gov.tr/Icerik/5451/Kamuoyu-Duyurusu-Veri-Ihlali-Bildirimi-Microsoft-Corporation
4. https://www.kvkk.gov.tr/Icerik/5450/2019-104
5. https://medium.com/%40eakbas/kvkk-i%CC%87%C3%A7in-siem-ne-demek-ab0a514b449b
6. https://medium.com/%40eakbas/siem-ve-kvkk-teknik-tedbirlerinin-anet-surelog-siem-ile-uygulanmas%C4%B1-e5dfd7dca7dc