Veri İhlali Durumunda Ne Yapılmalı? KVKK Bildirim Süreci

Hiçbir güvenlik önlemi riski sıfırlamaz; bu nedenle bir veri ihlaline hazırlıklı olmak, ihlali önlemeye çalışmak kadar önemlidir. İhlal anında verilen kararlar hem zararın büyüklüğünü hem de 6698 sayılı Kişisel Verilerin Korunması Kanunu karşısındaki durumunuzu doğrudan belirler. Bu rehberde bir ihlal şüphesi ortaya çıktığı andan itibaren ilk saatlerde yapılacakları, Kişisel Verileri Koruma Kurulu'na bildirim sürecini, etkilenen kişilerle iletişimi ve olay sonrası iyileştirmeleri adım adım ele alıyoruz. Hukuki değerlendirme gerektiren noktalarda hukuk danışmanınızla birlikte hareket etmenizi öneririz.

Veri İhlali Nedir? Örnek Senaryolar

Kanun, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kurul'a bildirmesini öngörür. Uygulamada ihlal yalnızca dışarıdan gelen bir siber saldırı anlamına gelmez. Sık karşılaştığımız senaryolar şunlardır:

• Müşteri listesi içeren bir dosyanın yanlış alıcıya e-postayla gönderilmesi
• Şifrelenmemiş bir dizüstü bilgisayarın veya USB belleğin kaybolması ya da çalınması
• Kimlik avıyla ele geçirilen bir e-posta hesabı üzerinden kişisel verilere erişilmesi
• Fidye yazılımının sunuculardaki verileri şifrelemesi ve dışarı sızdırması
• Herkese açık bırakılmış bir bulut depolama alanı veya yanlış yapılandırılmış bir veritabanı
• Ayrılan bir çalışanın müşteri verilerini yanında götürmesi
• Web sitesindeki bir açık üzerinden form verilerine erişilmesi

İhlalleri üç açıdan sınıflandırmak değerlendirmeyi kolaylaştırır: gizlilik ihlali, yani verinin yetkisiz kişilerce görülmesi veya ele geçirilmesi; bütünlük ihlali, yani verinin yetkisiz biçimde değiştirilmesi; erişilebilirlik ihlali, yani verinin kaybolması veya erişilemez hâle gelmesi. Fidye yazılımı çoğu zaman bu üçünü birden içerir: Veriler şifrelenerek erişilemez hâle gelir ve güncel saldırılarda genellikle şifrelemeden önce dışarıya da kopyalanır.

KVKK'da, AB'nin GDPR düzenlemesinde olduğu gibi risk düşükse bildirimden muafiyet öngören açık bir hüküm bulunmaz. Bu nedenle bir olayın bildirim gerektirip gerektirmediği konusunda tereddüt varsa, değerlendirmeyi hızla hukuk danışmanınızla yapmak ve kararın gerekçesini kayıt altına almak gerekir.

İlk Saatler: Tespit, Sınırlama ve Delil Koruma

İhlal şüphesinin ilk saatleri sonraki tüm sürecin kalitesini belirler. Paniğe kapılmadan şu sırayı izleyin:

1. Olayı kaydedin: Şüphenin kim tarafından, ne zaman ve nasıl fark edildiğini not alın. Bildirim süresi ihlalin öğrenildiği andan başladığı için öğrenme anını doğru belgelemek önemlidir.
2. Müdahale ekibini toplayın: BT veya güvenlik sorumlusu, hukuk danışmanı, üst yönetimden bir karar verici ve gerekiyorsa iletişim sorumlusu. Dış destek alıyorsanız sağlayıcınızı hemen devreye alın.
3. Etkiyi sınırlayın: Etkilenen cihazı ağdan ayırın, ele geçirilen hesapların parolalarını sıfırlayıp açık oturumlarını sonlandırın, yanlışlıkla paylaşılan bağlantıları kaldırın, yanlış alıcıdan e-postanın silinmesini yazılı olarak talep edin.
4. Delilleri koruyun: Etkilenen sistemleri aceleyle yeniden kurmayın veya kapatmayın; bellekteki izler ve log kayıtları kaybolabilir. Güvenlik duvarı, e-posta, sunucu ve uç nokta loglarını güvenli bir yere kopyalayın, yapılan her işlemi zaman bilgisiyle kaydedin.
5. Kapsamı belirleyin: Hangi sistemler, hangi veri kategorileri ve yaklaşık kaç kişi etkilendi? Özel nitelikli veri var mı? Veri dışarı çıkarıldı mı, yoksa yalnızca erişilemez mi hâle geldi?
6. Yedekleri kontrol edin: Fidye yazılımı senaryosunda, yedeklerin etkilenmediğinden emin olmadan geri yükleme yapmayın.

Hızlı tespit için sistemlerin sürekli izlenmesi büyük fark yaratır; EDR ve SOC ile 7/24 izleme rehberimiz bu altyapıyı anlatır. Fidye yazılımına özgü teknik müdahale adımlarını ise fidye yazılımı rehberimizde bulabilirsiniz.

Kurul'a 72 Saat İçinde Bildirim: Adımlar ve Gerekli Bilgiler

Kurul'un ihlal bildirimine ilişkin kararına göre veri sorumlusu, ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirimde bulunmalıdır. Bu süre hafta sonu veya resmî tatil nedeniyle durmaz. Bildirim, Kişisel Verileri Koruma Kurumu'nun (Kurum) internet sitesinde yer alan ihlal bildirim formu kullanılarak yapılır. Formda genel olarak şu bilgiler istenir:

• Veri sorumlusunun ve bildirimi yapan kişinin bilgileri
• İhlalin gerçekleştiği ve fark edildiği tarih ve saat
• İhlalin nasıl gerçekleştiği ve kaynağı
• Etkilenen kişisel veri kategorileri ve ilgili kişi grupları, örneğin çalışanlar, müşteriler veya çocuklar
• Etkilenen yaklaşık kişi ve kayıt sayısı
• İhlalin ilgili kişiler üzerindeki olası sonuçları
• Alınan ve alınması planlanan tedbirler
• İlgili kişilere bildirim yapılıp yapılmadığı veya ne zaman yapılacağı
• Kurum'un iletişim kuracağı irtibat kişisi

Tüm bilgiler 72 saat içinde netleşmemiş olabilir. Bu durumda bilinen bilgilerle zamanında bildirim yapıp eksikleri aşamalı olarak tamamlamak, eksiksiz ama geç bir bildirimden daha doğru bir yaklaşımdır. Süre aşılırsa bildirim, gecikmenin gerekçeleriyle birlikte yapılmalıdır. Kanun ayrıca Kurul'a, gerekmesi hâlinde ihlali kendi internet sitesinde veya uygun göreceği başka bir yöntemle ilan etme yetkisi verir.

Veri işleyen konumundaki tedarikçiler, ihlali öğrendiklerinde gecikmeksizin veri sorumlusuna bildirmekle yükümlüdür; Kurul'a bildirim ise veri sorumlusunun sorumluluğundadır. Barındırma, bordro veya BT hizmeti aldığınız firmalarla yaptığınız sözleşmelerde bu bildirim yükümlülüğünü ve olay anında işbirliğini açıkça düzenleyin.

Bildirimi hızlandırmak için önceden hazırlanacaklar

• Veri sorumlusu bilgilerini, VERBİS kayıt bilgilerini ve irtibat kişisini içeren sabit bir bilgi sayfası
• Kişisel veri envanterinden türetilmiş, hangi sistemde hangi veri kategorilerinin ve yaklaşık kaç kişinin verisinin bulunduğunu gösteren güncel bir özet
• Bildirim kararını kimin vereceğine ve formu kimin göndereceğine dair yazılı yetkilendirme
• Log kayıtlarının yeterli süre saklandığı merkezi bir log altyapısı; ihlalin ne zaman başladığını ve neleri etkilediğini tespit etmek çoğu zaman buna bağlıdır

İlgili Kişilere Bildirim ve İletişim Yönetimi

Etkilenen kişiler tespit edildikten sonra makul olan en kısa sürede bilgilendirilmelidir. İletişim bilgileri biliniyorsa e-posta, SMS veya mektup gibi yollarla doğrudan; bilinmiyorsa internet sitesi duyurusu gibi uygun yöntemlerle bildirim yapılır. Bildirim metni açık ve sade bir dille şunları içermelidir:

• İhlalin ne zaman ve nasıl gerçekleştiği
• Hangi veri kategorilerinin etkilendiği
• Kişi üzerindeki olası sonuçlar
• Alınan tedbirler ve kişinin kendisini korumak için yapabilecekleri, örneğin parolasını değiştirmek veya şüpheli arama ve e-postalara karşı dikkatli olmak
• Kişinin bilgi alabileceği irtibat kanalı

İletişimde tutarlılık çok önemlidir. Müşteri hizmetleri, satış ekibi ve yöneticiler aynı bilgiyi vermelidir; bunun için kısa bir soru cevap metni hazırlayın. İhlali küçümseyen veya henüz kesinleşmemiş bilgileri kesinmiş gibi sunan açıklamalar, güveni ihlalin kendisinden daha fazla zedeleyebilir. Ayrıca ihlal duyulduktan sonra dolandırıcıların sizin adınıza sahte e-postalar gönderebileceğini hesaba katın ve kişileri resmî iletişim kanallarınız konusunda uyarın.

Kök Neden Analizi ve Kalıcı İyileştirmeler

Olay kontrol altına alındıktan sonra asıl soru şudur: Bu neden oldu ve bir daha nasıl önleriz? Kök neden analizinde teknik bulgunun ötesine bakın. Ele geçirilen bir e-posta hesabının teknik nedeni zayıf bir parola olabilir; kök neden ise çok faktörlü doğrulamanın hiç devreye alınmamış olmasıdır.

• Saldırının başlangıç noktası ve izlediği yol belgelenmelidir.
• Hangi kontrolün çalışmadığı veya hiç bulunmadığı tespit edilmelidir.
• Düzeltici aksiyonlar sorumlu kişi ve hedef tarih ile birlikte planlanmalıdır.
• İhlale ilişkin hususlar, etkileri ve alınan önlemler, olası bir Kurul incelemesinde sunulmak üzere kayıt altında tutulmalıdır.
• Olaydan çıkarılan dersler müdahale planına ve çalışan eğitimlerine yansıtılmalıdır.

Olay sonrası değerlendirme toplantısını olay kapandıktan kısa süre sonra, suçlu aramak yerine süreci iyileştirmeye odaklanarak yapın. Sık ihtiyaç duyulan kalıcı iyileştirmeler şunlardır: tüm e-posta ve uzaktan erişim hesaplarında çok faktörlü doğrulama, dizüstü bilgisayarlarda disk şifreleme, yanlış alıcıya gönderimi azaltan e-posta uyarıları ve veri sızıntısı önleme kuralları, paylaşım bağlantılarında süre sınırı ve merkezi log saklama. Etkilenen kişilerin iletişim bilgilerinin güncel olmaması da sık rastlanan bir engeldir; genel duyuru yapmak zorunda kaldıysanız duyurunun içeriğini ve yayımlanma tarihini de kayıt altına alın.

Olay Müdahale Planı Hazırlama Kontrol Listesi

Kurul, veri sorumlularından bir veri ihlali müdahale planı hazırlamalarını ve bu planı belirli aralıklarla gözden geçirmelerini bekler. İyi bir plan şu unsurları içerir:

• Müdahale ekibi, rolleri ve mesai dışında da ulaşılabilir iletişim bilgileri
• Çalışanların ihlal şüphesini kime ve nasıl bildireceğini anlatan basit bir yönerge
• Olay sınıflandırma kriterleri ve karar yetkisinin kimde olduğu
• Sınırlama ve delil koruma için teknik adımlar
• Bildirim formu için önceden hazırlanmış sabit bilgiler
• İlgili kişi bildirimi için taslak metinler
• Tedarikçilerin ve dış destek sağlayıcılarının iletişim bilgileri ile sözleşmesel yükümlülükleri
• Yedeklerden geri dönüş prosedürü
• Olay kayıt şablonu
• Yılda en az bir kez yapılacak masa başı tatbikat planı

Geri dönüş adımlarının ayrıntısı için felaket kurtarma planı rehberimize göz atabilirsiniz.

Sık Yapılan Hatalar ve Dış Destek Gereken Durumlar

• Durumu tam anlamak için beklerken 72 saatlik süreyi kaçırmak
• Delilleri koruma altına almadan sistemleri yeniden kurmak
• İhlali yalnızca bir BT sorunu olarak görüp hukuk ekibini ve yönetimi geç haberdar etmek
• Etkilenen kişilere genel ve belirsiz bir bildirim göndermek
• Kök nedeni çözmeden sistemleri aynı yapılandırmayla yeniden devreye almak
• Olay sonrasında kayıt tutmamak

Bu hataların hukuki bir karşılığı da vardır. Kanun, veri güvenliğine ilişkin yükümlülüklerini yerine getirmeyen veri sorumluları için idari para cezası öngörür ve ihlal bildirimi de bu yükümlülüklerin bir parçasıdır. Olası bir incelemede zamanında yapılmış bir bildirim, belgelenmiş müdahale adımları ve alınan kalıcı önlemler, işletmenizin özenle hareket ettiğini gösteren en güçlü dayanaklardır.

Aşağıdaki durumlarda dış destek almak çoğu zaman kaçınılmaz hâle gelir: fidye yazılımı veya aktif bir saldırganın hâlâ ağda olduğu şüphesi, verinin dışarı çıkarılıp çıkarılmadığının tespit edilemediği durumlar, adli bilişim incelemesi gerektiren olaylar ve iç ekibin olay anında kesintisiz müdahale kapasitesinin bulunmadığı yapılar. Bu desteği olay anında aramak yerine önceden anlaşma yapmak, kritik saatlerin kaybolmasını önler.

Sonuç

Veri ihlali yönetiminde başarı, olay anındaki hızdan çok önceden yapılan hazırlıkla belirlenir: yazılı bir müdahale planı, sorumluları belli bir ekip, korunmuş loglar ve prova edilmiş bir bildirim süreci. Genel uyum çerçevesini KVKK uyum rehberimizde bulabilirsiniz. Ümraniye Bilişim siber güvenlik ekibi olarak müdahale planınızı hazırlamanıza, izleme altyapısını kurmanıza ve olay anında teknik müdahalede yanınızda olmaya hazırız. Hazırlık durumunuzu birlikte değerlendirmek için ücretsiz ön görüşme talep edin.