KVKK Teknik Tedbirler: Kişisel Veri Güvenliği Önlemleri Rehberi

KVKK yükümlülükleri iki başlıkta toplanır: idari tedbirler (politikalar, sözleşmeler, çalışan eğitimleri, veri envanteri) ve teknik tedbirler (sistemlerinizi teknik olarak koruyan somut önlemler). Bu yazıda idari tarafa girmeden, kişisel veriyi işleyen sistemlerinizde uygulanabilir teknik önlemleri adım adım ele alıyoruz. Önemli bir not: Biz bir siber güvenlik ekibiyiz ve bu içerik teknik önlemlere odaklanır; hukuki yorum, uyum danışmanlığı veya mevzuat tavsiyesi niteliği taşımaz. Cezaların, sürelerin ve yükümlülüklerin hukuki boyutu için mutlaka bir hukukçuya danışın. Bizim işimiz, veriyi teknik olarak güvende tutmaktır.

Erişim Güvenliğini ve Yetkilendirmeyi Sağlamlaştırın

Kişisel veri güvenliğinin temeli, veriye kimin erişebileceğini sıkı biçimde sınırlamaktır; her kullanıcı yalnızca işini yapmak için ihtiyaç duyduğu veriye, ihtiyaç duyduğu ölçüde erişebilmelidir (en az yetki ilkesi). Erişim kontrolü zayıfsa, en gelişmiş şifreleme bile içeriden gelen ya da ele geçirilen bir hesap üzerinden yapılan sızıntıyı durduramaz.

Bunu pratiğe dökmek için rol tabanlı yetkilendirme (RBAC) kurun ve her rolün eriştiği veriyi netleştirin. Her çalışana ayrı ve kişisel hesap tanımlayın; ortak "admin" hesabından kaçının, çünkü bir iz kaydında kimin ne yaptığını ayırt edemezsiniz. Kritik sistemlere ve yönetim panellerine iki faktörlü kimlik doğrulama (2FA) zorunlu kılın. Güçlü parola politikası uygulayın ve parolaları veritabanında bcrypt veya argon2 gibi güçlü algoritmalarla saklayın. İşten ayrılan personelin erişimlerini derhal kapatın ve mevcut yetkileri düzenli aralıklarla gözden geçirerek zamanla biriken gereksiz erişimleri temizleyin.

Erişim güvenliğinde sık gözden kaçan iki nokta, üçüncü taraf erişimleri ve veri minimizasyonudur. Sistemlerinize erişen tedarikçilerin, ajansların ya da geliştiricilerin de en az yetki ilkesine tabi tutulması, gerektiğinde erişimlerinin sınırlı süreyle açılması ve iş bitince kapatılması gerekir. Ayrıca çalışanların gerçekten ihtiyaç duymadığı kişisel veriyi ekranlarında hiç görmemesi de bir erişim önlemidir; örneğin destek ekibinin kimlik numarasının yalnızca son hanelerini görmesi (maskeleme), sızıntı yüzeyini küçültür. Erişimi yalnızca vermek değil, düzenli olarak geri almak da bu tedbirin ayrılmaz parçasıdır.

İz Kayıtlarını (Loglama) Tutun ve Koruyun

Kişisel veriye yapılan erişim ve işlemler kayıt altına alınmalıdır; iz kaydı (loglama), bir veri ihlali yaşandığında neyin, ne zaman ve kim tarafından yapıldığını gösteren tek kanıttır ve olayı geriye dönük soruşturmanın temelidir. Log tutulmayan bir sistemde ihlalin kapsamını belirlemek neredeyse imkânsızdır.

Kişisel veri barındıran sistemlerde başarılı ve başarısız oturum açma denemelerini, yetkili işlemlerini, veri dışa aktarma ve silme olaylarını kayıt altına alın. Logları merkezî bir yerde toplayın ve saldırganın izini silmesini önlemek için değiştirilemez (append-only) biçimde saklayın. Her kaydın kimin, ne zaman, hangi kaynaktan geldiğini içermesine dikkat edin. Logları yalnızca tutmak yetmez; olağan dışı desenleri (art arda başarısız girişler, mesai dışı toplu veri erişimi) tespit eden bir izleme kurun. Bu süreci sürekli yürütmek için bakım ve izleme hizmetimizden yararlanabilirsiniz. Logların içinde de kişisel veri geçebileceğini unutmayın; bu yüzden log erişimini de yetkiyle sınırlayın.

Loglama kurarken saklama süresini de baştan planlayın. Çok kısa tutulan loglar, aylar sonra fark edilen bir ihlali soruşturmaya yetmez; süresiz tutulan loglar ise gereksiz kişisel veri biriktirir. Bu iki uç arasında, sisteminizin risk seviyesine uygun makul bir saklama süresi belirleyin ve süresi dolan kayıtları güvenli biçimde silin. Ayrıca logların yalnızca üretilmesi değil, düzenli olarak gözden geçirilmesi de önemlidir; hiç bakılmayan bir log deposu, ancak iş işten geçtikten sonra işe yarar. Mümkünse kritik olaylar için otomatik uyarı kuralları tanımlayarak insan gözünün kaçırabileceği desenleri yakalayın.

Kişisel Veriyi Şifreleyin

Şifreleme, veri fiziksel veya mantıksal olarak ele geçirilse bile okunamaz kalmasını sağlayan en güçlü teknik önlemdir; hem aktarım hâlindeki (transit) hem de depolanan (rest) kişisel veri şifrelenmelidir. Özellikle özel nitelikli kişisel veriler (sağlık, biyometrik gibi) için şifreleme, ihmal edilmemesi gereken bir asgari önlemdir.

Aktarım şifrelemesini tüm web trafiğinizde HTTPS/TLS ile sağlayın; sitenizin her sayfası SSL üzerinden sunulmalıdır. Kurulumun ayrıntıları için SSL/HTTPS kurulum rehberimize bakabilirsiniz. Depolanan veri tarafında, veritabanı ve disk düzeyinde şifreleme kullanın; parola, kimlik numarası gibi hassas alanları alan bazında şifreleyin ya da hash'leyin. Şifreleme kadar önemli olan, anahtar yönetimidir: şifreleme anahtarlarını şifrelediğiniz veriyle aynı yerde tutmayın, erişimi sınırlayın ve düzenli olarak rotasyona alın. Yedeklerinizin de şifreli olması gerektiğini unutmayın; sıradan bir yedek dosyası, korumasızsa en zayıf halkaya dönüşür.

Şifrelemeyi uygularken sadece "üretim" verisini düşünmek yeterli değildir. Test ve geliştirme ortamlarına kopyalanan gerçek kişisel veri, çoğu zaman en zayıf korunan yerdir ve sık sızıntı kaynağıdır; test ortamlarında mümkün oldukça anonimleştirilmiş veya maskelenmiş veri kullanın. Aynı şekilde e-posta, dışa aktarılan raporlar ve geçici dosyalar da kişisel veri içerebilir; bu akışların da şifreli kanallardan geçtiğinden emin olun. TLS tarafında ise sadece sertifikayı kurmak değil, güncel protokol sürümlerini kullanmak ve zayıf şifreleme paketlerini devre dışı bırakmak gerekir.

Düzenli ve Şifreli Yedekleme Kurun

Kişisel verinin bütünlüğü ve erişilebilirliği de bir güvenlik gereğidir; düzenli, şifreli ve test edilmiş yedekler, fidye yazılımı, donanım arızası veya insan hatası kaynaklı veri kaybına karşı sizi korur. Yedeği olmayan bir kurumda tek bir olay, kişisel veriyi tamamen kaybettirebilir ve bu da başlı başına bir güvenlik ihlalidir.

Yedeklemeyi 3-2-1 kuralıyla planlayın: en az üç kopya, iki farklı ortam ve biri tamamen çevrimdışı ya da ayrı bir hesapta. Yedeklerin tümünü şifreli tutun ve düzenli aralıklarla geri yükleme testi yapın; hiç denenmemiş bir yedek, ihtiyaç anında çalışmayabilir. Yedeklere erişimi de en az yetki ilkesiyle sınırlayın, çünkü yedekler tüm kişisel verinizin bir kopyasını içerir. Saklama sürelerini belirleyin; artık ihtiyaç duyulmayan kişisel veriyi içeren eski yedekleri güvenli biçimde imha edin.

Ağ Güvenliğini Katmanlı Kurun

Kişisel veri barındıran sistemler, ağ düzeyinde katmanlı olarak korunmalıdır; güvenlik duvarı, ağ segmentasyonu ve gereksiz servislerin kapatılması, saldırganın sisteme ulaşmasını ve ulaştığında yatay hareket etmesini zorlaştırır. Düz (segmentsiz) bir ağda tek bir ele geçirilen makine, tüm veri tabanınıza açılan bir kapıya dönüşebilir.

Sunucularınızın önüne güvenlik duvarı koyun ve yalnızca gerekli portları açık tutun; veritabanı sunucularını internete asla doğrudan açmayın. Ağı segmentlere ayırın: veritabanı, uygulama ve yönetim katmanlarını birbirinden yalıtın ki bir katmandaki ihlal diğerlerine kolayca yayılmasın. Web uygulamalarınızın önüne bir WAF yerleştirerek yaygın saldırıları uygulamaya ulaşmadan filtreleyin ve hacim saldırılarına karşı DDoS koruma katmanını değerlendirin. Uzaktan yönetim erişimini (SSH, RDP) genele açmak yerine VPN veya IP kısıtlaması arkasına alın. Genel web güvenliği yaklaşımı için web sitesi güvenliği nasıl sağlanır rehberimiz de bu adımı tamamlar.

Ağ güvenliğinin sürdürülebilir olması için envanter ve sadeleştirme şarttır. Hangi sunucuların hangi servisleri çalıştırdığını bilmiyorsanız, farkında olmadığınız bir açık portu koruyamazsınız; bu yüzden düzenli port ve servis taraması yapın ve kullanılmayan her servisi kapatın. Bulut ortamlarında güvenlik gruplarını ve erişim listelerini "her yere açık" varsayılanlardan arındırın. Yönetim panelleri, veritabanı arayüzleri ve dosya sunucuları gibi bileşenlerin yanlışlıkla internete açık kalması, kişisel veri sızıntılarının en yaygın nedenlerinden biridir ve çoğu zaman basit bir yapılandırma hatasından kaynaklanır.

Düzenli Sızma Testi ve Zafiyet Yönetimi Yapın

Kurduğunuz önlemlerin gerçekten çalıştığını ancak dışarıdan bir saldırgan gözüyle test ederek doğrulayabilirsiniz; düzenli zafiyet taraması ve periyodik sızma testi, sistemlerinizdeki açıkları saldırganlardan önce bulup kapatmanızı sağlar. Bir güvenlik önlemi, test edilmediği sürece yalnızca bir varsayımdır.

Sürekli çalışan otomatik zafiyet taraması ile bilinen açıkları ve eksik yamaları erken yakalayın; kritik yamaları test ortamında hızla üretime alacak bir yama yönetimi süreci kurun. Bunun üzerine, yılda bir ve büyük değişikliklerden sonra manuel sızma testi yaptırarak otomatik araçların kaçırdığı iş mantığı açıklarını ve zincirleme zafiyetleri ortaya çıkarın. Testin nasıl işlediğini merak ediyorsanız sızma testi nasıl yapılır yazımızda süreci ayrıntılı anlattık. Çıkan bulguları önceliklendirip kapatmak, en az testin kendisi kadar önemlidir; rapor bir dosyada kaldığı sürece hiçbir riski azaltmaz.

Veri İhlali Müdahale Planı Hazırlayın

Hiçbir teknik önlem yüzde yüz koruma sağlamaz; bu yüzden bir ihlal anında ne yapacağınızı önceden yazan bir veri ihlali müdahale planı, teknik tedbirlerin ayrılmaz bir parçasıdır. Plan hazır olduğunda, kritik ilk saatlerde panikle değil, tanımlı adımlarla hareket edersiniz ve hasarı sınırlarsınız.

Müdahale planınız; ihlalin nasıl tespit edileceğini, etkilenen sistemin nasıl izole edileceğini, kanıtların (logların) nasıl korunacağını ve olayın teknik olarak nasıl kayıt altına alınacağını içermelidir. Kimin hangi rolde olduğunu (teknik ekip, yönetim, hukuk) önceden belirleyin. Planı bir kez yazıp rafa kaldırmak yerine, en az yılda bir masabaşı tatbikatla test edin; gerçek bir olayda ilk kez denenen bir plan, çoğu zaman beklendiği gibi işlemez. İhlalin etki alanını (hangi kişisel veri, kaç kayıt, hangi sistemler) hızlıca çıkarabilmek için veri envanterinizi güncel tutmak da bu hazırlığın parçasıdır. Teknik ekip olarak bizim rolümüz; ihlali durdurmak, kapsamını belirlemek, açığı kapatmak ve olay kaydını hazırlamaktır. Bildirim yükümlülükleri, süreler ve resmi başvurular ise hukuki bir konudur; bu kısımda mutlaka hukuk danışmanınızla ilerleyin. Sisteminizin ele geçirilmiş olabileceğinden şüpheleniyorsanız, sitemin hacklendiğini nasıl anlarım yazımızdaki belirtileri kontrol edin ve gecikmeden müdahale başlatın.

Sık Sorulan Sorular

KVKK teknik tedbirler ile idari tedbirler arasındaki fark nedir?

İdari tedbirler; politikalar, sözleşmeler, veri envanteri, çalışan eğitimleri ve süreç düzenlemeleri gibi organizasyonel önlemlerdir. Teknik tedbirler ise şifreleme, erişim kontrolü, loglama, yedekleme, ağ güvenliği ve sızma testi gibi sistemleri doğrudan koruyan somut önlemlerdir. İkisi birbirini tamamlar; bu yazı teknik tarafa odaklanır, idari ve hukuki boyut için ilgili uzmanlara danışılması gerekir.

KOBİ'ler bu teknik tedbirleri karşılayabilir mi?

Evet. Buradaki önlemlerin çoğu, büyük bütçe gerektirmez: HTTPS, 2FA, düzenli güncelleme, en az yetki ilkesi ve şifreli yedekleme gibi adımlar küçük ekiplerce de uygulanabilir. Önemli olan, veri envanterinize göre en yüksek riskli noktalardan başlayıp önlemleri kademeli kurmaktır. Nereden başlayacağınızdan emin değilseniz bir güvenlik kontrolü ile öncelik listesi çıkarmak iyi bir başlangıçtır.

Hangi kişisel verileri şifrelemeliyim?

İlke olarak hem aktarım hâlindeki hem de depolanan kişisel veri şifrelenmelidir. Özellikle parolalar, kimlik numaraları ve sağlık/biyometrik gibi özel nitelikli veriler için şifreleme kritik önemdedir. Web trafiğini TLS ile, depolanan veriyi disk/veritabanı ve alan bazında şifreleme ile koruyun; şifreleme anahtarlarını veriden ayrı ve erişimi kısıtlı biçimde yönetin.

Sızma testini ne sıklıkla yaptırmalıyım?

Genel yaklaşım, otomatik zafiyet taramasını sürekli çalıştırmak ve manuel sızma testini yılda en az bir kez ile birlikte büyük değişikliklerden (yeni uygulama, altyapı göçü, önemli özellik) sonra tekrarlamaktır. Kişisel veri hacminiz ve risk seviyeniz yüksekse test sıklığını artırmak yerinde olur. Testin değeri, çıkan bulguların önceliklendirilip kapatılmasıyla ortaya çıkar.

Sistemlerinizin kişisel veri güvenliği açısından nerede durduğunu net görmek ister misiniz? Ücretsiz bir güvenlik kontrolü ile erişim, loglama, şifreleme ve ağ tarafındaki teknik açıklarınızı çıkaralım; acil bir durumda 7/24 WhatsApp hattımızdan bize ulaşabilirsiniz. Daha kapsamlı bir doğrulama için siber güvenlik danışmanlığı ekibimiz teknik tedbirlerinizi uçtan uca değerlendirir.