KVKK teknik tedbirleri: KOBİ’ler için 10 maddelik kontrol listesi

KVKK uyum projelerinin çoğu hukuki metinlerle başlıyor ve orada bitiyor. Oysa Kanun’un 12. maddesi veri sorumlusuna uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri alma yükümlülüğü getiriyor; Kurul’un Kişisel Veri Güvenliği Rehberi de bu tedbirleri örnekliyor. Veri ihlallerinde verilen cezaların büyük bölümü de tam bu başlıktan kaynaklanıyor.

KVKK teknik tedbirler için on maddelik öz değerlendirme

• Kişisel veri içeren sistemlere erişim, kişiye özel hesaplarla ve görev gereği kadar yetkiyle mi yapılıyor?
• E-posta, uzaktan erişim ve yönetici hesaplarında çok faktörlü doğrulama zorunlu mu?
• Ayrılan çalışanın hesapları aynı gün kapatılıyor mu, bunun kaydı var mı?
• Dizüstü bilgisayarların ve telefonların diskleri şifreli mi?
• Yedekler şifreli, saha dışında ve geri dönüşü test edilmiş durumda mı?
• Kim, hangi veriye, ne zaman erişti sorusuna kayıtlarla yanıt verilebiliyor mu?
• İşletim sistemi ve uygulama güncellemeleri düzenli uygulanıyor mu?
• Güvenlik duvarı, uç nokta koruması ve e-posta filtreleme güncel ve izleniyor mu?
• Saklama süresi dolan veriler sistemlerden gerçekten siliniyor mu?
• Bir ihlal fark edildiğinde 72 saat içinde Kurul’a bildirim yapabilecek bir süreç tanımlı mı?

Sonuç nasıl okunuyor?

Üçten fazla “hayır” varsa, kâğıt üzerindeki uyum ile sahadaki uygulama arasında ciddi bir fark var demek. Bu farkı, koordineli çalıştığımız hukuk bürosuyla birlikte tek projede kapatıyoruz: hukuki metinler onlarda, teknik tedbirler bizde. Ayrıntı için KVKK Süreç Uyumluluğu sayfamıza bakabilirsiniz.

Bu yazı bilgilendirme amaçlıdır, hukuki görüş niteliği taşımıyor.