KVKK Kapsamında Teknik Tedbirler Siber Güvenlik Perspektifinden Uygulama Rehberi
6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”), kişisel verilerin hukuka uygun işlenmesinin yanı sıra güvenliğinin sağlanmasını da veri sorumluları açısından zorunlu kılmaktadır. Kanun’un 12. maddesi uyarınca veri sorumluları; işledikleri kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak amacıyla gerekli her türlü teknik ve idari tedbiri almakla yükümlüdür.
Bu yükümlülük, yalnızca politika ve dokümantasyon hazırlanmasıyla sınırlı olmayıp; doğrudan siber güvenlik altyapısını ve operasyonel kontrolleri ilgilendirmektedir.
Odak: KVKK m.12 yükümlülüğünün sahada karşılığı olan teknik kontroller ve ispatlanabilir uygulama.
Kritik başlıklar: Erişim/yetkilendirme, loglama-izleme, ağ segmentasyonu, e-posta güvenliği, sızma testi ve zafiyet taraması.
Denetim yaklaşımı: “Doküman var mı?” değil, “kontrol çalışıyor mu?” perspektifi.
Çıktı: Aksiyon planı + teknik raporlar + sürdürülebilir iyileştirme döngüsü.
1. KVKK m.12 Kapsamında Teknik Tedbirlerin Önemi
KVKK uygulamalarında sıklıkla karşılaşılan en temel hatalardan biri, teknik tedbirlerin “ikincil” görülmesidir. Oysa Kurul kararları incelendiğinde; idari para cezalarının önemli bir bölümünün yetersiz teknik tedbirler gerekçesiyle uygulandığı görülmektedir.
KVKK m.12 kapsamında teknik tedbirler;
- Kişisel verilerin yetkisiz erişime karşı korunmasını,
- Sistemlerin bütünlüğünün ve sürekliliğinin sağlanmasını,
- Olası veri ihlallerinin erken tespit edilmesini
amaçlamaktadır.
2. Temel Teknik Tedbir Alanları
KVKK m.12 kapsamında teknik tedbirlerin kurumsal ölçekte uygulanabilmesi için, kontrollerin “başlık bazında” değil “işleyiş bazında” tasarlanması gerekir. Aşağıdaki alanlar, pratikte en kritik kontrol setlerini oluşturur.
2.1. Erişim Kontrolü ve Yetkilendirme
Kişisel verilere erişim; görev tanımıyla sınırlı, rol bazlı ve izlenebilir olmalıdır. Ortak kullanıcı hesapları, paylaşılan parolalar ve gereğinden fazla yetkilendirmeler, KVKK açısından yüksek risk oluşturmaktadır.
- Active Directory ve rol bazlı erişim
- Güçlü parola politikaları
- Çok faktörlü kimlik doğrulama (MFA)
2.2. Loglama ve İzleme Mekanizmaları
KVKK ve ikincil mevzuat kapsamında, kişisel verilere erişim hareketlerinin kayıt altına alınması ve gerektiğinde geriye dönük incelenebilir olması gerekmektedir.
- Sistem ve uygulama logları
- Yetkisiz erişim denemelerinin izlenmesi
- Logların değiştirilemez şekilde saklanması
2.3. Ağ Güvenliği ve Segmentasyon
Kişisel verilerin işlendiği sistemlerin, genel ağ trafiğinden ayrıştırılması önemlidir. Açık portlar, zayıf firewall kuralları ve güncel olmayan ağ cihazları, veri ihlallerine davetiye çıkarmaktadır.
- Firewall ve IPS/IDS sistemleri
- Network segmentasyonu
- Güvenli uzaktan erişim (VPN)
2.4. E-Posta Güvenliği
KVKK kapsamında bildirilen veri ihlallerinin önemli bir bölümü e-posta üzerinden gerçekleşmektedir. Phishing saldırıları, kötü amaçlı ekler ve sahte bağlantılar ciddi risk oluşturmaktadır.
- Anti-phishing ve anti-spam çözümleri
- E-posta gateway güvenliği
- Phishing simülasyonları ile farkındalık ölçümü
2.5. Sızma Testleri ve Zafiyet Taramaları
Kişisel verilerin işlendiği sistemlerde mevcut güvenlik açıklarının düzenli olarak test edilmesi, KVKK m.12 kapsamında alınması gereken önemli teknik tedbirlerdendir.
- Web uygulama sızma testleri
- İç ağ ve dış ağ zafiyet taramaları
- Bulgulara yönelik aksiyon ve iyileştirme takibi
3. Teknik Tedbirlerin Denetimlerdeki Rolü
KVKK uyum denetimlerinde ve Kurul incelemelerinde; yalnızca politika metinleri değil, fiili uygulamalar esas alınmaktadır.
Bu kapsamda denetimlerde sıklıkla şu sorular gündeme gelir:
- Loglar gerçekten tutuluyor mu?
- Yetkilendirme kontrolleri çalışıyor mu?
- Güvenlik açıkları düzenli olarak test ediliyor mu?
- Olası bir veri ihlalinde müdahale süreci tanımlı mı?
Teknik tedbirlerin kağıt üzerinde kalması, uyum açısından yeterli kabul edilmemektedir.
4. Nesil Teknoloji’nin Bütünleşik Yaklaşımı
Nesil Teknoloji olarak KVKK uyum çalışmalarını; yalnızca hukuki metinler üzerinden değil, siber güvenlik altyapısıyla entegre şekilde ele alıyoruz.
Bu kapsamda:
- KVKK m.12’ye uygun teknik kontrol setleri oluşturuyoruz
- Mevcut altyapıyı teknik riskler açısından analiz ediyoruz
- Sızma testleri, phishing simülasyonları ve log analizleri ile somut çıktılar üretiyoruz
- Denetim ve raporlama süreçlerinde kullanılabilecek teknik raporlar hazırlıyoruz
Amaç; kurumların yalnızca mevzuata “uyumlu” değil, gerçek anlamda güvenli hâle gelmesini sağlamaktır.
5. KVKK, Teknik Güvenlikten Bağımsız Değildir
KVKK, teknik güvenlikten ayrı düşünülebilecek bir alan değildir. Kişisel verilerin korunması; güçlü altyapı, doğru yapılandırma ve sürekli denetim gerektirir.
Bu nedenle veri sorumlularının:
- Teknik tedbirleri somutlaştırması,
- Güvenlik kontrollerini düzenli olarak test etmesi,
- İnsan faktörünü de kapsayan bütüncül bir yaklaşım benimsemesi
kritik öneme sahiptir.
Nesil Teknoloji, KVKK ve siber güvenliği tek çatı altında ele alan yaklaşımıyla, kurumların bu süreci sürdürülebilir şekilde yönetmesine destek olmaktadır.
6. Sık Sorulan Sorular
KVKK uyumunda teknik tedbirler “olsa da olur” mu?
Hayır. KVKK m.12 kapsamında veri sorumlularının teknik ve idari tedbirleri birlikte ele alması beklenir. Dokümantasyon önemlidir; ancak denetimlerde fiili uygulama ve kontrol etkinliği esas alınır.
Loglama için temel beklenti nedir?
Kişisel veriye erişim hareketlerinin izlenebilir olması, yetkisiz erişim denemelerinin tespit edilebilmesi ve logların bütünlüğünün korunmasıdır. Bu kapsamda saklama, erişim, değiştirilemezlik ve periyodik inceleme süreçleri birlikte değerlendirilmelidir.
Sızma testleri KVKK m.12 açısından neden kritik kabul edilir?
Sızma testleri ve zafiyet taramaları, kişisel veri işlenen sistemlerdeki açıklıkların düzenli olarak tespit edilmesini ve risklerin kapatılmasını sağlar. Bu sayede “gerekli teknik tedbir” yükümlülüğünün ispatlanabilir bir parçası hâline gelir.
Phishing simülasyonları teknik tedbir mi, idari tedbir mi?
Çoğu kurumda hem teknik hem idari boyutu olan hibrit bir kontroldür. Teknik olarak e-posta güvenliği ve ölçümleme altyapısını, idari olarak ise farkındalık ve davranış değişikliği süreçlerini destekler.
