KVKK Kapsamında Kullanılan Teknolojiler ve Güvenlik Testleri ile Kişisel Veri Koruma

1. KVKK Nedir? Amaçları ve Teknolojik Boyutu

KVKK, Kişisel Verilerin Korunması Kanunudur ve kişisel verilerin işlenmesi sırasında bireylerin özel hayatının gizliliğini, temel hak ve özgürlüklerini korumayı hedefler. Kanun; verilerin rastgele, kontrolsüz ve ölçüsüz kullanılmasının önüne geçmeyi, veri sorumlularına açık ve somut yükümlülükler getirerek kişisel veri güvenliğini sistematik bir çerçeveye oturtmayı amaçlar.

KVKK’nın ihtiyaç duyulmasının temel nedenleri şöyle özetlenebilir:

• Kişisel verilerin, kişinin temel hak ve özgürlüklerine kısıtlama getirmesini önlemek,
• Verileri işleyen kişilerin uyması gereken metotları ve yükümlülükleri netleştirmek,
• Verisi işlenen kişilerin özel alanlarının gizliliğini korumak,
• Artan dijitalleşme ile birlikte bilgi güvenliğini sağlamak,
• Kişisel verilerin izinsiz toplanması, yetkisiz kişilerin eline geçmesi ve kötüye kullanılmasının önüne geçmek.

Görüldüğü üzere KVKK, yalnızca hukuki bir metin değil; aynı zamanda teknolojik kontrollerle desteklenmesi gereken bir güvenlik çerçevesidir. Aşağıda bu kontrolleri oluşturan temel teknolojiler detaylı şekilde ele alınmaktadır.

2. KVKK Kapsamında Kullanılan Temel Teknolojiler

KVKK kapsamındaki teknik tedbirlerin temelini, kurumların hangi kişisel verileri işlediğini bilmesi, bu verilerin nerede, nasıl saklandığını görmesi ve riskli alanları tespit etmesi oluşturur. Bu nedenle ilk adım, kişisel verilerin görünür hale getirilmesi ve doğru sınıflandırılmasıdır.

2.1. Kişisel Veri Tespit Testi

Kişisel veri tespit testi, kurum sistemlerinde bulunan kişisel verilerin tespit edilmesini sağlar. Kişisel veri; bir kişinin kimlik numarası, adı-soyadı, iletişim bilgileri, etnik kökeni, dini, sağlık verileri, eğitim bilgileri gibi kimliği belirli veya belirlenebilir hale getiren her türlü bilgiyi kapsar.

Bu testler sayesinde:

• Hangi sistemlerde (veri tabanı, dosya sunucusu, e-posta, paylaşımlı klasörler vb.) kişisel veri bulunduğu,
• Bu verilerin hassasiyet düzeyi ve işleme amaçları,
• Gereksiz veya fazladan tutulan veri alanları

tespit edilir. Böylece KVKK uyum sürecinde veri envanteri ve sınıflandırma adımları sağlıklı şekilde tamamlanabilir.

2.2. Veri Sızıntısı Engelleme (DLP) Testi

Veri Sızıntısı Engelleme – DLP (Data Loss Prevention), kurum için kritik öneme sahiptir. KVKK açısından hassas olan kurum ve çalışan verilerinin izinsiz şekilde kurum dışına çıkmaması gerekir. DLP testleriyle:

• Hangi kanallardan (e-posta, USB, bulut depolama, yazdırma vb.) veri sızıntısı yaşanabileceği,
• Hangi dosya tipleri ve içeriklerin hassas veri olarak algılanacağı,
• Veri sızıntısı tespit edildiğinde ne tür aksiyonların (bloklama, uyarı, loglama) alınacağı

belirlenir. Böylece hassas verinin kurum dışına çıkmasının önüne geçmek amaçlanır.

2.3. Şifreleme Testi

Şifreleme (encryption), KVKK açısından kritik bir kontrol alanıdır. Amaç; ağa çıkan verinin ve depolanan verinin kriptografik yöntemlerle korunmasıdır. Şifreleme testleri ile:

• Verilerin ağ üzerinden taşınırken TLS gibi güvenli protokollerle şifrelenip şifrelenmediği,
• Disk, dosya veya veri tabanı seviyesinde şifreleme kullanılıp kullanılmadığı,
• Şifreleme anahtarlarının güvenli şekilde yönetilip yönetilmediği

kontrol edilir. Böylece veriler kötü niyetli kişilerce ele geçirilse dahi, anlaşılamaz ve kullanılamaz hale gelir; veri sızıntısının etkisi minimize edilir.

3. Çekirdek Güvenlik Testleri ve Kontroller

KVKK çevresinde kullanılan birçok test, kurumun günlük işleyişinde yoğun olarak kullanılan kanalları ve sistemleri güvence altına almayı hedefler. E-posta, web uygulamaları, log & SIEM altyapısı ve veri imha süreçleri bu çekirdek alanların başında gelir.

3.1. E-Posta Güvenliği Testi

Kurum içi iletişim ve haberleşme çoğu zaman e-posta üzerinden yürütülür. Günümüzde yapılan siber saldırıların önemli bir kısmı, zararlı içerikli e-postalar üzerinden gerçekleşmektedir. Dikkatsiz bir çalışanın üçüncü taraflardan gelen zararlı bir e-postayı açması, kurum bilgisayarını ve tüm ağı tehlikeye atabilir.

E-posta güvenliği testleriyle:

• Spam ve phishing maillerine karşı filtreleme düzeyi,
• E-postalarda gönderilen eklerin zararlı yazılım taramasından geçip geçmediği,
• E-posta ile hassas veri paylaşımında DLP ve şifreleme politikalarının devrede olup olmadığı

analiz edilir. Bu nedenle e-posta güvenliği, KVKK kapsamında kritik öneme sahiptir.

3.2. Web Güvenliği ve ADC Testleri

Banka, e-ticaret ve birçok kurumsal yapı için web uygulamaları işin kalbidir. Web sitelerinde bulunan bir zafiyet, kötü niyetli kişilerce sömürülerek hem kurumun hem de çalışan ve müşterilerin verilerinin ele geçirilmesine yol açabilir.

Web güvenliği ve ADC (Application Delivery Controller) testleri ile:

• Uygulamanın bilinen zafiyetlere (XSS, SQL injection vb.) karşı korunma düzeyi,
• WAF (Web Application Firewall) ve ADC konfigürasyonlarının doğruluğu,
• HTTPS zorunluluğu, sertifika yönetimi ve oturum güvenliği

kontrol edilir. Böylece hem KVKK hem de genel siber güvenlik açısından web katmanı güçlendirilir.

3.3. Log ve SIEM Teknolojileri Testi

Log ve SIEM (Security Information and Event Management) teknolojileri, kurumlarda gerçekleşen işlemlerin kaydedilmesi ve analiz edilmesini sağlar. KVKK açısından bu kayıtlar son derece kritiktir; çünkü yaşanan bir veri sızıntısında olayı aydınlatmak ve geriye dönük inceleme yapmak için log ve SIEM kayıtlarına başvurulur.

Log & SIEM testleri ile:

• Hangi sistemlerden ne tür logların toplandığı,
• Logların bütünlüğünün korunup korunmadığı,
• Şüpheli aktivitelerin SIEM tarafından tespit edilip edilmediği ve nasıl alarmlara dönüştüğü

değerlendirilir. Bu sayede KVKK’nın hesap verebilirlik ve izlenebilirlik ilkeleri desteklenmiş olur.

3.4. Veri Silme/Yok Etme Testi

Veri silme veya yok etme, verilerin artık erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir. KVKK’ya göre, kişisel verilerin kasten veya kast dışı şekilde yetkisiz olarak yok edilmesi ya da erişilebilir kalması ciddi uyumsuzluklara yol açabilir.

Veri silme/yok etme testleri ile:

• Verilerin gerçekten geri döndürülemeyecek şekilde silinip silinmediği,
• Yedekler dahil tüm kopyaların imha süreçlerine dahil edilip edilmediği,
• Silme, yok etme ve anonimleştirme prosedürlerinin KVKK ile uyumlu olup olmadığı

kontrol edilir. Bu adım, KVKK’nın veri işleme süresi ve saklama ilkeleri açısından kritik önemdedir.

3.5. Zaman Damgası Testi

Zaman damgası, bir verinin ne zaman oluşturulduğu, değiştirildiği, alındığı veya gönderildiği gibi bilgileri güvenilir şekilde kayıt altına alır. KVKK bağlamında zaman damgası:

• Veri üzerinde yapılan işlemlerin zaman çizelgesini netleştirir,
• İhtilaf durumlarında delil niteliği taşıyan teknik kanıtlar sunar,
• Log ve SIEM altyapısıyla birlikte olay müdahalesi ve adli bilişim süreçlerine temel oluşturur.

4. İleri Seviye KVKK Güvenlik Çözümleri

KVKK kapsamındaki ileri seviye çözümler, verinin saklandığı ortamlara, cihaz yönetimine ve ağ erişim kontrollerine odaklanır. Veri tabanı güvenliği, tokenizasyon, MDM ve yetki & erişim denetim ürünleri bu alandaki temel yapı taşlarıdır.

4.1. Veri Tabanı Güvenliği Testi

Kurumların önemli bir kısmında tüm kritik veriler veri tabanlarında saklanır. Bu nedenle veri tabanı güvenliği testi, KVKK kapsamında yüksek öncelikli bir alandır. Kullanılan veri tabanında bir zafiyet bulunması, tüm kişisel verilerin açığa çıkmasına neden olabilir.

Veri tabanı güvenlik testleriyle:

• Erişim kontrolleri ve yetkilendirmelerin doğruluğu,
• Şifreleme ve maskeleme mekanizmalarının varlığı,
• SQL injection ve benzeri saldırılara karşı dayanıklılık

analiz edilir.

4.2. Tokenizasyon Testi

Tokenizasyon; hassas verilerin, gerçek değerlerini içermeyen sözde (token) değerlerle yer değiştirmesi prensibine dayanır. Böylece veri işleme süreçlerinde gerçek veriler yerine tokenlar kullanılır, hassas veri yalnızca güvenli bir ortamda tutulur.

Tokenizasyon testleri ile:

• Hangi veri alanlarının token haline getirildiği,
• Token-veri eşlemesinin güvenli ortamda saklanıp saklanmadığı,
• Tokenizasyon çözümünün KVKK’nın veri minimizasyonu ve güvenlik ilkeleriyle uyumu

değerlendirilir.

4.3. Yapılandırılmamış Veri Güvenliği Ürünleri

Yapılandırılmamış veri güvenliği ürünlerinin yanlış veya eksik konfigüre edilmesi, pek çok güvenlik sorununa yol açar. Cihazların kurulumunun veya konfigürasyonunun eksik bırakılması, kötü niyetli kişiler için bir fırsat oluşturur ve bu açıklıklar kullanılarak veriler ele geçirilebilir.

Bu nedenle:

• Cihaz ve güvenlik ürünlerinin doğru yapılandırılması,
• Konfigürasyonların periyodik olarak gözden geçirilmesi,
• Yanlış yapılandırma kaynaklı zafiyetlerin testlerle tespit edilmesi

KVKK kapsamında önemli bir gereklilik haline gelmiştir.

4.4. Mobil Cihaz Yönetimi (MDM) Ürünleri

Cihazların kurulumu kadar yönetimi de kritik önem taşır. Mobil Cihaz Yönetimi (MDM) ürünleriyle:

• Cihazlarda hangi özelliklerin açık olduğu,
• Cihazların dışardan erişim için açık bir zafiyete sahip olup olmadığı,
• Kayıp/çalıntı durumunda uzaktan silme veya kilitleme gibi fonksiyonların çalışıp çalışmadığı

yönetilir. Böylece kurum çalışanlarının mobil cihazları üzerinden yer alan kişisel veriler daha güvenli hale gelir.

4.5. Yetki ve Erişim Denetim Ürünleri (Örneğin NAC)

Yetki ve erişim denetim ürünleri, KVKK kapsamında önemli bir yer tutar. Örneğin NAC (Network Access Control) çözümleri sayesinde:

• Ağa kimin bağlandığı,
• Şu an ağda hangi cihazların bulunduğu ve ne tür aktiviteler yaptığı,
• Yetkisiz veya uyumsuz cihazların ağa erişiminin engellenip engellenmediği

izlenebilir. Ağ izleniminin olmadığı durumlarda, kötü niyetli biri kurum ağına bağlanıp içeriden verileri ele geçirebilir. Bu nedenle NAC benzeri ürünler, kurum ve çalışan verilerinin korunması için kritik cihazlardır.

5. KVKK Uyum Süreci ve Proje Yaklaşımı

Görüldüğü gibi KVKK kapsamında kullanılan çok sayıda teknoloji ve güvenlik testi bulunmaktadır. KVKK, anlattığımız bu teknolojilerle birlikte uygulandığında daha faydalı, etkin ve ölçülebilir bir veri koruma çerçevesi ortaya çıkar.

Özetle aşağıdaki başlıklar kurum içinde gereğiyle uygulandığında, veri ihlali riski önemli ölçüde azaltılmış olur:

• Yetki ve erişim denetimi için yetkilendirme matrisi oluşturulması ve düzenli kontrolü,
• Erişim loglarının tutulması, incelenmesi ve güvenli şekilde yedeklenmesi,
• Kullanıcı hesaplarının yaşam döngüsü boyunca etkin şekilde yönetilmesi,
• Ağ ve web uygulama güvenliğinin sağlanması, saldırı tespit ve önleme sistemlerinin kullanılması,
• Verilerin şifreleme ve tokenizasyon gibi yöntemlerle korunması,
• DLP, veri maskeleme ve veri kaybı önleme çözümlerinin devreye alınması,
• Güncel antivirüs ve diğer uç nokta güvenlik çözümlerinin kullanılması,
• Yedekleme sistemlerinin yönetilmesi ve yedeklerin ağ dışı, fiziksel olarak güvenli ortamda saklanması,
• Verilerin durumuna göre silme, yok etme veya anonim hale getirme süreçlerinin işletilmesi.

6. Sık Sorulan Sorular