Blog

KVKK açısından ileri seviye veri koruma denetimi

KVKK Teknik Uyum – Özet Yol Haritası
1. KVKK ve IT’nin Rolü

KVKK md.12 → Teknik + idari tedbir zorunluluğu.

IT = hukukun yazdığını sahada uygulayan ekip.

SAP, HR, CRM, AD, e-posta, yedekleme, DLP, SIEM → KVKK’nın doğrudan temas ettiği sistemler.

2. Erişim Yönetimi

Yetki Matrisi (RBAC/ABAC), SoD analizi.

MFA kritik sistemlerde zorunlu.

IAM/PAM: Admin hesaplar vault + JIT erişim.

Off-boarding otomatik → dormant account = %0 hedef.

3. Loglama ve İzleme

Tüm erişim hareketleri loglanmalı.

Hash + Time-stamp + WORM ile bütünlük korunmalı.

SIEM + SOC 7/24 → anomali tespiti + alarm.

4. Ağ Güvenliği

Segmentasyon: Ofis, SAP, üretim, DMZ ayrı.

NGFW + IDS/IPS: Davranışsal analiz.

VPN + MFA: Split tunneling yasak.

Kablosuz: WPA3, rogue AP tespiti.

5. Uygulama Güvenliği

OWASP Top 10 + API Security Top 10.

SAP Security: SoD, Security Notes, SM20 logları.

Kod Analizi: SAST, DAST, SCA.

Pentest: Yılda 2 defa.

6. Şifreleme ve Anahtar Yönetimi

At-Rest: AES-256 (DB, disk, yedek).

In-Transit: TLS 1.3, zayıf cipher yasak.

KMS/HSM: Anahtar rotasyonu ≤ 12 ay.

Parola Politikası: 12+ karakter, hash = bcrypt/Argon2.

7. Veri Maskeleme & DLP

Maskeleme: TCKN → ********1234.

Test Ortamı: Statik maskeleme.

DLP: USB, e-posta, cloud kontrolü.

Content Fingerprinting: Doküman kopyası engeli.

8. Yedekleme & Felaket Kurtarma

3-2-1 Kuralı + Immutable Backup.

RTO ≤ 4 saat, RPO ≤ 15 dk.

Yılda 2 tatbikat (geri dönüş + tam DR).

9. İmha & Saklama

Süresi dolan veri otomatik silinmeli.

Silme, Yok Etme, Anonimleştirme: NIST 800-88.

SAP ILM: Yaşam döngüsü yönetimi.

İmha tutanakları + loglar saklanmalı.

10. Güvenlik Testleri & Zafiyet Yönetimi

Zafiyet Taraması: Aylık.

Patch Management: Critical ≤ 7 gün.

Red Teaming: Gerçek saldırı simülasyonu.

Pentest: SAP + web + mobil + OT/SCADA.

11. İdari Tedbirlerle Entegrasyon

Envanter & Politikalar: IT’den veri → hukukla uyumlu kayıt.

Sözleşmeler & SLA: Tedarikçi erişimleri loglu.

Denetim: IT logları = hukukun kanıtı.

12. Eğitim & Kriz Yönetimi

Eğitim: Çalışan → KVKK farkındalık, IT → ileri teknik eğitim.

Phishing Simülasyonu: Düzenli.

İhlal Bildirimi: 72 saat içinde Kurul’a raporlama.

Kriz Planı: IT + Hukuk + İK koordinasyonu.