Bulut Tabanlı Sistemlerde KVKK Uyumlu Siber Güvenlik Doğru Mimarinin Kurulması

1. Bulut Sistemlerinde KVKK Kapsamında Sorumluluklar Kim, Ne Kadar Sorumlu?

Bulut kullanımında ilk cevaplanması gereken stratejik soru şudur: Veri sorumlusu ile bulut hizmet sağlayıcısının sorumluluk sınırları nerede başlar ve nerede biter? Bu ayrım doğru yapılmadığında hem teknik hem hukuki anlamda ciddi riskler ortaya çıkar.

1.1. Veri Sorumlusu – Cloud Provider Ayrımı

KVKK’ya göre:

• Kurum (müşteri) veri sorumlusudur.
• Bulut hizmet sağlayıcısı ise çoğu senaryoda veri işleyen konumundadır.

Bu yapı gereği, bulut ortamında işlenen kişisel verilerin güvenliğinden birincil derecede sorumlu olan taraf, her zaman veri sorumlusudur. Bulut sağlayıcının sunduğu güvenlik imkanları, veri sorumlusunun KVKK kapsamındaki yükümlülüklerini ortadan kaldırmaz; en fazla bu yükümlülüklerin yerine getirilmesinde teknik destek rolü üstlenir.

1.2. Hizmet Sağlayıcı Seçiminde KVKK Uyum Kriterleri

Bulut sağlayıcı seçimi, yalnızca teknik performans ve fiyat parametrelerine göre yapılmamalıdır. KVKK uyumu açısından mutlaka kontrol edilmesi gereken başlıklar:

• Veri merkezinin bulunduğu ülke (yurt dışına veri aktarımı riskleri),
• Güvenlik sertifikaları (ISO 27001, ISO 27017, ISO 27018),
• Veri işleme sözleşmeleri (DPA, bulut sözleşmeleri, ek protokoller),
• Log saklama süreleri ve bu logların delil niteliği,
• Şifreleme ve anahtar yönetimi (KMS) uygulamaları,
• SLA kapsamı ve güvenlik taahhütlerinin netliği,
• İhlal durumunda sağlayıcının bildirim yükümlülüklerini nasıl yönettiği.

KVKK’ya aykırı veri işleme faaliyetleri, yalnızca sağlayıcıyı değil, doğrudan veri sorumlusunu da hukuki sorumluluk altına sokar. Bu nedenle seçim süreci mutlaka KVKK ve bilgi güvenliği ekiplerinin ortak değerlendirmesiyle yürütülmelidir.

2. Bulut Tabanlı Mimarinin Karşı Karşıya Olduğu Siber Tehditler

Her bulut modeli (IaaS, PaaS, SaaS) kendine özgü risk setiyle gelir. KVKK’ya uyumlu bir bulut güvenlik mimarisi kurmak için, bu risklerin ayrıntılı biçimde analiz edilmesi ve tehdit vektörlerinin netleştirilmesi gerekir.

2.1. Yanlış Yapılandırma (Misconfiguration)

Bulut ortamlarında en sık rastlanan ihlal türü, yanlış yapılandırılmış servislerdir. Örneğin:

• Herkese açık bırakılmış bir storage bucket,
• Güvenlik gruplarının hatalı ayarlanması,
• Varsayılan kimlik bilgilerinin (default password) değiştirilmemesi,
• Anonim erişime açık servis uç noktaları.

Bu tür hatalar, KVKK açısından kişisel veri sızıntısı anlamına gelir ve doğrudan veri sorumlusunun sorumluluğunu gündeme getirir.

2.2. Yetkisiz Erişim ve Hesap Ele Geçirme (Account Takeover)

Bulut hesaplarının ele geçirilmesi çoğunlukla:

• Zayıf parola politikaları,
• Phishing saldırıları,
• Eksik veya yanlış yapılandırılmış MFA,
• Paylaşımlı ve denetlenmeyen yönetici hesapları

üzerinden gerçekleşir. KVKK bakımından bu durum, yetkisiz erişim yoluyla veri ihlali olarak değerlendirilir.

2.3. Verinin Yurt Dışına Aktarılması Riskleri

Bulut sunucularının fiziki lokasyonu çoğu zaman operasyon ekipleri tarafından göz ardı edilir. Oysa KVKK’ya göre:

• Kişisel verinin yurt dışına aktarımı ancak belirli hukuki şartlar çerçevesinde mümkündür,
• Onaysız veya mevzuata aykırı aktarım, ağır idari yaptırımlar ve itibar kaybı ile sonuçlanabilir.

Bu nedenle kullanılan bulut servislerinin hangi bölge ve ülkede barındırma yaptığı, KVKK ve ikincil mevzuat çerçevesinde mutlaka değerlendirilmelidir.

2.4. API Güvenlik Açıkları

Bulut entegrasyonlarının önemli bir kısmı API’ler üzerinden gerçekleşir. Zayıf API güvenliği:

• Kimlik doğrulama ve yetkilendirme hatalarına,
• Veri sızıntısı senaryolarına,
• Yetki yükseltme ve oturum ele geçirme saldırılarına

zemin hazırlayabilir. Bu tabloda API güvenliği, KVKK’nın öngördüğü teknik tedbirlerin ayrılmaz bir parçası olarak ele alınmalıdır.

2.5. Zararlı Yazılım ve Ransomware Riskleri

Bulut, geleneksel sistemlere göre çoğu zaman daha güvenli algılansa da:

• İstemci tarafındaki zayıf yapılandırmalar,
• Entegre edilen üçüncü taraf uygulamalar,
• Yetersiz ağ segmentasyonu

özellikle ransomware ve zararlı yazılımların bulut ortamında hızla yayılmasına neden olabilir. Bu risk, KVKK kapsamındaki veri güvenliği yükümlülüklerinin ihlali anlamına gelebilir.

3. KVKK’ya Uyumlu Bulut Güvenlik Mimarisi Nasıl Kurulur?

Bulut ortamında KVKK’ya uygun bir güvenlik mimarisi oluşturmak; yalnızca güvenlik ürünlerinin satın alınması değil, veri, erişim, şifreleme, log ve ağ mimarisinin bütüncül şekilde tasarlanması anlamına gelir. Aşağıdaki başlıklar, ideal bir bulut güvenlik mimarisinin omurgasını özetler.

3.1. Veri Sınıflandırma ve Envanter Yönetimi

KVKK uyumunun ilk adımı, hangi veriye sahip olunduğunun ve bu verinin nerede tutulduğunun netleştirilmesidir.

Bulut ortamında veri sınıflandırması en az şu kategorilerde yapılmalıdır:

• Kişisel veri,
• Özel nitelikli kişisel veri,
• Operasyonel veri,
• Finansal veri,
• Anonim hale getirilmiş veri.

Bu sınıflandırma; erişim kurallarını, şifreleme gerekliliklerini, DLP politikalarını ve saklama-imha süreçlerini doğrudan belirleyen temel referans çerçevesidir.

3.2. Şifreleme Politikaları ve Anahtar Yönetimi (KMS)

Bulut ortamında:

• Verilerin aktarım halinde (in transit),
• Verilerin sakin halde (at rest)

şifrelenmesi KVKK bakımından temel bir gerekliliktir. Doğru mimari, aşağıdaki bileşenleri içerir:

• Sunucu tarafı şifreleme (SSE): Verinin sağlayıcı tarafından şifrelenmesi,
• Müşteri tarafı şifreleme (CSE): Anahtar yönetiminin tamamen kurum kontrolünde olması,
• KMS (Key Management Service): Anahtar yaşam döngüsünün yönetimi, periyodik anahtar yenileme, sıkı erişim kontrolü ve loglama.

KVKK açısından, özellikle özel nitelikli kişisel veriler için müşteri tarafı şifreleme ve güçlü KMS tasarımı kritik öneme sahiptir.

3.3. Erişim Yönetimi: Zero Trust + RBAC + MFA

Bulut ortamında KVKK’nın teknik tedbir gereklilikleri çerçevesinde uygulanması gereken erişim modeli:

• Zero Trust: Hiç kimseye ve hiçbir sisteme peşinen güvenme, her isteği doğrula yaklaşımı,
• RBAC (Role-Based Access Control): Çalışan rolü ve görev değiştikçe erişim yetkilerinin otomatik olarak güncellenmesi,
• MFA (Multi-Factor Authentication) / FIDO2: Phishing, parola tahminleme ve hesap ele geçirme risklerinin minimize edilmesi,
• IAM Politikaları: Ana hesapların korunması, yetki devri süreçleri, anahtar ve token yönetimi.

Bu yapı, hem bulut sağlayıcının IAM olanaklarını hem de kurum içi kimlik yönetimi altyapısını birlikte ele alan entegre bir model olmalıdır.

3.4. Log Yönetimi: KVKK m.12’nin En Kritik Araçlarından Biri

Bulut üzerinde gerçekleştirilen tüm kritik işlemler:

• Erişim girişimleri,
• Veri okuma, yazma, silme ve değiştirme faaliyetleri,
• API çağrıları,
• Yetki ve rol değişiklikleri

detaylı biçimde loglanmalı ve bu loglar silinemez, değiştirilemez, güvenli ve denetlenebilir şekilde tutulmalıdır.

SIEM entegrasyonu ile:

• Olası ihlaller anlık tespit edilir,
• Davranışsal analiz ve korelasyon yapılır,
• KVKK’ya uygun raporlama süreçleri otomatikleştirilebilir.

3.5. Ağ Segmentasyonu ve Mikro Segmentasyon

Bulut ortamında tüm varlıkların tek bir büyük ağda yer alması, saldırganın sistem içinde lateral movement kabiliyetini artırır. Bu nedenle:

• Mikro segmentasyon,
• VLAN yapıları,
• Güvenlik grupları ve NACL’ler,
• Network Access Control politikaları

kullanılarak kritik sistemler ve kişisel verinin bulunduğu segmentler, diğer ortamlardan ayrıştırılmalıdır.

3.6. DLP (Data Loss Prevention) ve Çıkış Kontrolleri

Bulut ortamında kişisel verilerin izinsiz dışarı çıkmasını engelleyen en temel teknoloji DLP çözümleridir. DLP ile:

• E-posta üzerinden veri sızdırma girişimleri,
• Dosya paylaşım platformları ve bulut depolama servisleri,
• USB ve taşınabilir medya kullanımı,
• Rapor çıktıları ve ekran görüntüsü riskleri

kontrol altına alınabilir. KVKK açısından özellikle özel nitelikli kişisel verilerin izlendiği ve kontrol edildiği bir DLP yapısı, neredeyse zorunlu niteliktedir.

3.7. Red Teaming, Pentest ve Sürekli Zafiyet Yönetimi

Bulut ortamları canlı ve sürekli değişen yapılardır. Aylar önce yapılmış bir penetrasyon testi, güncel riskleri yansıtmayabilir. Bu nedenle kurumların:

• Sürekli zafiyet taraması yapması,
• Nuclei, OWASP ZAP, XRay gibi modern araçları CI/CD süreçlerine entegre etmesi,
• Yılda en az bir kapsamlı bulut güvenlik testi yaptırması,
• Attack surface monitoring (ASM) ile internet yüzeyini sürekli izlemesi

gerekmektedir. Bu yaklaşım, KVKK m.12’de öngörülen “güvenlik testlerinin yapılması” yükümlülüğünün de karşılanmasına katkı sağlar.

4. Bulut Sistemlerinde KVKK’ya Uygun İdari Tedbirler

Teknik kontroller kadar, politika, prosedür, sözleşme ve organizasyonel yapı tarafının da bulut gerçekliğine göre güncellenmesi gerekir. KVKK uyumu, yalnızca teknolojik çözümlerle sağlanamaz; güçlü bir idari çerçeveye ihtiyaç duyar.

4.1. Veri İşleme Sözleşmeleri ve Tedarikçi Yönetimi

Bulut sağlayıcıyla imzalanan sözleşmelerde aşağıdaki unsurlar açık ve net şekilde yer almalıdır:

• Veri işleme sözleşmesi (DPA) ve KVKK referansları,
• Veri saklama süreleri ve imha yükümlülükleri,
• Sızma, ihlal ve güvenlik olayı sonrası bilgilendirme yükümlülüğü,
• Güvenlik taahhütleri, denetim hakkı ve uygunluk raporları (pen test, SOC raporları),
• Yurt dışına veri aktarımı süreçleri ve hukuki dayanaklar.

4.2. KVKK Uyum Dokümanlarının Buluta Göre Güncellenmesi

Bulut geçişi sonrası aşağıdaki belgelerin güncellenmesi kritik önemdedir:

• KVKK Politikası (bulut veri işleme faaliyetlerini içerecek şekilde),
• Kişisel Veri Saklama ve İmha Politikası (bulut saklama süreleri ve imha yöntemleri),
• Veri Envanteri ve Veri Akış Diyagramları,
• Çerez ve gizlilik metinleri (bulut tabanlı analitik ve loglama çözümleri dikkate alınarak),
• Veri ihlali müdahale planı (bulut senaryoları eklenmiş şekilde).

4.3. 72 Saat Veri İhlali Bildirimi Süreçlerinin Yeniden Tasarlanması

Bulut ortamında:

• Log analizleri,
• Anomali tespiti,
• Veri sızma uyarıları

çok daha hızlı ve otomatik yönetilmelidir. KVKK çerçevesinde veri ihlalinin “gecikmeksizin” ve en geç 72 saat içerisinde Kurul’a bildirilmesi esastır.

Bu nedenle ihlal senaryolarının bulut gerçekliğini de kapsayan bir olay müdahale yapısıyla (IR) desteklenmesi, teknik ekipler, hukuk ve iletişim birimlerinin birlikte hareket ettiği net bir iş akışı kurgulanması gerekmektedir.

5. Bulut Güvenliğinde En İyi Uygulama Modeli (Best Practice) Nesil Teknoloji Yaklaşımı

Kurumların KVKK uyumlu bulut mimarisini başarıyla tasarlayıp işletebilmesi için, aşamalı ve denetlenebilir bir yol haritası izlenmesi gerekir. Nesil Teknoloji, bu yol haritasını aşağıdaki adımlar çerçevesinde kurgulamayı önerir.

Aşama 1 – Bulut Güvenlik ve KVKK Uyum Analizi

• BT ve bulut varlık envanterinin çıkarılması,
• Kişisel veri envanteri ve veri akış diyagramlarının oluşturulması,
• Mevcut bulut konfigürasyonlarının güvenlik ve KVKK açısından incelenmesi,
• Açık portlar, ağ topolojisi ve erişim noktalarının analiz edilmesi,
• Risk değerlendirmesi ve önceliklendirme.

Aşama 2 – Güvenlik Mimarisi Tasarımı

• Zero Trust yaklaşımına geçiş planının oluşturulması,
• MFA/FIDO2 ve güçlü kimlik yönetimi altyapısının şekillendirilmesi,
• IAM, rol bazlı erişim (RBAC) ve görevler ayrılığı prensiplerinin tasarımı,
• DLP ve SIEM entegrasyonlarının kurgulanması,
• Mikro segmentasyon ve ağ güvenliği stratejisinin belirlenmesi.

Aşama 3 – KVKK Dokümanlarının Buluta Göre Revizyonu

• KVKK politikası ve prosedürlerinin bulut mimarisine göre güncellenmesi,
• Kişisel Veri Saklama ve İmha Politikası’nın bulut saklama süreleriyle uyumlu hale getirilmesi,
• Veri envanterinin bulut sistemler ve entegrasyonlarla birlikte yeniden modellenmesi,
• Aydınlatma metinleri, gizlilik politikaları ve çerez metinlerinin revizyonu.

Aşama 4 – Penetrasyon Testi ve Sürekli Zafiyet Yönetimi

• Bulut ortamına özel sızma testleri (IaaS, PaaS, SaaS katmanları),
• API ve kimlik yönetimi bileşenleri için detaylı güvenlik testleri,
• OWASP Cloud Security rehberlerine göre mimari değerlendirme,
• Sürekli zafiyet yönetimi araçlarının devreye alınması.

Aşama 5 – Sürekli İzleme, Log Analizi ve Olay Müdahale

• SIEM ve SOC/MDR entegrasyonu ile 7/24 olay izleme,
• Veri ihlali senaryolarına göre IR (Incident Response) planlarının uygulanması,
• KVKK’nın 72 saatlik bildirim yükümlülüğüne uygun iş akışlarının tasarlanması,
• Düzenli tatbikatlar ve iyileştirme döngülerinin işletilmesi.

6. Sonuç Doğru Bulut Mimarisi, KVKK Uyumunun Temel Taşıdır

Bulut teknolojileri, bugün kurumların rekabet gücünü belirleyen en önemli dijital altyapı bileşenlerinden biri. Ancak bu güç, doğru yönetilmediğinde KVKK ihlali riski yüksek, karmaşık ve kırılgan bir yapıya dönüşebilir. KVKK’nın getirdiği teknik ve hukuki yükümlülüklerle birlikte değerlendirildiğinde, bulut ortamında kurulacak güvenlik mimarisinin hem operasyonel hem de hukuki sorumluluğu doğrudan etkilediği açıktır.

Bu nedenle kurumların sadece teknoloji ürünlerine yatırım yapmak yerine; veri mimarisi, erişim modelleri, şifreleme politikaları, log yönetimi, DLP, SIEM/SOC entegrasyonu ve KVKK dokümantasyonu gibi bileşenleri tek bir kurumsal risk yönetimi çatısı altında bütünleştirmesi gerekir.

Nesil Teknoloji’nin sunduğu bulut güvenlik denetimleri, zafiyet yönetimi, SOC/MDR hizmetleri, penetrasyon testleri ve KVKK uyum danışmanlığı çözümleri, kurumların hem siber güvenlik hem de mevzuat uyumu açısından sürdürülebilir ve denetlenebilir bir seviyeye ulaşmasına katkı sağlar.

Siz de bulut tabanlı sistemlerinizde KVKK uyumlu siber güvenlik mimarisi kurmak, mevcut yapınızı değerlendirmek veya yeni projelerinizi daha güvenli hale getirmek isterseniz, Nesil Teknoloji’nin uzman ekibiyle birlikte kurumunuza özel bir model kurgulayabilirsiniz.

7. Sık Sorulan Sorular