KVKK ve ISO 27001 Uyumluluğu Birlikte Nasıl Yönetilir?
İşletmelerin bilgi güvenliği ve kişisel veri koruma ihtiyaçları çoğu zaman birbirinden bağımsız projeler olarak değerlendiriliyor.
Bir yanda KVKK kapsamında kişisel verilerin korunmasına ilişkin yükümlülükler, diğer yanda ISO/IEC 27001 standardının gerektirdiği bilgi güvenliği yönetim sistemi bulunuyor.
Oysa bu iki alanın teknik ve yönetsel süreçlerinde önemli ortak noktalar vardır.
KVKK ve ISO 27001 birlikte ele alındığında, risk değerlendirmesi, erişim yönetimi, güvenlik olayları ve tedarikçi kontrolleri gibi birçok başlık daha bütüncül şekilde yönetilebilir.
Ancak iki yapının aynı şey olduğu veya birine uyum sağlandığında diğerinin otomatik olarak tamamlandığı düşünülmemelidir.
KVKK nedir?
6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verilerin işlenmesine ve korunmasına ilişkin temel hukuki çerçeveyi düzenler.
Kişisel veri işleyen kurumların faaliyetleri açısından işleme şartları, aydınlatma yükümlülüğü, veri güvenliği ve ilgili kişi hakları gibi konular önemlidir.
Kurumun uygulanabilir yükümlülükleri, faaliyetlerine ve veri işleme süreçlerine göre değerlendirilmelidir.
KVKK yalnızca internet sitelerine aydınlatma metni eklemekten ibaret değildir.
Gerçek veri işleme faaliyetlerinin hukuka uygun olarak yürütülmesi ve gerekli güvenlik önlemlerinin alınması gerekir.
ISO 27001 nedir?
ISO/IEC 27001, Bilgi Güvenliği Yönetim Sistemi (BGYS) için gereklilikleri belirleyen uluslararası bir standarttır.
Kurumların bilgi güvenliği risklerini sistematik biçimde değerlendirmesini ve yönetmesini hedefler.
Bilgi varlıkları, iş süreçleri, teknoloji, çalışanlar, tedarikçiler ve yönetsel sorumluluklar bu yaklaşımda önem taşır.
ISO 27001 kapsamında yalnızca kişisel veriler değil, kurum açısından önem taşıyan diğer bilgi varlıkları da değerlendirilebilir.
KVKK ve ISO 27001 arasındaki farklar nelerdir?
KVKK, kişisel verilerin korunmasına yönelik hukuki yükümlülükleri içerir.
ISO 27001, bilgi güvenliğini yönetmek amacıyla uluslararası standarda dayanan bir yönetim sistemi yaklaşımı sunar.
KVKK kapsamındaki yükümlülükler, ilgili veri işleme faaliyetleri için hukuken uygulanabilir olabilir.
ISO 27001 sertifikasyonu ise genel olarak bağımsız belgelendirme sürecine dayanan ayrı bir değerlendirmedir.
ISO 27001 sertifikasına sahip olmak, tek başına KVKK kapsamındaki bütün yükümlülüklerin yerine getirildiğini göstermez.
Benzer şekilde KVKK'ye ilişkin belgelerin hazırlanması da kapsamlı bir BGYS kurulduğu anlamına gelmez.
KVKK ve ISO 27001 hangi noktalarda örtüşür?
1. Risk değerlendirmesi
Kişisel veri güvenliği kapsamında tehditlerin ve gerekli tedbirlerin değerlendirilmesi önemlidir.
ISO 27001 de bilgi güvenliği risklerinin belirlenmesini ve uygun şekilde yönetilmesini gerektirir.
Bu süreçlerde ortak bilgi varlığı ve risk kayıtlarından yararlanılabilir.
Ancak her çerçevenin kendi kapsamı ve değerlendirme gereklilikleri korunmalıdır.
2. Erişim kontrolü
Bir çalışanın görevi için gerekli olmayan müşteri kayıtlarına erişebilmesi, hem kişisel veri güvenliği hem de bilgi güvenliği açısından risk oluşturabilir.
Bu nedenle kullanıcı hesapları, erişim yetkileri ve yönetici hakları kontrollü şekilde yönetilmelidir.
3. Loglama ve izleme
Kritik sistemlerdeki erişim ve güvenlik olaylarının uygun şekilde kayıt altına alınması risklerin izlenmesini kolaylaştırabilir.
Ancak hangi logların tutulacağı, saklama süreleri ve kullanım amaçları ilgili mevzuat ve iş ihtiyacı üzerinden belirlenmelidir.
4. Tedarikçi güvenliği
Bulut hizmetleri, yazılım sağlayıcıları ve dış kaynak BT destek firmaları kurumun bilgi sistemlerine erişebilir.
Bu ilişkilerin güvenlik ve kişisel veri koruma açısından değerlendirilmesi önemlidir.
5. Güvenlik olayları
Bir siber güvenlik olayı hem iş sürekliliğini hem de kişisel verilerin korunmasını etkileyebilir.
Olay müdahale planları, teknik ve hukuki süreçlerin birlikte yürütülmesine yardımcı olabilir.
KVKK teknik tedbirleri ve ISO 27001 kontrolleri
İki yaklaşım birlikte ele alınırken aşağıdaki teknik alanlar değerlendirilebilir:
- Firewall ve ağ güvenliği
- Kullanıcı yetkilendirmesi
- Çok faktörlü kimlik doğrulama
- Sunucu ve bilgisayar güvenliği
- Yedekleme ve geri yükleme
- Güvenlik açığı yönetimi
- Veri şifreleme
- Loglama ve olay izleme
- Tedarikçi erişim kontrolü
- Veri kaybı önleme çözümleri
Ancak belirli bir güvenlik ürününü satın almak tek başına KVKK uyumunu veya ISO 27001 sertifikasyonunu sağlamaz.
Kontrollerin kuruma uygun seçilmesi, uygulanması ve yönetilmesi gerekir.
Veri envanteri ve bilgi varlığı envanteri aynı mı?
Hayır.
Kişisel veri işleme envanteri, kişisel verilerin hangi süreçlerde, hangi amaçlarla ve hangi hukuki şartlarla işlendiğinin anlaşılmasına yardımcı olur.
Bilgi varlığı envanteri ise kurumun bilgi güvenliği kapsamındaki varlıklarını ve ilişkili risklerini belirlemek için kullanılabilir.
Bu iki envanter arasında bağlantılar kurulabilir fakat birbirinin yerine geçtiği varsayılmamalıdır.
İlgili yazı: Kişisel Veri Envanteri Nasıl Çıkarılır?
KVKK ve ISO 27001 için ortak bir çalışma planı
İlk aşama: Mevcut durum analizi
Kurumun veri işleme faaliyetleri, BT altyapısı, bilgi varlıkları ve mevcut güvenlik önlemleri incelenir.
İkinci aşama: Kapsam ve sorumluluklar
Hangi birimlerin ve sistemlerin değerlendirmeye alınacağı, kimlerin hangi görevlerden sorumlu olduğu belirlenir.
Üçüncü aşama: Risk ve kontrol değerlendirmesi
Mevcut riskler analiz edilir, gerekli teknik ve idari iyileştirmeler planlanır.
Dördüncü aşama: Süreçlerin uygulanması
Erişim yönetimi, güvenlik olayları, yedekleme, tedarikçi yönetimi ve diğer ilgili kontroller hayata geçirilir.
Beşinci aşama: Denetim ve iyileştirme
Uygulamaların etkinliği kontrol edilir, eksiklikler giderilir ve gerektiğinde bağımsız belgelendirme hazırlığı yürütülür.
Bu aşamalar kuruma göre farklılaşabilir.
5651 loglama yükümlülüğü bu süreçlerle aynı mı?
Hayır.
5651 sayılı Kanun kapsamındaki belirli internet erişim kayıtlarına ilişkin yükümlülükler, KVKK ve ISO 27001'den ayrı bir hukuki ve teknik değerlendirme konusudur.
Kurumun loglama altyapısının birden fazla ihtiyaca hizmet etmesi mümkün olabilir.
Ancak her düzenleme için hangi kayıtların tutulacağı ve nasıl korunacağı ayrı ayrı belirlenmelidir.
İlgili yazı: 5651 Loglama Zorunluluğu: Kimler Kapsamda?
RelGen Teknoloji ile KVKK ve ISO 27001 teknik hazırlığı
RelGen Teknoloji, işletmelerin mevcut BT altyapısını ve bilgi güvenliği uygulamalarını değerlendirerek KVKK kapsamındaki teknik güvenlik ihtiyaçları ile ISO 27001 hazırlığının ortak alanlarının belirlenmesine yardımcı olur.
Ağ ve sunucu güvenliği, kullanıcı erişimleri, loglama, yedekleme, güvenlik açığı yönetimi ve teknik risklerin azaltılması bu çalışmaların parçası olabilir.
Amaç, kurumsal güvenlik uygulamalarını gerçek çalışma süreçleriyle uyumlu, sürdürülebilir ve denetlenebilir hâle getirmektir.
Bilişim Uyumluluk hizmetlerimizi inceleyebilir veya RelGen Teknoloji ile iletişime geçebilirsiniz.
Sık sorulan sorular
ISO 27001 sertifikası KVKK uyumu sağlar mı?
Tek başına hayır. ISO 27001 bilgi güvenliği yönetimini destekler; KVKK'nin hukuki gereklilikleri ayrıca değerlendirilmelidir.
KVKK için ISO 27001 belgesi zorunlu mu?
KVKK kapsamında her veri sorumlusu için genel ve otomatik bir ISO 27001 sertifikası alma şartı bulunduğu söylenemez. Sektörel veya sözleşmesel yükümlülükler ayrıca incelenmelidir.
İki çalışma birlikte yürütülebilir mi?
Evet. Ortak risk değerlendirmesi, erişim kontrolü ve güvenlik süreçlerinden yararlanılabilir. Bununla birlikte her iki çerçevenin ayrı gereklilikleri korunmalıdır.
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır. Somut hukuki yükümlülükler ilgili mevzuat ve uzman görüşüyle değerlendirilmelidir.
Kaynaklar: