KVKK Veri İhlali: İlk 72 Saatte Ne Yapılmalı?
Bir şirketin müşteri bilgilerinin yetkisiz kişilerin eline geçmesi, çalışan verilerinin yanlış kişilere gönderilmesi veya kişisel verilerin bulunduğu bir sistemin ele geçirilmesi ciddi sonuçlar doğurabilir.
Böyle bir durumda yalnızca teknik sorunun giderilmesi yeterli olmayabilir.
Olayın kişisel veri ihlali niteliği taşıyıp taşımadığının belirlenmesi, delillerin korunması, etkilenen kişilerin değerlendirilmesi ve uygulanabilir bildirim yükümlülüklerinin yerine getirilmesi gerekir.
Türkiye'de KVKK veri ihlali bildirimi bakımından en çok araştırılan konulardan biri 72 saatlik süredir.
Peki ilk 72 saatte hangi adımlar atılmalı?
Kişisel veri ihlali nedir?
Kişisel veri ihlali, kişisel verilerin güvenliğini etkileyen bir olayla ilgili olabilir.
Ancak her teknik arıza veya siber güvenlik olayı otomatik olarak aynı hukuki bildirim yükümlülüğünü doğurmaz.
6698 sayılı Kanun'un 12. maddesinin beşinci fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlindeki bildirim yükümlülüğünü düzenler.
Somut olayın bu kapsamda değerlendirilip değerlendirilmeyeceği hukuk ve teknik ekiplerin birlikte incelemesini gerektirir.
KVKK'de 72 saat kuralı nedir?
Kişisel Verileri Koruma Kurulunun 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı uyarınca, ilgili kapsamdaki veri ihlalinin veri sorumlusu tarafından öğrenildiği tarihten itibaren Kurula gecikmeksizin ve en geç 72 saat içinde bildirilmesi öngörülmüştür.
Bu süreyi iki nedenle doğru anlamak gerekir.
Birincisi: Süre, her durumda siber saldırının teknik olarak başladığı tarihten itibaren hesaplanmaz. Kararda veri sorumlusunun ihlali öğrendiği tarih esas alınmıştır.
İkincisi: Kurula bildirim süresi ile etkilenen ilgili kişilerin bilgilendirilme süresi aynı şekilde düzenlenmemiştir.
Kurul kararına göre etkilenen kişiler belirlendikten sonra ilgili kişilere de makul olan en kısa sürede uygun yöntemle bildirim yapılması gerekir.
Bu nedenle kurumun olayın niteliğini ve bildirim koşullarını gecikmeden değerlendirmesi önemlidir.
İlk saatlerde ne yapılmalı?
1. Olayı doğrulayın
İlk amaç gerçekten ne yaşandığını anlamaktır.
Örneğin yetkisiz erişim, hesap ele geçirilmesi, yanlış veri paylaşımı veya zararlı yazılım olayı söz konusu olabilir.
Mevcut bilgiler kayıt altına alınmalı ve ilgili sorumlular bilgilendirilmelidir.
2. Etkilenen sistemleri koruyun
Devam eden zararlı faaliyetlerin sınırlandırılması gerekebilir.
Bu işlem, olayın niteliğine göre erişimlerin kaldırılması, hesapların korunması veya belirli sistemlerin izole edilmesi gibi önlemler içerebilir.
Ancak sistemlerin kontrolsüz şekilde kapatılması, önemli olay kayıtlarının kaybolmasına neden olabilir.
3. Delilleri koruyun
Loglar, kimlik doğrulama kayıtları, güvenlik uyarıları ve ilgili diğer bilgiler korunmalıdır.
Olayın zaman çizelgesi hazırlanırken kayıtların bütünlüğü önemlidir.
4. Teknik ve hukuki sorumluları dahil edin
Olayın yalnızca sistem yöneticileri tarafından değerlendirilmesi her zaman yeterli değildir.
Hukuk, yönetim, kişisel veri koruma ve ilgili iş birimlerinin koordinasyonu gerekebilir.
İlk 24 saatte hangi bilgiler toplanmalı?
Olayın niteliğine göre aşağıdaki bilgiler değerlendirilebilir:
- Olay ne zaman fark edildi?
- Etkilenen sistemler hangileri?
- Hangi kişisel veriler söz konusu olabilir?
- Yetkisiz erişim veya veri elde edilmesi hakkında hangi bulgular var?
- Kaç kişi etkilenmiş olabilir?
- Olay devam ediyor mu?
- Hangi ilk teknik önlemler alındı?
- Başka sistem veya hizmet sağlayıcılar etkilenmiş olabilir mi?
Bütün bilgilerin ilk saatlerde kesin olarak bilinmesi her zaman mümkün değildir.
Bu nedenle doğrulanmış bilgiler ile henüz araştırılan konular birbirinden ayrılmalıdır.
24–48 saat arasında ne yapılmalı?
Bu aşamada teknik inceleme ve bildirim hazırlığı birlikte yürütülebilir.
Kurum, olayın kişisel veri ihlali niteliğini ve uygulanabilir bildirim yükümlülüklerini değerlendirmelidir.
Etkilenen veri kategorileri, kişi grupları ve olası etkiler incelenmelidir.
Güvenlik önlemleri uygulanırken delillerin korunması da sürdürülmelidir.
Kurulun kararında, bildirim formundaki bütün bilgilerin aynı anda sağlanamadığı durumlarda bilgilerin gecikmeye neden olmadan aşamalı şekilde sunulabilmesi öngörülmüştür.
Bu nedenle tüm araştırmanın tamamlanmasını beklemek yerine uygun hukuki değerlendirme ve bildirim süreci gecikmeden yürütülmelidir.
48–72 saat arasında hangi işlemler önemlidir?
İlgili bildirim yükümlülüğü doğmuşsa Kurula bildirim süresi dikkatle takip edilmelidir.
Bildirimde olayın niteliği, etkileri ve alınan önlemler gibi ilgili bilgiler kullanılabilir.
Kurula yapılacak bildirim için resmî kişisel veri ihlali bildirim formu ve uygun kanallar esas alınmalıdır.
72 saat içinde bildirim yapılamaması hâlinde, Kurulun 2019/10 sayılı kararı doğrultusunda gecikme nedenlerinin bildirimle birlikte açıklanması gerekir.
Bu durum, bildirim süresinin isteğe bağlı olarak uzatılabileceği anlamına gelmez.
İlgili kişilere bildirim nasıl yapılır?
İlgili Kurul kararına göre ihlalden etkilenen kişiler belirlendikten sonra makul olan en kısa süre içerisinde uygun bildirim yöntemleri kullanılmalıdır.
Kişinin iletişim adresine ulaşılabiliyorsa doğrudan bilgilendirme yapılabilir.
Uygun koşullarda başka bildirim yöntemleri de değerlendirilebilir.
Bildirim metninin içeriği ve kullanılacak yöntem somut olayın koşullarına göre belirlenmelidir.
Veri işleyen firma ihlali fark ederse ne olur?
Kişisel verilerin bir veri işleyen nezdinde kanuni olmayan yollarla başkalarınca elde edilmesi söz konusuysa, Kurulun ilgili kararında veri işleyenin veri sorumlusunu gecikmeksizin bilgilendirmesi öngörülmüştür.
Bu nedenle dış kaynak BT hizmetleri, bulut uygulamaları ve diğer veri işleyenlerle yapılan sözleşmelerde olay bildirim ve koordinasyon süreçleri açıkça tanımlanmalıdır.
Fidye yazılımı saldırısı her zaman veri ihlali midir?
Fidye yazılımı saldırısı ciddi bir siber güvenlik olayıdır.
Ancak her olayın kişisel verilerin yetkisiz kişilerce elde edilmesi bakımından aynı hukuki sonucu doğuracağı varsayılmamalıdır.
Bu nedenle olayın teknik bulguları ve ilgili hukuki şartlar birlikte değerlendirilmelidir.
Ayrıca yedekleme ve geri yükleme süreçlerinin hazırlanmış olması, iş sürekliliği açısından önem taşır.
İlgili yazı: Fidye Yazılımına Karşı Yedekleme ve Felaket Kurtarma
Veri ihlali müdahale planı neler içermeli?
Bir veri ihlali müdahale planında aşağıdaki konular tanımlanabilir:
- Olayı bildirecek personel
- Teknik müdahale sorumluları
- Yönetim ve hukuk ekibiyle iletişim
- Olay kayıtlarının korunması
- Etkilenen sistemlerin değerlendirilmesi
- Kişisel veri ihlali bildirim süreci
- İlgili kişilerin bilgilendirilmesi
- Hizmetlerin güvenli şekilde geri kazanılması
- Olay sonrası iyileştirme
- Planın belirli aralıklarla test edilmesi
Bu sorumluluklar olay yaşanmadan önce belirlenmelidir.
Olay sonrasında hangi kontroller yapılmalı?
Olay kontrol altına alındıktan sonra kök neden değerlendirmesi yapılmalıdır.
Örneğin olay zayıf hesap güvenliği, eksik güncelleme, yanlış yapılandırma veya tedarikçi erişimiyle ilişkili olabilir.
Gerektiğinde kullanıcı yetkileri, loglama, güvenlik güncellemeleri ve yedekleme süreçleri gözden geçirilmelidir.
Amaç yalnızca mevcut olayı kapatmak değil, benzer risklerin azaltılmasını sağlamaktır.
RelGen Teknoloji ile veri ihlali teknik hazırlığı
RelGen Teknoloji, işletmelerin sistem ve ağ güvenliği, loglama, kullanıcı erişimleri, yedekleme ve olay müdahale süreçlerinin teknik açıdan değerlendirilmesine yardımcı olur.
Bu çalışmalar kişisel veri güvenliği hazırlığını destekleyebilir.
Somut veri ihlali bildirim yükümlülükleri, hukuki değerlendirme ve yetkili karar mekanizmalarıyla birlikte yürütülmelidir.
Bilişim Uyumluluk hizmetlerimizi inceleyebilir veya RelGen Teknoloji ile iletişime geçebilirsiniz.
Sık sorulan sorular
KVKK veri ihlali bildirimi kaç saat içinde yapılır?
Kurulun 2019/10 sayılı kararı kapsamında, ilgili ihlalin veri sorumlusunca öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirilmesi öngörülmektedir.
İlgili kişilere de 72 saat içinde mi bildirim yapılır?
Kurula bildirim ile ilgili kişilere bildirim aynı şekilde düzenlenmemiştir. İlgili kişiler belirlendikten sonra makul olan en kısa süre içerisinde bildirim yapılması esastır.
Veri ihlali bildirim formuna nereden ulaşılır?
Kişisel Verileri Koruma Kurumunun resmî internet sitesindeki veri ihlali bildirimi bölümünden erişilebilir.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır ve hukuki görüş niteliğinde değildir. Olayın niteliği ve uygulanabilir yükümlülükler güncel mevzuata göre değerlendirilmelidir.
Resmî kaynak: KVKK — 2019/10 Sayılı Veri İhlali Bildirim Kararı