KVKK kapsamında veri güvenliği yükümlülüğü nedir?
- Kanun m.12 bağlamında hukuka aykırı işleme/erişim ve muhafazayı sağlama yükümlülüğünü resmi KVKK kaynağıyla özetle.
- Hukuki danışmanlık yapmadan teknik uygulama perspektifi.
Teknik tedbir ve idari tedbir farkı
- Firewall/MFA/backup/log gibi teknik; politika/eğitim/sözleşme/risk gibi idari.
- İkisinin birlikte çalışması.
KVKK'da tek bir standart güvenlik modeli var mı?
- KVKK Kurumu'nun risk, faaliyet ve veri niteliğine göre uygun önlem yaklaşımını resmi rehbere dayandır.
- Her şirkete aynı ürün listesini önermeme.
Kişisel veri nedir?
- Teknik ekip için müşteri/çalışan/e-posta/IP/log/camera gibi veri örnekleri.
Veri akış haritası
- Veri nereden gelir, nerede saklanır, kim erişir, nereye gönderilir?
- IT network/application diagram ile kişisel veri envanteri arasındaki ilişki.
Varlık ve veri envanteri
- File Server, NAS, laptop, ERP, CRM, Microsoft 365, backup, CCTV, website.
- Owner, location, access, retention.
Erişim kontrolü
- Least privilege, RBAC, group-based permission.
- Personel bazlı direct permission ve shared account riskleri.
Joiner-Mover-Leaver
- İşe giriş, görev değişikliği, işten çıkış.
- AD/M365/file/VPN/ERP erişimlerinin birlikte kapatılması.
MFA
- Microsoft 365, VPN, admin console ve kritik SaaS.
- MFA'nın tek başına yeterli olmaması.
Parola ve authentication
- Shared password, default password, password manager.
- Legacy/weak authentication.
Privileged account
- Admin hesabını günlük hesaptan ayırma.
- Admin işlemlerini loglama.
Endpoint güvenliği
- Antivirus/EDR, patch, disk encryption, local admin, screen lock.
- Lost laptop senaryosu.
Disk ve cihaz encryption
- BitLocker/FileVault gibi full-disk encryption.
- Recovery key yönetimi.
Network güvenliği
- Firewall policy, VLAN/segmentation, secure Wi-Fi, guest network.
- Internet-facing services.
Remote access
- VPN/ZTNA, MFA, device trust, least privilege.
- RDP'yi doğrudan internete açmama.
Firewall ve IDS/IPS
- Risk bazlı network controls.
- Logların izlenmesi.
Wi-Fi güvenliği
- Corporate/guest ayrımı, WPA2/3-Enterprise, PSK lifecycle.
- Depo/şube access point management.
Log kayıtları
- Authentication, admin, firewall, application ve access events.
- Log tutmak kadar erişim, integrity, retention ve review.
SIEM / merkezi loglama
- Kritik sistemleri tek yerde korele etme.
- KOBİ için kapsamı risk bazlı.
Patch ve vulnerability management
- OS, firewall, WordPress, plugins, server, endpoint.
- EOL software.
Malware / ransomware
- Endpoint + segmentation + backup + user awareness.
- Ransomware backup isolation.
Yedekleme
- 3-2-1, encryption, offsite/immutable, restore test.
- Backup'taki kişisel verinin de korunması.
Data loss prevention
- DLP kavramı; email/cloud/endpoint.
- Lisans ve ürün yeteneğine göre güncel doğrula.
Veri maskeleme
- Test/report ekranlarında tam TCKN/telefon/e-posta göstermeme.
Silme / yok etme / anonim hale getirme teknikleri
- Disk wipe, crypto erase, account/data deletion süreçleri.
- KVKK saklama-imha hukuk detayını resmi rehbere yönlendir.
E-posta güvenliği
- SPF/DKIM/DMARC, anti-phishing, attachment/link protection.
- Sensitive attachment paylaşımı.
Dosya paylaşım güvenliği
- SharePoint/OneDrive guest link, File Server ACL.
- WhatsApp/personal drive ile veri paylaşım riskleri.
Cloud/SaaS güvenliği
- Tenant access, MFA, audit, data location, backup, vendor.
- Shared responsibility.
Third-party / veri işleyen riskleri
- IT servis sağlayıcı, hosting, SaaS vendor erişimi.
- Teknik hesaplar, access expiry, logs.
Web sitesi güvenliği
- Form verisi, WordPress admin, updates, TLS, backups.
- Database access.
CCTV / access control sistemleri
- Network segmentation, storage access, export permissions, retention'in idari/hukuki tarafını kurum politikasıyla eşleştir.
- Kamera hukukuna detaylı yorum yapma.
Mobil cihaz / BYOD
- MDM, screen lock, encryption, remote wipe, work/personal separation.
USB ve removable media
- Device control, encryption, business need.
Incident / data breach teknik müdahale
- Containment, account disable, logs, evidence preservation, scope.
Periyodik güvenlik kontrolleri
- User/access review, firewall rule review, patch report, backup restore, admin accounts.
- Evidence tutulması.
KVKK ve ISO 27001 ilişkisi
- ISO 27001 bilgi güvenliği yönetim standardı; KVKK Türkiye'de kişisel veri mevzuatı.
En sık yapılan teknik hatalar
- Eski çalışan hesapları.
- Herkese ortak NAS klasörü.
- Admin panelini internete açmak.
- MFA yok.
- Backup encrypted değil / test edilmiyor.
- Log var ama kimse bakmıyor.
Pillar içerisinde önerilen karşılaştırma tabloları
- Teknik tedbir vs İdari tedbir
- KVKK vs ISO 27001
- Encryption vs Masking vs Anonymization
- Backup vs Archive
- File Server permission vs SharePoint sharing
- VPN vs RDP'yi internete açmak
Gerçek hayat senaryoları
- İK klasörüne yalnız HR ve yönetim gruplarıyla erişim.
- Eski çalışanın M365/AD/VPN/ERP erişimlerini tek offboarding checklist'iyle kapatma.
- Lost laptop riskini BitLocker + MDM + account revoke ile yönetme.
- WordPress iletişim formu verisini gereksiz uzun süre tutmama ve admin erişimini MFA ile koruma.
- Backup repository'deki kişisel veriyi encryption ve ayrı admin hesabıyla koruma.
Sık sorulan sorular
- KVKK teknik tedbirler nelerdir?
- KVKK için firewall zorunlu mu?
- KVKK MFA gerekli mi?
- KVKK log tutulmalı mı?
- KVKK yedekleme nasıl olmalı?
- KVKK şifreleme nedir?
- KVKK veri maskeleme nedir?
- KVKK DLP nedir?
- KVKK personel çıkışında hesaplar ne yapılmalı?
- KVKK VPN güvenliği
- KVKK antivirüs yeterli mi?
- KVKK cloud kullanmak yasak mı?
- KVKK Microsoft 365 güvenliği
- KVKK WordPress form güvenliği
- KVKK ile ISO 27001 aynı mı?
- KVKK teknik tedbir kontrol listesi nasıl hazırlanır?
- KVKK veri ihlalinde IT ne yapmalı?