KVKK Danışmanlığı

Yetki Kontrol listeleri, çalışanların iş adımlarında kullanmakta olduğu dosya, veri tabanı ya da bir yazılım üzerinde ne tür yetkilerinin olduğunu gösteren ve yetki matrisleri ile birlikte oluşturulan tablolardır.

Veri Sorumlusunun kontrolünde olan, bilgi teknolojileri alt yapısında ki sistemlere erişen kullanıcıların loglarının tutulması gerekmektedir.

Çalışanların ve kurum ağına katılan misafirlerin merkezi bir kontrol mekanizması ile erişebileceği noktaların belirlenmesi, doğrulanması ve izlenmesinin sağlanmasıdır.

Bir kurumun dikkat etmesi gereken en temel yapıdır. Günümüzde Siber salıdırıların giderek arttığı görülmektedir bu yüzden Ağ Güvenliği olmazsa olmazlardan biri olmakla birlikte her kurumun kesinlikle uygulaması gereken bir yapıdır.

• IDS ( Intrusion Detection System ) - Saldırı Tespit Sistemi
• IPS ( Intrusion Prevention System ) - Saldırı Önleme Sistemi

Son yıllarda artan Siber saldırıların fazlalığından dolayı artık bir çok Firewall(Güvenlik Duvarı) üzerinde IPS/IDS beraberinde programlanmış olarak gelmektedir.

Özellikle kritik seviyedeki cihazların ürettiği olayları kayıt altına alması gerekmekle birlikte bu kayıtların anlamlı bir şekilde metinlere dönüştürülmesi gerekmektedir.

Veritabanlarında ki verilerin yerine gerçek olmayan verileri koyarak güvenliği sağlamaktadır. Özel nitelikli kişisel veriler ve hassas olarak nitelendirdiğiniz verilere erişimi engelleyen bir çözümdür.

Kişisel verilerin, yanlışlıkla ya da kötü niyetli kişilerce kurum dışına çıkarılmasına engel olan ya da engel olmadan işlemi raporlamaya yarayan güvenlik yazılımı.

Kişisel verilerin herhangi bir sebeple zarar görmesi, yok olması, çalınması veya kaybolması gibi durumlara karşı, verilerin yedeklenmesi veya mevcut yedekleme politikasının arttırılması gerekmektedir.

Bir kural kümesini temel alarak ağa gelen giden internet trafiğini kontrol etmektedir. Bir çok filtreleme özelliği ile bilgisayar ve ağın gelen giden paketler olmak üzere internet trafiğini kontrol altında tutar.

Kötü amaçlı yazılımların tespit edilmesi ve bunlara karşı önlemler alınabilmesi amacı ile gelişmiş Antivirüs yazılımları kullanılmalı, bilgi sistem ağı düzenli olarak taranmalıdır.

Kişisel veri envanterinde belirtilen işleme sebebinin ortadan kalkması veya saklama süresinin bitimi ile, ya da kişisel veri sahibinin talebine istinaden verinin silme, yok etme veya anonimleştirilmesi gibi süreç ve yöntemlerin açıklandığı politika, prosedür oluşturulmalıdır. Aynı zamanda ilgili işlemler için log, tutanak/form gibi kayıtlar alınmalıdır.

Anahtar yönetim sistemi olarak yazılımsal veya donanımsal çözümler oluşturulmalıdır. Kullanılacak Anahtar Yönetim Sistemi, anahtarların yaratılması, saklanması, dağıtılması, kullanılması, kurtarılması, zamanaşımına uğratılması ve yok edilmesini içeren anahtar yaşam döngüsünü desteklemelidir. Kriptografi anahtarları merkezi olarak saklanmalı ve en iyi şekilde korunmalıdır.

Kurumun Organizasyon Şemasına uygun olarak bütün birimlerdeki basılı ortamlarda ve dijital ortamlarda bulunan veriler DPO(Veri Koruma Görevlisi) sertifikalı veri envanter uzmanı tarafından tespit edilerek, işlenen verilerin hangi veri kategorisinde olduğu, veri sahiplerinin kimler olduğu, verilerin hangi amaçlar ve yöntemler ile işlendiği, kurum içindeki, kurum dışındaki ve var ise bulut ortamı ile yurtdışındaki kişi, kurum ve kuruluşlar ile paylaşım amaçlarının, yöntemlerinin, saklama sürelerinin ve saklama alanlarının belirlenmesi amacı ile veri yaşam döngüsünü ortaya koyacak faaliyet bazlı Veri Haritası çıkartılmalıdır. Aydınlatma Metinleri ve Açık Rıza içeriklerinin doğru hazırlanması ile VERBİS Kaydının Veri Sorumlusuna özel olarak yapılması açısından oldukça önemlidir.

Danışman Avukat ve Teknik Danışman tarafından İdari ve Teknik alt yapı incelemesi yapılarak Veri Sorumlusuna özel olarak Kurum içinde ve Web sayfasında yayınlanacak doküman setleri hazırlanmalıdır. Bu dokümanlar Bilgi Güvenliği Politikası, Kişisel Verilerin İşlenmesi Politikası, Çerez Politikası, Yedekleme Prosedürü, Ağ Güvenliği Politikası, Kişisel Verilerin Saklanması ve İmhası Politikası gibi dokümanlardır.

Danışmanlarımız ve sözleşmeli avukatlarımız birlikte tüm sözleşme süreçlerinizi gözden geçiriyoruz ve kanun kapsamında revize ediyoruz.

Kurumun bütün birimlerindeki iş ilişkisinde bulunduğu 3.taraflar belirlenmeli, tüm tedarikçilerine ve çalışanlarına yönelik Gizlilik Sözleşmeleri hazırlanarak 3.Taraf sözleşmelerine ek olarak veri güvenliğinin sağlanması ile ilgili Ek Protokoller hazırlanmalıdır.

Kurumlar çalışanlarının farkındalığının seviyesini anlamak ve kurulan KVKK uyumluluk sisteminin işlevsel bir şekilde sürekliliğinin kontrol edilmesi periyodik ve rastgele denetimler yapılması oldukça önemlidir.

ISO 27001:2013 BGYS Baş Denetçi sertifikasına sahip uzman danışman tarafından kurumun tüm İdari ve Teknik süreçlerinde sahip olduğu mevcut durumu ve riskleri belirlenerek, acil önlem alınması gereken risklerin kabul edilebilir seviyeye indirilmesi amacı ile Risk Analizi çalışması gerçekleştirilmelidir.

Kurumun tüm çalışanlarına KVKK uyumluluk süreçlerinin önemini aşılanması, uyum sürecinin desteklenmesi, farkındalığın sağlanması adına iş sözleşmelerine KVKK hükümlerinin eklenmesi gerekmektedir

Kurum içinde KVKK Komitesi oluşturularak Komite başkanı liderliğindeki komite üyelerinin görevleri belirlenir, İlgili Kişi başvurularının ve Veri İhlali sürecinin yönetimi konusundaki işleyiş dokümante edilmelidir. İlgili Kişi başvurularına verilecek yanıtın 30 gün ile sınırlı olması, Veri ihlalinde Kişisel Verileri Koruma Kurumu’na yapılacak ihlal bildiriminin 72 saat zorunluluğu olması dolayısıyla sürecin hızlı ve doğru bir şekilde yönetilmesi oldukça önemlidir.

Kurum çalışanlarına Uzman Avukat tarafından 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nda belirtilen ilgili kişi haklarının aktarılması, çalışanların hem kendi özel hayatlarındaki haklarını bilmeleri hem de çalıştıkları Kurum adına herhangi bir veri ihlaline mahal vermeden görevlerini yerine getirmeleri bilincini sağlamaktadır. ISO 27001:2013 BGYS Baş Denetçisi Danışmanımız tarafından verilecek Bilgi Güvenliği temelli farkındalık eğitimi ise çalışanların phishing (oltalama) saldırılarına maruz kalmalarının önüne geçilmesi açısından çok önelidir ve kendilerine temin edilen iş bilgisayarlarında veri güvenliğinin sağlanması amacı ile uymaları gereken kurallar aktarılmaktadır.

Yıllık çalışan sayısı 50 ve üzerinde olan, yıllık mali bilançosu 25 Milyon TL ve üzerinde olan ve ana faaliyet konusu Özel Nitelikli Kişisel Veri işleyen kurumların VERBİS bildirim yükümlülükleri olup bu şartları sağlamayan kurumların VERBİS yükümlülüğü olmaması KVKK’ya uyumlu olmayacağı anlamına gelmemektedir ve olası bir veri ihlalinde uygulanacak cezalar bellidir. Bütün kurumlar Kişisel Verileri Koruma Kurumu tarafından yayınlanan ‘’Kişisel Veri Güvenliği Rehberi’’nde belirtilen İdari ve Teknik Tedbirleri sağlayarak Kanun’a uyumlu olmak zorundadır.Yıllık çalışan sayısı 50 ve üzerinde olan, yıllık mali bilançosu 25 Milyon TL ve üzerinde olan ve ana faaliyet konusu Özel Nitelikli Kişisel Veri işleyen kurumların VERBİS bildirim yükümlülükleri olup bu şartları sağlamayan kurumların VERBİS yükümlülüğü olmaması KVKK’ya uyumlu olmayacağı anlamına gelmemektedir ve olası bir veri ihlalinde uygulanacak cezalar bellidir. Bütün kurumlar Kişisel Verileri Koruma Kurumu tarafından yayınlanan ‘’Kişisel Veri Güvenliği Rehberi’’nde belirtilen İdari ve Teknik Tedbirleri sağlayarak Kanun’a uyumlu olmak zorundadır.