Kişisel veri ihlali yalnız bir hackerın veritabanını çalması değildir. Yanlış alıcıya gönderilen bordro, herkese açık bırakılan bulut klasörü, ele geçirilen e-posta hesabı, başka müşterinin belgesinin kullanıcı panelinde görünmesi veya kişisel veri içeren cihazın kontrolsüz kaybı da olayın niteliğine göre ihlal oluşturabilir. Kritik soru, kişisel verinin kanuni olmayan yollarla başkaları tarafından elde edilmesi veya yetkisiz erişime açılmasıdır.
Hangi olaylar veri ihlali sayılabilir?
- Fidye yazılımı veya zararlı yazılım nedeniyle veri tabanına erişim
- Phishing sonucu e-posta veya CRM hesabının ele geçirilmesi
- Yanlış alıcıya kişisel veri içeren dosya gönderilmesi
- Yetki hatası nedeniyle başka kullanıcının kaydının görünmesi
- Bulut klasörünün yanlışlıkla herkese açık hale gelmesi
- Çalışanın yetkisini aşarak veriyi dışarı aktarması
Her siber olay KVKK bildirimi gerektirir mi?
Hayır. Güvenlik açığı veya saldırı girişimi ile kişisel veri ihlali aynı şey değildir. Saldırı engellenmiş ve kişisel veri sistemine erişim gerçekleşmemişse olay siber güvenlik olayı olarak kalabilir. Ancak erişimin olup olmadığı bilinmiyorsa loglar, oturum kayıtları, veri tabanı sorguları ve dışarı veri aktarım göstergeleri hızla incelenmelidir. Veri indirildiğine dair kesin kanıt yok ifadesi tek başına ihlal olmadığı sonucunu doğurmaz.
72 saatlik bildirim süresi ne zaman başlar?
Kişisel Verileri Koruma Kurulunun 2019/10 sayılı kararına göre veri sorumlusu ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapmalıdır. Bu nedenle ilk alarm, olayın kişisel veri içerdiğinin anlaşıldığı an, yönetim ve hukuk eskalasyonu, Kurul bildirimi ve ilgili kişi bildirimi ayrı zaman damgalarıyla kaydedilmelidir. Kesin adli bilişim raporunu beklemek süreyi durdurmaz.
Bütün teknik ayrıntılar kesinleşmeden bildirim yapılabilir mi?
Evet. İlk 72 saatte olayın tüm ayrıntıları kesinleşmeyebilir. Mevcut bulgularla ilk bildirim yapılmalı, araştırma ilerledikçe bilgiler tamamlanmalıdır. Haklı nedenle süre içinde bildirim yapılamamışsa gecikme nedenleri açıklanmalıdır.
İlgili kişilere bildirim nasıl yapılır?
İhlalden etkilenen kişiler belirlendikten sonra makul olan en kısa süre içinde bilgilendirilmelidir. Bildirim yalnız veri ihlali yaşandı dememeli, olayın türünü, etkilenen veri gruplarını, muhtemel sonuçları, kurumun aldığı önlemleri ve kişinin kendi riskini azaltmak için yapabileceği işlemleri anlaşılır şekilde açıklamalıdır. Parola değişikliği, kart blokesi veya oltalama mesajlarına karşı dikkat gibi tedbirler olaya göre somutlaştırılabilir.
Tedarikçi kaynaklı ihlalde kim sorumludur?
Bulut sağlayıcısı, bordro firması veya çağrı merkezi gibi veri işleyende meydana gelen olay veri sorumlusunun yükümlülüklerini ortadan kaldırmaz. KVKK m.12 veri sorumlusu ile kendi adına veri işleyen kişilerin veri güvenliği tedbirleri bakımından birlikte sorumluluğunu düzenler. Bu yüzden hizmet sözleşmelerinde olayın derhal bildirilmesi, logların korunması, alt yükleniciler ve müdahale iş birliği açıkça düzenlenmelidir.
İlk saatlerde hangi adımlar atılmalı?
- Yetkisiz erişimi sınırlamak ve olayın devam edip etmediğini belirlemek
- Logları ve dijital delilleri değiştirmeden korumak
- Etkilenen sistem, kişi ve veri kategorilerini haritalamak
- Gerekli parola ve erişim anahtarlarını değiştirmek
- Bilgi güvenliği, hukuk ve yönetim ekiplerini tek olay kaydında buluşturmak
- 72 saatlik bildirim takvimini ve karar gerekçesini kayıt altına almak
Bildirim yapmak tek başına yeterli midir?
Hayır. Kurul ihlalin nedenini, önceden alınmış teknik ve idari tedbirleri, erişim yetkilerini, güvenlik testlerini ve düzeltici faaliyetleri ayrıca inceleyebilir. Geç bildirim ile yetersiz güvenlik tedbiri birbirinden ayrı risk alanlarıdır.
Veri ihlalinde en pahalı hata çoğu zaman saldırının kendisi değil, olayın kurumsal olarak dağınık yönetilmesidir. Teknik ekip, hukuk ve yönetim farklı zaman çizelgeleri tutarsa bildirim, delil bütünlüğü ve ilgili kişi iletişimi aynı anda bozulabilir.
Sık Sorulan Sorular
Yanlış kişiye e-posta göndermek veri ihlali olabilir mi?
E-posta kişisel veri içeriyor ve yetkisiz alıcı erişmişse evet, olay ihlal olarak değerlendirilmelidir.
Kesin adli bilişim raporu beklenir mi?
Hayır. 72 saatlik süre nedeniyle mevcut bilgilerle değerlendirme yapılmalıdır.
72 saat geçerse artık bildirim yapılmaz mı?
Hayır. Bildirim yine yapılmalı ve gecikmenin gerekçesi açıklanmalıdır.