Siber Güvenlik Politikaları: KVKK ve Uyumluluk Çerçevesi
Siber güvenlik politikası, kimlerin hangi sorumlulukla hangi güvenlik sürecini uygulayacağını tanımlamalıdır. Kişisel veri işlendiğinde teknik önlemler kadar erişim, eğitim, veri paylaşımı ve olay yönetimi gibi idari süreçler de değerlendirilir.
KVKK ile Bilgi Güvenliğinin İlişkisi
Kişisel Verileri Koruma Kurumu, veri güvenliğine ilişkin yükümlülükler kapsamında kişisel verilerin hukuka aykırı işlenmesini ve erişimini önlemeyi, muhafazasını sağlamayı hedefleyen teknik ve idari tedbirleri açıklar. Uygulanacak süreç; veri türü, işleme faaliyeti ve kuruluşun koşullarıyla birlikte değerlendirilmelidir.
Politika Hazırlamak İçin Örnek Başlıklar
- Erişim: Hesap açma, yetki değişikliği ve erişim kaldırma sorumluluğu.
- Veri paylaşımı: Hangi kanalların ve onayların kullanılacağı.
- Kayıt ve izleme: Gerekli olayların ve erişimlerin takibi.
- Saklama: İşleme amacı ve ilgili gereksinimlerle uyumlu süre belirleme.
- Olay yönetimi: Şüphenin hangi ekibe nasıl iletileceği.
- Eğitim: Rol bazlı farkındalık ve uygulama süreçleri.
Bu başlıklar örnek kontrol alanlarıdır; tek başına mevzuata uygunluk listesi değildir.
Log Yönetimi İçin Üç Soru
- Hangi iş veya güvenlik amacıyla hangi olaylar toplanıyor?
- Loglara kimler erişebiliyor ve bu erişim nasıl izleniyor?
- Saklama, silme ve arşiv süreçlerinin sahibi kim?
“KVKK bütün loglar için aynı saklama süresini zorunlu kılar” şeklinde genel bir varsayım yapılmamalıdır. Veri türü, işleme amacı ve ilgili mevzuat birlikte değerlendirilmelidir.
Politikanın Çalıştığını Nasıl Gösterirsiniz?
Yalnızca belge yayımlamak yerine örnek erişim talebi, yetki gözden geçirme kaydı, eğitim ve olay süreci çıktıları oluşturun. Politikanın sahibi, yürürlük tarihi ve değişiklik süreci belli olsun. Yeni sistem veya işleme faaliyeti eklendiğinde süreci yeniden değerlendirin.
Resmî Kaynak
Kişisel Verileri Koruma Kurumu: Veri Güvenliğine İlişkin Yükümlülükler. Kuruluşa özel yükümlülük ve uygulama, ilgili hukuk/uyumluluk ekipleri tarafından güncel mevzuatla değerlendirilmelidir.
İlgili Rehberler
