KVKK veri ihlali bildirimleri nereden takip edilir?

Veri ihlali bildirimi nedir?

Kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi durumunda veri sorumlusu, durumu Kişisel Verileri Koruma Kurulu'na bildirmekle yükümlüdür. Kurul, kamuoyunu ilgilendiren bildirimleri kendi sitesinde yayımlar. Yayımlanan metinde genellikle ihlalin gerçekleştiği tarih, etkilenen kişi grubu, etkilenen veri kategorileri ve alınan önlemler yer alır.

Bildirimler nerede yayımlanır?

Yayın takvimi yoktur. Bildirimler ihlal bildirildikçe çıkar, bazen bir haftada birkaç tane, bazen haftalarca hiç. Bu düzensizlik takibi zorlaştıran asıl unsurdur: sayfayı ne sıklıkta açacağınızı bilemezsiniz.

Kimin takip etmesi gerekir?

• Uyum ve hukuk ekipleri — kendi sektöründe ne tür ihlallerin bildirildiğini görmek, benzer riskleri kapatmak için
• Bilgi güvenliği sorumluları — yayımlanan ihlallerin teknik nedenleri tekrar eden desenler gösterir
• Tedarikçi yöneticileri — çalıştığınız bir hizmet sağlayıcı bildirimde adı geçiyorsa kendi verinizin de etkilenmiş olması mümkündür
• Avukatlar — müvekkile hızlı bilgi vermek ve kurul yaklaşımını izlemek için

Takibi nasıl otomatikleştirirsiniz?

Kurum bir RSS akışı sunmadığı için otomatik takip yapan araçlar sayfayı doğrudan okur. Fifty Daily bu iki sayfayı on beş dakikada bir yoklar, yeni bildirimleri ayıklar ve hukuk sektörü seçmiş üyelere sabah brifinginde gönderir. Bir tedarikçinizin veya kendi kurumunuzun adını anahtar sözcük olarak tanımlarsanız, o ad geçtiğinde ayrıca bildirim alırsınız.

Bildirimi okurken nelere bakmalı?

1. İhlalin başlangıç tarihi ile bildirim tarihi arasındaki fark. Uzun aralık, tespit sürecinin zayıf olduğunu gösterir.
2. Etkilenen veri kategorileri. Özel nitelikli kişisel veri varsa risk ağırlığı değişir.
3. Etkilenen kişi sayısı. Bazı bildirimlerde belirtilir, bazılarında belirsiz bırakılır.
4. Alınan önlemler. Kendi kurumunuzda aynı önlemlerin var olup olmadığını kontrol etmek için iyi bir listedir.

Sık yapılan hatalar

• Yalnızca kendi adını aramak. Sizi en çok etkileyecek bildirim çoğu zaman sizin adınıza değil, kullandığınız bir hizmet sağlayıcının adına çıkar.
• Sayfayı düzensiz aralıklarla açmak. Bildirimlerin yayın takvimi yoktur; haftada üç tane çıkabilir, sonra on beş gün hiç çıkmaz. Elle takipte gözden kaçan hep bu yığılma günleridir.
• Yalnızca ihlal sayfasına bakmak. Kurumun duyurular bölümündeki ilke kararları ve rehberler, denetimde uygulanan ölçütü ihlal bildirimlerinden daha net gösterir.
• Etkilenen kişi sayısına takılmak. Küçük sayılı ama özel nitelikli veri içeren bir ihlal, büyük sayılı ama yalnızca ad ve e-posta içeren bir ihlalden daha ağır sonuç doğurabilir.
• Bildirimi haber gibi okuyup kapatmak. Metnin sonundaki "alınan önlemler" bölümü, kendi kurumunuz için hazır bir kontrol listesidir.
• Türkçe karakterli yazımı tek başına takip etmek. Kurum adları bildirimlerde bazen İngilizce yazımıyla geçer; anahtar sözcüğün her iki halini de tanımlamak gerekir.

Örnek: tedarikçinizin adı bir bildirimde geçiyor

Bir e-ticaret şirketinin müşteri destek yazılımı, dışarıdan alınan bir hizmet. O hizmet sağlayıcı bir veri ihlali yaşıyor ve bildirimi Kurul'a yapıyor; bildirim kvkk.gov.tr'de yayımlanıyor. Metinde e-ticaret şirketinin adı geçmiyor — geçmesi de gerekmiyor, çünkü bildirimi yapan veri sorumlusu hizmet sağlayıcının kendisi.

Ama etkilenen kayıtlar arasında bu şirketin müşteri destek yazışmaları da var. Şirket bunu ancak hizmet sağlayıcı kendisine yazarsa öğrenir; yazmazsa, ya da geç yazarsa, kendi müşterilerine karşı yükümlülüğünü zamanında yerine getiremez. Oysa bildirim yayımlandığı gün kamuya açıktı.

Pratik önlem basit: kritik tedarikçilerin ticaret unvanlarını bir liste haline getirip anahtar sözcük olarak tanımlamak. Liste uzun olmak zorunda değil — verinizin fiilen bulunduğu yerler yeter: barındırma sağlayıcısı, e-posta ve destek yazılımları, ödeme altyapısı, bordro ve insan kaynakları sistemleri, kargo entegrasyonu. Bu adlardan biri bir bildirimde geçtiğinde beklemeden haber almak, ihlalin sizi ilgilendirip ilgilendirmediğini sormak için yeterli zamanı verir.

Aynı liste ikinci bir işe daha yarar. Yayımlanan bildirimlerde tekrar eden teknik sebepler vardır: yetkisiz erişim, yanlış yapılandırılmış depolama, oltalama yoluyla ele geçirilen hesap, ayrılan çalışanın kapatılmamış erişimi. Bunlar okundukça kendi kurumunuzda hangi kapının açık kaldığı görünür hale gelir. Bildirimleri izlemenin asıl faydası, başkasının hatasından önlem çıkarmaktır.

Bildirimlerden çıkan tekrar eden desenler

Yayımlanan bildirimler tek tek okunduğunda birbirinin benzeri görünür; toplu okunduğunda ise küçük bir sebep listesi ortaya çıkar. En sık görülenler yetkisiz erişim, oltalama yoluyla ele geçirilen bir çalışan hesabı, yanlış yapılandırılmış bir depolama alanı, üçüncü taraf bir yazılımdaki açık ve ayrılan bir çalışanın kapatılmayan erişimi.

Bu liste bir kurum için hazır bir öncelik sırasıdır. Beş maddenin karşılığı olan beş kontrol — çok adımlı doğrulama, erişim yetkilerinin düzenli gözden geçirilmesi, işten ayrılışta erişim kapatma yordamı, dışarıdan alınan yazılımların envanteri ve depolama yapılandırmalarının denetimi — bildirimlerin büyük bölümünü doğuran sebepleri kapsar.