Kişisel Verilerin Korunması Kanunu – KVKK ile bir kez daha gündeme gelen veri güvenliği ve bilgi sistemlerindeki güvenlik ilkeleri için alınması gereken çeşitli teknik tedbirler bulunmaktadır. Bu bölümde Kurumun VERBİS kaydı kılavuzunda da başlıklar halinde belirtmiş olduğu teknik tedbirleri inceleyecek ardından canlı bir sistem üzerinde ne gibi önlemler ve uygulamalar yapılabilir bunlara değineceğiz.
Bu bölümdeki teknik tedbirlere değinirken okuyucu hedef kitlesini IT profesyonelleri gibi düşünmeyecek daha ziyade KVKK süreciyle bir şekilde yolu kesişen IT alanında çok profesyonel olmayan kimseler için de kültür oluşturması açısından belirli bir seviyede tutacağım. Ayrıca teknik tedbirlerin her kurumdaki alt yapıya göre ve kurgulanan yapıya göre değişiklik göstermesi durumundan dolayı da daha genel bir tanım yapmaya çalışacağım.
Resim-1
Öncelikle kurumun VERBİS dokümanında yer verdiği aşağıda yer alan 41 maddelik Veri Güvenliği Tedbirleri başlıklarını notlayalım.
- Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.
- Ağ yoluyla kişisel veri aktarımlarında kapalı sistem ağ kullanılmaktadır.
- Anahtar yönetimi uygulanmaktadır.
- Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.
- Bulutta depolanan kişisel verilerin güvenliği sağlanmaktadır.
- Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.
- Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.
- Çalışanlar için yetki matrisi oluşturulmuştur.
- Erişim logları düzenli olarak tutulmaktadır.
- Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.
- Gerektiğinde veri maskeleme önlemi uygulanmaktadır.
- Gizlilik taahhütnameleri yapılmaktadır.
- Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
- Güncel anti-virüs sistemleri kullanılmaktadır.
- Güvenlik duvarları kullanılmaktadır.
- İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.
- Kağıt yoluyla aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınmakta ve ilgili evrak gizlilik dereceli belge formatında gönderilmektedir.
- Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.
- Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.
- Kişisel veri güvenliğinin takibi yapılmaktadır.
- Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
- Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
- Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
- Kişisel veriler mümkün olduğunca azaltılmaktadır.
- Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.
- Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.
- Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.
- Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.
- Mevcut risk ve tehditler belirlenmiştir.
- Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.
- Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarak gönderilmektedir.
- Özel nitelikli kişisel veriler için güvenli şifreleme / kriptografik anahtarlar kullanılmakta ve farklı birimlerce yönetilmektedir.
- Saldırı tespit ve önleme sistemleri kullanılmaktadır.
- Sızma testi uygulanmaktadır.
- Siber güvenlik önlemleri alınmış olup uygulanması sürekli takip edilmektedir.
- Şifreleme yapılmaktadır.
- Taşınabilir bellek, CD, DVD ortamında aktarılan özel nitelikli kişiler veriler şifrelenerek aktarılmaktadır.
- Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklarla denetimi sağlanmaktadır.
- Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalığı sağlanmaktadır.
- Veri kaybı önleme yazılımları kullanılmaktadır.
- Diğer
Kurumun aslına bakılırsa her konuya birer madde ile yer verdiği teknik tedbirler yukarıda olduğu gibidir. Ancak bu maddeleri biraz daha özelleştirmek gerekir ve genel bir kültür olarak teknik tedbirler hakkında fikir sahibi olunması için aşağıda yer alan maddelerde kendi cümlelerimle genel hatlarıyla teknik tedbirlere yer veriyor olacağım. Aşağıda yer alan teknik tedbir çalışmaları aynı zamanda bilgi güvenliği yönetim sistemine temel olacak ve bir kurumun kişisel veri güvenliğinden ziyade genel olarak sistem güvenliği ile ilgili de temel bilgiler içeriyor olacaktır.
- Port taraması yapılarak ihtiyaç dışında açık olan portlar varsa ilgili bilgisayarlardan kapatılması, ihtiyaç dışı internet erişimine sahip olan yazıcı, otomasyon cihazı, fax vb. cihazların yeniden değerlendirilmesi.
- Uzak masaüstü erişimlerinin kapatılması veya IP ile eriştirilmesi, eğer mümkün ise SSL VPN ile local network erişiminin sağlanması.
- Kullanılan güvenlik duvarı üzerinde antivirüs, IPS, IDS gibi servislerin aktif edilmesi, veri tabanlarının ve imzaların güncel tutulması.
- Firewall üzerinden geçen trafikte SSL Inspection uygulanması.
- Sunucu VLAN’larının oluşturulması, sunuculara yalnızca izin verilen portlar üzerinden erişim sağlanması.
- Firewall üzerinden geçen trafiğin kayıt altına alınması mümkünse SYSLOG sunucu üzerinde depolanması.
- Firewall firmware sürümlerinin düzenli olarak kontrol edilmesi ve güncel sürümlerin yüklenmesi.
- Kurum içerisindeki bilgisayarların işletim sistemi güncellemelerinin düzenli olarak takip edilmesi, eski veya artık desteklenmeyen işletim sistemlerinin (win-7 gibi) yükseltilmesi, güncel veri tabanına sahip antivirüs yazılımlarının ve End Point güvenlik yazılımlarının ajanlarının yüklü olması.
- Aynı şekilde sunucu işletim sistemlerinde de gerekli güncelleme çalışmalarının yapılması.
- Domain Controller yapısının kurgulanması ve tüm kullanıcı ve grupların yetkilerinin, dosya erişim izinleri vb. merkezi bir şekilde yönetilmesi.
- Güçlü şifre kullanımı için kurum içi şifre politikaları oluşturulması ve Brute Force saldırılarına karşı şifre değiştirme aralığı politikalarının uygulanması.
- Bilgisayar kullanımı politikası, internet kullanımı politikası, e-posta kullanımı politikası ve sosyal medya kullanım politikalarının oluşturulması.
- Bilgi güvenliği hususunda farkındalık eğitimlerinin kurum içerisinde uygulanması.
- Bilgisayar ve otomasyonların kullanımında kullanıcı rolleri için yetki matrisi oluşturulması.
- Kurum içerisinde veri keşfi yapılması ve ne tür verilerin barındırıldığı ile ilgili sınıflandırmanın yapılması.
- Veri silme ve anonimleştirme politikalarının oluşturulması.
- Veri sızıntısını önleme için gerekli olan çalışmaların yürütülmesi, DLP yazılımı veya teknik çözümlerin ortaya konması.
- Aktif cihazlardan veya sunuculardan alınan olay günlüklerinin düzenli olarak kayıt altında tutulması.
- Yedekleme ve felaket senaryolarının düzenlenmesi.
- Bilgi güvenliği risk analiz raporunun oluşturulması.
- Olay müdahale planının oluşturulması.
- Düzenli aralıklar ile penetrasyon testlerinin yapılması.
- Aşağıdaki başlıklar için kontrol listesinin (check list) hazırlanması ve uygulanması.
- Yetkilendirme matrisi var mı?
- Yetki kontrolü yapılıyor mu?
- Erişim logları tutuluyor mu?
- Kullanıcı hesapları belirli bir standart ile yönetiliyor mu?
- Ağ ortamının güvenliği sağlanıyor mu?
- Uygulamaların güvenliği sağlanıyor mu?
- Veriler şifreleme yöntemleri kullanılarak şifreleniyor mu?
- Sızma testleri yapılıyor mu?
- Saldırı tespit ve önleme sistemleri oluşturulmuş mu?
- Log kayıtları inceleniyor ve yedekleniyor mu?
- Veri maskeleme işlemi yapılıyor mu?
- Veri kaybı önleme (DLP) yazılımları mevcut mu?
- Yedekleme sistemleri ve FKM yapısı mevcut mu?
- Güncel Anti-Virüs yazılımları mevcut mu?
- Gerektiğinde anonimleştirme, silme, yok etme işlemleri politikalara uygun bir şekilde yapılıyor mu?
Bu konuyla ilgili sorularınızı alt kısımda bulunan yorumlar alanını kullanarak sorabilirsiniz.
Referanslar
TAGs: KVKK, kişisel verilerin korunması kanunu, verbis, teknik tedbirler, KVKK nedir?
