KVKK Denetimi: Bağımsız Uyum ve Risk Değerlendirmesi
KVKK uyumunuzu güvence altına alın, veri güvenliğinizi sağlayın. İdari ve teknik önlemlerin uygulanıp uygulanmadığını bağımsız gözle denetliyoruz.
KVKK denetimi, Kişisel Verileri Koruma Kurumu'nun belirlediği idari ve teknik önlemlerin kurumda gerçekten uygulanıp uygulanmadığının düzenli olarak kontrol edilmesidir.
Hizmet Kapsamı
Kanun da kurumlar da teknolojik ve idari koşullara göre sürekli değişir. Bu değişikliklerin uyum çalışmalarını nasıl etkilediği denetlenmezse, tamamlanmış görünen hazırlıklar güncelliğini kaybeder ve uyum süreci zarar görür.
Dokümantasyon denetimi
Envanter, aydınlatma ve açık rıza metinleri, saklama-imha politikası ve taahhütnamelerin güncelliği ve tutarlılığı.
VERBİS kaydının güncelliği
Bildirilen veri kategorileri, saklama süreleri ve irtibat kişisi bilgilerinin fiili durumla örtüşüp örtüşmediği.
Teknik tedbirlerin doğrulanması
Erişim yetkileri, şifreleme, log kayıtları, yedekleme ve sızma testi bulgularının uygulamada karşılığı.
Süreç ve farkındalık denetimi
Departmanların günlük uygulamalarının politikalarla uyumu ve çalışan farkındalık düzeyinin ölçülmesi.
Raporlama ve aksiyon planı
Bulguların risk seviyesine göre önceliklendirilmesi ve sorumlu-termin bazlı düzeltici aksiyon planı.
Kimler İçin Uygun?
KVKK çalışmasını bitirmiş ancak güncelliğinden emin olmak isteyen veri sorumluları.
VERBİS kaydını yeterli sanan ve gerçek uyum düzeyini ölçmek isteyen şirketler.
Kendi KVKK kontrol programını kurmak isteyen iç denetim ve uyum birimleri.
Danışmanlık Süreci
Kapsam belirleme
Denetlenecek süreçler, lokasyonlar ve sistemler kurumla birlikte netleştirilir.
Belge ve saha incelemesi
Dokümantasyon incelenir; departman görüşmeleri ve sistem kontrolleriyle fiili durum doğrulanır.
Bulguların raporlanması
Tespitler risk seviyesine göre sınıflandırılır; yönetici özeti ve teknik ek birlikte sunulur.
İç denetime rehberlik
Dış denetim, şirket içi denetim ekiplerine yol göstererek sürdürülebilir uyumu mümkün kılar.
Denetimde Hangi Sorulara Yanıt Aranır?
Denetim, belgede yazanı sahada yapılanla karşılaştırır. Her alanda aşağıdaki sorulara belge, görüşme ve sistem kontrolüyle yanıt aranır. Alanların ayrıntılı açıklaması KVKK denetimi neleri kapsar rehberimizde yer alır.
Veri işleme süreçleri
Her işleme faaliyetinin amacı ve hukuki dayanağı belli mi? Envanterdeki kayıt, departmanın fiilen yaptığı işle örtüşüyor mu?
Veri envanteri ve veri akışı
Veriler hangi sistemlerde saklanıyor? Bu sistemlere kimlerin erişim yetkisi var ve veriler hangi kurumlarla paylaşılıyor?
Aydınlatma ve açık rıza
Aydınlatma ve açık rıza metinleri güncel mi? Metinler, işleme politikaları ve envanter kayıtlarıyla tutarlı mı?
VERBİS beyanı
Bildirilen veri kategorileri, saklama süreleri ve irtibat kişisi bilgileri bugünkü durumla aynı mı? Beyan, işleme faaliyetleriyle uyumlu mu?
Saklama ve imha
Her veri kategorisi için saklama süresi tanımlı mı? Süresi dolan veri için imha prosedürü işletiliyor ve tutanakla kayıt altına alınıyor mu?
Teknik ve idari tedbirler
Erişim yetkileri, şifreleme, log kayıtları, yedekleme ve sızma testi bulgularının uygulamada karşılığı var mı? Çalışanlar politikaları biliyor ve uyguluyor mu?
Ne Zaman Denetim Yaptırmalısınız?
Denetim yılda en az bir kez yapılmalıdır. Aşağıdaki değişikliklerden biri olduğunda yıllık takvimi beklemeden ayrıca tekrarlanmalıdır. Uyum çalışması tamamlanmış görünse de bu değişiklikler hazırlıkları kısa sürede güncelliğini yitirir.
Mevzuat değiştiğinde
Kanunda, yönetmeliklerde ya da Kurul kararlarında yapılan değişiklik metinlerinizi ve politikalarınızı etkileyebilir. Denetim, hangi belgenin yeniden yazılması gerektiğini gösterir.
Yeni bir sistem devreye alındığında
Yeni bir yazılım, bulut hizmeti ya da tedarikçi yeni bir veri akışı demektir. Bu akışın envantere, VERBİS beyanına ve erişim yetkilerine yansıyıp yansımadığı kontrol edilir.
Organizasyon değiştiğinde
Birleşme, yeni şube, yeni departman veya irtibat kişisinin değişmesi sorumluluk dağılımını etkiler. Şirketin yapısı ve veri işleyişi değiştikçe VERBİS beyanının da güncellenmesi gerekir.
Yalnız VERBİS kaydınız varsa
VERBİS kaydı tek başına uyum sağlamaz. Kaydın arkasındaki envanterin, metinlerin ve tedbirlerin gerçekte var olup olmadığını ölçmek için ilk denetim iyi bir başlangıçtır.
Denetimi Kim Yapar?
Hukuki ve teknik taraf ayrı ekiplerce, birbirinden kopuk denetlenirse veri akışındaki boşluklar gözden kaçar. Bu nedenle denetimde KVKK alanında uzman avukat ve siber güvenlik uzmanı birlikte çalışır. Ekibimizde denetimin iki tarafına karşılık gelen uzmanlar şunlardır:
Av. Akile Işık — KVKK Denetim ve Uyum Uzmanı
Av. Akile Işık kurumların KVKK uyum düzeyini yerinde denetler ve bulguları takip edilebilir bir aksiyon planına dönüştürür. Uyum projelerinde idari tedbirlerin sorumlusudur.
Erman Yüceler — Bilgi ve Siber Güvenlik Danışmanı
Erman Yüceler KVKK'nın aradığı teknik tedbirleri uygulanabilir güvenlik kontrollerine çevirir. Sızma testi ve log yönetimi süreçlerini yürütür; ekibiyle teknik güvenlik kontrollerini yerinde kurar ve denetler.
Buse Doğan — Veri İhlali ve KVKK Uyum Danışmanı
Buse Doğan ISO/IEC 27001 ve ISO/IEC 27701 baş denetçi sertifikalarına sahiptir. Veri ihlali ve siber olay süreçlerini kök neden analizinden resmî bildirime kadar yürütür.
Erdem Gönenç — ISO 27701 ve Yönetim Sistemleri Danışmanı
Erdem Gönenç ISO 27701 kontrollerini KVKK yükümlülükleriyle eşleştirir. İç tetkik ve yönetim gözden geçirme döngüsünü işleterek kurumu dış denetime hazırlar.
Denetim Raporu Nasıl Kullanılır?
Denetimin değeri bulguların kapatılmasıyla ortaya çıkar. Bu yüzden rapor, yönetimin karar vermesi ve ekiplerin işi takip etmesi için ayrı parçalardan oluşur.
Yönetici özeti ve skor kartı
Uyum düzeyini tek bakışta gösterir. Yönetim, önceliklere bu özet üzerinden karar verebilir.
Risk sınıflı bulgu listesi ve teknik ek
Her tespit risk seviyesine göre sınıflandırılır. Teknik ek, bilgi teknolojileri ekibinin ihtiyaç duyduğu ayrıntıyı yönetici özetinden ayrı sunar.
Sorumlu ve terminli aksiyon planı
Her bulgu için bir sorumlu ve bir termin belirlenir. Plan, kapatılan ve açık kalan bulguların izlenmesini sağlar.
İç denetim kontrol listesi
Şirket içi denetim ekibinin bir sonraki dönemde aynı kontrolleri kendisinin yapabilmesi için hazırlanır. Dış denetim böylece iç denetime yol gösterir.
Uyum Projesinde ve Ayrı Hizmet Olarak Denetim
6 aylık KVKK uyum projemizde teknik tedbirler iki kez incelenir. Siber güvenlik ekibi 2. ayda altyapıyı yerinde inceler; 3. ayda teknik inceleme raporu ve yönetici özeti teslim edilir. 5. ayda, kapanıştan önce, rapordan sonraki iyileştirmeler ikinci kez denetlenir.
Uyum çalışmasını tamamlamış ya da yalnız VERBİS kaydı olan kurumlarda denetim ayrı bir hizmet olarak yürütülür; tipik süresi 2–4 aydır. Uyum programınız henüz kurulmadıysa eksikleri tamamlamak için KVKK danışmanlığı sayfamıza bakın.
Hazır paketler arasında yalnız denetimi kapsayan bir paket yoktur. Denetimin kapsamı ilk adımda, denetlenecek süreç, lokasyon ve sistemlere göre kurumla birlikte belirlenir. Kapsamı önceden belli çalışmalar için KVKK uyum paketlerimizi inceleyebilirsiniz.
Denetimden Önce Kendi Durumunuzu Görün
Denetim öncesinde ücretsiz KVKK uyum testi ile mevcut durumunuzun ilk resmini çıkarabilirsiniz. Denetimlerde en çok hangi konuların sorulduğunu KVKK denetimlerinde en sık sorulan konular yazımızda derledik.
Denetim bulguları eğitim programının içeriğini belirleyen en gerçekçi girdidir. Bulgulara göre ekibinizi hazırlamak için kurumsal KVKK eğitimi programımıza bakabilirsiniz.
Teslim Edilecek Çıktılar
Sık Sorulan Sorular
KVKK alanında uzmanlaşmış avukatlar ve siber güvenlik uzmanlarının birlikte çalışması gerekir. Hukuki ve teknik tarafı ayrı ekiplerin denetlemesi, süreçler arası boşlukların gözden kaçmasına yol açar.
Kurumların tüm idari ve teknik süreçleri tek noktadan denetlenmelidir. Birbirinden kopuk hareket eden ekipler, veri akışındaki yanlışlıkları tespit edemez.
Yılda en az bir kez; mevzuat değişikliği, yeni sistem devreye alma veya organizasyon değişikliği durumlarında ayrıca tekrarlanmalıdır.
Evet. Sıklıkla inanılanın aksine VERBİS kaydı tek başına KVKK uyumluluğu sağlamaz; veri sorumlularının güvenlik ve uyum süreçlerini düzenli gözden geçirmesi gerekir.
Uyum düzeyi skor kartı, risk seviyesine göre sınıflandırılmış bulgu listesi, sorumlu ve terminli düzeltici aksiyon planı, yönetici özeti raporu ve iç denetim kontrol listesi teslim edilir.
Ayrı hizmet olarak yürütülen denetimin tipik süresi 2–4 aydır. Süre, ilk adımda belirlenen kapsama, yani denetlenecek süreç, lokasyon ve sistemlere göre değişir.
Uyumunuzun bugünkü fotoğrafını çekelim
Kısa bir denetimle eksikleri risk sırasına göre listeleyip aksiyon planınızı birlikte çıkaralım.
