KVKK teknik tedbirler, Kanun'un 12. maddesindeki uygun güvenlik düzeyini sağlamak için alınan teknolojik kontrollerdir. Kurul'un Kişisel Veri Güvenliği Rehberi yetki matrisi, erişim logları, şifreleme, anahtar yönetimi, sızma testi, yedekleme, güvenlik duvarı, antivirüs ve veri kaybı önleme gibi başlıkları sayar. Bu yazıdaki 20 maddelik liste, bu başlıkları altı alanda toplar: kimlik ve erişim, şifreleme, loglama, yedekleme, uç nokta ve ağ, tedarikçi ve bulut güvenliği.
Tedbir Listesi Neden Karar Aracıdır?
Bir BT yöneticisinin önünde genellikle uzun bir güvenlik yapılacaklar listesi ve sınırlı bir bütçe vardır. Soru “ne yapmalıyız?” değil, “önce neyi yapmalıyız ve bunu kendimiz mi yapabiliriz?” sorusudur. KVKK teknik tedbirler listesi bu kararı vermek için bir çerçeve sunar: Kanun'un 12. maddesi uygun güvenlik düzeyini ister, Kurul'un rehberi bu düzeyin hangi başlıklardan oluştuğunu gösterir.
Bu yazıda kurumsal siber hijyenin altı temel alanını ele alıyor, her alan için somut kontrol maddelerini sıralıyor ve sonunda 20 maddelik indirilebilir listeyi, önceliklendirme ve karar tablosuyla birlikte sunuyoruz.
Kimlik ve Erişim Yönetimi
Kişisel veri ihlallerinin önemli bir kısmı, çalınmış veya gereğinden geniş yetkili hesaplarla başlar. Kişisel Veri Güvenliği Rehberi; çalışanlara görevleri için gerekli ölçüde erişim tanınmasını, bir erişim yetki ve kontrol matrisi oluşturulmasını, şifre deneme sayısının sınırlandırılmasını, yönetici yetkisinin yalnızca ihtiyaç halinde kullanılmasını ve ilişiği kesilen çalışanların hesaplarının zaman kaybetmeksizin kapatılmasını önerir. Bulutta tutulan verilere uzaktan erişimde iki kademeli kimlik doğrulama da rehberin önerileri arasındadır.
Özel nitelikli kişisel veri işleyen kurumlar için Kurul'un 2018/10 sayılı kararı daha da nettir: yetki kapsamları ve süreleri tanımlanmalı, periyodik yetki kontrolleri yapılmalı, görev değişikliğinde yetkiler derhal kaldırılmalı ve uzaktan erişimde en az iki kademeli kimlik doğrulama kullanılmalıdır.
Karar noktası: Bu alan çoğu kurumda mevcut dizin hizmeti ve kimlik yönetimi araçlarıyla iç ekip tarafından yürütülebilir; asıl eksik genellikle araç değil, yetki matrisinin ve periyodik gözden geçirmenin belgelenmesidir.
Şifreleme ve Anahtar Yönetimi
Rehber, kişisel veri içeren cihazların kaybolması veya çalınmasına karşı şifreleme kullanılmasını, şifre anahtarının yalnızca yetkili kişilerin erişebileceği ortamda saklanmasını ve uluslararası kabul görmüş şifreleme programlarının tercih edilmesini önerir. Bulut hizmetlerinde her çözüm için ayrı şifreleme anahtarı kullanılmasını ve hizmet ilişkisi sona erdiğinde anahtarların tüm kopyalarının yok edilmesini ister.
Pratikte şifreleme üç katmanda ele alınır: aktarım sırasında (web ve e-posta trafiğinde güncel TLS), depolamada (dizüstü bilgisayarlarda tam disk şifreleme, veri tabanlarında hassas alan şifrelemesi) ve taşınabilir ortamlarda. 2018/10 sayılı karar, özel nitelikli verilerin taşınabilir bellek ile aktarılmasında kriptografik yöntemlerle şifreleme ve anahtarın farklı ortamda tutulmasını, e-postayla aktarımda ise şifreli kurumsal e-posta veya kayıtlı elektronik posta (KEP) kullanılmasını öngörür.
Karar noktası: Şifrelemeyi açmak kolaydır; anahtarları kimin yönettiği, nerede sakladığı ve kaybolursa ne olacağı ise genellikle belgelenmemiştir. Anahtar yönetimi politikası bu alanın en sık eksik kalan parçasıdır.
Loglama ve İzleme
Rehber, tüm kullanıcıların işlem hareketlerinin düzenli olarak kayıt altına alınmasını, güvenlik yazılımı mesajlarının ve erişim kontrolü kayıtlarının düzenli kontrol edilmesini ve çalışanların güvenlik zafiyetlerini bildirebileceği resmî bir raporlama prosedürü oluşturulmasını ister. Log tutmanın değeri, loglar incelendiğinde ve alarmlar üzerine harekete geçildiğinde ortaya çıkar.
Logların kendisi de kişisel veri içerdiği için saklama süresi, erişim yetkisi ve maskeleme kuralları belirlenmelidir. Bu dengeyi log kayıtları ve saklama süresi yazımızda ayrıntılı anlattık.
Karar noktası: Log toplamak için bir SIEM platformu kurmak ile logları 7/24 izleyecek bir ekip kurmak farklı yatırımlardır. KOBİ'ler için çoğu zaman yönetilen bir izleme hizmeti, kendi güvenlik operasyon merkezini kurmaktan daha gerçekçidir.
Yedekleme ve Felaket Kurtarma
Rehber, verilerin zarar görmesi, yok olması, çalınması veya kaybolması halinde veri sorumlusunun yedeklenen verileri kullanarak en kısa sürede faaliyete geçmesi gerektiğini belirtir ve fidye yazılımlarına karşı yedekleme stratejileri geliştirilmesini önerir. Yedeklere yalnızca sistem yöneticisi erişebilmeli, veri seti yedekleri ağ dışında tutulmalı ve fiziksel güvenlikleri sağlanmalıdır.
Yedeklemenin KVKK açısından iki yüzü vardır: verinin muhafazası ve imha. Saklama süresi dolan verilerin yedeklerde süresiz kalması, saklama ve imha politikasıyla çelişir. Fidye yazılımı senaryosunda yedeğin nasıl belirleyici olduğunu fidye yazılımı KVKK yazımızda ele aldık.
Karar noktası: En sık görülen eksik, hiç test edilmemiş yedektir. Geri yükleme testinin tarihi ve süresi, felaket kurtarma planının gerçekçi olup olmadığını gösteren en iyi göstergedir.
Uç Nokta, E-posta ve Ağ Güvenliği
Rehber, güvenlik duvarı ve ağ geçidini internetten gelen tehditlere karşı ilk savunma hattı olarak tanımlar; kullanılmayan yazılım ve servislerin kaldırılmasını, yama yönetimini, güncel antivirüs ve antispam ürünlerini ve kişisel veri işlenen ağ bölümlerinin ayrılmasını önerir. Kötü amaçlı yazılım içeren e-posta ekleri ve yanlış alıcıya gönderilen e-postalar, rehberin başlıca ihlal nedenleri arasında saydığı durumlardır.
Bu alanda teknik tedbirlerin etkinliğini doğrulamanın yolu düzenli testtir. Rehber, düzenli zafiyet taramaları ve sızma testleri yapılmasını ister; iki yöntemin farkını ve uygun sıklığı sızma testi KVKK yazımızda anlattık.
Karar noktası: Uç nokta koruması, e-posta filtresi ve güvenlik duvarı çoğu kurumda zaten vardır; eksik olan genellikle bunların yapılandırmasının ve güncelliğinin düzenli olarak doğrulanmasıdır.
Tedarikçi ve Bulut Güvenliği
KVKK'nın 12. maddesinin ikinci fıkrası, veri işleyenin de veri güvenliği tedbirlerinin alınmasında veri sorumlusuyla birlikte sorumlu olduğunu belirtir. Rehber; veri işleyenle yazılı sözleşme yapılmasını, sözleşmede talimatla hareket, süresiz sır saklama ve ihlalin veri sorumlusuna derhal bildirimi hükümlerinin yer almasını ve veri sorumlusunun gerekli denetimleri yapabilmesini önerir. Bulut hizmetlerinde ise sağlayıcının güvenlik önlemlerinin yeterliliğinin değerlendirilmesini ister.
Bulut ve SaaS hizmetleri çoğu zaman yurt dışındaki veri merkezlerinde çalıştığı için KVKK'nın 9. maddesindeki aktarım kuralları da gündeme gelir; standart sözleşme kullanılıyorsa imzadan itibaren beş iş günü içinde Kurum'a bildirim yapılmalıdır. Ayrıntılar için yurt dışına veri aktarımı rehberi yazımıza bakabilirsiniz.
Karar noktası: Tedarikçi envanteri olmadan tedarikçi güvenliği yönetilemez. Hangi tedarikçinin hangi kişisel veriye eriştiğini gösteren tek bir liste, bu alandaki ilk ve en değerli adımdır.
20 Maddelik Liste (İndirilebilir)
Aşağıdaki liste, yukarıdaki altı alanı 20 kontrol maddesinde toplar. Her maddeyi “Var / Kısmen / Yok” olarak işaretleyin. Kaynak sütunu, maddenin dayandığı Kurul belgesini gösterir; “İyi uygulama” olarak işaretlenen maddeler kvkkrehberi.com önerisidir.
Önceliklendirme ve karar tablosu: “Yok” veya “Kısmen” yanıtları çoksa her şeyi aynı anda başlatmak yerine önce ihlal olasılığını ve etkisini en çok azaltan maddelerden başlayın. Aşağıdaki tablo, hangi alanın hangi yolla kapatılabileceğine karar vermenize yardımcı olur.
20 Maddelik KVKK Teknik Tedbirler Listesi
| # | Kontrol maddesi | Kaynak |
|---|---|---|
| 1 | Görev bazlı erişim yetki matrisi yazılı ve güncel | Rehber |
| 2 | İşten ayrılan veya görev değiştirenlerin yetkileri aynı gün kaldırılıyor | Rehber, 2018/10 |
| 3 | Yönetici hesapları ayrı ve yalnızca ihtiyaç halinde kullanılıyor | Rehber |
| 4 | Uzaktan erişim ve bulut yönetim panellerinde çok faktörlü kimlik doğrulama | Rehber, 2018/10 |
| 5 | Erişim yetkileri periyodik olarak gözden geçiriliyor ve kaydediliyor | 2018/10 |
| 6 | Dizüstü bilgisayar ve taşınabilir ortamlarda şifreleme | Rehber |
| 7 | Hassas veri tabanı alanlarında ve yedeklerde şifreleme | Rehber, 2018/10 |
| 8 | Şifreleme anahtarlarının yönetimi ve saklanması belgelenmiş | Rehber |
| 9 | Kişisel veri içeren sistemlerde kullanıcı işlem logları tutuluyor | Rehber, 2018/10 |
| 10 | Loglar merkezi, değiştirilemez biçimde saklanıyor ve düzenli inceleniyor | Rehber; iyi uygulama |
| 11 | Log saklama süreleri ve log erişim yetkileri politikada tanımlı | KVKK md. 4; iyi uygulama |
| 12 | Yedekler ağ dışında tutuluyor ve erişimi sınırlı | Rehber |
| 13 | Geri yükleme testi düzenli yapılıyor ve sonucu kaydediliyor | İyi uygulama |
| 14 | Yama yönetimi süreci ve kullanılmayan servislerin kaldırılması | Rehber |
| 15 | Güncel antivirüs/uç nokta koruması ve e-posta filtresi | Rehber |
| 16 | Güvenlik duvarı ve kişisel veri işlenen ağ bölümlerinin ayrılması | Rehber |
| 17 | Düzenli zafiyet taraması ve sızma testi; bulguların kapatılması | Rehber, 2018/10 |
| 18 | Veri kaybı önleme (DLP) veya eşdeğer dışa aktarım kontrolü | Rehber |
| 19 | Veri işleyen tedarikçilerle güvenlik ve ihlal bildirimi hükümlü sözleşmeler | KVKK md. 12/2, Rehber |
| 20 | Bulut hizmetlerinin envanteri, veri konumu ve yurt dışı aktarım mekanizması | KVKK md. 9, Rehber |
Önceliklendirme ve Karar Tablosu
| Durum | Öncelikli maddeler | Önerilen yol |
|---|---|---|
| Temel hijyen eksik (MFA, yama, yedek yok) | 2, 4, 12, 13, 14 | İç ekip hızlı kazanımlarla başlar; dışarıdan kısa bir teknik değerlendirme alınır |
| Araçlar var, belge ve kanıt yok | 1, 5, 8, 11, 19 | Politika ve prosedür çalışması; KVKK uyum paketiyle birlikte yürütülebilir |
| Özel nitelikli veya büyük hacimli veri işleniyor | 4, 7, 9, 10, 17 | 2018/10 kararına göre boşluk analizi, sızma testi ve log izleme hizmeti |
| Bulut ve tedarikçi bağımlılığı yüksek | 19, 20, 4, 8 | Tedarikçi envanteri, sözleşme revizyonu, yurt dışı aktarım değerlendirmesi |
| Yakın zamanda ihlal veya ciddi olay yaşandı | 9, 10, 12, 17 ve kök neden | Olay sonrası inceleme, doğrulama testi ve iyileştirme planı |
Sonuç ve Sonraki Adım
KVKK teknik tedbirler, Kanun'un 12. maddesindeki genel yükümlülüğün Kurul rehberi ve kararlarıyla somutlaşmış halidir. Kimlik ve erişim, şifreleme, loglama, yedekleme, uç nokta ve ağ ile tedarikçi ve bulut güvenliği birlikte ele alındığında, kurumsal siber hijyen hem ihlal olasılığını azaltır hem de bir ihlal sonrası incelemede alınan tedbirleri kanıtlanabilir kılar. Özel nitelikli veri işleyen kurumlar için 2018/10 sayılı karardaki önlemler asgari çerçevedir.
Sonraki adım, listeyi doldurduktan sonra eksikleri üç gruba ayırmaktır: iç ekiple hemen kapatılabilecekler, belge ve süreç çalışması gerektirenler ve uzman desteği gerektirenler. Belge ve süreç tarafını kapsamlı ele almak isteyen kurumlar için Standart KVKK Uyum Paketi seçeneğini, kritik sektörlerdeki siber güvenlik gelişmelerini ise kritik sektörler yazımızda inceleyebilirsiniz.
Sık Sorulan Sorular
Kanun, uygun güvenlik düzeyi için gerekli teknik ve idari tedbirlerin alınmasını zorunlu tutar, ancak tedbirleri tek tek saymaz. Listedeki maddeler Kurul'un rehberi ve kararlarına dayanır; hangi maddenin sizin için ne ölçüde gerekli olduğu işlenen verinin niteliği ve risk düzeyine göre belirlenir.
Bu liste teknik tedbirlere odaklanır. Veri envanteri, politikalar, gizlilik taahhütleri, eğitim ve iç denetim gibi idari tedbirler de rehberde ayrı bir tabloyla sayılır ve teknik tedbirlerle birlikte uygulanmalıdır.
ISO 27001 kontrolleri bu maddelerin büyük kısmını karşılar. Yine de sertifikanın kapsamının kişisel veri işleyen tüm sistemleri içerip içermediği ve KVKK'ya özgü konuların (yurt dışı aktarım, ihlal bildirimi, saklama ve imha) ele alınıp alınmadığı ayrıca kontrol edilmelidir.
Yılda en az bir kez ve yeni bir sistem, tedarikçi veya bulut hizmeti devreye alındığında gözden geçirilmesi önerilir. Bir ihlal veya ciddi güvenlik olayından sonra da yeniden değerlendirilmelidir.
Teknik tedbir eksiklerinizi planlı biçimde kapatın
Boşluk analizi, sızma testi, log izleme ve politika çalışmasıyla KVKK teknik tedbirlerini kurumunuzun risk düzeyine göre hayata geçirin.
Danışmanlık teklifi alınKaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu — Mevzuat Bilgi Sistemi
- Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler), KVKK Yayınları No: 72 — Kişisel Verileri Koruma Kurumu (2025-04)
- Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler (Kurul Kararı 2018/10) — Kişisel Verileri Koruma Kurumu (2018-01-31)
- Kişisel Veri İhlali Bildirim Usul ve Esasları (Kurul Kararı 2019/10) — Kişisel Verileri Koruma Kurumu (2019-01-24)
- Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik — Resmî Gazete (2024-07-10)
