KVKK’da Teknik Tedbirler Göz Ardı Ediliyor! Hatalar ve Cezalar Genelde Buradan Geliyor

Kişisel Verileri Koruma Kurumu’nun 9 Eylül 2026 tarihinde ve son dönemde yayımladığı veri ihlali bildirimleri, şirketlerin KVKK uyumunda hâlâ en kritik alanlardan birinin teknik güvenlik olduğunu bir kez daha gösterdi. Bu vakaların ortak noktasına baktığımızda; fidye yazılımı, veri işleyen sistemlerine yetkisiz erişim, üçüncü taraf altyapılarındaki güvenlik zafiyetleri ve saldırı sonrasında etkilenen kişi veya veri miktarının dahi hızlı biçimde belirlenememesi dikkat çekiyor.

Aslında tablo oldukça çarpıcı, bildirimlerin çoğunda doğrudan veya dolaylı biçimde veri işleyen sistemlerinde yetkisiz erişim söz konusu olmuş. Etkilenen veriler arasında genellikle çalışanlar ve müşterilerin kimlik, iletişim bilgileri yer alıyor. Birçok vakada ihlalden etkilenen kişi ve kayıt sayısının ilk aşamada net biçimde belirlenemediği görülüyor.

Üçüncü taraf riskinin ne kadar büyük bir problem olduğunu çoğu zaman hesaplayamıyoruz. İhlaller, veri işleyen nezdinde gerçekleşen siber saldırı ve yetkisiz erişim sonucunda ortaya çıkabiliyor.

Bu ihlal bildirimleri tek başına şirketlerde teknik tedbirlerin eksik olduğunu kanıtlamaz, incelemeler devam ediyor. Ancak ortaya çıkan örüntü açık: erişim güvenliği, sunucu güvenliği, tedarikçi güvenliği, olay tespiti ve müdahale kabiliyeti KVKK uyumunun merkezinde yer alıyor.

KVKK sadece aydınlatma metni değildir

Şirketlerde KVKK denildiğinde ilk akla gelenler çoğu zaman aydınlatma metinleri, açık rıza formları, saklama-imha politikaları veya VERBİS oluyor.

Tüm bu başlıklar önemli olmakla birlikte Kanun’un 12’nci maddesi veri sorumlularına kişisel verilere hukuka aykırı erişimi önleme ve verilerin güvenli biçimde muhafaza edilmesini sağlama yükümlülüğü de getiriyor. Veri sorumlusu, uygun güvenlik seviyesini sağlayacak teknik ve idari tedbirleri almak zorundadır. Üstelik kişisel veriler başka bir firma tarafından işleniyorsa veri sorumlusu, gerekli tedbirlerin alınması bakımından veri işleyenle birlikte sorumluluk taşıyor.

Yani “sistemimizi dışarıdan bir firma yönetiyor” veya “verilerimiz bulutta tutuluyor” demek riski ortadan kaldırmıyor.

Tam tersine, son bildirimler bize tedarikçi ve veri işleyen güvenliğinin KVKK programının ayrılmaz bir parçası olması gerektiğini gösteriyor.

Teknik tedbirler dediğimiz şey nedir?

Kişisel Verileri Koruma Kurumu’nun Kişisel Veri Güvenliği Rehberi’nde teknik tedbirler arasında yetki matrisi, yetki kontrolü, erişim logları, kullanıcı hesap yönetimi, ağ güvenliği, uygulama güvenliği, şifreleme, sızma testi ve saldırı tespit/önleme sistemleri açıkça sayılıyor.

Önceki Kurul kararları da bu yaklaşımın sadece teorik olmadığını gösteriyor. Kurul; yama yönetiminin yapılmaması, saldırı tespit sistemlerinin kullanılmaması, güçlü parola ve çok faktörlü kimlik doğrulamanın bulunmaması, ağların yeterince ayrıştırılmaması veya logların doğru yönetilmemesi gibi eksiklikleri daha önce doğrudan veri güvenliği tedbirlerinin yetersizliği kapsamında değerlendirdi.

Dolayısıyla bir şirketin teknik KVKK uyumunu değerlendirirken yalnızca “antivirüsümüz var mı?” sorusu yeterli değil.

Bakılması gereken alan çok daha geniş:

• Kim hangi kişisel veriye erişebiliyor?
• Gereksiz veya eski kullanıcı hesapları hâlâ aktif mi?
• Kritik hesaplarda ekstra güvenlik önlemleri kullanılıyor mu?
• Sunucular ve uygulamalar düzenli olarak güncelleniyor mu?
• İnternete açık sistemler gerçekten biliniyor mu?
• Ağ segmentasyonu uygulanıyor mu?
• Loglar merkezi olarak tutuluyor ve izleniyor mu?
• Fidye yazılımı saldırısında yedeklerden geri dönüş gerçekten mümkün mü?
• Sızma testleri ve zafiyet taramaları düzenli yapılıyor mu?
• Veri işleyen ve teknoloji tedarikçileri teknik açıdan denetleniyor mu?
• Bir ihlal olduğunda hangi verinin ve kaç kişinin etkilendiği saatler içinde ortaya çıkarılabiliyor mu?

Bunlardan birkaçına dahi net cevap verilemiyorsa, kurumun KVKK teknik tedbirleri açısından yeniden değerlendirilmesi gerekir.

İhlal olduktan sonra alınan tedbir geç kalmış tedbirdir

KVKK kararlarında yıllardır tekrar eden önemli bir desen var: kurumlar çoğu zaman çoklu doğrulamayı, daha güçlü parola politikasını, ağ güvenliğini, saldırı tespit sistemini veya yeni güvenlik yazılımlarını ihlalden sonra devreye alıyor.

Kurulun geçmiş kararlarında da bazı veri sorumlularının çok faktörlü kimlik doğrulamayı, güçlü şifre politikalarını veya saldırı tespit sistemlerini ancak olay gerçekleştikten sonra devreye aldığı ve bunun gerekli teknik tedbirlerin önceden yeterince alınmadığının göstergesi olarak değerlendirildiği görülüyor.

Fakat siber güvenlikte asıl değer, saldırı olduktan sonra sistemi güçlendirmek değil; saldırıdan önce zafiyeti görmektir.

Bu nedenle şirketlerin KVKK çalışmalarında teknik tedbirleri yılda bir kez kontrol edilen bir checklist olmaktan çıkarması gerekiyor.

En büyük risklerden biri de tedarikçiler

Bir şirketin kendi sistemleri son derece güvenli olabilir. Fakat müşteri verileri bir e-ticaret altyapısı, CRM sistemi, hosting şirketi, yazılım sağlayıcısı veya başka bir veri işleyen üzerinde tutuluyorsa o tedarikçinin güvenliği de doğrudan sizin KVKK riskinizdir.

Kanun da bu konuda oldukça açık: veri sorumlusu, kişisel verilerin kendi adına başka kişiler tarafından işlenmesi halinde gerekli güvenlik tedbirleri açısından bu kişilerle birlikte sorumludur.

Bu nedenle sözleşmede yalnızca “KVKK’ya uygun davranacaktır” yazılması yeterli değil.

Tedarikçiye şu soruların da sorulması gerekiyor:

Hangi güvenlik standartlarını uyguluyor?

Son sızma testi ne zaman yapıldı?

Loglar ne kadar süre tutuluyor?

Bir olay olduğunda size kaç saat içinde haber verecek?

Verileriniz başka müşterilerin verilerinden teknik olarak ayrıştırılmış mı?

Yedekleme ve felaket kurtarma planı gerçekten test edilmiş mi?

KVKK sadece hukuk departmanının konusu değildir.

KVKK uyumu; hukuk, BT, siber güvenlik, insan kaynakları, operasyon, tedarikçi yönetimi ve diğer ilgili ekiplerin birlikte yürüttüğü bir süreç olmak zorundadır.

Aydınlatma metinleriniz güncel olabilir. VERBİS kaydınız tamamlanmış olabilir. Politika ve prosedürleriniz dosyalarda eksiksiz durabilir.

Ama sunucunuzdaki açık kapatılmamışsa, kullanıcı yetkileri kontrol edilmiyorsa, veri işleyen firmanız yeterince güvenli değilse veya saldırıyı fark edecek loglama ve izleme altyapınız yoksa ihlal teknik taraftan gelebilir.

Bu nedenle kurumların bir veri ihlali yaşamayı beklemeden KVKK kapsamındaki teknik tedbirlerini bağımsız olarak gözden geçirmesi, zafiyetlerini tespit etmesi ve gerekli iyileştirmeleri planlaması gerekiyor.

Rasyotek teknik ekibi, KVKK kapsamında alınması gereken teknik tedbirlerin mevcut durumunun değerlendirilmesi, güvenlik açıklarının ve risklerin belirlenmesi, sızma testi ve teknik güvenlik kontrollerinin gerçekleştirilmesi ile gerekli aksiyon planının oluşturulması süreçlerinde kurumların yanında yer alıyor.

KVKK uyumunuzu yalnızca belgeler üzerinden değil, gerçek sistemleriniz üzerinden de kontrol edin.