KVKK teknik tedbirleri: denetimde istenen 7 kanıt
KVKK denetimlerinde ve veri ihlali bildirimlerinde kurum, alınan tedbirlerin kanıtını ister. Aşağıdaki yedi başlık, teknik tarafın omurgasıdır.
1) Erişim kontrolü ve yetki matrisi
Kişi bazlı değil rol bazlı yetki; ayrılan kullanıcı hesabının kapatılma süresi tanımlı olmalı.
2) Şifreleme
Hem duran veride (disk/veritabanı) hem aktarımda (TLS) şifreleme; anahtar yönetimi dokümante edilmeli.
3) Loglama ve iz kaydı
Kişisel veriye erişim logları saklanmalı ve periyodik gözden geçirilmeli.
4) Ağ güvenliği
Segmentasyon, güvenlik duvarı kurallarının periyodik temizliği, uzaktan erişimde MFA.
5) Güncel yama ve zafiyet yönetimi
Tarama takvimi ve kapatma süreleri kayıt altında olmalı.
6) Yedekleme ve olay yönetimi
İhlal senaryolarında 72 saat bildirim süresine teknik hazırlık: log erişimi, kapsam analizi.
7) Personel farkındalığı
Yıllık eğitim ve phishing tatbikatı kayıtları, idari tedbirlerin teknik tamamlayıcısıdır.
Özet: Her tedbir için bir 'kanıt dosyası' (rapor, ekran görüntüsü, log örneği) tutun; denetim günü aranmaz.
Bu konuda destek alin