KVKK ihlali durumunda ne yapılır? (Veri ihlali müdahale adımları)

Kısa cevap: Bir kişisel veri ihlali fark edildiğinde önce sızıntı durdurulur ve deliller korunur. Ardından hangi verilerin, kaç kişinin ve nasıl etkilendiği belirlenir; Kişisel Verileri Koruma Kurulu’na, Kurul kararında öngörülen kısa süre içinde bildirim yapılır ve etkilenen kişiler bilgilendirilir. Tüm adımlar kayıt altına alınır, kök neden giderilir. Hukuki değerlendirme için avukatınızla birlikte hareket edin.

Kişisel veri ihlali nedir?

KVKK’ya göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusunun bildirim yükümlülüğü doğar. Uygulamada bu; bir siber saldırıyla veritabanının ele geçirilmesi, fidye yazılımıyla verilerin çalınması, müşteri listesinin yanlış kişiye e-postayla gönderilmesi, dizüstü bilgisayarın çalınması, yetkisiz bir çalışanın müşteri kayıtlarını dışarı aktarması ya da yanlış yapılandırılmış bir bulut paylaşımının herkese açık kalması gibi durumları kapsayabilir. Kanunun genel çerçevesi için KVKK nedir yazımıza bakabilirsiniz.

Adım adım veri ihlali müdahalesi

1. Durumu kontrol altına alın. Ele geçirilen hesapların parolalarını sıfırlayın, açık oturumları kapatın, etkilenen cihazları ağdan ayırın, herkese açık kalan paylaşımları kapatın. Amaç, sızıntının büyümesini durdurmaktır.
2. Delilleri koruyun. Log kayıtlarını, e-postaları ve sistem görüntülerini silmeyin; mümkünse kopyasını alın. Cihazları aceleyle formatlamak, ne olduğunu anlamayı imkânsız hale getirebilir.
3. Müdahale ekibini toplayın. Yönetim, BT ya da hizmet sağlayıcı, hukuk danışmanı ve iletişim sorumlusu bir arada olmalıdır. Kimin karar vereceği önceden belliyse süreç çok hızlanır.
4. Kapsamı belirleyin. Hangi veri kategorileri etkilendi (kimlik, iletişim, finansal, sağlık), kaç kişi etkilendi, ihlal ne zaman başladı ve ne zaman fark edildi, veriler şifreli miydi?
5. Riski değerlendirin. Özel nitelikli veri, finansal bilgi veya parola sızdıysa ilgili kişiler için risk yüksektir; bilgilendirme ve önlem önerileri buna göre şekillenir.
6. Kurul’a bildirim yapın. Kurul kararıyla veri sorumlusunun, ihlali öğrendikten sonra gecikmeksizin ve uygulamada 72 saat olarak bilinen süre içinde Kurul’a bildirimde bulunması öngörülmüştür. Bildirim, Kurum’un yayımladığı veri ihlali bildirim formu kullanılarak yapılır. Tüm bilgiler henüz netleşmediyse eldeki bilgilerle bildirim yapılıp sonradan tamamlanabilir; gecikme gerekçesi varsa açıklanmalıdır.
7. İlgili kişileri bilgilendirin. Etkilenen kişiler belirlendikten sonra makul en kısa sürede, doğrudan iletişim kanallarıyla (e-posta, SMS, telefon) bilgilendirilmelidir. Bilgilendirmede ihlalin ne olduğu, hangi verilerin etkilendiği, olası sonuçlar, alınan önlemler ve kişinin kendini korumak için yapabilecekleri sade bir dille anlatılır.
8. Belgeleyin. İhlalin olguları, etkileri ve alınan önlemler kayıt altına alınmalı ve Kurul’un incelemesine hazır tutulmalıdır.
9. Kök nedeni giderin. Açık kapatılmadan sistemleri eski haline döndürmek, aynı ihlalin tekrarına davetiye çıkarır. Gerekirse bağımsız bir teknik inceleme ve sızma testi yaptırın.
10. Dersleri süreçlere yansıtın. Politikalar, yetkiler, eğitimler ve teknik önlemler güncellenir; olay müdahale planı revize edilir.

Bildirim süreleri ve form içeriği Kurul kararlarıyla belirlenir ve değişebilir; güncel durumu Kurum duyurularından ve avukatınızdan teyit edin.

İlgili kişilere ne söylenmeli, ne söylenmemeli?

• Söyleyin: Ne olduğunu, hangi verilerin etkilendiğini, hangi önlemleri aldığınızı, kişinin parolasını değiştirmesi veya şüpheli aramalara karşı dikkatli olması gibi önerileri ve iletişim kurabileceği bir kanalı.
• Kaçının: Olayı küçümsemekten, henüz bilinmeyen konularda kesin ifadeler kullanmaktan ve teknik jargondan.
• Dikkat: İhlal bildirimini taklit eden oltalama e-postaları sık görülür; kişilere bağlantıya tıklamadan nasıl doğrulama yapabileceklerini anlatın. Konuyla ilgili oltalama nedir, nasıl korunulur yazımıza bakabilirsiniz.

Bildirim formunda genellikle neler istenir?

Kurum’un veri ihlali bildirim formu; veri sorumlusunun ve iletişim kişisinin bilgilerini, ihlalin ne zaman başladığı ve ne zaman fark edildiğini, ihlalin nasıl gerçekleştiğini, etkilenen veri kategorilerini ve yaklaşık kişi sayısını, ihlalin olası sonuçlarını, alınan ve alınması planlanan önlemleri ve ilgili kişilerin nasıl bilgilendirileceğini sorgular. Bu bilgileri olay anında hızla toplayabilmek için müdahale prosedürünüze formun alanlarına uygun bir kontrol listesi eklemeniz faydalıdır. Böylece olay anında kimin hangi bilgiyi toplayacağı da önceden belli olur ve değerli saatler, form doldurmaya çalışırken kaybedilmez.

Veri işleyenin rolü

İhlal, hizmet aldığınız bir bulut, bordro veya yazılım firmasında yaşanmış olabilir. Bu durumda veri işleyenin ihlali gecikmeden veri sorumlusuna bildirmesi gerekir; Kurul’a bildirim ve ilgili kişileri bilgilendirme sorumluluğu ise esas olarak veri sorumlusundadır. Bu yüzden veri işleyenlerle yapılan sözleşmelere ihlal bildirimi ve iş birliği maddeleri eklenmesi önerilir.

Sık yapılan hatalar

• İhlali “küçük” bulup bildirmemek ya da tüm ayrıntılar netleşene kadar beklemek.
• Panikle sistemleri silip yeniden kurarak delilleri yok etmek.
• Kim karar verecek belli olmadığı için saatler kaybetmek.
• Kök nedeni bulmadan aynı yapılandırmayla sistemleri yeniden açmak.
• İhlalden sonra şifreleme, MFA ve log izleme gibi önlemleri yine ertelemek.

İhlal olmadan önce hazırlık

En iyi müdahale, önceden yazılmış bir plana dayanır. Yazılı bir veri ihlali müdahale prosedürü, iletişim listesi, bildirim formu taslağı, log kayıtlarının yeterli süre tutulması, test edilmiş yedekler ve yılda en az bir kez yapılan masa başı tatbikat, gerçek bir olayda saatler kazandırır. Fidye yazılımı senaryosu için fidye yazılımı hazırlık ve müdahale rehberimize göz atabilirsiniz.

Racoun nasıl yardımcı olur?

Racurity, bir ihlalde teknik tarafı hızla toparlamanıza yardımcı olur: etkilenen sistemlerin izolasyonu, log incelemesi, açığın kapatılması ve sonrasında sızma testi ile doğrulama. İhlal olmadan önce ise SIEM/SOC izleme ve KVKK uyum danışmanlığı ile hazırlığı birlikte kurarız. Hukuki bildirim süreçlerinde hukuk danışmanınızla koordineli çalışırız.

Sık sorulan sorular

Her veri ihlali Kurul’a bildirilmeli mi?

Kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi halinde bildirim yükümlülüğü doğar. Bir olayın bildirim gerektirip gerektirmediği konusunda tereddüt varsa, hızlıca hukuki görüş alınmalı ve süre kaçırılmamalıdır.

Tüm bilgiler netleşmeden bildirim yapılabilir mi?

Evet. Eldeki bilgilerle zamanında bildirim yapılıp ayrıntılar netleştikçe tamamlanabilir. Bildirimi tüm ayrıntılar ortaya çıkana kadar geciktirmek daha büyük bir risktir.

Şifrelenmiş veriler çalınırsa da ihlal sayılır mı?

Veriler güçlü biçimde şifrelenmişse ve anahtar ele geçirilmediyse ilgili kişiler için risk belirgin biçimde azalır. Ancak bildirim gerekip gerekmediği somut duruma göre değerlendirilmeli ve hukuki görüş alınmalıdır.

Racoun ile konuşun: İstanbul merkezli ekibimizle Türkiye genelindeki markalara hizmet veriyoruz. WhatsApp üzerinden yazabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.