Güvenli Veri İmha: Disk, SSD ve Telefon

Güvenli veri imha, bilgisayar diski, SSD, sunucu depolama birimi, telefon, tablet, USB bellek ya da yedekleme kartuşu gibi veri taşıyıcılarındaki bilgilerin, hiçbir yazılım veya laboratuvar yöntemiyle geri getirilemeyecek şekilde yok edilmesi ve bu işlemin belgelenmesidir. Dosyaları çöp kutusuna atmak, diski biçimlendirmek ya da telefonu sıradan şekilde fabrika ayarlarına döndürmek çoğu zaman bu tanımı karşılamaz. Racurity olarak veri imha sürecini envanterden tutanağa kadar uçtan uca yönetiyor, uzman çözüm ortaklarımızın altyapısını tek muhatapla sunuyoruz.

Kimler güvenli veri imhaya ihtiyaç duyar?

Cihaz yenileyen her kurum, eski donanımla birlikte içindeki veriyi de elden çıkarır. Bilgisayar filosunu yenileyen şirketler, kiralık cihazlarını iade eden ofisler, sunucu odasını buluta taşıyan işletmeler, şube kapatan perakendeciler ve birleşme sonrası altyapıyı sadeleştiren gruplar bu ihtiyacın en tipik örnekleridir. Hasta kayıtları tutan klinikler, müvekkil dosyaları saklayan hukuk büroları, müşteri finansal verisi işleyen muhasebe ve sigorta firmaları, insan kaynakları kayıtları barındıran her işveren için ise mesele doğrudan kişisel verilerin korunmasıdır.

Arızalı bir diskin garanti kapsamında üreticiye ya da servise gönderilmesi de sık gözden kaçan bir veri çıkışıdır. Çalışmayan disk, içindeki veriyle birlikte binadan ayrılır. Bu tür durumlar için de imha ya da diskin kurumda alıkonması politikası belirlenmelidir.

Yetersiz imhanın riskleri

Veri geri getirme: Biçimlendirilmiş ya da bölümleri silinmiş disklerden, ücretsiz araçlarla bile çok sayıda dosya kurtarılabilir.
İkinci el piyasası: Satılan, bağışlanan ya da hurdaya verilen cihazlar, içindeki e-posta arşivleri, muhasebe yedekleri ve müşteri listeleriyle başkalarının eline geçebilir.
Mevzuat ve itibar: Kişisel verilerin yetkisiz kişilerce erişilebilir hale gelmesi, KVKK kapsamında veri ihlali niteliği taşıyabilir ve ciddi itibar kaybına yol açar.
Kanıtlanamayan imha: İmha yapılmış olsa bile belgelenmemişse, bir denetimde ya da şikâyet sürecinde bunu göstermek mümkün olmaz.

KVKK ve silme-yok etme yükümlülüğü

Kişisel Verilerin Korunması Kanunu, işlenme amacı ortadan kalkan kişisel verilerin silinmesini, yok edilmesini veya anonim hale getirilmesini öngörür; bu konudaki usul ve esaslar ilgili yönetmelikle ayrıntılandırılmıştır. Veri sorumlularından beklenen; verilerin hangi ortamlarda tutulduğunu bilmeleri, saklama sürelerini belirlemeleri, imhayı uygun yöntemle yapmaları ve yapılan işlemleri kayıt altına almalarıdır. Hangi yükümlülüklerin sizin için geçerli olduğu kurumunuzun yapısına göre değişir; bu nedenle saklama ve imha politikanızın hukuki boyutu için hukuk desteği almanızı öneriyoruz. Teknik tarafta ise imha yöntemini, kayıtlarını ve raporlamasını biz üstleniyoruz. Konunun bütününü KVKK uyum danışmanlığı sayfamızda ele alıyoruz.

Hizmet kapsamı

Envanter ve zincirleme takip

İmha, cihazlar binadan çıkmadan önce başlar. Her cihaz ve depolama birimi; marka, model, seri numarası, kullanıcı ve lokasyon bilgisiyle listelenir. Toplama, taşıma ve imha adımlarında bu liste esas alınır; böylece “hangi disk nerede” sorusunun yanıtı her aşamada bellidir.

Yazılımsal silme (sanitizasyon)

Cihazın yeniden kullanılacağı, satılacağı ya da kiralayana iade edileceği durumlarda veri, depolama birimi bozulmadan silinir. Klasik manyetik disklerde (HDD) tüm sektörlerin üzerine yazılması etkili bir yöntemdir. SSD’lerde ise durum farklıdır: aşınma dengeleme (wear leveling) ve yedek alanlar nedeniyle dosya üzerine yazmak tüm hücrelere ulaşmayabilir. Bu yüzden SSD’lerde üreticinin donanım düzeyindeki güvenli silme (Secure Erase / Sanitize) komutları ya da şifreleme anahtarının yok edildiği kriptografik silme kullanılır. Yöntem seçiminde NIST SP 800-88 rehberindeki Clear, Purge ve Destroy seviyelerini referans alıyoruz.

Fiziksel imha

Arızalı, eski ya da yüksek hassasiyetli veri barındıran medyalar için fiziksel imha uygulanır: disklerin kırılması, parçalanması ya da öğütülmesi. Manyetik disklerde degauss (güçlü manyetik alanla silme) da kullanılabilir; ancak degauss SSD, USB bellek ve hafıza kartları gibi flash tabanlı medyada işe yaramaz. Flash bellekler için parçacık boyutu küçük olan parçalama yöntemleri tercih edilir.

Telefon, tablet ve mobil cihazlar

Güncel akıllı telefonlar varsayılan olarak şifrelidir; doğru yapılan bir sıfırlama, şifreleme anahtarını yok ederek kriptografik silme etkisi yaratır. Yine de cihazın kurumsal hesaplardan ve mobil cihaz yönetiminden çıkarılması, SIM ve hafıza kartlarının ayrıca ele alınması ve işlemin kayıt altına alınması gerekir. Yeniden kullanılmayacak cihazlarda fiziksel imha tercih edilir.

Sunucu, depolama ve yedekleme medyası

Sunucu disklerinde RAID yapısı, depolama ünitelerinde birden çok disk ve yedekleme kartuşlarında yıllara yayılmış arşivler bulunur. Bu medyalar tek tek envantere alınır; RAID dizisindeki her disk ayrı ayrı imha edilir. Bulut ortamındaki verilerin silinmesi ise sağlayıcının silme süreçleri ve şifreleme anahtarı yönetimiyle ele alınır.

İmha tutanağı ve raporu

Her işlemin sonunda; cihaz ve seri numarası listesi, uygulanan yöntem, tarih, yer, işlemi yapan ve teslim alan kişilerin bilgisini içeren bir imha tutanağı düzenlenir. Yazılımsal silmede araçların ürettiği doğrulama kayıtları, fiziksel imhada ise imha öncesi ve sonrası fotoğraf kayıtları rapora eklenebilir. Bu belge, veri imha politikanızın uygulandığının somut kanıtıdır.

Cihaz yenileme süreçlerine entegrasyon

Veri imha, tek seferlik bir temizlik olarak değil, cihaz yaşam döngüsünün son adımı olarak tasarlanmalıdır. Yeni bilgisayar kurulumu, kullanıcı verisinin taşınması, eski cihazın kurumsal hesaplardan çıkarılması ve imhası aynı akışta planlandığında hiçbir cihaz arada kaybolmaz. Bu akışı yönetilen BT hizmetleri kapsamında düzenli bir süreç olarak da işletebiliyoruz.

Hangi durumda hangi yöntem?

Yöntem kararı üç soruya dayanır: medya türü ne, veri ne kadar hassas, cihaz yeniden kullanılacak mı? Kiralayana iade edilecek dizüstü bilgisayarlar için doğrulamalı yazılımsal silme; ikinci el satışa çıkacak telefonlar için hesaplardan çıkarma ve şifreli sıfırlama; arızalı sunucu diskleri, yüksek hassasiyetli arşiv medyası ve USB bellekler için fiziksel imha çoğu zaman en doğru seçimdir. Aynı projede birden fazla yöntemin birlikte kullanılması olağandır; önemli olan her cihazın hangi yöntemle imha edildiğinin kayıtta açıkça görünmesidir.

Süreç adımları

Keşif: İmha edilecek medya türleri, adetleri, veri hassasiyeti ve cihazların yeniden kullanılıp kullanılmayacağı belirlenir.
Yöntem planı: Her medya tipi için yazılımsal silme, kriptografik silme veya fiziksel imha kararı verilir.
Envanter ve teslim: Cihazlar seri numarasıyla listelenir, tutanakla teslim alınır.
İmha: Planlanan yöntem uygulanır; talep halinde işlem kurumunuzda, gözetiminizde yapılır.
Raporlama: İmha tutanağı ve doğrulama kayıtları teslim edilir, arşivlenir.

Neden Pedante ve Racurity?

Veri imha, salt bir donanım işi değil; veri envanteri, saklama politikası, cihaz yönetimi ve güvenlik süreçlerinin kesiştiği yerdir. Pedante Bilişim çatısı altında DLP ve şifreleme, yedekleme, KVKK uyumu ve ISO 27001 danışmanlığı aynı ekipte ele alınır. İmhadan önce taşınması gereken verilerin yedeklenmesinden, imha sonrası raporların uyum dokümantasyonuna eklenmesine kadar tüm adımları tek muhatapla yürütüyoruz.

Sık yapılan hatalar

Diski biçimlendirmeyi ya da bölümleri silmeyi veri imhası sanmak.
SSD’lerde HDD’ler için geliştirilmiş üzerine yazma yöntemini kullanmak.
Degauss işlemini flash tabanlı medyaya uygulamak.
Arızalı diskleri içindeki veriyle birlikte servise ya da üreticiye göndermek.
Yazıcı ve fotokopi makinelerindeki dahili diskleri unutmak.
İmhayı yapıp tutanak ve seri numarası kaydı tutmamak.

İlgili hizmetler

Veri imha politikanızı daha geniş bir güvenlik çerçevesinde ele almak için siber güvenlik hizmetleri ve siber güvenlik sayfalarımıza göz atabilirsiniz. Yöntemlerin teknik ayrıntılarını merak ediyorsanız disk ve SSD veri imha yöntemleri rehberimizi okuyabilirsiniz. Cihaz yenileme projeniz için teklif alabilir ya da ücretsiz ilk görüşme planlayabilirsiniz.

Tüm bilişim hizmetlerimizi görmek için kurumsal BT çözümleri sayfamıza göz atabilirsiniz.

Sık sorulan sorular

Diski biçimlendirmek veriyi silmek için yeterli mi?

Hayır. Biçimlendirme çoğu durumda yalnızca dosya tablosunu sıfırlar; veriler disk üzerinde kalır ve kurtarma yazılımlarıyla geri getirilebilir. Güvenli imha için medya tipine uygun sanitizasyon ya da fiziksel imha gerekir.

SSD’ler neden harddisklerden farklı silinir?

SSD’ler veriyi aşınma dengeleme ile farklı hücrelere dağıtır ve kullanıcıya görünmeyen yedek alanlar barındırır. Bu nedenle dosya üzerine yazmak tüm hücrelere ulaşmayabilir; donanım düzeyinde güvenli silme komutları, kriptografik silme ya da fiziksel imha kullanılmalıdır.

Cihazları tekrar kullanmak istiyoruz, yine de güvenli imha yapılabilir mi?

Evet. Yeniden kullanılacak, satılacak ya da kiralayana iade edilecek cihazlarda depolama birimi bozulmadan yazılımsal silme uygulanır ve sonuç doğrulanarak raporlanır.

İmha tutanağında hangi bilgiler yer alır?

Cihaz ve depolama birimlerinin seri numaraları, uygulanan imha yöntemi, tarih ve yer, işlemi yapan ve teslim alan kişilerin bilgileri yer alır. Talep halinde doğrulama kayıtları ve fotoğraflar da eklenir.

İmha işlemi kurumumuzda yapılabilir mi?

Medya tipine ve adede göre yazılımsal silme ve bazı fiziksel imha işlemleri kurumunuzda, gözetiminizde planlanabilir. Kapsamı keşif görüşmesinde birlikte netleştiriyoruz.

Veri imha KVKK uyumunu tek başına sağlar mı?

Hayır. Veri imha, KVKK kapsamındaki teknik ve idari tedbirlerin yalnızca bir parçasıdır. Saklama ve imha politikası, veri envanteri ve diğer tedbirlerle birlikte ele alınmalıdır; uyum sürecinizi bu bütünlük içinde destekliyoruz.

İletişim

Merkez ofisimiz: Atatürk Mah., Sait Cordan Sk. No:10, 34758 Ataşehir / İstanbul. İstanbul’daki firmalarla yüz yüze, Türkiye genelindeki markalarla online toplantı ve planlı ziyaretlerle çalışıyoruz. 0551 044 08 69 numaralı WhatsApp hattımızdan yazabilir, toplantı planlayabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.