Veri İhlali Bildirimi Nasıl Yapılır, Küçük İşletme İçin 72 Saat

Salı sabahı bir müşteri arıyor: "Benim adımı, telefonumu ve randevu notumu yazıp bana para isteyen bir mesaj geldi." Bir saat sonra ikinci müşteri aynı şeyi söylüyor. Küçük bir işletmede bu an çoğu zaman paniğe yol açar. Oysa yasal süre saatle işler: KVKK Kurulu'nun 2019/10 sayılı kararına göre veri sorumlusu, ihlali öğrendikten sonra gecikmeksizin ve en geç 72 saat içinde Kurula bildirimde bulunmalıdır. Aşağıda bu 72 saati nasıl kullanacağınızı ve formda neleri hazırlamanız gerektiğini anlattık.

Bu yazı küçük işletme siber güvenlik rehberimizin beşinci bölümü. Önceki bölümde WordPress eklenti güvenliğini anlattık. Burada anlatılanlar genel bilgidir, hukuki danışmanlık değildir. Bir ihlal şüphesi yaşadığınızda ilk saatlerde bir hukuk danışmanıyla görüşün. Bildirim kanalları ve form zaman içinde değişebilir, güncel hâlini kvkk.gov.tr üzerinden kontrol edin.

Her şey ihlal mi: önce olayı adlandırın

Bildirim kılavuzu ihlalin etkisini üç başlıkta soruyor: gizlilik (veri yetkisiz kişilere geçti mi), bütünlük (veri değiştirildi ya da bozuldu mu), erişim (veriye ulaşılamıyor mu). Dükkânda yaşanan bir olayı değerlendirirken de bu üç soruyu sormak işe yarar.

Olay örneği	Olası etki	İlk soru
Müşteri listesi tablosu yanlış WhatsApp grubuna gitti	Gizlilik	Kaç kişi gördü, silindi mi?
Randevu paneline eski çalışan girip kayıt indirdi	Gizlilik	Erişim kaydı var mı, ne indirildi?
Fidye yazılımı bilgisayardaki dosyaları şifreledi	Erişim, belki de gizlilik	Dosyalar dışarı da alındı mı?
Kasa bilgisayarı ya da servis defteri çalındı	Gizlilik, erişim	Şifreli miydi, içinde ne vardı?
Site formu kayıtları internette açık kaldı	Gizlilik	Ne kadar süre açık kaldı?
E-posta hesabı ele geçirildi	Gizlilik, belki de bütünlük	Hangi yazışma ve ekler vardı?

Bir olayın bildirim gerektirip gerektirmediği hukuki bir değerlendirmedir. Tablo karar vermenize değil, doğru soruları sormanıza yardım eder. Emin olamadığınızda kendi kendinize "bir şey olmamıştır" deyip geçmeyin.

72 saatin planı

Süre, ihlali öğrendiğiniz andan itibaren işler; kılavuz da tespit tarihini ihlalden ilk haberdar olunan tarih olarak tanımlıyor. Aşağıdaki plan yasal bir takvim değil, bizim önerimizdir:

İlk saat: durdurun ve yazın

• Fark edilen saati, kimin fark ettiğini ve neyin görüldüğünü yazın. Bu kayıt daha sonra formdaki tespit bilgisinin temeli olur.
• Sızıntıyı durdurun: paylaşım bağlantısını kapatın, parolayı temiz cihazdan değiştirin, oturumları sonlandırın, şüpheli bilgisayarı ağdan çıkarın.
• Kanıtları silmeyin: ekran görüntülerini, gelen mesajları, kayıt dosyalarını saklayın. Fidye mesajına kendi başınıza yanıt vermeyin.
• Bakım firmanızı ve hukuk danışmanınızı arayın. Olayı bu andan itibaren tek bir kişi yönetsin.

İlk gün: kapsamı çıkarın

• Hangi sistem etkilendi? Hangi veri orada duruyordu?
• İhlal ne zaman başladı, bitti mi? Kılavuz başlangıç, bitiş ve tespit tarihini ayrı ayrı soruyor.
• Olay, randevu yazılımı ya da SMS firması gibi hizmet aldığınız bir veri işleyende yaşandıysa firmanın size ne zaman ve nasıl haber verdiğini belgeleyin. Kılavuz bu belgelerin eklenmesini istiyor.
• Etkilenen kişi ve kayıt sayısını çıkarın ya da neden çıkaramadığınızı yazın.

İkinci gün: taslağı hazırlayın

• Formun alanlarını aşağıdaki listeye göre doldurun.
• Alınan ve alınacak önlemleri yazın.
• Müşteriye gidecek metni hukuk danışmanınızla netleştirin.
• Polise ya da savcılığa başvurup başvurmayacağınıza karar verin; kılavuz bu kurumlara bilgi verilip verilmediğini de soruyor.

Üçüncü gün: bildirin, takibi kurun

• Bildirimi gönderin, güvenlik kodunu ya da takip numarasını saklayın. Kılavuz, bildirimi sorgulamak ve güncellemek için bu kodun çok önemli olduğunu belirtiyor.
• Sonradan ortaya çıkan bilgileri bildirime kimin ekleyeceğini belirleyin.
• Süre 72 saati aşacaksa nedenini yazılı olarak hazırlayın. Kurul kararı, haklı bir gerekçeyle geciken bildirimde nedenlerin bildirimle birlikte açıklanmasını istiyor.

Formda istenecek bilgiler

KVKK'nın form kılavuzuna göre bildirim altı başlıkta toplanıyor: hakkınızda, ihlal hakkında, bildirim, olası sonuçlar, önlemler ve ekler. Olay anında bu bilgileri aramakla vakit kaybetmemek için şimdiden bir kopya hazırlayın:

Bölüm	Hazırlayacağınız
Hakkınızda	Veri sorumlusunun unvanı ya da adı, adresi ve bildirimi hazırlayan kişi. Bildirimi avukat ya da danışman yapıyorsa vekaletname veya sözleşme
İhlal tarihleri	Başlama, sona erme, tespit tarihi ve varsa veri işleyenin bildirim tarihi
Kaynak ve nasıl oldu	Ne olduğunun ayrıntılı anlatımı. Örneğin zararlı yazılımsa ne olduğu, nasıl bulaştığı, hangi sistemleri etkilediği
Etki	Gizlilik, bütünlük ya da erişim etkisi ve açıklaması
Veri kategorileri	Kimlik, iletişim ve diğer kategoriler; özel nitelikli veri varsa ayrıca belirtilir
Kişi ve kayıt sayısı	Sayılar, tespit edilemiyorsa nedeni
Etkilenen gruplar ve kişilere etkisi	Müşteri, çalışan, tedarikçi gibi gruplar
Bildirim	72 saat aşıldıysa nedeni; kişilere bildirim yapılıp yapılmadığı, yöntemi ve örneği; bilgi alınacak iletişim kanalı
Kurum bildirimi	Yargı ve kolluk gibi kurumlara bilgi verildiyse belgesi
Ekler	E-posta, fotoğraf, yazışma, bildirim örnekleri

Kişi ve kayıt sayısı nasıl hesaplanır

Formun en çok karıştırılan alanı budur. Kılavuzun örneği açıktır: 10 kişinin T.C. kimlik numarası ve adresi etkilenmişse kişi sayısı 10, kayıt sayısı 20 olur. Aynı mantığı bir dükkâna uygulayalım:

Liste	Kişi	Etkilenen alan	Kayıt
Randevu tablosu	300	Ad, telefon, işlem notu (3 alan)	900
Fatura listesi	40	Ad, T.C. kimlik no, adres (3 alan)	120
Aynı kişi iki listede	20 kişi iki listede de var	Kişi bir kez sayılır	Alanlar ayrı ayrı sayılır

Bu kurgusal örnekte kişi sayısı 300 + 40 - 20 = 320 olur. İki listede de geçen kişilerde aynı alanın kayıt sayısına iki kez girip girmeyeceğini danışmanınıza sorun. Asıl önemli nokta şu: müşteri listeniz düzensizse bu hesabı 72 saatte yapamazsınız. Bu yüzden veri envanteri ve kayıt düzeni olaydan önce kurulmalıdır.

Bildirimi nereden yapacaksınız

Kılavuza göre internet formuna kvkk.gov.tr'deki ihlal bildirimi bölümünden ulaşılıyor; formun PDF hâli de var. KVKK'nın 18 Mart 2020 tarihli duyurusu ihlalbildirim.kvkk.gov.tr modülünü ve [email protected] adresini gösteriyor. Duyuru eski olduğu için kanalları kurumun sitesinden doğrulayın. Bildirim sırasında ekrana çıkan güvenlik kodunu kaydedin. Kodu kaybederseniz kılavuz [email protected] adresine yazmanızı söylüyor.

Müşteriye ne yazmalı

Kurul kararına göre etkilenen kişiler belirlendikten sonra makul olan en kısa sürede bilgilendirilmelidir: kişiye ulaşılabiliyorsa doğrudan, ulaşılamıyorsa işletmenin web sitesi gibi uygun bir yolla. Kılavuz e-posta, mektup ve SMS gibi yöntemleri örnek veriyor. Aşağıdaki taslağı başlangıç olarak kullanabilir, son hâlini danışmanınızla verebilirsiniz:

Merhaba, [tarih] tarihinde işletmemizin [sistem adı] sisteminde bir güvenlik olayı tespit ettik. Adınız, telefon numaranız ve [varsa diğer veri] bu olaydan etkilenmiş olabilir. [Yapılan önlem]. Sizden ödeme, şifre ya da kod istemeyiz. Bizden geliyor gibi görünen şüpheli bir mesaj alırsanız bağlantıya basmayın ve bize [telefon] numarasından ulaşın. Sorularınız için: [e-posta veya sayfa].

Metinde üç şey bulunsun: ne olduğu, müşterinin ne yapması gerektiği ve nasıl bilgi alacağı. Olayı küçültmeye çalışan "önemli bir sorun yok" gibi cümlelerden kaçının. Kesinleşmemiş bilgiyi kesinmiş gibi de yazmayın. Telefonla arayanlara herkesin aynı bilgiyi vermesi için çalışanlarınıza kısa bir not hazırlayın. Bu mesaja kampanya ya da tanıtım eklemeyin.

Sık yapılan altı hata

• Süreyi araştırma bitince başlatmak. Süre ihlali ilk öğrendiğiniz anda başlar. Araştırmanın bitmesini beklerseniz süre tükenir.
• Kanıtı temizlemek. Her şeyi apar topar silerseniz ne olduğunu sonradan anlatamazsınız.
• Firmanın halletmesini beklemek. Olay hizmet aldığınız firmada yaşansa bile müşteri verisinden sorumlu olan siz olabilirsiniz. Bunu sözleşmenizden kontrol edin.
• Sessiz kalmak. Saldırgan müşterilerinize mesaj atıyorsa, uyarı geciktikçe zarar büyür.
• Kayıt tutmamak. Kurul kararı ihlalin bilgilerini, etkilerini ve alınan önlemleri kayıt altına alıp incelemeye hazır tutmayı istiyor. Olay küçük olsa bile kayda geçirin.
• Aynı parolayla devam etmek. Olay kapandı sanılırken saldırgan aynı açıktan yeniden girebilir.

Olay olmadan önce: bir saatlik hazırlık

1. Bu yazıdaki form tablosunu yazdırın, işletme adı ve adres gibi sabit bilgileri şimdiden doldurun.
2. Hangi sistemde hangi müşteri verisi durduğunu hesap envanterinize ekleyin.
3. Kullandığınız hizmet firmalarına güvenlik olayında size nasıl ve ne kadar sürede haber vereceklerini sorun.
4. Hukuk danışmanı, bakım firması ve hosting firmasının numaralarını kâğıda yazın.
5. Müşteri bildirim taslağını kendi işletmenize göre hazırlayın.
6. İhtiyacınız olmayan eski müşteri listelerini usulüne uygun temizleyin. Elinizde olmayan veri sızmaz.

Site formlarının, kayıtların ve sunucunun düzenli kontrolü için bakım ve güvenlik hizmetimize bakabilirsiniz. Site tarafındaki yükümlülükleri KVKK uyumlu web sitesi yazımızda anlattık. Sitenizin veri düzenini birlikte gözden geçirmek için Teklif Al sayfasından bize yazın.

Kaynaklar

• KVKK Kurul Kararı 2019/10: Kişisel Veri İhlali Bildirim Usul ve Esasları (Alomaliye)
• KVKK Kişisel Veri İhlali Bildirim Formu Kılavuzu (Bilecik Üniversitesi kopyası)
• KVKK Kamuoyu Duyurusu, 18 Mart 2020: Bildirim kanalları

Sık sorulan sorular

Yorumlar

Henüz yorum yok. Sorunuzu ya da deneyiminizi yazın; yazar olarak yanıtlıyoruz.

Yorum yazın

AdınızE-posta (yayınlanmaz, isteğe bağlı)

Yorumunuz Web Aydınlatma metnini okudum. Yorumum onaylandıktan sonra adımla birlikte yayınlanabilir.

Yorumu gönder