KVKK uyumu için teknik kontrol listesi

Aydınlatma metni yayınlamak uyumun yalnızca görünen kısmı. Denetimlerde sorulan sorular çoğunlukla teknik: veriler nerede tutuluyor, kim erişiyor, log kayıtları ne kadar saklanıyor?

Bu yazı teknik bir kontrol listesidir; hukuki danışmanlık yerine geçmez. Hukuki yükümlülükleriniz için uzman bir hukukçuya danışın.

1. Erişim Yönetimi

İlk kontrol erişim yönetimi. Üretim veritabanına erişimi olan kişi sayısı beklenenden hep fazla çıkıyor. Rol bazlı erişim ve erişim kayıtları zorunlu.

• Her kişi için ayrı hesap kullanın; paylaşılan yönetici şifresi bırakmayın.
• Ayrılan çalışan ve eski ajans erişimlerini kapatın.
• Yönetici paneli ve veritabanı için iki adımlı doğrulama açın.

2. Şifreleme

İkinci başlık şifreleme. Aktarımda TLS herkeste var; ancak yedeklerin şifrelenmesi sıkça atlanıyor.

• Sitenin tamamı HTTPS üzerinden sunulmalı.
• Yedek dosyaları şifreli saklanmalı ve erişimi sınırlı olmalı.
• Şifreler düz metin değil, güncel algoritmalarla özetlenmiş (hash) biçimde tutulmalı.

3. Saklama Süreleri

Üçüncüsü saklama süreleri. Gereğinden uzun tutulan veri, en kolay kapatılabilecek risk. Otomatik silme kurallarını baştan tanımlamak en pratik çözüm.

• Form başvuruları, sipariş ve log kayıtları için saklama süresini yazılı hâle getirin.
• Süresi dolan kayıtlar için otomatik silme ya da anonimleştirme kurun.

4. Log ve İzleme

Kim, ne zaman, hangi veriye eriştiğini gösteren kayıtlar, bir olay sonrası neyin yaşandığını anlamanın tek yoludur. Kayıtların kendisinde de gereğinden fazla kişisel veri tutulmamasına dikkat edin.

5. Üçüncü Taraf Hizmetler

Analitik, reklam pikseli, canlı destek, e-posta ve form araçları ziyaretçi verisini dışarıya taşır. Hangi hizmetin hangi veriyi aldığını listeleyin, kullanılmayanları kaldırın ve çerez izin yönetimini bu listeyle uyumlu tutun.

6. Veri İhlaline Hazırlık

Bir ihlal olduğunda kimin, kime, nasıl haber vereceği önceden belli olmalı. KVKK’ya göre ihlalin fark edildiği andan itibaren en geç 72 saat içinde Kurul’a bildirim yapılması gerekir; bu süre içinde neyin, ne kadar veriyi etkilediğini söyleyebilmek için log ve yedeklerin hazır olması şart.

Hızlı Kontrol Listesi

• Kimin hangi veriye erişebildiği listelenmiş mi?
• İki adımlı doğrulama açık mı?
• Yedekler şifreli mi?
• Saklama süreleri tanımlı ve uygulanıyor mu?
• Kullanılan üçüncü taraf hizmetlerin listesi güncel mi?
• Veri ihlali senaryosu ve sorumlu kişiler belli mi?

İlgili Rehberler

Yapay zekâ araçlarına müşteri verisi yüklemeden önce KOBİ’ler için yapay zekâ rehberindeki veri güvenliği bölümüne, ödeme ve üyelik akışları için sepet terk oranı yazımıza bakabilirsiniz. Yapay zekâ asistanlarında yetkilendirme konusu maliyet yazımızda da ele alınıyor.

EHY SOFT Bu Süreçte Nasıl Destek Oluyor?

Ekibimiz sitenizin ve uygulamanızın teknik tarafını bu liste üzerinden inceleyebilir. Siber güvenlik ve hosting hizmet sayfalarımıza bakabilir, iletişim sayfamızdan bize ulaşabilirsiniz.