Bu Yazıda
- KVKK Trainingnde Grünmez Boşluk: Teknik Taraf
- Madde 12 Ne Diyor? Teknik Tedbirlerin Hukuki Çerçevesi
- KVKK Teknik Tedbirler: 8 Kritik Alan ve Gerçek Uygulama
- Kurul Kararlarından: Teknik Eksiklikler Cezaya Nasıl Dnüşüyor?
- Teknik KVKK Trainingnde Hedef Kitle Kimdir?
- Secure Fors KVKK Teknik Tedbirler Eğitiminin Kapsamı
- Sık Sorulan Sorular
1. KVKK Trainingnde Grünmez Boşluk: Teknik Taraf
Türkiye’de KVKK eğitim pazarına bakıldığında hâkim bir tablo grülür: Hukuk büroları, consulting firmaları ve avukatlar tarafından verilen eğitimlerde kanun maddeleri, ilgili kişi hakları, aydınlatma metinleri, açık rıza şartları, VERBİS kaydı ve cezai yaptırımlar anlatılır. Bu eğitimlerin büyük çoğunluğu hukuki perspektiften kurgulanmıştır ve hukuki perspektiften mükemmel biçimde yürütülür.
Ancak KVKK uyumunun kritik ikinci ayağı — Madde 12’nin gerektirdiği teknik tedbirler — bu eğitimlerde ya hiç işlenmez ya da “security duvarı kurulmalıdır, log tutulmalıdır, sızma testi yapılmalıdır” gibi maddelerle geçiştirilir.
Bunun nedeni basittir: Teknik tedbirleri gerçek anlamda ğretmek için siber security uzmanlığı gerekir. Bir avukat “erişim kontrolü yapılmalıdır” diyebilir; ama Active Directory’de rol tabanlı erişim matrisinin nasıl kurulacağını, log bütünlüğünün nasıl sağlanacağını veya sızma testinin hangi kapsamda yapılması gerektiğini ğretemez. Bu uzmanlık bilgi güvenliği alanındadır — hukuki alanda değil.
2. Madde 12 Ne Diyor? Teknik Tedbirlerin Hukuki Çerçevesi
KVKK’nın 12. maddesi, veri sorumlularına üç temel yükümlülük getirir: kişisel verilerin hukuka aykırı olarak işlenmesini nlemek, hukuka aykırı erişimi nlemek ve verilerin muhafazasını sağlamak. Bu yükümlülükleri yerine getirmek için “uygun security düzeyini temin etmeye ynelik gerekli her türlü teknik ve idari tedbiri almak” zorunludur.
KVKK Madde 12/1 — Doğrudan Alıntı
“Veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini nlemek, kişisel verilere hukuka aykırı olarak erişilmesini nlemek, kişisel verilerin muhafazasını sağlamak amacıyla uygun security düzeyini temin etmeye ynelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.”
Kurul’un Kişisel Veri Güvenliği Rehberi bu maddeyi somutlaştıran 34’ten fazla teknik tedbir tanımlamaktadır. Bunlar artık muğlak tavsiyeler değil; Kurul’un ihlal sonrası incelemelerinde kontrol ettiği somut gereksinimlerdir.
Kritik Nokta: Kurul, ihlal sonrası incelemelerde kurumun “iyi niyetini” veya “bütçe kısıtlarını” değil, “teknolojinin ulaştığı seviye”ye gre alınmış somut nlemleri baz alır. Bugün standart kabul edilen kontrollerin eksikliği — MFA yokluğu, düzensiz log ynetimi, yıllarca yapılmamış sızma testi — doğrudan ağır kusur olarak değerlendirilmektedir.
3. KVKK Teknik Tedbirler: 8 Kritik Alan ve Gerçek Uygulama
Her alan için hem kanunun ne dediğini hem de BT ekiplerinin bunu pratikte nasıl karşılayacağını ele alıyoruz:
4. Kurul Kararlarından: Teknik Eksiklikler Cezaya Nasıl Dnüşüyor?
Kişisel Verileri Koruma Kurulu’nun açıkladığı karar gerekçeleri incelendiğinde, yaptırımların büyük çoğunluğunun teknik tedbirlerin eksikliğinden kaynaklandığı grülmektedir. İşte Kurul’un teknik boyutta en sık tespit ettiği ağır kusurlar:
!
MFA eksikliği → Uzaktan erişimde hesap ele geçirilmesi
VPN veya uzaktan masaüstü sistemlerinde tek faktrlü kimlik doğrulama kullanımı, “teknolojik imkânların kullanılmaması” olarak nitelendirilmektedir. Kurul bu durumu ağır kusur kabul etmektedir.
!
Güncel olmayan yazılım ve yamasız sistemler
Bilinen bir CVE security açığının kapatılmadan bırakılması ve bu açıktan kaynaklanan sızma, veri sorumlusunun ihmali olarak doğrudan cezaya yol açmaktadır.
!
API ve web servislerinde yetkisiz veri erişimi
Açık portlar veya kimlik doğrulaması olmayan API uç noktaları üzerinden kişisel veri çekilmesi, uygulama güvenliği tedbirlerinin yetersizliğine kanıt sayılmaktadır.
!
Sızma testi yapılmamış veya raporlanmamış sistemler
Yıllarca sızma testi yapılmamış ya da yapılmış ama bulgular kapatılmamış sistemler, ihlal sonrasında güçlü bir hukuki sorumluluğa yol açmaktadır.
!
Test ortamında gerçek kişisel veri kullanımı
Yazılım geliştirme veya test ortamlarında gerçek müşteri verilerinin kullanılması, Kurul tarafından teknik tedbirlerin ağır ihlali olarak değerlendirilmektedir.
!
72 saatlik bildirimi karşılayamayan log altyapısı
Bildirim yapılamamasının en sık teknik nedeni: sistemin log altyapısının ihlali zamanında tespit edecek yeterlilikte olmaması. Bu hem ihlal yükümlülüğü hem de teknik tedbir eksikliği olarak çift sorumluluk doğurmaktadır.
5. Teknik KVKK Trainingnde Hedef Kitle Kimdir?
Hukuki KVKK eğitiminin hedef kitlesi genellikle genel employeelardır. Teknik KVKK eğitimi ise kurumda teknik tedbirlerin uygulanmasından sorumlu kişilere yneliktir:
BT Yneticileri ve Sistem Sorumluları
Güvenlik duvarı, erişim kontrolü, yedekleme ve sistem güvenliğini doğrudan yneten kişiler. Kanunun gerektirdiği teknik altyapının kurulumundan sorumludur.
Eğitimde ğrenecekleri
- KVKK uyumlu erişim matrisi nasıl kurulur?
- Log altyapısı nasıl yapılandırılır?
- Yedekleme politikası nasıl tasarlanır?
Bilgi Güvenliği ve BGYS Sorumluları
ISO 27001 ve KVKK’nın teknik kontrollerini entegre ynetmekle grevli kişiler. Sızma testi sürecini koordine eder, zafiyet ynetimini yürütür.
Eğitimde ğrenecekleri
- Kurul kararları hangi kontrolleri zorunlu kılıyor?
- Sızma testi KVKK kanıtı olarak nasıl kullanılır?
- ISO 27001 ile KVKK teknik tedbirleri rtüşür mü?
Veri Koruma Sorumluları (DPO) ve Uyum Ekipleri
Teknik ekiple hukuki yükümlülükler arasında kprü kuran kişiler. Kurul incelemeleri için kanıt toplamakla sorumludur.
Eğitimde ğrenecekleri
- Teknik tedbirlerin uygulandığına dair kanıt paketi nasıl hazırlanır?
- BT ekibinden doğru soruları nasıl sorarım?
- 72 saatlik bildirim teknik sürecini nasıl ynetirim?
6. Secure Fors KVKK Teknik Tedbirler Eğitiminin Kapsamı
Eğitimimiz, KVKK’nın teknik boyutunu sadece anlatmaz — kurumunuzun mevcut durumuna gre nasıl uygulanacağını ğretir. Teorik içerik ile sahadan rnekler birlikte işlenir:
Eğitim Müfredatı
Modül 1
KVKK Madde 12 ve Teknik Tedbirlerin Hukuki Çerçevesi
Kanun ne gerektiriyor, Kurul ne bekliyor, “uygun security düzeyi” ne anlama geliyor. Emsal Kurul kararları ile gerçek rnekler.
Modül 2
Erişim Controlü ve Kimlik Ynetimi
RBAC, en az yetki ilkesi, MFA zorunluluğu, PAM. Kurumunuzun mevcut erişim yapısını KVKK perspektifinden nasıl değerlendirirsiniz?
Modül 3
Log Ynetimi, SIEM ve İzleme
Kurul’un aradığı log bütünlüğü ve iz kaydı standartları. SIEM alarmlarından ihlal tespitine süreç. 72 saatlik bildirim için teknik altyapı gereksinimleri.
Modül 4
Şifreleme, Veri Maskeleme ve Anonimleştirme
Transit ve rest şifreleme standartları. Anahtar ynetimi. Test ortamı için veri maskeleme uygulamaları. Anonimleştirme ile pseudonymisation farkı.
Modül 5
Penetration Testing, Vulnerability Scanning ve Yama Ynetimi
KVKK kapsamında pentest kapsamının doğru belirlenmesi. Zafiyet ynetim dngüsü. Sızma testi raporunun Kurul incelemelerindeki hukuki değeri.
Modül 6
Veri İhlali Müdahalesi ve Kurul’a Bildirim
İhlal tespit → sınıflandırma → müdahale → 72 saatlik bildirim akışı. Olay müdahale planının teknik bileşenleri. Delil koruma ve adli bilişim temelleri.
◎
Yerinde veya Uzaktan
Kurumunuza zel kapalı sınıf formatı. Kendi sistemleriniz üzerinden gerçek senaryolarla çalışma imkânı.
●
Özelleştirilebilir Kapsam
Sektr ve kuruma zgü senaryolar. Finans, sağlık, üretim veya teknoloji firmalarına zel vakalar ile rnekler.
■
Katılım Belgesi
Eğitim katılımını belgeleyen sertifika. Kurul incelemelerinde “employee eğitimi” idari tedbirinin kanıtı olarak kullanılabilir.
7. Sık Sorulan Sorular
KVKK eğitimi almak yasal zorunluluk mu?
KVKK Madde 12 kapsamında employeelara ynelik veri güvenliği eğitimi “idari tedbir” olarak tanımlanmıştır. Bu nedenle eğitim verilmemiş olması, Kurul incelemelerinde teknik ve idari tedbirlerin alınmadığının gstergesi sayılabilir. Eğitim zorunluluğu doğrudan bir madde ile düzenlenmemiş olsa da Kurul kararlarında eğitim eksikliği ağırlaştırıcı unsur olarak değerlendirilmektedir.
Bu eğitim, hukuk firmasından alınan KVKK eğitiminin yerine mi geçiyor?
No, tamamlayıcıdır. Hukuki KVKK eğitimi kanun kapsamını, hakları ve yaptırımları anlatır; bu alanda gerekliliğini korumaktadır. Secure Fors’un teknik tedbirler eğitimi ise Madde 12’nin BT altyapısı üzerindeki somut gereksinimlerini ğretir. İdeal KVKK uyum eğitim programı her iki perspektifi içermelidir.
Eğitimden sonra kurumun teknik tedbirler uyumu sağlanmış sayılır mı?
No; eğitim bir başlangıç noktası ve farkındalık adımıdır. Teknik tedbirlerin uygulanmış olması için altyapı değişikliklerinin gerçekleştirilmesi gerekir. Eğitim sonrasında kurumun mevcut durumunu değerlendirmek isterseniz KVKK teknik tedbir GAP analizi hizmetimizden yararlanabilirsiniz.
ISO 27001 sertifikamız varsa bu eğitime ihtiyacımız var mı?
ISO 27001 ile KVKK teknik tedbirleri büyük lçüde rtüşür; ancak zdeş değildir. KVKK Türkiye’ye zgü hukuki gereksinimler ve Kurul kararları gibi boyutlar içerir. ISO 27001 sertifikanız teknik kontrollerin temelini sağlarken, KVKK’nın spesifik gereksinimleri (kişisel veri sınıflandırması, 72 saatlik bildirim, test ortamı politikası) ayrıca değerlendirilmelidir.
Eğitim süresi ne kadardır ve kaç kişi katılabilir?
Standart program 1 tam gün (8 saat); derinlemesine uygulama atlyeleriyle birlikte 2 güne uzatılabilir. Katılımcı sayısı 5-25 kişi arasında verimli bir şekilde yürütülmektedir. Farklı ihtiyaçlar için modüler yapı oluşturulabilir: yalnızca log ynetimi veya yalnızca sızma testi kapsamı gibi odaklı yarım günlük oturumlar da planlanabilir.
