Bu Yazıda
- KVKK Eğitiminde Görünmez Boşluk: Teknik Taraf
- Madde 12 Ne Diyor? Teknik Tedbirlerin Hukuki Çerçevesi
- KVKK Teknik Tedbirler: 8 Kritik Alan ve Gerçek Uygulama
- Kurul Kararlarından: Teknik Eksiklikler Cezaya Nasıl Dönüşüyor?
- Teknik KVKK Eğitiminde Hedef Kitle Kimdir?
- Secure Fors KVKK Teknik Tedbirler Eğitiminin Kapsamı
- Sık Sorulan Sorular
1. KVKK Eğitiminde Görünmez Boşluk: Teknik Taraf
Türkiye’de KVKK eğitim pazarına bakıldığında hâkim bir tablo görülür: Hukuk büroları, danışmanlık firmaları ve avukatlar tarafından verilen eğitimlerde kanun maddeleri, ilgili kişi hakları, aydınlatma metinleri, açık rıza şartları, VERBİS kaydı ve cezai yaptırımlar anlatılır. Bu eğitimlerin büyük çoğunluğu hukuki perspektiften kurgulanmıştır ve hukuki perspektiften mükemmel biçimde yürütülür.
Ancak KVKK uyumunun kritik ikinci ayağı — Madde 12’nin gerektirdiği teknik tedbirler — bu eğitimlerde ya hiç işlenmez ya da “güvenlik duvarı kurulmalıdır, log tutulmalıdır, sızma testi yapılmalıdır” gibi maddelerle geçiştirilir.
Bunun nedeni basittir: Teknik tedbirleri gerçek anlamda öğretmek için siber güvenlik uzmanlığı gerekir. Bir avukat “erişim kontrolü yapılmalıdır” diyebilir; ama Active Directory’de rol tabanlı erişim matrisinin nasıl kurulacağını, log bütünlüğünün nasıl sağlanacağını veya sızma testinin hangi kapsamda yapılması gerektiğini öğretemez. Bu uzmanlık bilgi güvenliği alanındadır — hukuki alanda değil.
2. Madde 12 Ne Diyor? Teknik Tedbirlerin Hukuki Çerçevesi
KVKK’nın 12. maddesi, veri sorumlularına üç temel yükümlülük getirir: kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, hukuka aykırı erişimi önlemek ve verilerin muhafazasını sağlamak. Bu yükümlülükleri yerine getirmek için “uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak” zorunludur.
KVKK Madde 12/1 — Doğrudan Alıntı
“Veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek, kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.”
Kurul’un Kişisel Veri Güvenliği Rehberi bu maddeyi somutlaştıran 34’ten fazla teknik tedbir tanımlamaktadır. Bunlar artık muğlak tavsiyeler değil; Kurul’un ihlal sonrası incelemelerinde kontrol ettiği somut gereksinimlerdir.
Kritik Nokta: Kurul, ihlal sonrası incelemelerde kurumun “iyi niyetini” veya “bütçe kısıtlarını” değil, “teknolojinin ulaştığı seviye”ye göre alınmış somut önlemleri baz alır. Bugün standart kabul edilen kontrollerin eksikliği — MFA yokluğu, düzensiz log yönetimi, yıllarca yapılmamış sızma testi — doğrudan ağır kusur olarak değerlendirilmektedir.
3. KVKK Teknik Tedbirler: 8 Kritik Alan ve Gerçek Uygulama
Her alan için hem kanunun ne dediğini hem de BT ekiplerinin bunu pratikte nasıl karşılayacağını ele alıyoruz:
4. Kurul Kararlarından: Teknik Eksiklikler Cezaya Nasıl Dönüşüyor?
Kişisel Verileri Koruma Kurulu’nun açıkladığı karar gerekçeleri incelendiğinde, yaptırımların büyük çoğunluğunun teknik tedbirlerin eksikliğinden kaynaklandığı görülmektedir. İşte Kurul’un teknik boyutta en sık tespit ettiği ağır kusurlar:
!
MFA eksikliği → Uzaktan erişimde hesap ele geçirilmesi
VPN veya uzaktan masaüstü sistemlerinde tek faktörlü kimlik doğrulama kullanımı, “teknolojik imkânların kullanılmaması” olarak nitelendirilmektedir. Kurul bu durumu ağır kusur kabul etmektedir.
!
Güncel olmayan yazılım ve yamasız sistemler
Bilinen bir CVE güvenlik açığının kapatılmadan bırakılması ve bu açıktan kaynaklanan sızma, veri sorumlusunun ihmali olarak doğrudan cezaya yol açmaktadır.
!
API ve web servislerinde yetkisiz veri erişimi
Açık portlar veya kimlik doğrulaması olmayan API uç noktaları üzerinden kişisel veri çekilmesi, uygulama güvenliği tedbirlerinin yetersizliğine kanıt sayılmaktadır.
!
Sızma testi yapılmamış veya raporlanmamış sistemler
Yıllarca sızma testi yapılmamış ya da yapılmış ama bulgular kapatılmamış sistemler, ihlal sonrasında güçlü bir hukuki sorumluluğa yol açmaktadır.
!
Test ortamında gerçek kişisel veri kullanımı
Yazılım geliştirme veya test ortamlarında gerçek müşteri verilerinin kullanılması, Kurul tarafından teknik tedbirlerin ağır ihlali olarak değerlendirilmektedir.
!
72 saatlik bildirimi karşılayamayan log altyapısı
Bildirim yapılamamasının en sık teknik nedeni: sistemin log altyapısının ihlali zamanında tespit edecek yeterlilikte olmaması. Bu hem ihlal yükümlülüğü hem de teknik tedbir eksikliği olarak çift sorumluluk doğurmaktadır.
5. Teknik KVKK Eğitiminde Hedef Kitle Kimdir?
Hukuki KVKK eğitiminin hedef kitlesi genellikle genel çalışanlardır. Teknik KVKK eğitimi ise kurumda teknik tedbirlerin uygulanmasından sorumlu kişilere yöneliktir:
BT Yöneticileri ve Sistem Sorumluları
Güvenlik duvarı, erişim kontrolü, yedekleme ve sistem güvenliğini doğrudan yöneten kişiler. Kanunun gerektirdiği teknik altyapının kurulumundan sorumludur.
Eğitimde öğrenecekleri
- KVKK uyumlu erişim matrisi nasıl kurulur?
- Log altyapısı nasıl yapılandırılır?
- Yedekleme politikası nasıl tasarlanır?
Bilgi Güvenliği ve BGYS Sorumluları
ISO 27001 ve KVKK’nın teknik kontrollerini entegre yönetmekle görevli kişiler. Sızma testi sürecini koordine eder, zafiyet yönetimini yürütür.
Eğitimde öğrenecekleri
- Kurul kararları hangi kontrolleri zorunlu kılıyor?
- Sızma testi KVKK kanıtı olarak nasıl kullanılır?
- ISO 27001 ile KVKK teknik tedbirleri örtüşür mü?
Veri Koruma Sorumluları (DPO) ve Uyum Ekipleri
Teknik ekiple hukuki yükümlülükler arasında köprü kuran kişiler. Kurul incelemeleri için kanıt toplamakla sorumludur.
Eğitimde öğrenecekleri
- Teknik tedbirlerin uygulandığına dair kanıt paketi nasıl hazırlanır?
- BT ekibinden doğru soruları nasıl sorarım?
- 72 saatlik bildirim teknik sürecini nasıl yönetirim?
6. Secure Fors KVKK Teknik Tedbirler Eğitiminin Kapsamı
Eğitimimiz, KVKK’nın teknik boyutunu sadece anlatmaz — kurumunuzun mevcut durumuna göre nasıl uygulanacağını öğretir. Teorik içerik ile sahadan örnekler birlikte işlenir:
Eğitim Müfredatı
Modül 1
KVKK Madde 12 ve Teknik Tedbirlerin Hukuki Çerçevesi
Kanun ne gerektiriyor, Kurul ne bekliyor, “uygun güvenlik düzeyi” ne anlama geliyor. Emsal Kurul kararları ile gerçek örnekler.
Modül 2
Erişim Kontrolü ve Kimlik Yönetimi
RBAC, en az yetki ilkesi, MFA zorunluluğu, PAM. Kurumunuzun mevcut erişim yapısını KVKK perspektifinden nasıl değerlendirirsiniz?
Modül 3
Log Yönetimi, SIEM ve İzleme
Kurul’un aradığı log bütünlüğü ve iz kaydı standartları. SIEM alarmlarından ihlal tespitine süreç. 72 saatlik bildirim için teknik altyapı gereksinimleri.
Modül 4
Şifreleme, Veri Maskeleme ve Anonimleştirme
Transit ve rest şifreleme standartları. Anahtar yönetimi. Test ortamı için veri maskeleme uygulamaları. Anonimleştirme ile pseudonymisation farkı.
Modül 5
Sızma Testi, Zafiyet Tarama ve Yama Yönetimi
KVKK kapsamında pentest kapsamının doğru belirlenmesi. Zafiyet yönetim döngüsü. Sızma testi raporunun Kurul incelemelerindeki hukuki değeri.
Modül 6
Veri İhlali Müdahalesi ve Kurul’a Bildirim
İhlal tespit → sınıflandırma → müdahale → 72 saatlik bildirim akışı. Olay müdahale planının teknik bileşenleri. Delil koruma ve adli bilişim temelleri.
◎
Yerinde veya Uzaktan
Kurumunuza özel kapalı sınıf formatı. Kendi sistemleriniz üzerinden gerçek senaryolarla çalışma imkânı.
●
Özelleştirilebilir Kapsam
Sektör ve kuruma özgü senaryolar. Finans, sağlık, üretim veya teknoloji firmalarına özel vakalar ile örnekler.
■
Katılım Belgesi
Eğitim katılımını belgeleyen sertifika. Kurul incelemelerinde “çalışan eğitimi” idari tedbirinin kanıtı olarak kullanılabilir.
7. Sık Sorulan Sorular
KVKK eğitimi almak yasal zorunluluk mu?
KVKK Madde 12 kapsamında çalışanlara yönelik veri güvenliği eğitimi “idari tedbir” olarak tanımlanmıştır. Bu nedenle eğitim verilmemiş olması, Kurul incelemelerinde teknik ve idari tedbirlerin alınmadığının göstergesi sayılabilir. Eğitim zorunluluğu doğrudan bir madde ile düzenlenmemiş olsa da Kurul kararlarında eğitim eksikliği ağırlaştırıcı unsur olarak değerlendirilmektedir.
Bu eğitim, hukuk firmasından alınan KVKK eğitiminin yerine mi geçiyor?
Hayır, tamamlayıcıdır. Hukuki KVKK eğitimi kanun kapsamını, hakları ve yaptırımları anlatır; bu alanda gerekliliğini korumaktadır. Secure Fors’un teknik tedbirler eğitimi ise Madde 12’nin BT altyapısı üzerindeki somut gereksinimlerini öğretir. İdeal KVKK uyum eğitim programı her iki perspektifi içermelidir.
Eğitimden sonra kurumun teknik tedbirler uyumu sağlanmış sayılır mı?
Hayır; eğitim bir başlangıç noktası ve farkındalık adımıdır. Teknik tedbirlerin uygulanmış olması için altyapı değişikliklerinin gerçekleştirilmesi gerekir. Eğitim sonrasında kurumun mevcut durumunu değerlendirmek isterseniz KVKK teknik tedbir GAP analizi hizmetimizden yararlanabilirsiniz.
ISO 27001 sertifikamız varsa bu eğitime ihtiyacımız var mı?
ISO 27001 ile KVKK teknik tedbirleri büyük ölçüde örtüşür; ancak özdeş değildir. KVKK Türkiye’ye özgü hukuki gereksinimler ve Kurul kararları gibi boyutlar içerir. ISO 27001 sertifikanız teknik kontrollerin temelini sağlarken, KVKK’nın spesifik gereksinimleri (kişisel veri sınıflandırması, 72 saatlik bildirim, test ortamı politikası) ayrıca değerlendirilmelidir.
Eğitim süresi ne kadardır ve kaç kişi katılabilir?
Standart program 1 tam gün (8 saat); derinlemesine uygulama atölyeleriyle birlikte 2 güne uzatılabilir. Katılımcı sayısı 5-25 kişi arasında verimli bir şekilde yürütülmektedir. Farklı ihtiyaçlar için modüler yapı oluşturulabilir: yalnızca log yönetimi veya yalnızca sızma testi kapsamı gibi odaklı yarım günlük oturumlar da planlanabilir.
