Siber Güvenlik Uyumu
Siber Güvenlik Kanunu ve ikincil düzenlemeler ile KVKK'daki veri güvenliği yükümlülükleri çerçevesinde kurumların politika, sözleşme ve olay müdahale süreçlerinin hukuki yapılandırılması.
Siber güvenlik uyumu nedir?
Siber güvenlik uyumu, kurumların 7545 sayılı Siber Güvenlik Kanunu, ikincil düzenlemeler ve KVKK m. 12'deki veri güvenliği yükümlülüklerine uygun bir hukuki ve idari yapı kurmasıdır. Kanun, özellikle kritik altyapı işletmecileri ile siber güvenlik ürün ve hizmeti sunanlar için bilgi verme, bildirim ve izin gibi yeni yükümlülükler öngörür.
Teknik tedbirler tek başına yeterli değildir; bu tedbirlerin politika, prosedür ve sözleşmelerle belgelenmesi gerekir. Bilgi güvenliği politikaları, tedarikçi ve hizmet sağlayıcı sözleşmelerindeki güvenlik hükümleri, olay müdahale planı ve bildirim süreçleri bu çalışmanın temel çıktılarıdır.
Bir siber olay yaşandığında kurumun hangi kuruma, ne zaman ve nasıl bildirim yapacağının önceden belirlenmiş olması hem idari yaptırım riskini hem de itibar kaybını azaltır.
Bu hizmete ne zaman ihtiyaç duyulur?
Başkanlık talepleri
Siber Güvenlik Başkanlığı'nın bilgi, belge ve veri taleplerinin yönetimi.
Siber güvenlik hizmet şirketleri
Ürün ve hizmet sunan şirketlerin izin ve yetkilendirme süreçleri.
Tedarikçi sözleşmeleri
Hizmet sağlayıcılarla güvenlik yükümlülüklerinin sözleşmeye bağlanması.
Olay müdahale planı
Siber olay anında iç ve dış bildirim akışının önceden hazırlanması.
Nasıl çalışıyoruz?
- 01
Mevcut durum analizi
Veri envanteri, süreç haritası ve teknik altyapının incelenmesi.
- 02
Boşluk raporu ve eylem planı
Eksiklerin önceliklendirilmesi ve yol haritası.
- 03
Dokümantasyon ve uygulama
Politikalar, metinler ve sözleşmelerin hazırlanması.
- 04
Eğitim ve periyodik denetim
Çalışan eğitimi ve düzenli gözden geçirme.
Merak edilenler
Siber Güvenlik Kanunu hangi kurumları kapsar?
Kanun; kamu kurum ve kuruluşları, kritik altyapı işletenler ve siber güvenlik alanında faaliyet gösteren gerçek ve tüzel kişiler bakımından farklı yükümlülükler öngörür. Kapsam, somut faaliyet üzerinden değerlendirilmelidir.
Siber güvenlik uyumuna nereden başlanır?
Önce kritik süreçler, bilgi varlıkları, kişisel veri akışları, erişim yetkileri ve dış hizmet sağlayıcılar belirlenir. Ardından somut riskler önceliklendirilir; sorumlular, hedef tarihler ve kanıtlanabilir çıktıları olan bir eylem planı hazırlanır.
Teknik önlemler tek başına yeterli midir?
Hayır. Erişim yönetimi, çok faktörlü doğrulama, yama yönetimi, kayıtların izlenmesi ve yedekleme gibi teknik kontroller; politika, görev tanımı, eğitim, olay müdahale prosedürü ve tedarikçi sözleşmeleriyle desteklenmelidir.
Bulut hizmeti veya dış tedarikçi kullanmak sorumluluğu ortadan kaldırır mı?
Hayır. Hizmet sağlayıcının güvenlik taahhütleri, alt yüklenicileri, erişim yetkileri, veri konumu, olay bildirimi, denetim hakkı ve hizmet sona erdiğinde verilerin iadesi ya da silinmesi sözleşmede açıkça düzenlenmelidir.
Siber olay yaşanırsa ilk adım ne olmalıdır?
Olayın yayılımı kontrollü biçimde sınırlandırılır; sistem kayıtları ve diğer deliller korunur; etki, veri türleri ve etkilenen kişiler belirlenir. Teknik müdahale, yönetim, hukuk ve iletişim ekiplerinin görevleri önceden belirlenmiş bir olay müdahale planına göre yürütülür.
Kişisel veri ihlalinde 72 saat kuralı nasıl uygulanır?
Kişisel verilerin kanuni olmayan yollarla elde edilmesi hâlinde veri sorumlusu, ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kuruluna bildirim yapmalıdır. İlgili kişilere yapılacak bildirimin yöntemi ve zamanı da olayın koşullarına göre ayrıca planlanmalıdır.
Çalışan eğitimi neden uyumun parçasıdır?
Oltalama e-postaları, parolalar, yetkisiz erişim talepleri ve olay bildirimi çoğu zaman çalışanların günlük kararlarıyla ilgilidir. Eğitimin rol bazlı, düzenli ve ölçülebilir olması; politikaların yalnızca dosyada kalmamasını sağlar.
Uyum çalışması bir kez yapılıp biter mi?
Hayır. Teknik altyapı, tedarikçiler, iş süreçleri ve mevzuat değiştikçe politika ve sözleşmeler gözden geçirilmelidir. Yedekten geri dönüş, olay müdahalesi ve erişim yetkileri de belirli aralıklarla test edilmelidir.