Veri İhlali Olursa Ne Yapmalı? İlk 72 Saatin Müdahale Planı

Veri ihlalleri genelde filmlerdeki gibi başlamaz. Bir çalışan sabah "hesabıma giremiyorum" der. Ya da bir müşteri "sizden geldiğini sandığım tuhaf bir e-posta aldım" diye arar. Ya da muhasebe, gönderilmemiş bir ödeme talimatını fark eder.

O ilk yarım saatte ne yapıldığı, olayın büyüklüğünü belirler. Bu yazıda panik yerine sıra koyan bir müdahale planını anlatıyoruz.

Bu yazı bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Bildirim yükümlülüklerinin kapsamı ve biçimi için kvkk.gov.tr üzerindeki güncel rehber ve kararları esas alın, kendi durumunuz için hukuk danışmanınıza başvurun.

Neye "veri ihlali" denir?

Kavramı yalnız büyük saldırılarla sınırlamak yaygın bir hata. Pratikte ihlal şu hâllerde de olur:

• Bir e-posta hesabının ele geçirilmesi.
• Müşteri listesinin yanlış kişiye gönderilmesi.
• Kaybolan ya da çalınan, şifrelenmemiş bir dizüstü bilgisayar veya bellek.
• Yanlış yapılandırma sonucu herkese açık kalan bir dosya klasörü.
• Bir tedarikçinizde yaşanan ve sizin verinizi de kapsayan bir olay.
• Fidye yazılımıyla verinin şifrelenmesi.

Son iki madde en sık atlananlar. Verinin sizde durmaması sorumluluğu ortadan kaldırmıyor; tedarikçi tarafındaki riski nasıl ölçeceğinizi tedarikçi yönetimi ve satın alma analitiği yazısında ele almıştık.

İlk saat: kanamayı durdurun, kaydı koruyun

İlk saatte üç iş var ve sırası önemli.

1. Erişimi kesin. Etkilenen hesabın parolasını değiştirin ve açık oturumlarını sonlandırın. Şüpheli cihazı ağdan ayırın. Sızdığı düşünülen anahtar, token ya da paylaşım bağlantısını iptal edin.

2. Kayıtları koruyun. Buradaki en yaygın hata, sistemi hemen silip yeniden kurmak. Bu, kanamayı durdurmuş gibi hissettirir ama ne olduğunu anlama ihtimalini de yok eder — ve bildirim yaparken "hangi veri etkilendi" sorusuna cevabınız olmaz. Günlük kayıtlarının (log) üzerine yazılmasını engelleyin, ekran görüntülerini alın.

3. Sorumluyu belirleyin ve yazmaya başlayın. Tek bir kişi olayın sahibi olsun. O andan itibaren her adım saatiyle birlikte yazılsın: ne zaman fark edildi, ne yapıldı, kim bilgilendirildi. Bu kayıt hem iç değerlendirme hem de bildirim için gereklidir.

72 saat kuralı nasıl işler?

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesi, kişisel verilerin hukuka aykırı biçimde başkaları tarafından elde edilmesi hâlinde veri sorumlusunun durumu en kısa sürede ilgili kişiye ve Kurul'a bildirmesini öngörüyor.

Kişisel Verileri Koruma Kurulu'nun 24.01.2019 tarihli ve 2019/10 sayılı kararıyla bu "en kısa süre" azami 72 saat olarak uygulanıyor; bildirim, Kurul'un Veri İhlali Bildirim Formu ile yapılıyor.

Üç noktanın altını çizmek gerek:

Süre öğrenme anından başlar. Olayın gerçekleştiği andan değil, sizin fark ettiğiniz andan. Bu yüzden "fark etme" anını kayda geçirmek önemlidir.

Her şeyi bilmeyi beklemek gerekmez. Süre içinde bildirim yapmak, soruşturmayı tamamlamış olmayı gerektirmez; bilinenlerle bildirim yapılıp sonrasında tamamlanabilir.

İlgili kişilere de bildirim gerekir. Yani yalnız Kurul'a değil, kişisel verileri etkilenen kişilere de. Bu metnin sade ve eyleme dönük olması önemli: ne oldu, hangi veri türleri etkilendi, kişinin ne yapması gerekiyor, size nasıl ulaşabilir.

Yükümlülüklerin genel çerçevesini KOBİ'ler için KVKK uyum rehberi yazımızda toplamıştık; ceza ve tutar bilgisi için tek doğru kaynak kvkk.gov.tr'dir.

İletişim: sessiz kalmak en pahalı seçenek

İhlal iletişiminde en çok yapılan hata, kesin bilgi bekleyerek gecikmek. Müşteri olayı sizden değil başka bir yerden duyduğunda kaybedilen güven, olayın kendisinden daha kalıcı oluyor.

İşe yarayan bir bildirim şu dört şeyi içerir: ne olduğu (sade dille), hangi veri türlerinin etkilendiği, kişinin ne yapması gerektiği ve size nasıl ulaşabileceği. Abartılı özür ve teknik jargon değil.

Aynı anda iç iletişimi de kurun: ekibin ne söyleyeceği belli olsun. Müşteri hizmetlerine gelen ilk soruya beş farklı cevap verilmesi, olayı ikinci kez büyütür.

Olayın kaynağı çoğu zaman bir e-postadır

Sahada gördüğümüz ihlallerin büyük kısmı gelişmiş bir saldırıyla değil, ele geçirilmiş bir hesapla başlıyor. Yani asıl koruma da orada: çok adımlı doğrulama, parola yöneticisi ve ekibin şüpheli e-postayı tanıması.

Oltalama saldırılarından korunma yazısındaki refleksler bu yüzden bir güvenlik konusu olmaktan çok bir iş sürekliliği konusudur. Verinin geri getirilebilirliği tarafında ise veri güvenliği ve yedekleme alışkanlıkları belirleyici: fidye yazılımı vakalarında pazarlık masasından kalkabilmenizi sağlayan tek şey, denenmiş bir yedektir.

Planı bir sayfaya sığdırın

Olay müdahale planı kırk sayfa olmak zorunda değil. Şunlar yeterli:

• Kim kimi arar: isimler ve telefonlar, sistem dışında da erişilebilir bir yerde.
• İlk saatin teknik adımları: erişim kesme, kayıt koruma.
• Bildirim sorumlusu ve süre takibi: 72 saatlik pencereyi kim izliyor?
• Hazır iletişim taslakları: müşteri, tedarikçi ve ekip için.
• Olay sonrası bölüm: ne düzeltilecek, kim, ne zaman.

Bu plan, iş sürekliliği ve felaket kurtarma planı yazısında anlattığımız belgenin bir bölümü olarak da tutulabilir. Ortak kural aynı: yılda bir kez masa başı bir senaryoyla denenmeyen plan, plan sayılmaz.

En sık yapılan üç hata

Olayı küçültmeye çalışmak. "Muhtemelen bir şey sızmadı" cümlesi, kayıtlara bakmadan kurulduğunda hem yanlış hem de tehlikelidir. Kapsamı daraltmak isteği anlaşılır ama karar veriyle verilmeli.

Tek kişiye bırakmak. Olayı fark eden kişi genelde işi de üstlenir; oysa aynı anda hem teknik müdahale hem iletişim hem kayıt tutmak insanın kapasitesini aşar. Rolleri en baştan bölün.

Süreyi unutmak. Teknik telaş içinde 72 saatlik pencerenin kaçırılması sık görülür. Bunu izleyecek kişi teknik ekipten biri olmasın; olayın teknik tarafına girmeyen bir isim daha güvenlidir.

Olaydan sonra: en değerli kısım

Kriz geçtikten sonra en sık atlanan adım değerlendirmedir. Yarım saatlik bir toplantı yeter: nasıl girildi, neden geç fark ettik, hangi kontrol olsaydı bu olmazdı?

Çıkan üç maddeyi tarih ve sorumluyla birlikte yazın. Aynı olayın ikinci kez yaşanması, ilk olayın maliyetini ikiye katlamaz — güveni tamamen bitirir.

Olay müdahale planınızı çıkarmamızı, kayıt ve erişim düzeninizi gözden geçirmemizi ya da bildirim sürecinizi hazırlıklı hâle getirmemizi isterseniz bizimle iletişime geçin; nasıl çalıştığımızı görmek için hizmetlerimize göz atabilirsiniz.