KVKK Veri İhlali Bildiriminde 72 Saat: Kim, Hangi Adımı, Hangi Sırayla Yapar?

KVKK veri ihlali bildiriminde 72 saat, yalnızca teknik ekibin takip edeceği bir süre değildir. Bir ihlal şüphesi ortaya çıktığında bilgi işlem, bilgi güvenliği, hukuk, insan kaynakları, iletişim ve üst yönetim aynı sürecin farklı noktalarında sorumluluk üstlenir. İlk saatlerde yaşanan belirsizlik; olayın kapsamının geç anlaşılmasına, yanlış kişilere bilgi verilmesine veya gerekli kayıtların oluşturulamamasına yol açabilir.

Bu nedenle veri ihlali müdahalesi, önceden tanımlanmış roller ve karar noktaları üzerinden yürütülmelidir. Aşağıdaki rehber, 72 saatlik zaman penceresinde kimlerin hangi adımı, hangi sırayla ele alabileceğini sadeleştirir. Sürecin hukuki değerlendirmesi, olayın niteliğine ve güncel mevzuata göre yetkili hukuk danışmanlarıyla yapılmalıdır.

01KVKK veri ihlali bildiriminde 72 saat ne zaman başlar?

İlk adım, olayın “siber saldırı” olarak kesinleşmesini beklemek değil, kişisel verilerin gizliliği, bütünlüğü veya erişilebilirliği açısından makul bir ihlal şüphesinin oluştuğu anı kayıt altına almaktır. Yanlış kişiye gönderilen dosya, kaybolan bir cihaz, yetkisiz hesap erişimi, zararlı yazılım belirtisi veya yedekten geri dönülememesi gibi olaylar inceleme gerektirebilir.

Kuruluşunuzda tek bir “olay saati” tanımlanmalıdır. Bu saat; alarmın üretildiği an, çalışanın olayı bildirdiği an veya güvenlik ekibinin ilk doğrulamayı yaptığı an olabilir. Hangi ölçütün kullanıldığı olay kaydında açıkça yazılmalıdır. Böylece ekipler farklı başlangıç zamanları üzerinden işlem yapmaz.

• Olayın fark edildiği tarih ve saat kaydedilir.
• Olayı bildiren kişi, kanal ve ilk gözlem yazılır.
• İlk bulgular değiştirilmeden korunur.
• 72 saatlik sürenin takibi için sorumlu kişi atanır.
• İlk değerlendirme tamamlanmadan kesin kapsam veya neden açıklanmaz.

02Roller ve sorumluluklar nasıl paylaşılmalı?

İhlal anında herkesin aynı işi yapması yerine, görevlerin ayrıştırılması gerekir. Süreci yöneten bir olay koordinatörü belirlenmeli ve karar kayıtlarının tek bir yerde tutulması sağlanmalıdır.

• Olay koordinatörü: Zaman çizelgesini yönetir, toplantıları düzenler, görevleri dağıtır ve kararların kayda geçmesini sağlar.
• Bilgi güvenliği ve BT ekibi: Etkilenen sistemleri belirler, erişimleri sınırlar, logları ve diğer teknik kanıtları korur. Kök neden incelemesi sürerken kanıtların silinmemesine dikkat eder.
• Veri ve süreç sahipleri: Hangi veri setlerinin, uygulamaların veya iş süreçlerinin etkilendiğini açıklar. Verilerin hangi amaçla işlendiğini ve kimlerin eriştiğini belirtir.
• Hukuk ve KVKK sorumluları: Olayın kişisel veri ihlali niteliğini, bildirim gereksinimlerini ve kullanılacak ifadeleri değerlendirir.
• Üst yönetim: Kritik kararları onaylar, iş sürekliliği ve kaynak önceliklerini belirler.
• İletişim sorumlusu: Kurum içi ve dışı mesajların tutarlı, doğrulanabilir ve yetkili kanallardan paylaşılmasını sağlar.

Her rol için bir asil ve mümkünse bir yedek kişi tanımlanmalıdır. Olay sırasında ulaşılamayan bir kişinin süreci durdurmaması için iletişim bilgileri, yetki sınırları ve onay mekanizması önceden yazılı olmalıdır.

03İlk saatlerde hangi teknik ve idari adımlar atılır?

İlk hedef, olayın büyümesini sınırlamak ve incelemeyi bozmayacak şekilde kanıtları korumaktır. Teknik ekip, olayın niteliğine göre etkilenen hesabı geçici olarak kısıtlayabilir, şüpheli oturumları sonlandırabilir veya etkilenen sistemi ağdan ayırabilir. Bu işlemler yapılırken hangi erişimin, hangi gerekçeyle ve hangi saatte sınırlandığı kaydedilmelidir.

1. İhbarı kayda alın: Olay numarası, tarih, saat, bildiren kişi ve ilk açıklamayı oluşturun.
2. Önceliklendirin: Etkilenen sistem, veri türü, erişim durumu ve operasyonel etki hakkında ilk değerlendirmeyi yapın.
3. Yayılmayı sınırlayın: Gerekli hesap, cihaz veya bağlantılara kontrollü kısıtlama uygulayın.
4. Kanıtları koruyun: Loglar, erişim kayıtları, e-posta başlıkları, alarm çıktıları ve ilgili dosyaların korunmasını sağlayın.
5. Olay komitesini toplayın: Teknik, hukuki ve iş birimi temsilcilerini aynı zaman çizelgesinde buluşturun.
6. Geçici durum raporu hazırlayın: Bilinenleri, bilinmeyenleri, alınan önlemleri ve sonraki adımları ayrı başlıklarda yazın.

Bu aşamada çalışanların olayla ilgili ekran görüntülerini kişisel mesajlaşma gruplarında paylaşması veya kanıtları değiştirmesi önlenmelidir. Bilgi paylaşımı, belirlenmiş olay kanalı üzerinden yürütülmelidir.

04Bildirim kararına nasıl hazırlanılır?

Bildirim değerlendirmesi, tek bir teknik bulguya değil; olayın kapsamına, etkilenen veri kategorilerine, erişimin niteliğine ve olası etkilerine dayanmalıdır. Ekip, her karar noktasında “ne biliyoruz?”, “neyi henüz doğrulayamadık?” ve “hangi kanıtla hareket ediyoruz?” sorularını yanıtlamalıdır.

Karar için kullanılabilecek kontrol listesi şöyledir:

• Olay kişisel veri içeriyor mu veya kişisel verilere erişim ihtimali var mı?
• Hangi sistem, uygulama, hesap veya fiziksel ortam etkilendi?
• Hangi veri grupları ve yaklaşık kaç kayıt etkilenmiş olabilir?
• Verilere erişim, değiştirme, silme veya dışarı aktarma belirtisi var mı?
• Olay devam ediyor mu, yoksa kontrol altına alındı mı?
• İlk teknik ve hukuki değerlendirme hangi belgelere dayanıyor?
• Bildirim metninde doğrulanmış bilgiler ile incelemesi süren konular ayrıştırıldı mı?

Kesinleşmemiş bilgileri kesin ifade etmek, daha sonra düzeltme ihtiyacı doğurabilir. Buna karşılık belirsizliği gerekçesiyle hiçbir kaydı oluşturmamak da süreci zayıflatır. Bu nedenle ilk bildirim veya iç karar kaydı, mevcut bulgularla sınırlı ve açık bir dille hazırlanmalıdır. Eksik kalan noktalar için güncelleme sorumlusu ve takip tarihi belirlenmelidir.

05Hangi kayıtlar tutulmalı?

İhlal müdahalesinde kayıt tutma, yalnızca sonradan rapor hazırlamak için değil, alınan kararların izlenebilir olması için gereklidir. Her olay için tekil bir dosya veya kontrollü bir kayıt alanı oluşturulmalıdır. Erişim yetkileri, olayın hassasiyetine göre sınırlandırılmalıdır.

Kayıtların sonradan değiştirilebilmesi, sürecin güvenilirliğini azaltabilir. Bu nedenle doküman sürümleri, onay geçmişi ve erişim hareketleri mümkün olduğunca izlenebilir tutulmalıdır. Olay kapatılırken yalnızca “sistem düzeldi” notu yeterli değildir; neden, etki, alınan önlemler ve açık kalan riskler ayrıca değerlendirilmelidir.

06Sık sorulan sorular

72 saat içinde tüm teknik inceleme tamamlanmak zorunda mıdır?

Her olayda teknik incelemenin aynı sürede tamamlanması mümkün olmayabilir. Önemli olan, olayın fark edildiği andan itibaren zaman çizelgesini işletmek, ilk bulguları doğrulamak, gerekli kararları kayıt altına almak ve bildirim değerlendirmesini yetkili kişilerle yürütmektir. Kesinleşmeyen bilgilerin açıkça işaretlenmesi gerekir.

İhlali yalnızca bilgi işlem ekibi yönetebilir mi?

Hayır. Bilgi işlem teknik müdahaleyi yürütür; ancak veri kapsamı, hukuki değerlendirme, iletişim ve yönetim onayı farklı sorumluluk alanlarıdır. Olay koordinatörü bu ekipleri aynı plan ve kayıt düzeni içinde buluşturmalıdır.

Olayın ihlal olmadığı anlaşılırsa kayıt tutulmalı mı?

Evet, olayın neden ihlal olarak değerlendirilmediği ve bu sonuca hangi bulgularla ulaşıldığı kaydedilmelidir. Böyle bir kayıt, benzer alarmların gelecekte daha hızlı sınıflandırılmasına ve kontrol süreçlerinin geliştirilmesine yardımcı olur.

Sonuç: KVKK veri ihlali bildiriminde 72 saat, tek başına bir geri sayım değil; rollerin, kararların ve kanıtların düzenli biçimde yönetilmesini gerektiren bir süreçtir. OPEIS Teknoloji’nin siber güvenlik hizmetleri kapsamında sızma testleri, güvenlik denetimleri ve KVKK uyumluluk danışmanlığı hakkında bilgi alabilirsiniz.