Fabrika Verileriniz Güvende mi? Siber Güvenlik ve KVKK Standartları

Hayır, ikisi örtüşür ama birbirinin yerine geçmez. ISO 27001 şirketin bilgi güvenliği yönetim sistemini belgeler; KVKK ise kişisel verilere özel yasal yükümlülükler getirir: aydınlatma, açık rıza, VERBİS kaydı, saklama-imha politikası ve ihlal bildirimi gibi. ISO 27001 altyapısı olan bir şirkette KVKK uyumu çok daha hızlı kurulur, çünkü erişim kontrolü, loglama ve risk yönetimi zaten işliyordur. Belgelendirme sürecinin yazılım tarafına yansıyan gereksinimlerini ISO 27001 ve uluslararası ERP uyumu rehberinde ayrıntılandırdık.

Kişisel verileri kanunun ilkelerine göre işleyen yazılımdır: veri toplanan noktada aydınlatma metni gösterir, gerektiğinde açık rızayı zaman damgasıyla kaydeder, veriyi amaçla sınırlı toplar, şifreli saklar, erişimi rolle kısıtlar ve kimin neye eriştiğini loglar. Saklama süresi dolan kayıtları silebilir veya anonimleştirebilir. Yazılım teknik tarafı karşılar; VERBİS kaydı ve politika dokümanları gibi idari adımlar şirket tarafında tamamlanır. Edge Bilişim olarak analiz aşamasında mevcut formlarınızdaki ve eski veritabanınızdaki alanları tek tek gözden geçiriyor, işleme amacıyla bağlantısı kurulamayan kalemleri (kimlik numarası, doğum tarihi, kan grubu gibi) yeni sisteme hiç taşımıyoruz; taşınan her alanın saklama süresini de aynı tabloda alan bazında kayda geçiriyoruz.

KVKK'nın Kişisel Veri Güvenliği Rehberi, bilinen zafiyetlere karşı düzenli zafiyet taraması ve sızma testini açıkça önerir; bankacılık gibi bazı sektörlerde ise mevzuat gereği zorunludur. Pratik ritim şudur: hassas veri işleyen sistemlerde yılda bir bağımsız sızma testi, her büyük sürüm sonrasında kapsamlı zafiyet taraması. Bulgular raporlanır, kritiklik sırasına göre kapatılır ve düzeltmeler yeniden test edilir. Edge Bilişim olarak büyük sürümlerden önce taramayı canlının kopyası olan test ortamında çalıştırıyor, kritik ve yüksek seviyeli bulgular kapanmadan sürümü canlıya taşımıyoruz; bağımsız sızma testi yaptıracak müşteriler için de test ortamını, kapsam listesini ve deneme hesaplarını testten önce hazır teslim ediyoruz.

Kurul kararına göre ihlal, öğrenildikten sonra en geç 72 saat içinde Kişisel Verileri Koruma Kurumuna bildirilmeli, etkilenen kişilere de makul sürede haber verilmelidir. İlk adım kapsam tespitidir: loglar üzerinden hangi kayıtlara, ne zaman ve nereden erişildiği çıkarılır; açık kapatılır, parolalar ve tokenlar yenilenir. Log altyapısı hazır olan bir sistemde bu analiz saatler içinde tamamlanır; log yoksa 72 saatlik süre daha başlamadan kaybedilir.

Veriler, fiziksel güvenliği ve enerji sürekliliği sağlanmış veri merkezlerindeki sunucularda şifreli olarak tutulur ve otomatik yedeklenir; tercihe göre yurt içi veri merkezi kullanılır. Sunucu konumu, yedekleme sıklığı ve saklama süresi proje başında yazılı olarak netleştirilir. Bulut modelinde verinin hangi katmanlarda korunduğunu SaaS ERP güvenliği rehberinde ayrıntılı anlattık.

Üç yapısal zafiyet taşırlar: yedek genellikle yoktur ya da aynı diskte durur, işletim sistemi ve veritabanı güvenlik yamaları uygulanmaz, çoğu kurulumda herkes ortak şifreyle çalışır. Disk arızası, hırsızlık veya fidye yazılımı yılların reçete ve maliyet verisini tek seferde götürebilir. Web tabanlı mimaride veri sunucuda tutulduğu için istemci bilgisayarın başına gelenler kayıtları etkilemez.

Evet, iki katmanda: iletim sırasında TLS/SSL, saklarken hassasiyetine göre disk veya alan bazlı şifreleme uygulanır. Parolalar hiçbir zaman düz metin tutulmaz; geri döndürülemez özet (hash) algoritmalarıyla saklanır, bu yüzden veritabanı ele geçse bile parolalar okunamaz. Reçete ve maliyet gibi ticari sır niteliğindeki alanlar için ek şifreleme katmanı tanımlanabilir.

Her kullanıcı kendi hesabıyla girer ve rol bazlı yetkilendirme ile yalnızca görevine uygun ekranları görür; ortak şifre kullanımı tamamen kaldırılır. Hassas roller ve kritik işlemler için SMS veya uygulama tabanlı iki adımlı doğrulama (2FA) devreye alınır. Böylece parola ele geçirilse bile ikinci adım olmadan oturum açılamaz; başarısız giriş denemeleri loglanır ve sınırlandırılır.

Evet. Kayıt açma, değiştirme, silme ve dışa aktarma dahil her kritik işlem; kullanıcı, tarih-saat ve cihaz bilgisiyle değiştirilemez biçimde loglanır. Şüpheli bir durumda geçmişe dönüp kaynağı dakikalar içinde bulursunuz. Bu denetim izi aynı zamanda KVKK'nın hesap verebilirlik ilkesinin ve olası bir Kurul denetiminin temel kanıtıdır.

Ayrılış gününde hesap tek işlemle pasifleştirilir, açık oturumları sonlandırılır ve API anahtarları yenilenir; sistemde açık kapı kalmaz. Kişinin geçmişte yaptığı tüm işlemler loglarda izlenebilir durumda kalır. Toplu veri dışa aktarma yetkisi zaten dar tutulduğu için, ayrılık öncesi kontrolsüz veri kopyalama riski de en aza iner.

KVKK kapsamında bir kişi verisinin silinmesini isterse sistem bunu güvenli biçimde yapar; talep ve işlem kayıt altına alınır. Saklama süresi dolan kayıtlar ise periyodik imha planına göre otomatik silinir veya anonimleştirilir. Sürelerin nasıl belirleneceğini ve imha sürecinin nasıl belgeleneceğini KVKK veri imha politikası rehberinde adım adım anlattık.

Teknik tarafta reçete, maliyet ve müşteri listesi rol bazlı yetkiyle yalnızca tanımlı kişilere açılır, erişimler loglanır ve veriler şifreli saklanır. Hukuki tarafta ise geliştirme sürecine dahil olan herkesle gizlilik sözleşmesi imzalanması kritik önemdedir; NDA'nın yazılım projelerindeki rolünü ayrı bir rehberde inceledik. Teknik ve hukuki koruma birlikte kurulduğunda ticari sır iki katmanlı güvenceye alınır.

Hazır programda güvenlik üreticinin yama takvimine bağlıdır; yaygın hazır scriptlerin bilinen açıkları saldırganlar tarafından otomatik taranır. Bu riskleri hazır script ve WordPress riskleri rehberinde örneklerle anlattık. Özel yazılımda ise saldırı yüzeyi daha dardır, güvenlik sizin veri hassasiyetinize göre tasarlanır ve kaynak kod sizde olduğu için açık kapandığında beklemek zorunda kalmazsınız. Reçete gibi kritik veri işleyen sistemlerde bu fark belirleyicidir.

Kart verisini kendi sunucunuzda saklarsanız evet, ağır bir PCI DSS yükümlülüğü doğar. Pratik çözüm kart bilgisini hiç tutmamaktır: ödeme, lisanslı ödeme kuruluşunun altyapısına yönlendirilir, sizde yalnızca işlem referansı kalır. Bu mimarinin abonelik ve tekrarlayan tahsilatlarla nasıl kurulduğunu otomatik ödeme ve üyelik altyapıları rehberinde anlattık. Böylece uyum yükü ödeme kuruluşunda kalır, sizin riskiniz küçülür.

Belirleyici kalemler şunlardır: işlenen verinin hassasiyeti, kullanıcı ve rol sayısı, 2FA ile alan bazlı şifreleme gibi ek katmanlar, bağımsız sızma testi kapsamı ve mevcut sistemlerle entegrasyon sayısı. ISO 27001 belgelendirmesi ayrıca kapsamdaki çalışan sayısı ve denetim gün sayısına göre fiyatlanır. Bu değişkenler netleşmeden verilen tek bir rakam yanıltıcı olur; sağlıklı yol, kapsamı yazılı belirleyip kalem kalem teklif almaktır.