Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler)

Özet

Kişisel Verileri Koruma Kurumu (KVKK) tarafından Nisan 2025'te yayımlanan bu rehber, KVKK Yayınları No: 72 olarak çıkmıştır. Veri sorumlularının 6698 sayılı Kanun'un 12. maddesindeki güvenlik yükümlülüğünü yerine getirmek için alması gereken teknik ve idari tedbirleri anlatır. Kurumun yayımladığı bu tür rehberler, denetimlerde tedbirlerin yeterliliğinin değerlendirilmesinde başvurulan bir referans niteliği taşır.

Rehberin yapısı, idari tedbirleri (2. bölüm) ve teknik tedbirleri (3. bölüm) ayrı ayrı ele alır; 4. bölümde özet tablolar yer alır. Kapsanan konular arasında risk tespiti, personel eğitimi, veri minimizasyonu, veri işleyen yönetimi, siber güvenlik, izleme, ortam ve sunucu odalarının fiziksel güvenliği, bulut depolama, sistem tedariki ve yedekleme bulunur. Böylece belge, hukuki yükümlülüğü somut kontrol maddelerine dönüştürür. Her bölümün sonundaki özet tablolar, tedbirlerin kontrol listesi olarak kullanılmasını kolaylaştırır ve tesis tasarımı sırasında hangi tedbirlerin bina düzeyinde uygulanması gerektiğini görmeyi sağlar.

Veri merkezi tasarımı açısından en doğrudan ilgili kısımlar fiziksel güvenlik ve bulut bölümleridir. Kişisel veri barındıran fiziksel ortamlar yangın ve sel gibi dış risklere karşı korunmalı, giriş ve çıkışlar kontrol altında olmalıdır. Sunucular, yedekleme cihazları ve ortamları ek güvenlikli bir odaya alınmalı, kilitli tutulmalı ve giriş çıkışlar kaydedilmelidir. Bu ifadeler, yerleşim planında sunucu odası, yedekleme odası ve giriş kontrol noktalarının nasıl konumlandırılacağına doğrudan etki eder; kilit, kayıt ve ortam koruması ise tasarım kontrol listesinin parçası olmalıdır.

Bulut depolamada veri sorumlusunun sağlayıcının güvenliğini değerlendirmesi, verinin şifrelenmesi, mümkünse her bulut hizmeti için ayrı anahtar kullanılması ve hizmet sona erdiğinde anahtarların imha edilmesi beklenir. Düzenli zafiyet taramaları ve sızma testleri, log toplama ve resmi olay bildirim prosedürleri de beklenen uygulamalar arasındadır. Rehber ölçülebilir eşik değerler vermez; tedbirlerin düzeyi, risk analizine göre belirlenir. Bu beklentiler hem ürün tasarımında hem de işletme sözleşmelerinde karşılık bulmalı; sözleşme sonunda verinin ve anahtarların akıbeti belgelenmelidir.

Öne çıkan noktalar

1. Rehber, idari tedbirleri (2. bölüm) ve teknik tedbirleri (3. bölüm) ayırır; 4. bölümde özet tablolar vardır.
2. Kişisel veri barındıran fiziksel ortamlar yangın ve sel gibi dış risklere karşı korunmalı, giriş çıkış kontrollü olmalıdır (3.3, s. 23).
3. Sunucular, yedekleme cihazları ve ortamları ek güvenlikli bir odaya alınmalı, kilitli tutulmalı, giriş çıkışlar kaydedilmelidir (3.3, s. 24).
4. Bulut depolamada veri sorumlusu sağlayıcının güvenliğini değerlendirmeli; veri şifrelenmeli, mümkünse hizmet başına ayrı anahtar kullanılmalı, hizmet bitince anahtarlar imha edilmelidir (3.4, s. 25-26).
5. Düzenli zafiyet taramaları ve sızma testleri, log toplama ve resmi olay bildirim prosedürleri beklenir (3.2, s. 22).
6. Rehber Nisan 2025 tarihlidir ve KVKK Yayınları No: 72 olarak yayımlanmıştır.
7. İlgili kaynaklar: 6698 sayılı Kanun madde 12, ISO/IEC 27001, ISO/IEC 22237-6.

Tasarımda kullanımı

• 'Kişisel veri barındırılıyor' bayrağı işaretlendiğinde yerleşim kontrol listesinde kilitli sunucu odası, erişim kaydı, yangın ve sel koruması ile ayrılmış yedek depolama odası zorunlu kılın.
• Kiracı verisini ortam bazlı anahtarlarla bekleme halinde şifreleyin.
• Sözleşme bittiğinde anahtarların imhasını belgeleyin.
• Sızma testi, zafiyet taraması ve log toplamayı işletme prosedürlerine dahil edin.

Kimler okumalı

Kişisel veri barındıran veri merkezlerini tasarlayan ve işleten mühendisler, güvenlik sorumluları ve uyum ekipleri.

İlgili standartlar

• 6698 sayılı Kanun Madde 12
• ISO/IEC 27001
• ISO/IEC 22237-6

Yayın bilgileri

Yazarlar

Kişisel Verileri Koruma Kurumu (KVKK)

Yayıncı

Kişisel Verileri Koruma Kurumu (KVKK)

Yıl

2025

Belge numarası

KVKK Yayınları No: 72

Belge dili

Türkçe

Kaynak türü

Türkiye mevzuatı

Erişim

Ücretsiz okunur

Lisans

Telif hakkı saklı; yalnızca künye — özgün belge için yayıncının kullanım koşulları geçerlidir

Künye