Veri İhlali Bildirimi Nedir?
Veri ihlali bildirimi, kişisel verilerin yetkisiz kişilerce ele geçirilmesi, ifşa edilmesi, değiştirilmesi ya da kaybedilmesi durumunda ihlalin ilgili kişilere ve yetkili kuruma belirlenen usulle bildirilmesi yükümlülüğüdür.
Veri İhlali Bildirimi Nasıl Yapılır?
Veri ihlali, kişisel verinin güvenliğinin hukuka aykırı biçimde bozulmasıdır. Sızdırılmış müşteri listesi, yanlış kişiye gönderilmiş sipariş verisi, ele geçirilmiş yönetici hesabı ya da kaybolan cihaz bu kapsama girebilir. İhlal kötü niyetli bir saldırıdan olabileceği gibi çalışan hatası ya da teknik arızadan da doğabilir.
İhlal anında izlenen süreç genellikle şöyledir:
- Tespit: ihlalin ne zaman ve nasıl fark edildiği kayda geçirilir.
- Sınırlama: erişim kapatılır, şifreler yenilenir ve sızıntının yayılması önlenir.
- Değerlendirme: hangi verilerin ve kaç kişinin etkilendiği belirlenir.
- Bildirim: yetkili kuruma ve gerekiyorsa etkilenen kişilere bildirim yapılır.
- Belgeleme ve iyileştirme: olay kayda alınır ve önlem alınarak tekrarı engellenir.
Bildirimin süresi, kapsamı ve içeriği mevzuatla belirlenir ve süre çoğu zaman çok kısadır. Bu nedenle ihlal anında karar vermek yerine süreç baştan hazırlanmalı; güncel yükümlülükler hukuk danışmanından ve Kişisel Verileri Koruma Kurumu duyurularından teyit edilmelidir.
Veri İhlali Bildirimi E-Ticarette Neden Önemlidir?
E-ticaret işletmesi ad, adres, telefon ve ödeme bilgisi gibi hassas veri tutar ve çevrim içi ortamda sürekli saldırı hedefidir. İhlalin sonuçları yalnızca yaptırımla sınırlı kalmaz: müşteri güveni zedelenir, markanın itibarı zarar görür ve satışlar düşer. Önceden hazırlanmış bir plan, zararı sınırlandırır.
Önlem tarafında temel güvenlik adımları uygulanmalıdır: SSL sertifikası, şifreleme, güçlü parola ve çok adımlı doğrulama, erişim yetkisi ve düzenli yedekleme. Ödeme verisi için PCI DSS kurallarına uyum ayrıca gerekir. Kötü niyetli işlemleri erken yakalamak için dolandırıcılık önleme araçları kullanılır.
Karar olarak bir ihlal müdahale planı yazılır: kimin ne yapacağı, kime haber verileceği ve hangi kayıtların tutulacağı belirlenir. Plan yılda en az bir kez prova edilir. Aydınlatma metni ve VERBİS kaydı güncel tutulur; ihlal sonrası öğrenilen dersler güvenlik önlemlerine yansıtılır.
Veri İhlali Bildiriminde Sık Yapılan Hatalar
- Planı olmadan ihlal anını karşılamak. Süre kaybedilir ve yanlış kararlar alınır.
- İhlali gizlemeye çalışmak. Bildirim yükümlülüğü ihlal edilir ve yaptırım riski büyür.
- Kayıt tutmamak. Olayın kapsamı ve alınan önlemler kanıtlanamaz.
- Önlemi gözden geçirmemek. Aynı açık nedeniyle ihlal tekrarlanır.
Veri İhlali Bildirimi Hakkında Sık Sorulan Sorular
Veri ihlali bildirimi için hazırlanan müdahale planında neler yer alır?
Planda ihlal anında kimin ne yapacağı, kime haber verileceği ve hangi kayıtların tutulacağı yazılır. Tespit, sınırlama, etkilenen veri ve kişilerin değerlendirilmesi, bildirim ve belgeleme adımları sırayla tanımlanır; plan yılda en az bir kez prova edilir. Bildirim süresi çoğu zaman çok kısa olduğundan ihlal anında karar aramak yerine bu hazır sürece göre hareket edilir.
Veri ihlali bildirimi kime yapılır?
Mevzuatın öngördüğü usulle yetkili kuruma ve gerekiyorsa etkilenen kişilere yapılır. Güncel usul ve süre ilgili kurum duyurularından teyit edilmelidir.
Veri ihlali yaşanırsa ilk ne yapılmalıdır?
İhlal sınırlandırılır, erişim kapatılır, olay kayda alınır ve hukuk ile güvenlik sorumlularına derhal bilgi verilir. Bildirim süresi hızla işlediği için gecikilmemelidir.