KVKK Uyumluluk
KVKK sızma testi ve teknik kanıt raporlaması
KVKK'nın 12. maddesi "gerekli her türlü teknik ve idari tedbiri" almanızı zorunlu kılar. Denetimde sorulan soru ise tedbiri aldığınız değil, aldığınızı nasıl kanıtladığınızdır.
KVKK teknik tedbir olarak ne istiyor?
6698 sayılı Kanun'un 12. maddesi veri sorumlusuna üç yükümlülük getirir: kişisel verilerin hukuka aykırı işlenmesini önlemek, verilere hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak. Kanun metni bunun için hangi teknik yöntemin kullanılacağını saymaz.
Boşluğu Kişisel Verileri Koruma Kurumu'nun yayımladığı Kişisel Veri Güvenliği Rehberi doldurur. Rehber, alınabilecek teknik tedbirleri başlıklar hâlinde sıralar ve sızma testini bunların arasında açıkça sayar. Aşağıdaki tabloda, rehberde geçen teknik tedbir başlıklarının sızma testiyle nasıl doğrulandığını gösteriyoruz.
Kontrolün varlığı ile etkinliği arasındaki fark
Denetimlerde en sık karşılaşılan durum şudur: kurum güvenlik duvarı satın almıştır, SIEM kurmuştur, politika yazmıştır. Hepsi envanterde görünür. Ancak hiçbiri gerçek bir saldırı senaryosuyla sınanmamıştır.
Sızma testi tam olarak bu farkı kapatır. Ağ segmentasyonunun kâğıt üzerinde değil pratikte çalıştığını, SIEM kuralının zararlı trafiği gerçekten yakaladığını, yetki matrisinin aşılamadığını gösterir. Bir veri ihlali sonrasında Kurum'a sunulacak savunmada, alınan tedbirin etkin olduğunu belgeleyen tek şey budur.
ISO 27001 ile ilişkisi
ISO 27001 sertifikasyon sürecindeyseniz aynı rapor iki yerde işinize yarar. Raporlarımızda her bulgu Annex A kontrollerine eşlenir; özellikle A.12.6.1 (teknik açıklıkların yönetimi) ve A.14.2.5 (güvenli sistem mühendisliği ilkeleri) kalemleri için doğrudan kanıt oluşturur. PCI-DSS v4.0 kapsamındaysanız Requirement 11.4 sızma testi gereksinimini de aynı çalışma karşılar.
Yapmadığımız şey
KVKK uyum danışmanlığı vermiyoruz. VERBİS kaydı, aydınlatma metni, açık rıza süreçleri, veri envanteri ve saklama-imha politikası gibi idari başlıklar hukuk ve uyum danışmanlarının alanıdır. Biz teknik tarafı yapıyoruz ve ürettiğimiz raporu uyum danışmanınıza teslim edebileceğiniz biçimde hazırlıyoruz.
KVKK'nın belgeli bir tedarikçi şartı getirip getirmediği sık sorulur. Getirmez; ayrıntısını Sızma Testi Yapmaya Yetkili Firma Ne Demek? yazısında açıkladık. Raporun denetimde nasıl okunduğunu ise Sızma Testi Raporu Nasıl Okunur? yazısında anlattık.
Bu sayfadaki bilgiler genel bilgilendirme amaçlıdır ve hukuki görüş niteliği taşımaz. Yükümlülüklerinizin kapsamı için hukuk danışmanınıza başvurun.
Sık Sorulanlar
KVKK ve sızma testi hakkında sık sorulanlar
- KVKK sızma testi zorunlu mu?
- Kanun metninde doğrudan "sızma testi yaptırılmalıdır" ifadesi geçmez. KVKK'nın 12. maddesi veri sorumlusuna "gerekli her türlü teknik ve idari tedbiri almak" yükümlülüğü getirir. Kurumun yayımladığı Kişisel Veri Güvenliği Rehberi ise sızma testini alınabilecek teknik tedbirler arasında açıkça sayar. Pratikte bir denetimde "teknik tedbir aldık" iddiasını belgelemenin en somut yolu budur.
- Raporunuz denetimde kanıt olarak kabul edilir mi?
- Raporlarımız bu amaçla hazırlanır. Her bulgu CVSS v4.0 skoru, CWE sınıflandırması ve ISO 27001 Annex A kontrol eşlemesiyle birlikte sunulur; testin kapsamı, tarihi ve yöntemi belgelenir. Denetçinin görmek istediği şey testin yapıldığı, bulguların önceliklendirildiği ve kapatıldığıdır: üçünü de raporlayabiliyoruz.
- Ne sıklıkla test yaptırmalıyız?
- Kişisel Veri Güvenliği Rehberi düzenli aralıklarla test yapılmasını önerir ancak sabit bir süre belirtmez. Yaygın uygulama yılda en az bir kez kapsamlı test yaptırmak, buna ek olarak yeni bir sistem devreye alındığında veya altyapı değiştiğinde tekrar test etmektir. Bir veri ihlali yaşandıysa, ihlalin kapsamını belirlemek için test kaçınılmazdır.
- Veri ihlali bildiriminde sızma testi raporu işe yarar mı?
- Evet. Veri ihlali bildiriminde Kurum, ihlalin nasıl gerçekleştiğini ve alınan tedbirleri sorar. Öncesinde yapılmış bir test raporu, ihlalden önce makul özenin gösterildiğini belgeler. İhlal sonrası yapılan test ise etkinin kapsamını ve kalan riski ortaya koyar.
- Siz KVKK danışmanlığı da veriyor musunuz?
- Hayır. VERBİS kaydı, aydınlatma metni hazırlama, veri envanteri çıkarma veya politika yazımı gibi idari süreçler hukuk ve uyum danışmanlarının alanıdır. Biz teknik tarafı yapıyoruz: sistemleri test ediyor, bulguları kanıtlıyor ve denetiminizde kullanabileceğiniz teknik dokümanı üretiyoruz. Uyum danışmanınızla birlikte çalışmakta bir sakınca yoktur, çoğu projede böyle ilerliyoruz.
İletişim
Güvenliğinizi test etmeye hazır mısınız?
İlk teknik değerlendirme görüşmesi ücretsiz: güvenlik ihtiyaçlarınızı ve test kapsamını birlikte tanımlayalım. 24 saat içinde dönüş yaparız.