KVKK ve GDPR Uyumlu Güvenlik Mimarisine Giriş

Kişisel veriyi korumak artık sadece iyi niyet değil, yasal zorunluluk. Bu yazıda KVKK ve GDPR’a uyum sağlamak için teknik tarafta nelere dikkat etmen gerektiğini mimari seviyede ele alıyoruz.

1. Veri Envanteri ve Sınıflandırma

• Hangi sistemlerde hangi kişisel veriler tutuluyor?
• Bu veriler hangi amaçla işleniyor, ne kadar süre saklanıyor?
• Kritik veriler için seviye seviye sınıflandırma yapılıyor mu?

Veriyi bilmeden neyi koruyacağını da bilemezsin.

2. Asgari Veri İlkesine Göre Tasarım

• Uygulama formlarında gereksiz alanları kaldır
• Loglarda tam kimlik ve kredi kartı bilgisi tutmaktan kaçın
• Gerekli durumlarda maskeleme ve anonimleştirme uygula

“Toplayabildiğin her veriyi topla” yaklaşımı artık ciddi hukuki risk demek.

3. Erişim Kontrolü ve İzlenebilirlik

• Kim hangi veriye, hangi kanaldan erişebiliyor?
• Tüm erişimler detaylı olarak loglanıyor mu?
• Erişim logları bütünlüğü korunmuş şekilde saklanıyor mu?

İhlal sonrası en çok sorulan soru: “Kim ne zaman hangi veriye baktı?”

4. Şifreleme Stratejisi

• Veri dinlenirken (at-rest) ve aktarılırken (in-transit) şifrelenmeli
• Anahtar yönetimi merkezi ve denetimli olmalı
• Kritik alanlar için alan bazlı şifreleme veya tokenizasyon düşünülmeli

Şifreleme yanlış kurgulanırsa, yedeklerden veya test ortamlarından veriler sızabilir.

5. İhlal Bildirim Süreçleri

Teknik mimari, ihlali zamanında tespit edip raporlayabilecek mekanizmalar içermeli:

• Anomali tespiti yapan log analizi/SIEM
• Kritik olaylar için otomatik uyarı mekanizmaları
• Olay müdahale planı ve iletişim senaryoları

Sonuç

KVKK ve GDPR uyumu sadece hukuki bir doküman işi değil; altyapı, uygulama ve süreçlerin birlikte ele alınmasını gerektiren bütünsel bir güvenlik programıdır.