KVKK ve Siber Güvenlik: Şirketler İçin Pratik Yükümlülükler

KVKK (Kişisel Verilerin Korunması Kanunu), 2016'dan beri yürürlükte olsa da, 2026 itibarıyla Kurul'un teknik güvenlik önlemleri konusundaki BEKLENTİLERİ giderek SIKILAŞIYOR. Bu makale, KVKK'nın SİBER GÜVENLİK boyutuna, teknik bir bakış açısıyla odaklanıyor.

⚠️ Not: Bu makale bilgilendirme amaçlıdır, hukuki danışmanlık YERİNE GEÇMEZ.

KVKK'nın Temel Mantığı

KVKK, kişisel veriyi işleyen (toplayan, saklayan, kullanan) HER kuruluşa, bu veriyi KORUMAK için "gerekli teknik ve idari tedbirleri" ALMA yükümlülüğü getiriyor. "Gerekli tedbirler" ifadesi kasıtlı olarak GENİŞ tutulmuş — ama Kurul'un GEÇMİŞ kararları, bu tedbirlerin NE ANLAMA geldiğini netleştiriyor.

Çarpıcı Bir Gelişme: MFA Eksikliği "Ağır İhmal"

2026 itibarıyla KVKK Kurulu, uzaktan erişim noktalarında MFA (çok faktörlü kimlik doğrulama) eksikliğini "ağır ihmal" olarak değerlendiriyor. Bu, Vaka Analizleri kütüphanemizdeki Colonial Pipeline makalemizle DOĞRUDAN bağlantılı — hatırlarsan, o saldırı TAM OLARAK MFA'sız bir uzaktan erişim hesabı ÜZERİNDEN gerçekleşmişti. Türkiye'de bugün BENZER bir olay yaşansa, şirket sadece İTİBAR kaybı değil, KVKK'dan da AĞIR bir idari para cezasıyla KARŞILAŞABİLİR.

Bu, sitedeki Security+ ve CISSP rehberlerimizde işlediğimiz "temel güvenlik hijyeni" konularının, artık SADECE teknik değil, DOĞRUDAN HUKUKİ bir risk TAŞIDIĞI anlamına geliyor.

Veri İhlali Bildirim Yükümlülüğü

KVKK, bir veri ihlali YAŞANDIĞINDA, belirli bir süre İÇİNDE (Kurul'a ve etkilenen kişilere) bildirim YAPILMASINI ZORUNLU kılıyor. Bu, Security+ rehberimizdeki olay müdahale AŞAMALARININ (tespit, kapsam belirleme, bildirim), artık YASAL bir SÜRE BASKISI altında YÜRÜTÜLMESİ gerektiği anlamına geliyor — Equifax vakamızda gördüğümüz gibi, bir ihlali AYLARCA fark ETMEMEK, KVKK bağlamında da ÇOK CİDDİ bir sorun teşkil eder.

Bulut Depolamada KVKK Riski

Bulut Güvenliği kütüphanemizdeki "Yanlış Yapılandırılmış Depolama Alanları" makalemizde işlediğimiz risk, KVKK açısından ÖZELLİKLE kritik: eğer HERKESE AÇIK bırakılan bir bucket'ta KİŞİSEL VERİ varsa, bu hem TEKNİK bir zafiyet HEM DE doğrudan bir KVKK İHLALİDİR — iki ayrı sorunun AYNI ANDA gerçekleşmesi demek.

Şirketler İçin Pratik Kontrol Listesi

• Uzaktan erişim noktalarında MFA ZORUNLU mu? (Değilse, bu artık "ağır ihmal" sayılabilir.)
• Veri ihlali durumunda, KİMİN, NE KADAR sürede, KİME bildirim yapacağı NET mi?
• Bulut depolama alanları DÜZENLİ olarak (CSPM araçlarıyla) TARANIYOR mu?
• Kişisel veri içeren sistemlere erişim, EN AZ YETKİ ilkesine göre mi YAPILANDIRILMIŞ?

Kariyer Bağlantısı

KVKK uyumluluğu, Kariyer kütüphanemizdeki GRC Uzmanı rolünün EN BÜYÜK sorumluluk alanlarından biri — teknik bir SOC Analisti ile HUKUKİ bir KVKK uzmanının ARASINDAKİ köprüyü kuran roller, Türkiye'de GİDEREK daha FAZLA aranıyor.

Bu makale, SiberCrew ekibi tarafından hazırlanmış özgün içeriktir ve hukuki danışmanlık yerine geçmez.