Veri İhlalinde Saat İşliyor: KVKK'nın Ekim İlanları ve 72 Saat Kuralı
KVKK'nın 7 Ekim'de ilan ettiği ihlaller arasında 140 bin öğrenciyi etkileyen bir fidye yazılımı saldırısı var. İhlali 72 saatte bildirmeye hazır mısınız?
Kişisel Verileri Koruma Kurulu, 7 Ekim 2026'da çok sayıda kurum ve şirkete ait veri ihlali bildirimini internet sitesinde kamuoyuyla paylaştı. Bu ilanlardan biri, bir ihlalin ne kadar geniş bir kitleyi etkileyebileceğini açıkça gösteriyor: Yıldız Teknik Üniversitesi'nin sanallaştırma altyapısı ve üzerinde çalışan sunucular fidye yazılımı saldırısından etkilendi. Kurumun bildirimine göre yaklaşık 140.000 öğrenci ve 4.500 personel ihlalden etkilenmiş olabilir.
Bir ihlal yaşandığında saat işlemeye başlar
KVKK'nın 12. maddesi, veri ihlalinin "en kısa sürede" Kurula bildirilmesini istiyor. Kurul, 24 Ocak 2019 tarihli ve 2019/10 sayılı kararıyla bu süreyi netleştirdi: Veri sorumlusu ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirmek zorunda. Haklı bir sebeple bu süre aşılırsa, gecikmenin nedeni bildirimde açıklanmalı. Bilgilerin tamamı aynı anda toplanamıyorsa, bildirim aşamalı olarak da yapılabiliyor.
Kurulun geçmiş kararları, sürenin kâğıt üzerinde kalmadığını gösteriyor. Örneğin 2024/728 sayılı kararda, 72 saatlik süre içinde bildirim yapılmaması da gerekçeler arasında yer alarak veri sorumlusuna idari para cezası uygulandı.
Kendinize sormanız gereken soru: 72 saatte ne yapabilirsiniz?
Fidye yazılımı saldırısına uğrayan bir işletmenin ilk saatleri genellikle sistemleri ayağa kaldırmaya çalışmakla geçer. Oysa aynı süre içinde şu soruların da yanıtlanması gerekir: Hangi sistemler etkilendi? Hangi kişisel veriler, kaç kişiye ait? Veri dışarı çıkarıldı mı? Hangi önlemler alındı? Bu sorulara hızlı cevap verebilmek, ancak önceden hazırlıkla mümkün.
Hazırlık listesi
- Veri envanterinizi güncel tutun. Hangi kişisel verilerin hangi sistemde, ne kadar süre tutulduğunu bilmek, ihlal anında etki alanını hızla belirlemenizi sağlar.
- Bir olay müdahale planı yazın. Kimin karar vereceğini, BT ekibinin, hukuk danışmanının ve yönetimin kime nasıl ulaşacağını belirleyin. Telefon numaraları dahil, plan sistemler çökse de erişilebilir olmalı.
- Log kayıtlarını saklayın. Erişim ve sistem kayıtları, ihlalin ne zaman başladığını ve neleri etkilediğini gösteren en önemli kanıttır. Kayıtların saldırgan tarafından silinemeyecek bir yerde tutulması gerekir.
- Yedekleri ağdan ayırın. Fidye yazılımları ağa bağlı yedekleri de şifreleyebilir. En az bir yedek kopyanın çevrim dışı ya da değiştirilemez olarak saklanması, hem iş sürekliliğini hem de veri kaybının sınırlanmasını sağlar.
- Bildirim yolunu önceden öğrenin. Kurul bildirimleri çevrim içi ihlal bildirim sistemi üzerinden yapılıyor. Formun hangi bilgileri istediğine önceden bakmak, kriz anında zaman kazandırır.
- Tatbikat yapın. Yılda bir kez, "yarın sabah sunucular şifrelenmiş olarak açılırsa ne yaparız?" senaryosunu ekibinizle birlikte üzerinden geçin.
ZYON olarak sunucu ve ağ altyapınızı izliyor, yedeklerinizi ağdan ayrılmış biçimde yönetiyor ve olası bir saldırıda ilk müdahaleyi birlikte planlıyoruz. Ayrıntılar için Bilgi Teknolojileri (IT) sayfamıza göz atabilir ya da bizimle iletişime geçebilirsiniz.
Not: Bu yazı genel bilgilendirme amaçlıdır; ihlal yönetimi ve bildirim yükümlülükleri için hukuk danışmanınızla birlikte hareket etmenizi öneririz.
Kaynaklar