Bir şirketin kişisel verileri kendi sunucularında saklamaması, veri güvenliğine ilişkin sorumluluğunu ortadan kaldırmaz. Son dönem veri ihlali bildirimleri, yazılım tedarikçilerinin, bulut hizmetlerinin ve dış kaynaklı altyapıların güvenliğinin ne kadar önemli olduğunu ortaya koyuyor.

Günümüzde şirketler dijital hizmetlerini sunabilmek için çok sayıda dış hizmet sağlayıcıyla çalışıyor.

Veri merkezleri, bulut altyapıları, CRM uygulamaları, çağrı merkezi yazılımları, e-ticaret platformları ve SaaS hizmetleri bu ekosistemin önemli bileşenleri arasında yer alıyor.

Bu yapı işletmelere hız ve esneklik sağlarken veri güvenliği açısından yeni sorumluluklar da oluşturuyor.

Özbek Hukuk tarafından hazırlanan KVKK İhlal Bildirimleri Bilgi Notu, tedarikçi kaynaklı güvenlik risklerinin önemini dikkat çekici verilerle ortaya koyuyor.

109 Veri İhlali Bildirimi Ne Anlatıyor?

Özbek Hukuk'un değerlendirmesinde, Kişisel Verileri Koruma Kurumu tarafından 2 Eylül–7 Ekim döneminde yayımlanan toplam 109 veri ihlali duyurusu inceleniyor.

Bu duyuruların önemli bir bölümünün veri işleyen veya tedarikçi sistemleriyle bağlantılı olduğu belirtiliyor.

İncelenen duyurularda öne çıkan kök nedenler şöyle:

İhlal nedeni	Duyuru sayısı
Veri işleyen sistemine yetkisiz erişim	54
Veri işleyende üçüncü taraf yazılım açığı	19
Kaynağı net belirtilmeyen yetkisiz erişim	18
Fidye yazılımı saldırısı	15
Oltalama veya üçüncü taraf araç	3
Toplam	109

Özbek Hukuk'un sınıflandırmasına göre en az yaklaşık 77 duyuru, başka bir ifadeyle yaklaşık %71'lik bölüm, tedarik zinciri veya veri işleyen kaynaklı risklerle ilişkilendiriliyor.

Bu sonuç, veri güvenliği değerlendirmelerinde yalnızca kurumun kendi sistemlerinin incelenmesinin yeterli olmadığını gösteriyor.

Not: Bu istatistikler Özbek Hukuk'un belirli bir duyuru grubuna ilişkin değerlendirmesidir. Türkiye'deki tüm veri ihlallerinin genel dağılımı olarak yorumlanmamalıdır.

Veri Sorumlusu ve Veri İşleyen Arasındaki Fark

KVKK kapsamında veri sorumlusu, kişisel verilerin işlenme amaçlarını ve temel vasıtalarını belirleyen taraftır.

Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişidir.

Örneğin bir e-ticaret şirketi müşterilerinin kişisel verilerini işlemek amacıyla harici bir SaaS hizmeti kullanabilir.

Bu durumda tarafların hukuki rolleri, veri işleme faaliyetinin niteliğine göre belirlenir.

KVKK'nın 12. maddesi, kişisel verilerin veri sorumlusu adına başka bir kişi tarafından işlenmesi durumunda güvenlik tedbirleri bakımından ortak sorumluluk öngörür.

Bu nedenle veri sorumluları, dış hizmet sağlayıcılarını seçerken yalnızca hizmetin fiyatını veya teknik özelliklerini değil, güvenlik kapasitesini de değerlendirmelidir.

Tedarik Zincirindeki Güvenlik Açıkları Nasıl Ortaya Çıkıyor?

Modern yazılım sistemleri çoğunlukla çok sayıda bileşenin birlikte çalışmasıyla oluşturuluyor.

Bir SaaS uygulaması; işletim sistemi, veritabanı, açık kaynak yazılım kütüphaneleri, harici API servisleri ve bulut altyapısı gibi farklı katmanlardan oluşabilir.

Bu katmanlardan herhangi birindeki güvenlik açığı, diğer sistemleri de etkileyebilir.

Özbek Hukuk'un incelediği duyurularda üçüncü taraf yazılım bileşenlerindeki güvenlik açıklarının önemli bir risk oluşturduğu görülüyor.

Bu nedenle tedarikçi güvenliği yalnızca veri merkezinin fiziksel güvenliğini değil, uygulama ve yazılım tedarik zincirinin tamamını kapsamalıdır.

En Çok Hangi Veriler Etkileniyor?

Özbek Hukuk'un değerlendirmesinde en sık karşılaşılan veri kategorileri arasında e-posta adresleri, fiziksel adresler, telefon numaraları ve kullanıcı giriş bilgileri bulunuyor.

Veri türü	Duyurularda görülme oranı
E-posta adresi	%84
Adres	%82
Telefon	%72
Ad-soyad	%70
Şifre veya giriş bilgileri	%69
Müşteri işlem / finans verileri	%43
Özlük / İK verileri	%17
Kimlik verileri	%7

Bu oranlar, incelenen 109 duyuru üzerinden yapılan yaklaşık sınıflandırmalardır. Bir ihlal birden fazla veri kategorisini etkileyebilir.

Veri ihlallerinin yalnızca finansal bilgiler veya kimlik numaralarıyla sınırlı olmadığı görülüyor.

E-posta adresleri, telefon numaraları ve kullanıcı hesap bilgileri de kötüye kullanım açısından önemli riskler oluşturabilir.

Fidye Yazılımı Tehdidi

Özbek Hukuk'un değerlendirmesinde dikkat çeken bir diğer konu, fidye yazılımı saldırılarının belirli duyuru gruplarında daha görünür hâle gelmesi.

Fidye yazılımları, kurumların sistemlerine erişimi engelleyebilir, verileri şifreleyebilir veya verilerin dışarı çıkarılmasıyla sonuçlanabilir.

Bu tür olaylar yalnızca veri gizliliğini değil, hizmet sürekliliğini de tehdit eder.

Bu nedenle fidye yazılımına karşı güvenlik yaklaşımı; erişim kontrolleri, ağ segmentasyonu, yedekleme, geri dönüş testleri ve olay müdahale planlarını birlikte kapsamalıdır.

Özellikle değiştirilemez veya çevrimdışı yedekleme yöntemleri, uygun tasarlandığında saldırı sonrası veri kurtarma süreçlerine katkıda bulunabilir.

ISO 27001 ve Diğer Güvenlik Standartlarının Rolü

ISO/IEC 27001, bilgi güvenliği risklerinin sistematik olarak yönetilmesine yardımcı olan uluslararası bir standarttır.

Kuruluşların risk analizi, erişim yönetimi, olay müdahalesi, tedarikçi ilişkileri ve sürekli iyileştirme gibi alanlarda yapılandırılmış süreçler oluşturmasını destekler.

Ancak ISO 27001 sertifikasına sahip olmak, hiçbir veri ihlali yaşanmayacağı anlamına gelmez.

Ayrıca sertifika tek başına KVKK uyumunun kanıtı değildir.

Kurumsal müşteriler açısından önemli olan, hizmet sağlayıcının güvenlik yönetim sistemi sertifikalarının yanı sıra gerçek hizmet kapsamının, teknik önlemlerinin ve sözleşmesel sorumluluklarının da değerlendirilmesidir.

Veri Merkezi ve Cloud Sağlayıcısı Seçerken Nelere Dikkat Edilmeli?

Bir işletmenin altyapı sağlayıcısını değerlendirirken aşağıdaki konuları incelemesi önemlidir.

Fiziksel Güvenlik

Veri merkezine erişimin yetkilendirilmesi, ziyaretçi yönetimi, fiziksel güvenlik kontrolleri ve izleme sistemleri değerlendirilmelidir.

Network Güvenliği

Ağ segmentasyonu, erişim politikaları, DDoS koruması ve gerekli güvenlik kontrollerinin hizmet kapsamında nasıl sunulduğu incelenmelidir.

Veri Lokasyonu

Birincil sistemlerin, yedeklerin ve ilgili veri işleme faaliyetlerinin hangi ülkelerde gerçekleştiği belirlenmelidir.

Hizmet Sürekliliği

Enerji altyapısı, yedeklilik, izleme ve arıza müdahale süreçleri değerlendirilmelidir.

Olay Müdahale ve Bildirim

Bir güvenlik olayı meydana geldiğinde hizmet sağlayıcının müşteriyi nasıl bilgilendireceği ve hangi bilgileri paylaşacağı sözleşmeyle açıklığa kavuşturulmalıdır.

Denetim ve Sertifikasyon

Sertifikaların geçerliliği, kapsamı ve mümkünse bağımsız denetim raporları incelenmelidir.

Radore Veri Merkezi ve Radore Cloud ile Güvenlik Altyapısının Güçlendirilmesi

Kurumsal işletmelerin tüm fiziksel ve teknik altyapı bileşenlerini kendi bünyelerinde kurması ve işletmesi önemli maliyetler ve operasyonel sorumluluklar oluşturabilir.

Radore Veri Merkezi ve Radore Cloud hizmetleri, bu altyapı ihtiyaçlarının profesyonel bir hizmet sağlayıcı üzerinden karşılanmasına olanak tanır.

Profesyonel Veri Merkezi Altyapısı

Radore'nin colocation hizmetleri, işletmelerin sunucu ve network ekipmanlarını profesyonel veri merkezi koşullarında barındırabilmelerini sağlar.

Fiziksel altyapı, enerji sürekliliği ve operasyonel hizmetler, müşterilerin kendi bilgi güvenliği mimarilerini oluşturmalarında önemli bir temel sunar.

Türkiye'de Bulut Altyapısı

Radore Cloud, uygulamalarını ve verilerini Türkiye'de konumlandırılmış kaynaklarda çalıştırmak isteyen işletmelere altyapı seçeneği sunar.

Bu yaklaşım, özellikle veri lokasyonu konusunda belirli müşteri beklentileri veya sözleşmesel gereksinimleri bulunan işletmeler için önemlidir.

Network ve DDoS Güvenliği

İnternet üzerinden hizmet veren uygulamalarda ağ erişilebilirliği ve DDoS saldırılarına karşı koruma önemli ihtiyaçlardır.

Radore'nin network ve DDoS koruma hizmetleri, seçilen hizmet kapsamı doğrultusunda müşterilerin erişilebilirlik ve ağ güvenliği stratejilerini destekleyebilir.

Operasyonel İzleme ve Destek

Profesyonel veri merkezi operasyonları, fiziksel altyapının ve ilgili sistemlerin izlenmesini ve olaylara müdahale süreçlerinin yönetilmesini kolaylaştırır.

Ancak işletim sistemi, uygulama ve müşteri verilerine ilişkin güvenlik sorumluluklarının hangi tarafça üstlenildiği hizmet modeline göre ayrıca belirlenmelidir.

Veri Güvenliğinde Sorumluluk Paylaşımı

Bir altyapı sağlayıcısıyla çalışılması, müşterinin kendi uygulamasına ilişkin bütün sorumluluklarının ortadan kalktığı anlamına gelmez.

Örneğin bir bulut sunucusunun işletim sistemi güncellemeleri, uygulama güvenliği ve kullanıcı yetkileri, yönetilen hizmet sözleşmesinde aksi kararlaştırılmadıkça müşterinin sorumluluğunda olabilir.

Bu nedenle güvenlik sorumluluklarının hizmet sözleşmelerinde açıkça tanımlanması gerekir.

Sonuç: Veri Güvenliği Tedarik Zincirinin Tamamını Kapsamalı

Özbek Hukuk'un değerlendirdiği veri ihlali bildirimleri, tedarikçi ve veri işleyen kaynaklı risklerin önemini ortaya koyuyor.

Veri güvenliği artık yalnızca kurum içindeki sunucuların korunmasından ibaret değil.

SaaS sağlayıcıları, bulut operatörleri, veri merkezleri ve diğer hizmet sağlayıcılar, işletmelerin güvenlik ekosisteminin önemli parçaları hâline gelmiş durumda.

Radore Veri Merkezi ve Radore Cloud çözümleri, işletmelerin altyapı ihtiyaçlarını güvenilir ve yönetilebilir hizmet modelleriyle karşılayarak bilgi güvenliği çalışmalarına katkıda bulunabilir.

Doğru tedarikçi seçimi, KVKK kapsamındaki sorumlulukların yerine getirilmesinde önemli bir adımdır; ancak etkin güvenlik, tedarikçi ve müşteri tarafından birlikte yürütülen sürekli bir süreçtir.

Kaynaklar

• Özbek Hukuk, KVKK İhlal Bildirimleri Bilgi Notu — Radore'ye iletilen 109 ihlal duyurusuna ilişkin değerlendirme. Özbek Hukuk
• Kişisel Verileri Koruma Kurumu – Veri Güvenliğine İlişkin Yükümlülükler
• Kişisel Verileri Koruma Kurumu – Kişisel Veri Güvenliği Rehberi

Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz.