Veri İhlali Durumunda Ne Yapılır?

Veri ihlali; kişisel verilerin hukuka aykırı olarak erişilmesi, ifşa edilmesi, değiştirilmesi ya da kaybolmasıdır. Yalnız siber saldırı değil, kaybolan bir dizüstü bilgisayar, yanlış kişiye gönderilen bir liste ya da ayrılan çalışanın indirdiği müşteri dosyası da ihlaldir.

Bu yazı genel bilgilendirme amaçlıdır; yükümlülükleriniz için hukuki danışmanlık alın.

İhlal örnekleri

• Yetkisiz erişim / hesap ele geçirilmesi
• Fidye yazılımı
• Müşteri listesinin izinsiz indirilmesi
• Yanlış alıcıya gönderilen e-posta (özellikle toplu gönderimde açık adresler)
• Kaybolan ya da çalınan cihaz
• Yanlış yapılandırma nedeniyle verinin herkese açık hâle gelmesi
• Yedeklerin korumasız kalması
• Tedarikçi kaynaklı sızıntı

Dördüncü madde en yaygın ve en çok küçümsenenidir: toplu e-postada alıcıların birbirini görmesi bir veri ihlalidir.

Müdahale adımları

1. Tespit ve doğrulama (ilk saatler)

• Olayın gerçekten ihlal olup olmadığını doğrulayın.
• Ne zaman başladı, hâlâ devam ediyor mu?
• Kanıtları koruyun; sistemleri hemen silmeyin.

2. Durdurma

• Erişimi kesin (hesap kapatma, parola sıfırlama, bağlantı koparma).
• Etkilenen sistemi izole edin.
• Sızıntı devam ediyorsa kaynağı kapatın.

3. Kapsam tespiti

• Hangi veri kategorileri etkilendi?
• Kaç kişi etkilendi?
• Özel nitelikli veri var mı?
• Veri ele geçirildi mi, yalnız erişildi mi?
• Olası sonuçlar neler? (Dolandırıcılık, itibar zararı, maddi kayıp)

4. Bildirim

• Yetkili kuruma bildirim yükümlülüğü değerlendirilir; mevzuatta öngörülen süreye dikkat edilir.
• Etkilenen kişilere bildirim yapılması gerekebilir.
• Bildirim içeriği: ne oldu, hangi veriler, olası sonuçlar, alınan önlemler, iletişim noktası.

5. İyileştirme

• Açığı kapatın.
• Etkilenen kişilere yönelik koruyucu öneriler verin.
• İzlemeyi güçlendirin.

6. Kayıt ve öğrenme

• Olayı ayrıntılı kaydedin.
• Kök nedeni analiz edin.
• Süreç ve teknik önlemleri güncelleyin.
• Ekibi bilgilendirin.

Önceden hazırlanması gerekenler

İhlal anında plan yapmaya vakit olmaz. Önceden hazır olması gerekenler:

İletişim ilkeleri

• Hızlı olun ama doğrulanmamış bilgi vermeyin.
• Açık olun: gizlemeye çalışmak zararı büyütür.
• Somut olun: hangi veri etkilendi, ne yapılmalı?
• Tek kanal belirleyin: soruların geleceği bir adres.
• Suçlamaya girmeyin; önce çözüm, sonra analiz.

CRM özelinde riskler

• Toplu dışa aktarım (en yaygın)
• Zayıf parola ve çok faktörlü doğrulamanın kapalı olması
• Ayrılan personelin erişiminin kapatılmaması
• Test ortamında gerçek veri kullanımı
• API anahtarlarının paylaşılması
• Yetkisiz entegrasyon bağlantıları
• Yedeklerin korumasız saklanması

Tatbikat

Planın işe yarayıp yaramadığını ihlal anında öğrenmek pahalıdır. Yılda bir kez masa başı tatbikat yapın:

1. Senaryo verin ("müşteri listesi dışarı sızdı").
2. Ekip adımları uygulasın.
3. Süreleri ölçün.
4. Eksikleri planla birleştirin.

Özet

İhlal müdahalesi; tespit, durdurma, kapsam belirleme, bildirim, iyileştirme ve kayıt adımlarından oluşur. Müdahale ekibi, iletişim listesi ve bildirim şablonları önceden hazır olmalıdır. CRM'de en yaygın ihlal kaynağı toplu dışa aktarımdır; yetkiyi sınırlayın ve işlemleri izleyin.

Bildirim yükümlülükleriniz için hukuki danışmanlık alın.