Son günlerden gündemi en çok meşgul eden konuların başında Coronavirus geliyor. Yaklaşık 2 aydır adını sıklıkla duyduğumuz hatta günlük yaşamımızı etkileyen virüs için ellerimizi dikkatlice yıkamakla başlayan çeşitli önlemler alınıyor. Kimileri tarafından çok radikal olarak değerlendirilse bile ülkeyi karantinaya almaya kadar uzanan bu önlemlerin amacı, tabi ki henüz tedavisi bulunmamış bu virüs yayılmadan önüne geçmek.
Bu gibi kararlar alınırken birçok faktör hesaba katılarak bir değerlendirme yapılıyor. Durumun neyi etkilediği, alınacak tedbirlere de önemli ölçüde şekil veriyor. Coronavirus insan sağlığını etkilerken bilgisayar virüsleri, zararlı yazılımlar ve siber saldırılar da insanları, şirketleri ve bazı durumlarda ikisini de etkileyebiliyor.
Bunun bir sonucu olarak, son zamanlarda gündemi meşgul eden başka bir konunun kişisel verilerin işlenmesine ve korunmasına yönelik düzenlemeler olduğunu görüyoruz. Özellikle büyük veri işleme yetkinliklerinin artmasıyla kişisel verilerin satış, pazarlama, sağlık, üretim gibi birçok farklı konuda ve alanda kullanımı da günden güne artıyor. Dolayısıyla, bireylerin zarar görmesini engellemek amacıyla bu faaliyetleri kontrol altına almak ve belirli standartlar getirmek kaçınılmaz bir hal alıyor.
Neredeyse tüm Dünya üzerinde (kişisel) verilerin korunmasıyla ilgili yasa ve mevzuatlar bulunuyor. Bunların birçoğu sadece idari konulara değil belirli teknik konulara da uyumu gerekli kılıyor. Gerek ilgili yasa ve mevzuatlara uyum için, gerekse bilgi güvenliğinin sağlanması amacıyla bir takım teknik tedbirler alınması gerekiyor. Yukarıda da bahsettiğimiz, şirketleri ve şahısları etkileyen durumlara bazen en başından alınması gereken tedbirlerin alınmaması da sebep olabiliyor. Geçtiğimiz günlerde ikisi yurtdışı, biri yurt içi olmak üzere üç örneği sizlerle paylaşmak istiyoruz.
Kişisel verileri etkileyen karmaşık teknik konular mı?
1.örneğimiz, Danimarka Veri Koruma Kurumu tarafından 10 Mart 2020 tarihinde Gladsaxe ve Hørsholm belediyelerine sırasıyla 100.000 ve 50.000 Danimarka kronu ceza kesilmesine sebep olmuş. Cezanın sebebi, GDPR'da belirlenen güvenlik gereksinimlerine uyum sağlanmaması. Aslında 2 durum birbirinin neredeyse aynısı: 2 belediyeye ait içinde (özel nitelikli de dahil) kişisel veri içeren bilgisayarlar çalınmış ve iki olaydan yaklaşık 22.220 kişi etkilenmiş. Detaylara linkten ulaşabilirsiniz.
Bu durumun önüne geçmek için full disk encryption (tüm diskin şifrelenmesi) gibi alınabilecek çeşitli önlemler bulunuyor. Tüm diskin şifrelenmesi durumunda, şifrelemenin türüne göre değişiklik gösterse de temel olarak bilgisayara veya verilerin bulunduğu diske erişim sağlansa da ekstra bir şifre girmeden verilere erişmek mümkün olmuyor.
2. örneğimiz, Norveç Veri Koruma Kurumu (Datatilsynet) tarafından 26 Şubat tarihinde Rælingen belediyesine 73.600 EUR para cezası kesilmesine sebep olmuş. Cezanın sebebi, yukarıda örnekteki gibi, GDPR'da belirlenen güvenlik gereksinimlerine uyum sağlanamaması. Okullar ve fiziksel ya da zihinsel engelli öğrencilerin velileri arasında iletişim kurulmasını sağlayan uygulama üzerinde sağlık verilerinin işlenmesi. Detaylara linkten ulaşabilirsiniz.
KVKK'da da olduğu gibi, sağlık verileri özel nitelikli kişisel verileri işlemek için veri sahiplerinden veya velilerinden açık rıza alınması gerekiyor. Bu tarz durumların önüne geçmek için sadece işleme amacına yönelik kişisel verileri toplamak ve işlemek ve bu verileri işleyebilmek için veri sahiplerinden açık rıza alınması gerekiyor.
3. örneğimiz ise, tahminen 300 kişinin etkilendiği Doğa Sigorta'nın yaşadığı bir veri ihlali. İhlal, şirketin web sayfasına ait bir test sunucusunun hacklenmesiyle gerçekleşiyor. Burada dikkat çeken konu, test sistemlerinde gerçek kişilere ait kişisel verilerin bulunması. İyi uygulama örneklerinde test sistemlerinde kullanılacak veriler rastgele oluşturuluyor ya da anonimleştirme teknikleri kullanılarak veri sahiplerine erişilemeyecek şekilde değiştiriliyor.
Bu örnekler bize neyi anlatıyor?
Geldiğimiz nokta itibariyle, herhangi bir düzenleme olmasa bile, iş gücü kaybı, itibar kaybı, müşteri kaybı vb. kayıplar yaşamamak için alınabilecek tedbirler arasında:
- Şirket BT altyapınızı faaliyet gösterdiğiniz alana göre standart güvenlik önlemlerini aksatmadan tamamlamanız,
- Privacy by design ve privacy by default ilkelerini göz önünde bulundurmanız,
- Şirket bünyesinde konu uzmanı personel bulundurmanız veya konu uzmanlarından destek almanız,
- Çalışanlarınızın bilgi güvenliği konusunda farkındalığını artıracak faaliyetlerde bulunmanız,
- Bilgi güvenliği konusundaki politika ve prosedürlerinizi sadece bir gerekliliği yerine getirmek amacıyla değil yasa ve mevzuatlara, şirket kültürünüze, iş süreçlerinize ve BT altyapınıza uygun olarak çalışanlarınızın en yüksek verimle faydalanabileceği şekilde hazırlamanız/güncellemeniz,
- Yazılım geliştirme ve benzeri faaliyetlerde bulunuyorsanız süreçlerinizi veri güvenliği konusundaki iyi uygulama örnekleri ışığında güncellemeniz,
- Yasalara ve mevzuatlara uyum konusundaki idari ve teknik konuları sürekli takip ederek şirket iş süreçlerinizi güncellemeniz,
- Bilgi güvenliği konusundaki güncel gelişmeleri takip etmeniz
yer alıyor.
Sizlerin de herhangi bir zarara uğramamanız için, özellikle evden çalışma düzenine geçilen bu günlerde konuyu dikkatle ele almanızı tavsiye ediyoruz. Tıp alanında günden güne yaygınlaşan "koruyucu hekimlik" uygulamasının şirket bilgi güvenliği konusunda da geçerli olduğunu düşünüyoruz. Unutmayın, önlem almazsanız hasarı onarmanız gerekebilir, bu da ne yazık ki her zaman mümkün olmayabilir.
Originally published 20 April, 2020
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
