Veri ihlalleri: neden önemlidirler ve nasıl hazırlanılır?

Veri ihlalleri, verileri etkilenen bireyler için önemli, bazen de yıkıcı sonuçlar doğurabilir; bu nedenle GDPR, kişisel verilerin güvence altına alınmasına ve bir ihlal tespit edildiğinde hızlı tepki verilmesine bu kadar önem vermektedir. Bu ihlallerin kurumunuz için de zarar verici mali ve itibar sonuçları olabileceğinden, işletmenizin bir kişisel veri ihlalini hızlı bir şekilde tespit etmeye ve neden olabileceği zararı azaltmaya hazır olması önemlidir. Bu kılavuz, AB ve Birleşik Krallık GDPR ile ilgili olarak kişisel veri ihlalleri konusuna bir giriş olarak tasarlanmıştır. Veri ihlali türlerini ve nedenlerini, kuruluşların verileri güvende tutmak ve ihlal riskini azaltmak için hangi adımları atabileceğini ve bir veri ihlali durumunda ne yapmanız gerektiğini incelemektedir.

Güvenlik Olayı ve Kişisel Veri İhlali

Bir kişisel veri ihlalinin ne zaman meydana gelmiş olabileceğini tespit edebilmek önemlidir. Hem bir güvenlik olayı hem de bir kişisel veri ihlali, bilgilerin gizliliği, bütünlüğü veya kullanılabilirliğinin tehlikeye girmesi nedeniyle meydana gelir. Bir güvenlik olayında bu, finansal bilgiler, ticari açıdan hassas veriler veya sağlık bilgileri de dahil olmak üzere herhangi bir bilgi olabilir. Ancak kişisel veri ihlali, ilgili yasal çerçeve tarafından tanımlanan kişisel bilgileri özellikle etkiler. GDPR kapsamında veri ihlali, “kişisel verilerin kazara veya yasa dışı olarak imha edilmesine, kaybolmasına, değiştirilmesine, yetkisiz olarak ifşa edilmesine veya bunlara erişilmesine yol açan bir güvenlik ihlali” olarak tanımlanmaktadır. Buradaki kritik nokta, tüm ihlaller olay olarak nitelendirilse de, her olayın kişisel veri ihlali anlamına gelmeyeceğidir.

Bir veri ihlali nasıl meydana gelebilir?

Veri ihlali türlerinin anlaşılması, kuruluşların bu risklere daha iyi hazırlanmasına ve yanıt vermesine yardımcı olabilir. Veri ihlalleri genellikle kazara meydana gelir; örneğin bir çalışanın yanlışlıkla yanlış alıcıya bilgi göndermesi, yanlışlıkla kötü amaçlı bir bağlantıya tıklaması, üzerinde kayıtlı verilerin bulunduğu bir cihazı kaybetmesi veya bir sistemdeki güvenlik ayarının yanlış yapılandırılması gibi. En yaygın olarak, kötü parola uygulamaları, yazılım yamalarının eksikliği ve genel bir siber güvenlik farkındalığı eksikliği sorun olacaktır. Bir diğer yaygın ihlal türü de, dış tehditler ya da iç suçlular içerebilen kötü niyetli bir ihlaldir. Bu ihlallerde güvenlik açıklarından faydalanmak için bilgisayar korsanlığı, kimlik avı ve fidye yazılımı gibi taktikler kullanılır. Örneğin, kimlik avı e-postaları oturum açma bilgilerini çalabilir veya kötü amaçlı yazılımlar tuş vuruşlarını yakalayabilir. Bu tür ihlaller genellikle daha zarar vericidir ve saldırganlar finansal kazanç veya kuruma zarar vermeyi amaçlar. Kişisel verilerin yetkisiz veya kazara ifşa edilmesi veya bunlara erişim gizlilik ihlali olarak bilinir. Verilerin izinsiz veya kazara değiştirilmesi bütünlük ihlali olarak kabul edilir. Verilerin yanlışlıkla ya da kasıtlı olarak kaybolması ya da ulaşılamaz hale gelmesi durumunda bu durum kullanılabilirlik ihlali olarak bilinir. Bir olay bir veya daha fazla ihlal türüne yol açabilir. Yangın veya sel gibi doğal afetler de veri ihlaline yol açabilir.

Veri ihlallerini neden önemsemeliyiz?

Veri ihlallerinin sonuçlarını anlamak, kişisel verileri işleyen tüm kuruluşlar için çok önemlidir. İhlalleri yeterince önleyememek veya ele alamamak, işinizin çeşitli yönlerinde ve etkilenen bireyler için ciddi sonuçlara yol açabilir. Bu bölümde veri ihlallerine karşı korunmanın neden bir öncelik olması gerektiğine bakacağız.

Bireylere Zarar

Veri ihlalleri ilgili bireylerin hayatlarını doğrudan etkileyebilir. Dolandırıcılık, kimlik hırsızlığı ve yetkisiz işlemler gibi faaliyetlerin neden olduğu finansal sonuçları düşünmek daha yaygındır. Ancak, sağlık bilgileri gibi hassas kişisel verilerin ifşa edilmesi, bireyler için ayrımcılık veya ilişkilerin bozulması gibi yıkıcı sosyal sonuçlar doğurabilir. Bu nedenle ihlaller, verileri tehlikeye giren kişiler için önemli maddi ve manevi sıkıntılara neden olma potansiyeline sahiptir.

Düzenleyici Cezalar (örneğin para cezaları)

Veri koruma yasaları, uyumsuzluk için ağır cezalar getirmektedir. AB GDPR kapsamında, para cezaları 20 milyon Euro’ya veya bir kuruluşun yıllık küresel cirosunun %4’üne kadar ulaşabilir. Benzer şekilde, Birleşik Krallık GDPR, 17,5 milyon £ veya küresel cironun %4’üne kadar para cezaları uygulamaktadır. Bu önemli cezalar, katı veri koruma standartlarını korumak için güçlü bir motivasyon kaynağıdır.

İtibari Hasar

Bir veri ihlali, bir kuruluşun itibarına önemli ölçüde zarar verebilir. Güven erozyonu birincil risktir, çünkü müşteriler verilerini koruma becerinize olan güvenlerini kaybedebilir ve bu da sadakatin azalmasına yol açabilir. Ayrıca, medyada yer alan olumsuz tanıtım, marka imajına zarar vererek potansiyel müşterileri caydırabilir. Zedelenmiş bir itibarı yeniden inşa etmek zaman ve kaynak gerektirir, bu da bir ihlalin maliyetli bir sonucu haline gelir.

Tazminat Talepleri

Kuruluşlar, etkilenen bireyler tazminat talebinde bulunduğunda yasal maliyet riskiyle karşı karşıya kalır ve bu da önemli yasal ücretler ve ödemelerle sonuçlanabilir. Tazminat taleplerini üstlenmek de maliyetli ve zaman alıcı bir çabadır, özellikle de işlerin olağan akışını bozduğu için.

İş Kesintisi

İhlaller operasyonel aksaklıklara yol açarak kesinti sürelerine ve üretkenliğin azalmasına neden olabilir. Bu tür olaylar, bir kuruluşun itibarını ve nihayetinde gelirini etkileyebilecek hizmet gecikmelerine yol açabilir. İhlal uzun bir süre boyunca kesintiye neden olursa, bu bir kuruluşun gelirini ve cirosunu etkileyebilir.

Bir ihlali önlemek için ne yapmanız bekleniyor?

Veri ihlallerini önlemek, kuruluşların kişisel verileri korumak için sağlam güvenlik önlemleri almasını zorunlu kılan Madde 32’de belirtildiği gibi Birleşik Krallık ve AB GDPR gerekliliklerine uymak için çok önemlidir. Etkili önleyici adımlar güvenlik risklerinin azaltılmasına, kişisel verilerin korunmasına, güvenin sürdürülmesine ve mevzuata uygunluğun korunmasına yardımcı olur. Burada, bir işletmenin ihlale hazırlanmak ve ihlalin gerçekleşme olasılığını azaltmak için yapabileceği faaliyetleri ele alıyoruz.

Risk Değerlendirmesi

Düzenli risk değerlendirmeleri, veri güvenliğine yönelik potansiyel tehditlerin belirlenmesi ve azaltılması için gereklidir. Bu değerlendirmeler, veri işleme ile ilgili risklerin değerlendirilmesini, güvenlik açıklarının belirlenmesini ve bunları proaktif olarak ele almak için stratejiler geliştirilmesini içerir. Kuruluşlar risk alanlarını düzenli olarak inceleyerek yeni tehditlere uyum sağlayabilir ve güvenlik önlemlerinin ihlalleri önlemede etkili kalmasını sağlayabilir.

Veri Şifreleme ve Takma Ad Verme

Veriler ağ üzerinden geçerken ve depolanırken güvenli olmalıdır ve şifreleme, verilerin korunması için önemli bir bileşen olabilir. Bu koruma, davetsiz misafirlerin özel verilere erişememesini sağlar. İkinci koruma önlemi, kimlik bilgilerini gizleyen ve yetkisi olmayan bir kullanıcının verileri belirli bir kişiyle ilişkilendirmesini çok zorlaştıran takma isimlendirmedir.

Erişim Kontrolleri

Veri erişimini yetkili personelle sınırlamak, hassas bilgilere maruz kalmayı en aza indirmenin anahtarıdır. Rol tabanlı erişim, hassas verilerin kullanıcıların yalnızca işleri için gerekli olanlara erişebilecekleri şekilde saklanabileceği anlamına gelir. Erişimi bu şekilde sınırlandırmanın bir diğer faydası da diğer çalışanlara kazara sızacak bir bilginin kurum içinde gizli kalması gereken verileri ifşa etme olasılığını azaltmaktır.

Sistem Esnekliği

Esneklik de veri güvenliğinde önemli bir rol oynar. Beklenmedik bir kesintinin yaşandığı ve bir sistemin kendini toparlaması gereken durumlar ortaya çıkabilir. İyi tasarlanmış bir sistem, bir sistem arızası veya veri bozulması gibi bir olay durumunda kendini toparlayabilecektir. Sistemlerin düzenli olarak yedeklenmesini sağlamak da iyi bir veri güvenliği sağlamanın önemli bir bileşenidir. Bu, bir şeylerin ters gitmesi durumunda verilerin yedeklerden geri alınabileceği ve iş süreçlerinin mümkün olduğunca kesintisiz devam edebileceği anlamına gelir. Bu aynı zamanda bir ihlal durumunda olayı düzeltmenin ve daha fazla ilerlemesini önlemenin mümkün olabileceği durumlarda da yardımcı olur.

Test ve İzleme

Düzenleyici testleri - kapsamlı güvenlik açığı taraması veya sızma testi gibi - düzenli olarak yapılmalıdır, böylece kuruluşlar yamalanması gereken alanları bulabilir ve bir sorun ortaya çıkmadan önce bunu yapabilir. Sistemlerin izlenmesi de rutin bir olay olmalıdır, böylece olmaması gereken bir şey oluyorsa, bu bir ihlale dönüşmeden önce ele alınabilir.

Tasarım ve Varsayılan Olarak Veri Koruma

Veri korumasını iş süreçlerinin başlangıcının bir parçası haline getirmek, veri güvenliğinin sonradan düşünülen bir şey değil, başlangıç çerçevesinin bir parçası olduğu anlamına gelir. Yalnızca minimum miktarda kişisel verinin işlenmesi varsayılan olarak gerçekleşir ve bu da kişisel verilerin yetkisiz taraflara gereksiz yere daha az maruz kalmasıyla sonuçlanır ve GDPR ilkelerini yerine getirir. Bu sadece en başından itibaren uyumu teşvik etmekle kalmaz, aynı zamanda daha iyi güvenlikle sonuçlanır.

Olay Müdahale Planlaması

İyi bir olay müdahale planı, bir olay meydana geldiğinde, olayı kontrol altına almak için gereken adımları ana hatlarıyla belirleyerek hızlı ve etkili bir müdahale sağlar. Bu da daha az zararla sonuçlanır, güveni korur ve kuruluşun daha hızlı toparlanmasını sağlar.

Tedarik zincirinizi yönetme

Kişisel verileri kendi adlarına işlemeleri için üçüncü taraf işleyicileri görevlendirmeleri halinde, kontrolörler söz konusu işleyicilerin GDPR ile uyumlu olmasını sağlamalıdır. AB GDPR ve Birleşik Krallık GDPR kapsamında, işleyiciler, özellikle ihlal bildirimleri ve kontrolörler ile işleyiciler arasındaki iletişimle ilgili olmak üzere bazı temel yükümlülükleri yerine getirmelidir. Bu yükümlülükler, bir kontrolörün atadığı işleyicilerle yaptığı sözleşme belgelerine yansıtılmalıdır. Bu anlaşmalar, kontrolöre derhal bildirimde bulunulması ve gerekli ön soruşturma veya ön değerlendirme adımları da dahil olmak üzere, işleyicilerin bir ihlal durumunda izlemesi gereken prosedürleri ana hatlarıyla belirtmelidir.

Bir Veri İhlaline Yanıt Verme

İşletmelerin, zararı en aza indirmek ve GDPR ile uyumlu kalmak için veri ihlali keşfedildikten hemen sonra harekete geçmesi gerekir. Harekete geçmek, Madde 33’ün gerektirdiği gibi 72 saat içinde yetkililere bildirimde bulunarak ve Madde 34’ün gerektirdiği gibi gerektiğinde etkilenenleri bilgilendirerek veri ve kimlik hırsızlığını önler. Hızlı tepki vermek, veri güvenliğine olan bağlılığı göstererek işletmenin güvenilirliğini ve müşteri güvenini de pekiştirir. İşletmelerin bireylerin haklarını korumasına ve normal faaliyetlerini çok hızlı bir şekilde yeniden tesis etmesine olanak tanır. Bir ihlale etkili bir şekilde nasıl yanıt verileceğine ilişkin daha fazla ayrıntı için lütfen Bir İhlal Olursa Ne Yapmalı?

Bildirim

Bir veri ihlalinin ardından kuruluşlar, bu tür bildirimlerin yapılmasına ilişkin katı zaman çizelgeleri ve süreçler de dahil olmak üzere AB GDPR ve Birleşik Krallık GDPR gerekliliklerine uyabilmek için doğru kişileri bilgilendirmelidir. Özellikle düzenlemeye tabi sektörlerde yer alan kuruluşların, örneğin bankacılık ve sağlık sektörlerinde uymaları gereken ek bildirim gereklilikleri olup olmadığını da dikkate almaları gerekir.

Takip adımları

• Kuruluşunuzun hangi kişisel verileri işlediğini ve bunlarla ilişkili riskleri, özellikle de hassas kişisel bilgileri ve finansal verileri anlayın
• Bir ihlal durumunda açığa çıkabilecek veri hacmini azaltmak için şirketinizin sahip olduğu verileri yalnızca ilgili ve gerekli olanlarla sınırlandırın
• Güvenlik önlemlerini gözden geçirin ve personel eğitiminin önemini hafife almayın
• Bir ihlal meydana geldiğinde hızlı yanıt verebilmek için doğru insan ekibine sahip olun
• İşlediğiniz veriler ve faaliyet gösterdiğiniz ülkeler için geçerli olan bildirim gerekliliklerini anlayın
• AB veya Birleşik Krallık’ta kuruluşu olmayan kuruluşlar için, bir ihlal durumunda size yardımcı olacak bir AB/İngiltere temsilcisi atadığınızdan emin olun

Veri ihlallerini anlamak ve bunlara hazırlanmak hem bireyleri hem de kuruluşları korumak için çok önemlidir. GDPR, ihlalleri önlemek, tespit etmek ve bunlara hızlı bir şekilde yanıt vermek, zararı en aza indirmek ve güveni artırmak için sağlam bir çerçeve sağlar. Önleyici tedbirler uygulayarak, üçüncü taraf uyumluluğunu sağlayarak ve iyi yapılandırılmış bir müdahale planına sahip olarak kuruluşlar riskleri azaltabilir ve kişisel verileri etkili bir şekilde koruyabilir.