ISO/IEC 27701 standardı nedir? ISO 27001 tabanlı Kişisel Veri Yönetim Sistemi (KVYS), KVKK ve GDPR entegrasyonu, denetim adımları ve rehberi. İnceleyin.
Hızlı Özet (TL;DR)
ISO/IEC 27701, küresel bilgi güvenliği standardı olan ISO/IEC 27001 ve ISO/IEC 27002’nin kişisel veri gizliliği ve mahremiyet (privacy) boyutuna genişletilmiş halidir ve uluslararası literatürde Kişisel Veri Yönetim Sistemi (KVYS - Privacy Information Management System / PIMS) olarak adlandırılır. Bu standart; hem Türkiye’deki 6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK) hem de Avrupa Birliği’ndeki Genel Veri Koruma Tüzüğü (GDPR) gereksinimlerini tek bir denetlenebilir mühendislik ve yönetim çerçevesinde birleştirir. Bir sanayi kuruluşu, teknoloji şirketi veya hizmet sağlayıcı ISO 27701 sertifikası aldığında, yalnızca kağıt üzerinde aydınlatma metni imzalatmadığını; kişisel verileri teknik ve idari tedbirlerle uçtan uca koruduğunu tüm dünyaya bağımsız akredite denetimle ispatlamış olur.
Neden ISO 27001 Tek Başına KVKK ve GDPR Uyumu İçin Yeterli Değildir?
Kurumsal denetimlerde en sık karşılaşılan yanılgı, “Şirketimizde ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi (BGYS) sertifikası var, dolayısıyla KVKK ve GDPR açısından da tam uyumluyuz” düşüncesidir. Oysa Bilgi Güvenliği (Information Security) ile Veri Mahremiyeti (Data Privacy) birbirini tamamlayan ancak odak noktaları farklı iki disiplindir.
ISO 27001; kurumun ticari sırlarını, üretim reçetelerini, finansal tablolarını ve sunucu altyapısını Gizlilik (Confidentiality), Bütünlük (Integrity) ve Erişilebilirlik (Availability) ilkeleri doğrultusunda korumaya odaklanır. Ancak ISO 27001 tek başına şu sorulara yanıt vermez: “Müşterinin veya çalışanın bu kişisel verisini toplamak için yasal bir dayanağımız veya açık rızamız var mı?”, “Saklama süresi dolan özgeçmişleri ve kamera kayıtlarını otomatik olarak imha ediyor muyuz?”, “Bir vatandaş verisinin silinmesini talep ettiğinde ERP ve yedekleme sistemlerinde bu hakkı nasıl yerine getiriyoruz?”. İşte ISO/IEC 27701, mevcut ISO 27001 yönetim sisteminin üzerine Kişisel Verileri (PII - Personally Identifiable Information) koruyan spesifik kontrol maddelerini ekleyerek bu hukuki ve teknik boşluğu kapatır.
Veri Sorumlusu (Controller) ve Veri İşleyen (Processor) Rolleri
ISO 27701 standardı, hem KVKK hem de GDPR terminolojisiyle birebir örtüşecek şekilde kuruluşları kişisel veri ekosistemindeki rollerine göre iki ayrı kategoride ele alır ve her rol için (Standart Ek A ve Ek B) farklı denetim kontrolleri tanımlar:
| Karşılaştırma Kriteri | Veri Sorumlusu (PII Controller - Ek A) | Veri İşleyen (PII Processor - Ek B) | Ortak Teknik Altyapı Gereksinimi |
|---|---|---|---|
| Kurumsal Profil ve Tanım | Kişisel verinin neden ve nasıl işleneceğine (amaç ve vasıtalara) karar veren asıl kurum | Veri sorumlusunun talimatları doğrultusunda veriyi barındıran veya işleyen dış tedarikçi | Rol bazlı erişim kontrolü (RBAC), şifreleme ve değiştirilemez loglama |
| Tipik Sektör Örnekleri | Üretim fabrikaları (İK/Müşteri verisi), hastaneler, e-ticaret siteleri, perakende markaları | Özel yazılım/ERP firmaları, bulut veri merkezleri, bordro ve çağrı merkezi şirketleri | Güvenlik duvarı (NGFW), DLP (Veri Sızıntısı Önleme) ve yedekleme |
| Hukuki ve İdari Odak | Hukuka uygunluk sebebi belirleme, açık rıza, aydınlatma yükümlülüğü, VERBİS kaydı | Veri işleme sözleşmesi (DPA) imzalama, veriyi amaç dışı kullanmama, alt işleyen onayı | Kişisel Veri Envanteri ve Veri Akış Haritası (Data Flow Mapping) |
| İlgili Kişi Hakları ve İhlal | Veri sahibinin başvurusuna 30 gün içinde yanıt verme, Kurula (72 saat) ihlal bildirimi | Veri sorumlusuna teknik destek sağlama ve ihlali derhal veri sorumlusuna raporlama | Otomatik veri keşfi, maskeleme, anonimleştirme ve SIEM/5651 log korelasyonu |
ISO 27701 (PIMS) Kurulumunda 6 Kritik Mühendislik ve Yönetim Adımı
Bir işletmede ISO 27701 standardını kurmak ve KVKK/GDPR denetimlerinden sıfır bulgu ile geçmek için yalnızca hukuk müşavirlerinin hazırladığı metinler yetmez; bilgi işlem (IT) ve yazılım altyapısında şu 6 adımın somut olarak uygulanması gerekir:
1. Kişisel Veri Envanteri ve Veri Akış Haritasının Çıkarılması
Kurum içindeki her departmanın (İnsan Kaynakları, Muhasebe, Satış, Üretim, Fiziksel Güvenlik) hangi kişisel verileri topladığı, bu verilerin hangi sunucuda, hangi SQL veritabanı tablosunda veya hangi ortak dosya sunucusu klasöründe tutulduğu haritalandırılmalıdır. Yapılandırılmamış verilerin (Excel dosyaları, taranmış kimlik fotokopileri, sağlık raporları) ağ içinde başıboş dağılmasını önlemek için merkezi ve yetkilendirilmiş Ortak Dosya Sunucusu ve Yedekleme mimarisi kurulmalıdır.
2. Gizlilik Etki Analizi (PIA / DPIA - Data Protection Impact Assessment)
Fabrikada yeni bir biyometrik/kartlı geçiş sistemi, üretim sahasında performans ölçen bir yazılım veya bulut tabanlı yeni bir CRM modülü devreye alınmadan önce Gizlilik Etki Analizi (DPIA) yapılmalıdır. “Tasarımdan İtibaren Mahremiyet” (Privacy by Design) ve “Varsayılan Olarak Mahremiyet” (Privacy by Default) ilkeleri gereği, yazılımlar daha kodlanırken en az veri toplayacak ve yetkisiz kişilere maskeli (örneğin TC: 12*******84) görünecek şekilde tasarlanmalıdır.
3. Erişim Kontrolü, Ağ Güvenliği ve Veri Sızıntısı Önleme (DLP)
KVKK Kişisel Veri Güvenliği Rehberi (Teknik Tedbirler) ve ISO 27701 Ek kontrolleri; kişisel verilere erişimin “bilmesi gereken” (Need-to-Know) prensibiyle sınırlandırılmasını şart koşar. Muhasebe personelinin üretimdeki AR-GE klasörlerine, üretim mühendisinin ise İK özlük dosyalarına erişimi teknik olarak engellenmelidir. Ayrıca çalışanların müşteri listelerini veya personel verilerini USB belleklere kopyalamasını, kişisel web e-postalarına göndermesini veya buluta yüklemesini engellemek için DLP Veri Sızıntısı Önleme Çözümleri devreye alınmalıdır.
4. Değiştirilemez Loglama ve Zaman Damgası (5651 ve KVKK Uyumu)
“Kişisel verilere kim, ne zaman, hangi IP adresinden erişti, hangi kaydı görüntüledi veya sildi?” sorusunun cevabı denetçinin ilk istediği kanıttır. Hem ağ geçidi seviyesinde hem de sunucu/uygulama seviyesinde tutulan logların bütünlüğü korunmalı ve yetkili sistem yöneticileri dahil hiç kimse tarafından silinemeyecek şekilde zaman damgasıyla imzalanmalıdır. Bu kapsamda kurumsal ağlarda KVKK ve 5651 Yasal Loglama altyapısı zorunlu bir yapı taşıdır.
5. İlgili Kişi (Veri Sahibi) Hakları ve Otomatik İmha Politikaları
KVKK Madde 11 ve GDPR Madde 15-22 uyarınca bireyler; verilerinin işlenip işlenmediğini öğrenme, düzeltilmesini isteme ve yasal saklama süresi dolduğunda silinmesini/yok edilmesini talep etme (“Unutulma Hakkı”) yetkisine sahiptir. Şirketin ERP ve veritabanı sistemlerinde periyodik imha (örneğin iş başvurusunda bulunan ancak işe alınmayan adayların CV’lerinin 1 yıl sonunda otomatik silinmesi veya anonimleştirilmesi) mekanizmaları çalışmalıdır.
6. Tedarikçi (Alt Veri İşleyen) Güvenlik Denetimi ve Sızma Testleri
Veri sorumlusu olan şirket, verilerini emanet ettiği yazılım firmasının, bulut sağlayıcısının veya mali müşavirin güvenlik açığından da müteselsilen sorumludur. Bu nedenle kurumsal sistemlerin dış ve iç ağ zafiyetleri periyodik olarak bağımsız Sızma Testi (Pentest) çalışmalarıyla denetlenmeli ve tespit edilen açıklar kapatılarak ISO 27701 denetçisine raporlanmalıdır.
KVKK, GDPR ve ISO 27701 Maddelerinin Karşılıklı Eşleşmesi
ISO/IEC 27701 standardının en güçlü yanı, Ek D bölümünde GDPR maddeleriyle birebir eşleşme tablosu sunmasıdır. Türkiye’deki 6698 sayılı KVKK da Avrupa Birliği veri koruma direktifleri temel alınarak hazırlandığı için (ve 2024 yılında yapılan yurt dışı veri aktarımı ile özel nitelikli kişisel veri değişiklikleriyle GDPR’a daha da yaklaştığı için), ISO 27701 kuran bir işletme aynı anda iki mevzuatı da yönetebilir hale gelir. Özellikle Avrupa’ya ihracat yapan veya yabancı sermayeli ortaklığı bulunan sanayi tesisleri için ISO 27701 sertifikası, yurt dışına veri aktarım sözleşmelerinde (Standart Sözleşme Maddeleri - SCC) en güçlü teknik güvence belgesidir.
Kaynaklar
- 5651 sayılı Kanun — Mevzuat Bilgi Sistemi
- 6698 sayılı Kişisel Verilerin Korunması Kanunu
- ISO/IEC 27001:2022 — Bilgi Güvenliği Yönetim Sistemi
Sıkça Sorulan Sorular
ISO 27001 belgemiz olmadan doğrudan ISO 27701 sertifikası alabilir miyiz?
Hayır, tek başına alınamaz. ISO/IEC 27701 bir “sektörel/konu bazlı genişletme standardı” (extension standard) olarak tasarlanmıştır ve temelinde ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi şartlarını barındırır. Bir kuruluşun ISO 27701 belgesi alabilmesi için ya halihazırda geçerli bir ISO 27001 sertifikasına sahip olması ya da her iki standardın kurulum ve belgelendirme denetimini entegre (birleşik) denetim olarak aynı anda gerçekleştirmesi gerekmektedir.
ISO 27701 sertifikasına sahip olmak KVKK idari para cezalarını tamamen engeller mi?
Hiçbir uluslararası sertifika resmi kurumların (Kişisel Verileri Koruma Kurulu) denetim yetkisini ortadan kaldırmaz; ancak KVKK incelemelerinde Kurulun baktığı en temel kriter “Veri sorumlusunun uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri alıp almadığıdır” (KVKK Madde 12). ISO 27701 kapsamında kurulan erişim logları, veri envanteri, DLP, şifreleme, düzenli sızma testi ve imha süreçleri, Kurulun yayınladığı Teknik ve İdari Tedbirler Rehberi’ni eksiksiz karşıladığı için olası bir incelemede şirketin özen yükümlülüğünü yerine getirdiğini kanıtlayan en güçlü savunma kalkanıdır.
Özel yazılım ve ERP kullanan imalat firmalarında ISO 27701 uyumu yazılımı nasıl etkiler?
İmalat firmalarında müşteri, tedarikçi ve personel verilerinin büyük kısmı ERP, CRM ve İnsan Kaynakları (PDKS/Bordro) yazılımlarında tutulur. ISO 27701 uyumu kapsamında bu yazılımlarda; kullanıcıların hangi ekranlara ve hangi veri sütunlarına erişebileceğinin sınırlandırılması (örneğin maaş veya sağlık verisinin maskelenmesi), her veri sorgulama ve dışa aktarma (Excel’e aktarma) işleminin loglanması, güçlü parola/MFA zorunluluğu ve saklama süresi dolan kayıtların veritabanından güvenli şekilde anonimleştirilmesi gibi yazılımsal yeteneklerin aktif edilmesi gerekir.