KVKK Veri Güvenliği Rehberi uyarınca sanayi ve imalat kuruluşlarının alması gereken 15 teknik tedbir, siber güvenlik yazılımları ve denetim hazırlığı.
Hızlı Özet (TL;DR)
6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK) Madde 12, veri sorumlusu sıfatını taşıyan sanayi ve imalat kuruluşlarını yalnızca hukuki aydınlatma metinleri imzalatmak, açık rıza formları toplamak ve VERBİS kaydı yapmakla muaf tutmaz. Kişisel Verileri Koruma Kurulu (KVKK) tarafından yayımlanan Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) uyarınca işletmelerin siber güvenlik, erişim yetkilendirme, şifreleme, loglama ve yedekleme adımlarını fiilen devreye alması yasal zorunluluktur. İmalat sektöründe yüzlerce mavi ve beyaz yaka çalışanın özlük ve sağlık dosyaları (İSG), turnike geçiş verileri, güvenlik kamerası (CCTV) kayıtları ve tedarikçi/müşteri yetkililerinin kimlik bilgileri işlendiğinden, olası bir fidye yazılımı saldırısında veya içeriden veri sızıntısında teknik tedbirlerin alınmamış olması milyonlarca liralık idari para cezasına ve itibar kaybına yol açar.
İmalatçıların Yanılgısı: “Biz B2B Çalışıyoruz, Kişisel Verimiz Yok!”
Organize sanayi bölgelerindeki pek çok fabrika yönetimi, e-ticaret siteleri veya hastaneler gibi son tüketiciye (B2C) satış yapmadıkları için KVKK denetimlerinin kendilerini teğet geçeceğini düşünür. Oysa Kişisel Verileri Koruma Kurulunun bugüne kadar kestiği idari para cezalarının önemli bir bölümü, işçi şikayetleri veya siber saldırı (Ransomware) bildirimleri sonrasında üretim tesislerine uygulanmıştır.
Bir fabrikada her gün şu yüksek riskli kişisel veriler ve Özel Nitelikli Kişisel Veriler (Madde 6) işlenir:
- İnsan Kaynakları ve İSG Verileri: İşe giriş sağlık raporları, akciğer grafileri, işitme testleri, kan grupları, engellilik raporları, adli sicil kayıtları, maaş haciz yazıları ve bordrolar.
- PDKS (Personel Devam Kontrol Sistemi) ve Biyometrik Veriler: Fabrika giriş turnikelerinde veya yemekhanede kullanılan parmak izi, yüz tanıma veya retina tarama sistemleri.
- Fiziksel Güvenlik ve Araç Takip: Üretim hollerini ve sevkiyat rampalarını izleyen güvenlik kameraları, ziyaretçi kayıt defterleri, plaka tanıma sistemleri ve şirket araçlarındaki GPS konum takip cihazları.
- B2B Müşteri ve Tedarikçi Verileri: Şahıs şirketlerinin vergi/TC kimlik numaraları, müşteri satın alma müdürlerinin cep telefonları, kurumsal e-postaları, imza sirküleri ve fabrika sahasına giren taşeron/lojistik şoförlerinin kimlik fotokopileri.
Fabrikalarda Biyometrik Veri (Parmak İzi / Yüz Tanıma) Tuzağı
Kurulun ilke kararları uyarınca, sadece mesai takibi (PDKS) amacıyla işçilerden parmak izi veya yüz taraması alınması — işçinin açık rızası alınsa dahi — “Ölçülülük ve Veri Minimizasyonu” ilkesine aykırı bulunarak ağır cezalara konu olmaktadır. Fabrikada manyetik kart veya şifre ile geçiş mümkünken biyometrik veri toplanamaz; yalnızca yüksek güvenlikli Ar-Ge odası, sistem odası veya patlayıcı madde deposu gibi istisnai alanlarda şifrelenmiş şablon (template) olarak kullanılabilir.
Kurul Tarafından Zorunlu Kılınan 15 Temel Teknik Tedbir
Kişisel Verileri Koruma Kurulu denetimlerinde, VERBİS beyanlarında ve veri ihlali soruşturmalarında tek tek kanıtı (ekran görüntüsü, log, test raporu) istenen 15 temel teknik tedbir ve bunların imalat tesislerindeki uygulama biçimi aşağıdadır:
| # | KVKK Teknik Tedbir Başlığı | İmalat Tesisinde ve Fabrika BT Altyapısında Uygulama Biçimi |
|---|---|---|
| 1 | Yetki Matrisi ve Yetki Kontrolü | İmalat ERP Çözümleri ve dosya sunucularında (File Server) departman/rol bazlı (RBAC) en az yetki kısıtlaması; üretimin İK klasörünü görememesi |
| 2 | Ağ Güvenliği ve Güvenlik Duvarı | Yeni nesil güvenlik duvarı (NGFW) ile İdari Ofis, İK/Muhasebe, Üretim (OT/PLC) ve Misafir Wi-Fi ağlarının VLAN segmentasyonu ile ayrılması |
| 3 | Uygulama ve Web Güvenliği | B2B müşteri sipariş portalları, tedarikçi ekranları ve şirket web uygulamalarında OWASP standartlarına göre güvenli kodlama ve WAF koruması |
| 4 | Şifreleme (Kriptografi) | Veritabanlarındaki özel nitelikli verilerin, İSG sağlık dosyalarının ve taşınabilir dizüstü bilgisayar disklerinin (BitLocker / AES-256) şifrelenmesi |
| 5 | Sızma Testi (Penetration Test) | Yılda en az bir kez dış ve iç ağa yönelik bağımsız sızma testi yaptırılarak açıkların kapatılması |
| 6 | Saldırı Tespit ve Önleme (IDS/IPS) | Ağ trafiğindeki kaba kuvvet (Brute-Force), port tarama ve istismar paketlerinin güvenlik duvarı IPS motoruyla anında bloklanması |
| 7 | Log Kayıtları ve Denetim İzi | Sunucu, veritabanı, güvenlik duvarı ve ERP üzerindeki tüm kullanıcı erişim/değişiklik hareketlerinin zaman damgalı ve değiştirilemez biçimde loglanması |
| 8 | Veri Sızıntısı Önleme (DLP) | Personel özlük tablolarının, müşteri listelerinin ve CAD çizimlerinin USB bellek veya kişisel web mail ile dışarı çıkarılmasının engellenmesi |
| 9 | Güncel Antivirüs ve EDR | Tüm ofis bilgisayarları, saha kioskları ve sunucularda merkezi yönetimli uç nokta koruma (EDR / Antivirüs) yazılımının aktif tutulması |
| 10 | Silme, Yok Etme ve Anonimleştirme | Yasal saklama süresi (Örn: İşten ayrılan personelde 10 yıl, kamera kaydında 30-90 gün) dolan verilerin periyodik imha politikasıyla silinmesi |
| 11 | Yama Yönetimi (Patch Management) | Windows Server, Linux, SQL, ERP ve güvenlik cihazlarındaki kritik güvenlik yamalarının düzenli takvimle yüklenmesi |
| 12 | Kullanıcı Hesap Yönetimi | İşten ayrılan veya departman değiştiren personelin Active Directory, ERP ve e-posta hesaplarının İK bildirimiyle anında kapatılması; ortak şifre yasağı |
| 13 | Çok Faktörlü Kimlik Doğrulama (MFA) | Uzaktan SSL-VPN bağlantılarında, bulut e-posta erişimlerinde ve sistem yöneticisi (Admin) girişlerinde SMS/OTP zorunluluğu |
| 14 | Fiziksel Ortam Güvenliği | Fabrika sunucu odasına (Server Room) ve İK arşiv dolaplarına yalnızca yetkili kişilerin kartlı/kilitli geçişi, ısı/nem ve yangın algılama sensörleri |
| 15 | Yedekleme (Backup) ve Kurtarma | Fidye yazılımlarına karşı üretim ve kişisel veri veritabanlarının ağdan izole (Immutable / Air-Gapped) ortamda günlük yedeklenmesi |
Fabrika Sahasında Kritik İhlal Noktaları Nasıl Kapatılır?
Kağıt üzerinde hazırlanan KVKK envanteri ile fabrika sahasındaki gerçeklik arasındaki uçurum, denetimlerde en büyük zafiyeti oluşturur. Sanayi tesislerinde acilen düzeltilmesi gereken üç pratik saha senaryosu şunlardır:
1. Ortak Kullanılan Saha Kioskları ve “Ortak Kullanıcı” Yasağı
Üretim sahasındaki bilgisayarlarda tüm operatörlerin aynı "uretim" kullanıcı adı ve "123456" şifresiyle oturum açması KVKK Teknik Tedbirler Rehberine (Madde 7 ve Madde 12) doğrudan aykırıdır. Çünkü bir veri ihlali veya kayıt silme yaşandığında işlemin hangi gerçek kişi tarafından yapıldığı tespit edilemez. Saha panellerinde her operatör kendi personel yaka kartını (RFID) okutarak veya kendi sicil şifresiyle işlem yapmalı; ekran başından ayrıldığında oturum 3 dakika içinde otomatik kilitlenmelidir.
2. Misafir ve Taşeron İnternet Erişimlerinde 5651 Loglama
Fabrikaya gelen denetçilere, tır şoförlerine veya makine bakım teknisyenlerine şirket Wi-Fi şifresini doğrudan vermek hem şirketi siber saldırılara açar hem de 5651 sayılı kanun karşısında fabrika yönetimini suçlu duruma düşürür. Misafir ağı tamamen izole bir VLAN üzerinden yayın yapmalı, kullanıcılar SMS doğrulamalı Hotspot ekranından (Captive Portal) KVKK aydınlatma metnini onaylayarak internete çıkmalı ve tüm trafik TÜBİTAK zaman damgasıyla loglanmalıdır.
3. Olası Veri İhlalinde 72 Saat Kuralı ve Kriz Yönetimi
Sunucularınıza bir fidye yazılımı (Ransomware) bulaştığında ve dosyalarınız şifrelendiğinde, saldırganlar verileri dışarı sızdırmamış olsa bile bu durum KVKK nezdinde bir “Kişisel Veri İhlali” (Erişilebilirlik ve Bütünlük Kaybı) sayılır. Kanun gereğince veri sorumlusunun durumu öğrendiği andan itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kuruluna resmi bildirimde bulunması zorunludur. İhlali gizlemeye çalışmak veya geç bildirmek, cezayı katlayan ağırlaştırıcı sebeptir.
KVKK Veri Güvenliği Rehberi ile %100 uyumlu teknik tedbirleri devreye almak için KVKK ve 5651 Yasal Loglama, içeriden veri kaçırma risklerini sıfırlamak için DLP Veri Güvenliği, ağ izolasyonu için Savunma Sanayii İmalat Ağ ve Siber Güvenlik ve güvenli yazılım altyapıları için Özel Yazılım Geliştirme sayfalarımızı inceleyebilirsiniz.
Sıkça Sorulan Sorular
VERBİS kaydımızı yaptık ve avukatımız aydınlatma metinlerini hazırladı; yine de ceza yer miyiz?
Evet. Hukuki metinler ve VERBİS kaydı, KVKK uyum sürecinin yalnızca “İdari” yarısıdır. Herhangi bir çalışan şikayetinde veya siber saldırıda Kurul müfettişleri doğrudan şirketin BT altyapısını inceler; güvenlik duvarı loglarını, yetki matrisini, sızma testi raporlarını ve yedekleme mimarisini talep eder. Teknik tedbirler alınmamışsa sadece kağıt üzerindeki sözleşmeler şirketi idari para cezasından kurtarmaz.
İşten ayrılan bir personelin tüm verilerini ertesi gün silmek zorunda mıyız?
Hayır, hemen silinmemelidir. İş Kanunu, SGK mevzuatı ve İş Sağlığı ve Güvenliği Kanunu gereğince işveren; özlük ve bordro kayıtlarını 10 yıl, İSG sağlık kayıtlarını ise (meslek hastalığı riskine göre) 15 ila 40 yıl boyunca saklamakla kanunen yükümlüdür. KVKK’daki “Silme ve Yok Etme” tedbiri, bu yasal saklama süreleri dolduktan sonraki ilk periyodik imha döneminde (6 ayda bir) verilerin silinmesini ve bu süre zarfında aktif kullanımdan kaldırılarak sadece yetkili arşivde şifreli saklanmasını ifade eder.
Fabrikadaki güvenlik kameraları (CCTV) üretim bandında çalışan işçileri çekebilir mi?
İş güvenliğini sağlamak, hırsızlığı önlemek ve kalite/üretim süreçlerini denetlemek amacıyla üretim hollerinde kamera bulundurulması “Veri Sorumlusunun Meşru Menfaati” kapsamındadır. Ancak kameraların görüş açısına mutlaka “Bu alanda 7/24 kamera kaydı yapılmaktadır” uyarı levhaları (Katmanlı Aydınlatma) asılmalı; soyunma odaları, duşlar, tuvaletler ve dinlenme odalarında kesinlikle kamera bulunmamalı ve ses kaydı özelliği (özel bir güvenlik gerekçesi yoksa) kapalı tutulmalıdır.