Kişisel Verileri Koruma Kurumunun 24.10.2026 tarihli Siber Güvenlik Farkındalık Ayı bilgilendirmesi

Kişisel Verileri Koruma Kurumu, Ekim ayının dünya genelinde “Siber Güvenlik Farkındalık Ayı” olarak kabul edilmesi dolayısıyla 24.10.2026 tarihinde veri sorumlularına yönelik kişisel veri güvenliği tedbirlerini hatırlatan bir bilgilendirme yayımlamıştır. Bilgilendirmede, siber güvenliğin kişisel veri güvenliğinin temini bakımından taşıdığı önem vurgulanarak kurum ve kuruluşların alması gereken başlıca tedbirler on başlık altında sıralanmaktadır.

Kurumun çıkış noktası, dijital tehditlerin sürekli geliştiği ve karmaşıklaştığı bir ortamda tek bir güvenlik aracıyla kişisel verilere tam bir koruma sağlanamayacağıdır. Bu nedenle tedbirlerin bir arada uygulanması ve düzenli olarak gözden geçirilmesi gerektiği belirtilmektedir.

Bilgilendirme Kimleri İlgilendiriyor?

Bilgilendirme, kişisel veri işleyen tüm veri sorumlularını ilgilendirmektedir. Metinde özellikle veri sorumlularının; veri kayıt sistemlerinde hangi kişisel verilerin bulunduğundan emin olmaları, mevcut güvenlik önlemlerini inceleyerek diğer yasal yükümlülüklerle uyumlu hareket ettiklerini teyit etmeleri ve her kişisel veri kategorisi için ortaya çıkabilecek riskler ile güvenlik ihlallerinin nasıl yönetileceğini açıkça belirlemeleri gerektiği ifade edilmektedir.

Bilgilendirmenin dikkat çeken yönü, tedbirlerin yalnızca teknik başlıklardan ibaret olmamasıdır. Politika ve prosedür oluşturulması, kontrollerin belgelendirilmesi, erişim yetki matrisleri ve çalışan eğitimleri gibi idari tedbirler de aynı listede yer almaktadır.

Kurumun Hatırlattığı Veri Güvenliği Tedbirleri

• Kişisel veri güvenliği politikaları belirleyin. İyi bir politika, risklerin önceden belirlenebilmesini ve istikrarlı şekilde önlem alınmasını sağlar. Politika ve prosedürler veri sorumlusunun çalışma ve işleyişine uygun şekilde entegre edilmeli; düzenli olarak kontroller yapılmalı, yapılan kontroller belgelenmeli, geliştirilmesi gereken hususlar belirlenmeli ve gerekli güncellemelerden sonra kontrollere devam edilmelidir. Ayrıca her kişisel veri kategorisi için ortaya çıkabilecek riskler ile güvenlik ihlallerinin nasıl yönetileceği açıkça belirlenmelidir.
• Güçlü parolalar oluşturun. Güçlü ve karmaşık parolalar kullanılmalı, parolalar periyodik aralıklarla güncellenmelidir. Kişisel bilgilerle ilişkili ve kolay tahmin edilebilecek parolalardan kaçınılmalı; büyük ve küçük harfler, rakamlar ile özel karakterlerden oluşan kombinasyonlar tercih edilmelidir. Kaba kuvvet algoritması kullanımı gibi saldırılara karşı şifre girişi deneme sayısı sınırlandırılmalı ve mümkünse iki faktörlü kimlik doğrulama ile ek bir güvenlik katmanı eklenmelidir.
• Erişim yetkilerini sınırlandırın. Kişisel veri içeren sistemlere erişim, yalnızca iş gereği ihtiyaç duyan çalışanlarla sınırlandırılmalıdır. Erişim yetkileri çalışanların iş pozisyonlarına uygun şekilde tanımlanmalı ve düzenli olarak gözden geçirilmeli; erişim yetki ve kontrol matrisleri oluşturulmalı, erişim politikası ile prosedürleri uygulamaya alınmalıdır. Çalışanların işten ayrılması veya görev değişikliği hâlinde hesapların hızlıca kapatılması veya yetkilerin güncellenmesi sağlanmalıdır.
• Yazılım güncellemelerini zamanında yapın. Bilgi teknolojisi sistemlerinin güvenliği bakımından yazılım güncellemeleri ve yama yönetimi önem taşımaktadır. Bilinen güvenlik açıklarını kapatmak için yazılım ve güvenlik yamaları zamanında uygulanmalı, kullanılmayan yazılımlar kaldırılarak potansiyel güvenlik riskleri azaltılmalıdır.
• Veri maskeleme ve şifreleme uygulayın. Hassas verilerin yetkisiz erişimlerden korunması amacıyla şifreleme ve veri maskeleme yöntemleri kullanılmalıdır. Bu sayede yetkisiz kişilerin verilere erişmesi engellenebilmekte ve veri sızıntısı durumunda verilerin gizliliği korunabilmektedir.
• Düzenli veri yedeklemeleri gerçekleştirin. Olası veri kayıplarına karşı düzenli yedekleme yapılmalıdır. Yedekleme işlemleri otomatik hâle getirilmeli ve yedekler, veri güvenliğinin sağlanması amacıyla şifrelenmiş ve güvenli bir ortamda saklanmalıdır.
• İnternet üzerinden gelen tehditlere karşı korunun. Kişisel veri içeren bilgi teknolojisi sistemlerinde, internet üzerinden gelen izinsiz erişim tehditlerine karşı güvenlik duvarı ve ağ geçidi gibi önlemler alınmalıdır. İyi yapılandırılmış bir güvenlik duvarı, ihlalleri ağa derinlemesine etki etmeden önce durdurabilmekte; internet ağ geçidi ise çalışanların kişisel veri güvenliği açısından risk teşkil eden internet sitelerine erişimini önleyebilmektedir.
• Antivirüs yazılımları kullanın. Kötü amaçlı yazılımlardan korunmak amacıyla bilgi sistem ağını düzenli olarak tarayan anti-virüs veya anti-spam gibi yazılımlar kullanılmalı ve bu yazılımlar düzenli olarak güncellenmelidir.
• Güvenli bağlantılar kullanın. Farklı internet siteleri veya mobil uygulamalar üzerinden kişisel veri toplanırken, bu bağlantıların SSL veya daha güvenli yollarla gerçekleştirilmesi sağlanmalıdır.
• Çalışanlarınızı düzenli olarak eğitin. Çalışanlara siber güvenlik farkındalığı eğitimleri verilerek olası tehditlere karşı hazırlıklı olmaları sağlanmalıdır. Sosyal mühendislik saldırıları ve oltalama gibi yaygın tehditler hakkında farkındalık yaratılmalı; düzenli eğitimler ve güvenlik simülasyonlarıyla güvenlik kültürü şirket genelinde yaygınlaştırılmalıdır.

Veri Sorumluları İçin Önerilen Adımlar

• Bilgilendirmede sayılan on tedbirin kurum özelinde bir kontrol listesine dönüştürülmesi; mevcut durumun tedbir bazında “uygulanıyor / kısmen uygulanıyor / uygulanmıyor” şeklinde kayıt altına alınması ve eksiklerin sorumlu birim ile termin tarihi belirlenerek planlanması.
• Erişim yetki ve kontrol matrisinin güncellenmesi; işten ayrılma ile görev değişikliği hâllerinde hesapların kapatılması veya yetkilerin güncellenmesi için insan kaynakları ve bilgi işlem birimleri arasında yazılı bir süreç kurulması.
• Yapılan kontrollerin ve alınan tedbirlerin belgelendirilmesi; tedbirin alınmış olması kadar alındığının sonradan ispatlanabilmesinin de önem taşıdığının gözetilmesi.
• Veri ihlali müdahale prosedürünün gözden geçirilerek tespit, değerlendirme ile Kurula ve ilgili kişilere bildirim adımlarının, sorumlularının ve sürelerinin netleştirilmesi.
• Yedekleme, şifreleme ve güncelleme uygulamalarının tedarikçiler ve bulut hizmet sağlayıcıları bakımından da teyit edilmesi; veri işleyen sözleşmelerinde bu tedbirlere ilişkin hükümlerin bulunup bulunmadığının kontrol edilmesi.

Sıkça Sorulan Sorular

• Tek bir güvenlik yazılımı kişisel veri güvenliği için yeterli midir? Hayır. Kurum, dijital tehditlerin sürekli geliştiği ve karmaşıklaştığı bir ortamda yalnızca tek bir güvenlik aracıyla kişisel verilere ilişkin tam bir koruma sağlanamayacağını belirtmektedir. Tedbirlerin bir arada uygulanması ve düzenli olarak gözden geçirilmesi gerekmektedir.
• Veri sorumlusunun veri güvenliğine ilişkin yükümlülüğü nereden kaynaklanmaktadır? 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12’nci maddesi uyarınca veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini ve kişisel verilere hukuka aykırı olarak erişilmesini önlemek ile kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almakla yükümlüdür.
• Çalışanlara siber güvenlik eğitimi vermek gerekir mi? Kurum, çalışanlara siber güvenlik farkındalığı eğitimleri verilmesini sayılan tedbirler arasında açıkça belirtmektedir. Sosyal mühendislik saldırıları ve oltalama gibi yaygın tehditler hakkında farkındalık yaratılması, düzenli eğitimler ve güvenlik simülasyonlarıyla güvenlik kültürünün şirket genelinde yaygınlaştırılması önerilmektedir.

MC Legal tarafından hazırlanan kişisel verilerin korunmasına ilişkin diğer duyurulara Duyurular sayfamızdan ulaşabilirsiniz.