Siber güvenlik ve kişisel verilerin korunması artık yalnızca bilgi işlem ekibinin değil, yönetimin gündem maddesi. Bir fidye yazılımı saldırısı üretimi ve faturalamayı günlerce durdurabilir; bir veri ihlali ise hem Kişisel Verileri Koruma Kurulu'na bildirim yükümlülüğü hem de müşteri güveni kaybı demektir. Rakamlar bunun istisna olmadığını gösteriyor: TÜİK Girişimlerde Bilişim Teknolojileri Kullanım Araştırması 2026 sonuçlarına göre Türkiye'de girişimlerin %9,4'ü 2025'te en az bir BİT güvenliği ihlali yaşadı. Kişisel Verileri Koruma Kurumu 2025 Yılı Faaliyet Raporu ise aynı yıl Kuruma 328 veri ihlali bildirimi yapıldığını gösteriyor.
Bu sayfa, siber güvenlik ve KVKK üzerine yazdığımız rehberleri başlangıçtan karara uzanan bir okuma yolu olarak topluyor. Uyum tarafında başlangıç noktası KVKK uyum süreci yazısıdır; envanterden denetime sekiz adımı anlatır. Ardından yükümlülüğünüz olup olmadığını görmek için VERBİS kaydı ve verinin ne kadar süre tutulacağını belirleyen kişisel veri saklama ve imha politikası yazılarını okuyun. Bir ihlal yaşandığında ne yapacağınızı önceden bilmek için KVKK veri ihlali bildirimi ve 72 saatlik müdahale planı rehberi hazır bulunsun.
Bu ilk adımları iki yazı ayrıntılandırır: hangi verinin nerede durduğunu gösteren kişisel veri envanteri hazırlama rehberi ve kişilere hangi metnin verileceğini netleştiren açık rıza ile aydınlatma metni farkı. Bir çalışan, aday ya da müşteri haklarını kullanmak istediğinde 30 günlük süreyi ilgili kişi başvurusu yanıtlama yazısındaki akışla yönetebilirsiniz.
Envanter çıkınca üç özel başlık öne çıkar. E-posta, yedek ya da yazılım hizmetiniz Türkiye dışındaysa KVKK'da yurt dışına veri aktarımı kurallarını uygulamanız gerekir. Ofis, depo ve mağazadaki güvenlik kameraları için kamera kaydı ve KVKK yazısı aydınlatma ve saklama süresini anlatır. Çalışanlar yapay zeka araçları kullanıyor ya da şirket kendi yapay zeka projesini başlatıyorsa yapay zeka ve KVKK rehberi hukuki sebep, aktarım ve otomatik karar sorularını yanıtlar.
İK tarafında özlükten PDKS'ye uzanan kayıtlar için çalışan kişisel verileri ve KVKK, zorunlu eğitim belgeleri için İSG eğitim kayıtlarının dijital takibi yazılarını okuyun. Verinize erişen bordro firması, bulut sağlayıcı ya da yazılım eviyle imzalanan veri işleyen sözleşmesi, sorumluluğun nasıl paylaşılacağını yazılı hâle getirir.
Teknik güvenlik tarafında küçük ekiplerin uygulayabileceği KOBİ siber güvenlik kontrol listesi iyi bir başlangıçtır. Derinleşmek için kurumsal parola güvenliği, fidye yazılımına karşı 3-2-1 yedekleme ve savunmanızı saldırgan gözüyle sınayan sızma testi yazılarını okuyabilirsiniz. Üretim yapan firmalar için SCADA ve OT ağlarının güvenliği, altyapısını taşımayı düşünenler için buluta geçiş maliyeti karar aşamasının temel yazılarıdır.
Kontrol listesini sürdürülebilir kılan süreçleri ayrı yazılarda anlattık: açıkları düzenli olarak bulan zafiyet taraması, bulunan açıkları takvime bağlayan yama yönetimi süreci ve olayları fark etmenizi sağlayan SIEM ve log yönetimi. Misafirlerine ya da çalışanlarına internet erişimi sunan şirketler için bu kayıtların yasal çerçevesi 5651 log tutma yükümlülüğüdür.
Kimlik ve veri tarafında ağın içindeki her erişimi yeniden doğrulayan zero trust güvenlik modeli, uygulamalara tek kimlikle girişin protokollerini karşılaştıran SAML mi OIDC mi ve hassas verinin kontrolsüz çıkışını sınırlayan DLP ile veri sızıntısı önleme yazıları bu yolu tamamlar. İnsan tarafında ise yıllık bir sunumun ötesine geçen bir siber güvenlik farkındalık eğitimi programı gerekir. Müşterilerinizin size, sizin de tedarikçilerinize soracağınız güvenlik soruları için tedarikçi bilgi güvenliği değerlendirmesi, AB'ye ürün ya da hizmet satan firmalar için NIS2 tedarikçi gereksinimleri yazılarına bakın.
Kontrol listesindeki en etkili iki maddeyi ayrıca ele aldık: hesap ele geçirmeyi büyük ölçüde durduran iki adımlı doğrulama (MFA) geçişi ve yedeğin gerçekten işe yaradığını kanıtlayan yedekleme ve geri yükleme testi. Bu kontrolleri denetlenebilir bir yönetim sistemine dönüştürmek isteyenler için son durak ISO 27001 nedir rehberidir.
Uygulama tarafında KVKK uyum danışmanlığı, siber güvenlik ve bulut geçiş ve altyapı danışmanlığı sayfalarımıza göz atabilirsiniz. Başlamadan önce üç soruyu cevaplayın: Hangi kişisel verileri, hangi sistemlerde tutuyorsunuz? Yedeklerinizden en son ne zaman gerçekten geri yükleme yaptınız? Bir çalışan işten ayrıldığında erişimleri kaç saatte kapanıyor?
Konuya göre okuma listesi
- E-posta kaynaklı riskler: SPF, DKIM ve DMARC, oltalama maili nasıl anlaşılır, e-posta arşivleme ve KVKK.
- Kimlik ve erişim: tek oturum açma (SSO), işten ayrılan çalışanın e-posta erişimi, parmak izi PDKS ve KVKK.
- Yapay zeka ve şirket verisi: ChatGPT'ye şirket verisi girmek güvenli mi.