Uyumluluk · Eylül 2026 · 7 dk okuma

KVKK Teknik Tedbirler: Loglamadan Şifrelemeye Kontrol Listesi

Kurulun beklediği asgari teknik tedbirleri denetimde kanıtlanabilir hale getirme rehberi.

Giriş

Özet

KVKK denetiminde soru hiçbir zaman “güvenlik politikanız var mı?” değildir. Soru şudur: “uyguladığınızı nasıl kanıtlıyorsunuz?” Teknik tedbir, dokümanda yazan değil, logda görünen, testte ölçülen, raporda kapanmış olandır.

Bu yazı, Kurul rehberlerinde vurgulanan teknik tedbir başlıklarını denetimde kanıtlanabilir hale getirecek pratik bir kontrol listesidir. Hukuki değil, teknik bir rehberdir — nihai uyum değerlendirmesi için hukukçunuzla çalışın.

Yazar: Aras Akyasan · Eylül 2026 · 7 dk okuma

Bölüm 1

1. Loglama ve izlenebilirlik: kim, neye, ne zaman?

Kişisel veriye erişen her işlem — görüntüleme, değiştirme, silme, dışa aktarma — kullanıcı, zaman ve işlem detayı ile loglanmalıdır. Loglar değiştirilemez şekilde saklanmalı ve düzenli olarak gözden geçirilmelidir.

Denetimde istenecek ilk şey örnek log kayıtlarıdır. “Logluyoruz” demek yetmez; 6 ay önceki bir erişimin kaydını 10 dakikada çıkarabilmelisiniz.

Bölüm 2

2. Şifreleme: aktarımda ve saklarken

Veri tabanındaki hassas alanlar (TCKN, sağlık, biyometrik gibi özel nitelikli veriler başta) saklanırken şifreli olmalı; tüm trafik güncel TLS ile taşınmalıdır. Yedekler de aynı kurala tabidir — şifresiz yedek, şifresiz veri demektir.

Anahtar yönetimi politikanın parçasıdır: kim anahtara erişebilir, rotasyon ne sıklıkla yapılır, eski anahtarlar nasıl imha edilir? Cevapsız soru, eksik tedbirdir.

Bölüm 3

3. Erişim kontrolü: en az yetki, kanıtlı yetki

Kişisel veriye erişim rol bazlı olmalı, “herkes her şeyi görür” dönemi kapanmalıdır. İşten ayrılanların hesapları aynı gün kapatılmalı, yetkiler periyodik gözden geçirilmelidir.

Yönetici hesaplarında çok faktörlü doğrulama artık standarttır. Parola politikası (uzunluk, benzersizlik, kilitlenme) yazılı olmalı ve teknik olarak zorlanmalıdır — kâğıt üzerindeki politika, uygulamada seçenekse tedbir sayılmaz.

Bölüm 4

4. Yedekleme ve süreklilik

Düzenli, test edilmiş yedekler hem KVKK hem de iş sürekliliği açısından zorunludur. Yedeklerin geri yüklenebilirliği periyodik olarak test edilmeli; test edilmemiş yedek, yedek değildir.

Siber saldırı senaryosunu da plana dahil edin: fidye yazılımı durumunda yedeklerden dönüş süresi (RTO) ve kabul edilebilir veri kaybı (RPO) hedefleriniz yazılı olmalıdır.

Bölüm 5

5. Zafiyet yönetimi: periyodik test ve sürekli tarama

Kurul rehberleri, sistemlerin düzenli olarak sızma testine tabi tutulmasını bekler. Yılda en az bir bağımsız pentest + bulguların kapatıldığını gösteren retest raporu, denetim dosyanızın en güçlü sayfalarıdır.

İki pentest arasını sürekli dinamik taramayla kapatmak, “sürekli iyileştirme” ilkesinin en somut kanıtıdır: her release'in tarama kaydı, denetçiye sistematik bir süreç gösterir.

Yıllık bağımsız sızma testi + retest raporu
Her release'te otomatik zafiyet tarama kaydı
Kritik bulgularda SLA ile kapatma takibi

Kapanış

Son söz

KVKK teknik tedbirleri bir proje değil, bir ritimdir: logla, şifrele, sınırla, yedekle, test et — ve her adımın kanıtını sakla. Bu ritim oturduğunda denetim, stres değil rutin olur.

Uyumluluk yol haritanızın teknik ayağını birlikte çıkarabiliriz: mevcut durum analizi, eksik tedbir listesi ve test planı tek pakette.

SSS

Sık sorulan sorular

Pentest yaptırmak KVKK için zorunlu mu?

Kurul rehberleri periyodik sızma testlerini beklenen teknik tedbirler arasında sayar. Denetimde test raporu ve kapatma kanıtı sunmak, uyum dosyanızı belirgin şekilde güçlendirir.

Bulut kullanmak KVKK'ya aykırı mı?

Hayır — ama sorumluluk sizde kalır. Verinin nerede saklandığı, şifreleme, erişim kontrolleri ve (yurt dışı aktarım varsa) aktarım mekanizmaları belgelenmelidir.

En sık atlanan tedbir hangisi?

Sahada gördüğümüz: logların tutulması ama incelenmemesi, yedeklerin alınıp geri yükleme testinin hiç yapılmaması ve pentest bulgularının retest ile kapatılmaması. Üçü de kanıt eksikliğidir.