GDPR ve Siber Güvenlik: Veri Koruma Uygulamada Nasıl İşliyor?

Birçok kuruluş, GDPR'yi hala öncelikle yasal gereksinim veya uyumluluk gereksinimi olarak görse de bu düzenleme uygulamada en etkili siber güvenlik çerçevelerinden biri haline geldi. Artık işletmelerin kişisel verileri nasıl koruduklarını, siber riskleri nasıl yönettiklerini ve tüm teknoloji altyapıları genelinde operasyonel dayanıklılığı nasıl geliştirdiklerini belirlemektedir.

Günümüzde kuruluşlar, fidye yazılımı, kimlik avcılığı, kimlik bilgisi hırsızlığı, içeriden gelen tehditler ve tedarik zinciri saldırıları gibi giderek daha karmaşık hale gelen siber tehditlerle karşı karşıya kalmaktadır. Düzenleyici kurumlar finans, sağlık, perakende, üretim ve enerji gibi sektörlerde uygulama faaliyetlerini artırdıkça, işletmeler güçlü siber güvenlik yönetişimi ve veri koruma uygulamaları sergileme konusunda giderek daha fazla baskıyla karşı karşıyadır.

GDPR, kuruluşların kişisel verileri korumak için uygun teknik ve idari önlemleri almasını zorunlu kılmaktadır. Uygulamada bu, şifreleme, erişim kontrolü, izleme, dayanıklılık, testler, güvenli depolama, olaylara müdahale planlaması ve sürekli risk değerlendirmesi gibi önlemleri içerir. Bunlar artık BT için isteğe bağlı en iyi uygulamaları olmaktan çok yasal bir zorunluluk olarak görülmektedir.

Bu yazıda, GDPR'nin temel güvenlik gereklilikleri açıklanmaktadır:

• GDPR'nin siber güvenlik ekipleri için anlamı
• 32. maddenin günlük güvenlik faaliyetlerine etkisi
• İşletmelerin siber dayanıklılıklarını artırması ve yasal riskleri azaltması için yöntemler

GDPR nedir ve neleri kapsar?

Genel Veri Koruma Yönetmeliği (GDPR) AB’nin kişisel verileri korumasına yönelik çerçevesidir. Bu düzenleme, kuruluşun kendi merkezi nerede olursa olsun, AB veya Birleşik Krallık’taki bireylerin kişisel verilerini işleyen her kuruluş için geçerlidir ve UK GDPR olarak Birleşik Krallık yasalarına dahil edilmiştir.

Kişisel veriler, adlar ve e-posta adreslerinden çok daha fazlasını içerir. GDPR’nin 4. maddesi uyarınca, IP adresleri, cihaz tanımlayıcıları, çalışanların İK kayıtları, finansal bilgiler, sağlık verileri, konum verileri, tarama davranışları ve biyometrik bilgiler gibi bilgiler, tanımlanabilir bir kişiyle ilişkilendirilebildiği takdirde kişisel veri olarak kabul edilebilir.

Bazı veri türleri önemli ölçüde hassas kabul edilir ve daha fazla koruma gerektirir (9. madde). Bunlar arasında sağlık bilgileri, kimlik belirleme için kullanılan biyometrik veriler, siyasi ve dini görüşler ile diğer hassas kişisel bilgiler sayılabilir. GDPR, kişisel verilerin nasıl toplanacağı, saklanacağı, kullanılacağı, paylaşılacağı ve silineceğini düzenler. Ayrıca, kişilere kendi verilerine erişme, düzeltme ve silme hakları (genellikle “unutulma hakkı” olarak adlandırılır) dahil olmak üzere kendi bilgileri üzerinde belirli haklar verir. Ayrıca veri taşınabilirliği ve işlemeyi kısıtlama hakkı gibi ek haklar da sağlar.

Siber güvenlik, BT ve güvenlik ekipleri açısından GDPR, veri korumasını operasyonel güvenlikle doğrudan ilişkilendirdiği için büyük önem taşımaktadır. Kuruluşların, kişisel verilerin aşağıdakilere karşı korunduğunu gösterebilmelidir:

• Yetkisiz erişim
• Yanlışlıkla ifşa etme
• Çalınma
• Bozulma
• İmha olma
• Kullanılamaz duruma gelme

Bu durum, siber güvenliği tamamen teknik bir konudan kısmen yüksek meblağlı idari para cezaları ve itibar kaybı riski nedeniyle yönetim kurulu düzeyinde bir iş riskine dönüştürmüştür.

GDPR ve diğer AB siber güvenlik düzenlemeleri

GDPR, sektöre özgü siber güvenlik yönetmeliklerinin yerini almaz. Bunun yerine daha geniş bir düzenleyici çerçeve içinde bu yönetmeliklerle birlikte yer alır. NIS2 Direktifi ve Dijital Operasyonel Dayanıklılık Yasası (Digital Operational Resilience Act - DORA) gibi diğer çerçeveler, kritik hizmetlerin korunması ve belirli sektörlerde operasyonel dayanıklılık da dahil olmak üzere siber risklerin farklı yönlerini ele almaktadır.

Hepsi bir araya geldiğinde bu düzenlemeler, farklı düzeylerde çalışmaktadır. GDPR kişisel verilerin korunmasına odaklanırken, diğerleri sistem dayanıklılığı, altyapı güvenliği ve sektöre özgü riskleri hedeflemektedir. Dolayısıyla birçok kuruluş, uyumluluğu tek başına bir faaliyet olarak ele almak yerine, veri korumasını daha geniş kapsamlı siber güvenlik ve yasal gerekliliklerle uyumlu hale getirmek için çalışır.

GDPR 32. Madde: İşleme güvenliği hakkında açıklama

32. Madde GDPR’deki temel siber güvenlik gereksinimidir. Kuruluşların, riske uygun bir güvenlik düzeyini sağlamak için “uygun teknik ve idari önlemleri” almasını zorunlu kılmaktadır.

Temelde, 32. madde güvenlik konusunda risk temelli bir yaklaşım getirmektedir. Sabit bir kontrol seti belirtmek yerine, kuruluşların işledikleri verilerin hassasiyetini, faaliyetlerinin kapsamını ve bir veri ihlalinin kişiler üzerindeki olası etkilerini değerlendirmelerini gerektirir. Güvenlik önlemleri bu riskler doğrultusunda alınmalı ve korunmalıdır.

Yani GDPR, sabit bir uyum kontrol listesi sunmamaktadır. Hassas hasta kayıtlarını işleyen küresel bir sağlık hizmeti sağlayıcısından, temel iletişim bilgilerini işleyen küçük bir kuruluşun uyguladığından daha sıkı kontrolleri sürdürmesi beklenir. Bu durum, hem verilerin niteliğini hem de bir veri ihlalinin olası sonuçlarını yansıtmaktadır.

“Uygun teknik ve idari önlemler”in anlamı

Uygulamada, “uygun” önlemler, kuruluşun kendine özgü risk profilini yansıtacak şekilde uygulanan şifreleme, çok faktörlü kimlik doğrulama, erişim yönetimi, yedekleme ve kurtarma, güvenlik açığı yönetimi, güvenlik amaçlı izleme, olaylara müdahale, dayanıklılık planlaması ve personel farkındalık eğitimi gibi teknik kontroller ile organizasyonel süreçlerin bir arada kullanılmasını kapsar.

Bu durum, GDPR’de tek seferlik uyumdan sürekli hesap verebilirliğe doğru daha geniş çaplı bir dönüşümü yansıtmaktadır. Bu dönüşümde kuruluşlar, yalnızca güvenlik önlemlerinin mevcut olduğunu değil, bunların zaman içinde aktif biçimde sürdürüldüğünü ve iyileştirildiğini de kanıtlayabilmelidir. Bununla birlikte asıl beklenti, sadece kontrollerin mevcut olması değil, aynı zamanda bu kontrollerin etkili, orantılı ve tutarlı bir şekilde uygulandığını kanıtlayabilmektir.

Kuruluşların, risk değerlendirmeleri yapmaları, kararlarını belgelemeleri ve değişen tehditlere ayak uydurduğundan emin olmak için kontrolleri düzenli olarak gözden geçirmeleri beklenmektedir. Siber güvenlik gereksinimleri sabit değildir; düzenleyici kurumlar tek seferlik bir uyum çalışmasından çok sürekli iyileştirme ve hesap verebilirlik ihtiyacını giderek daha fazla vurguladıkça, birkaç yıl önce yeterli görülen kontrol önlemleri artık günümüzde düzenleyicilerin beklentilerini karşılamayabilir.

Gizlilik, bütünlük ve kullanılabilirlik

GDPR güvenlik yükümlülükleri üç temel ilke üzerine kurulmuştur: gizlilik, bütünlük ve kullanılabilirlik. Bunlar bir araya gelerek, kişisel verilerin uygulamada nasıl korunması gerektiğini belirler.

Gizlilik, kişisel verilere yalnızca yetkili kişilerin erişebilmesini sağlar. Kuruluşlar bunu genellikle, çok faktörlü kimlik doğrulama, rol tabanlı erişim denetimleri, şifreleme ve ağ bölümleme gibi önlemleri en düşük düzeyde ayrıcalıklı erişim ve güvenli yapılandırma uygulamalarıyla destekleyerek sağlar.

Bütünlük, verilerin yetkisiz değişikliklere veya bozulmaya karşı korunmasına odaklanır. Bu genellikle denetim günlüğü tutulması, yönetim süreçlerinin değiştirilmesi ve dosya bütünlüğünün izlenmesinin yanı sıra, verilerin yanlışlıkla değiştirilmesini önleyen kontrolleri de içerir.

Kullanılabilirlik, verilere ve sistemlere ihtiyaç duyulduğunda erişilebilir durumda olmalarını sağlar. Bunun için dayanıklı bir altyapı, yedekleme stratejileri, felaketten kurtulma planlaması ve etkili felaketten kurtulma süreçleri gereklidir.

Bunlardan özellikle kullanılabilirlik genellikle hafife alınmaktadır. GDPR kapsamında, kişisel verilerin erişilemez hale gelmesine neden olan fidye yazılımı saldırıları, veriler çalınmamış olsa bile yine de bildirim gerektiren kişisel veri ihlalleri olarak değerlendirilebilir. Bunun nedeni 4. madde (12) uyarınca, yalnızca kullanılamaz duruma gelmenin bile bir ihlal teşkil edebilmesidir.

Şifreleme, takma adlandırma ve veri koruma

Şifreleme, yetkisiz erişim riskini azaltmanın en etkili yollarından biri olduğu için 32. maddede özellikle belirtilmiştir. Ağlar üzerinden aktarılan verilerin modern şifreleme protokolleri kullanılarak korunması gerekirken bilgisayarlar, dizüstü bilgisayarlar, taşınabilir sürücüler, sunucular, yedeklemeler ve bulut ortamlarında depolanan veriler ise korumanın etkili olmasını sağlamak için güçlü çözümler (donanımsal şifreleme cihazları) ile şifrelenmelidir.

Bu durum, cihaz kaybı veya çalınmasının veri ifşalarının en yaygın nedenlerinden biri olmaya devam ettiği uzaktan ve mobil çalışanlar için özellikle önemlidir. Kuruluşlar giderek daha fazla hibrit ve bulut ortamlarında faaliyet gösterdikçe, GDPR uyumluluğu, uzak uç noktalarının, işbirliği platformlarının, bulut depolama ortamlarının ve üçüncü taraf SaaS uygulamalarının güvenliğini sağlamayı ve güvenli kurumsal ağların dışında işlenen verilerle ilgili riskleri azaltmak için donanımsal şifreleme kullanmayı da zorunlu hale gelmektedir.

Donanımsal şifreli depolama cihazları, kurumsal sınırların dışında kullanılan hassas veriler için ek koruma sağlayabilir. Bu durum özellikle fiziksel cihaz güvenliğinin önemli bir risk faktörü olmaya devam ettiği uzaktan çalışanlar, saha ekipleri ve dağıtık ortamlarda düzenlemelere tabi bilgileri işleyen kuruluşlar için geçerlidir.

Ancak şifreleme tek başına yeterli değildir. GDPR uyumluluğu, çok katmanlı güvenlik sistemine bağlıdır. Kuruluşların ayrıca, gelişen tehditlere karşı kontrollerin etkinliğini sürdürmesini sağlayan güçlü erişim yönetimi, izleme, olaylara müdahale yetenekleri, personel eğitimi ve sürekli test süreçlerine ihtiyacı vardır.

Takma adlandırma bir diğer önemli tekniktir. Bu teknik, kişisel verilerin ek bilgi olmadan belirli bir kişiyle ilişkilendirilememesi için tanımlayıcı bilgilerin değiştirilmesini, kaldırılmasını veya dönüştürülmesini içerir. Bu ek bilgiler ayrı olarak tutulur ve uygun teknik ve organizasyonel önlemlerle korunur.

Test, izleme ve sürekli değerlendirme

32. madde, kuruluşların verilerin nasıl toplandığını, korunduğunu ve saklandığını doğrulamak amacıyla güvenlik önlemlerini düzenli olarak test etmelerini ve değerlendirmelerini gerektirmektedir. Uygulamada bu, güvenlik açığı taraması, penetrasyon testi, sürekli izleme, güvenlik denetimleri, olaylara müdahale tatbikatları ve yedekleme geri yükleme testlerini içerir. Bunların tümü, kontrollerin zaman içinde etkinliğini koruduğunu doğrulamayı amaçlamaktadır.

Bu önemli bir konudur, çünkü kuruluşlar olayları tespit edemezlerse bunları bildiremez veya kontrol altına alamazlar. Etkili izleme ve görünürlük, şüpheli faaliyetleri erken aşamada tespit etmek, çalışmalardaki kesintilerini sınırlamak ve özellikle hızlı ihlal bildiriminin gerekli olduğu durumlarda düzenlemelere tabi raporlama yükümlülüklerini yerine getirmek açısından büyük öneme sahiptir.

Günümüzde pek çok kuruluş, GDPR programlarını ISO/IEC 27001, ISO/IEC 27701, NIST Cybersecurity Framework veya Cyber Essentials gibi tanınmış çerçevelerle uyumlu hale getirmektedir. Bu çerçeveler, kuruluşların yapılandırılmış ve tekrarlanabilir güvenlik yönetişim süreçleri oluşturmasına yardımcı olur. Ancak yine de buralarda verilenler kuruluşun kendine özgü GDPR risk profiline göre uyarlanmalıdır.

GDPR’nin siber güvenlik stratejileri üzerindeki etkileri

GDPR, kuruluşların siber güvenliğe yaklaşımını kökten değiştirdi. Bu değişikliklerin en önemlilerinden biri de hesap verebilirliktir. Kuruluşlar artık uyumluluğu sadece iddia etmekle kalmayıp, bunu gösterebilmelidir. Bunlar arasında güvenlik kararlarının nasıl verildiğine ve gözden geçirildiğine dair net kanıtlarla desteklenen risk değerlendirmeleri, güvenlik belgeleri, işleme kayıtları, olay müdahale prosedürleri ve tedarikçi denetim süreçlerinin sürdürülmesi sayılabilir.

GDPR risk temelli güvenliğin önemini de vurgulamaktadır. Güvenlik yatırımları, kuruluşun tehditlere maruziyetini, güvenlik açıklarını ve işlediği verilerin hassasiyetini yansıtmalı ve kontrollerin belirlenen risklerle orantılı olmasını sağlamalıdır.

Üçüncü taraf risk yönetimi de aynı derecede önemli hale geldi. Bir tedarikçi veya hizmet sağlayıcı sizin adınıza kişisel verileri işliyorsa, uygun güvenlik önlemlerinin alınmasını sağlamak yükümlülüğü kuruluşunuza ait olmaya devam eder. Sonuç olarak, tedarikçilere yönelik durum tespiti ve sözleşmelere uygunluğun denetimi artık birçok GDPR uyum programının temel bileşenleri haline geldi. İşlemeyi yapan varlıkların performansının ve güvenlik duruşunun sürekli izlenmesi de bu kapsamda uygulanmaktadır.