İSG Yazılımında Veri Güvenliği: Belge ve Beyanlar Puanlamada Ne Anlama Gelir?
Bir İSG yazılımının veri güvenliği belgesi, ancak kapsamı ve tarihi okunduğunda puana katkı verir. Sertifika belirli bir kapsamı, aydınlatma metni bir taahhüdü, "KVKK uyumlu" ifadesi ise yalnız bir iddiayı gösterir. Puanı belgelerle demoda gördüğünüz yetki, kayıt izi ve yedek uygulaması birlikte belirler.
Bu sayfada
Hangi belge neyi kanıtlar?
Her belge belirli bir soruya cevap verir; hiçbiri tek başına "bu yazılım güvenlidir" demez. Belgeleri bir arada okumak, her birinin boş bıraktığı yeri öbürüyle doldurmayı sağlar. Sağlayıcıdan aldığınız her belgeyi tarihiyle birlikte bir klasörde tutun. Puanlamada belgeyi, kanıtladığı şeyle sınırlı tutun. Aşağıdaki tablo İSG yazılımı sağlayıcılarından sık istenen belgeleri ve beyanları karşılaştırır.
| Belge ya da beyan | Neyi gösterir? | Neyi göstermez? | Ne sorulur? |
|---|---|---|---|
| ISO/IEC 27001 sertifikası | Bilgi güvenliği yönetim sisteminin belirli bir kapsam için denetlendiğini | Kapsam dışı birimleri, yazılımın hatasızlığını | Kapsam metni, geçerlilik tarihi, belgelendiren kuruluş |
| Sızma testi özeti | Belirli bir tarihte bulunan açıkları ve kapanışlarını | Sonraki sürümlerin durumunu | Test tarihi, kapsam, açıkların kapanma durumu |
| VERBİS kaydı | Veri sorumlusunun sicile bildirim yaptığını | Uygulanan güvenlik tedbirlerini | Kayıttaki veri kategorileri ve amaçlar |
| Aydınlatma metni | Verinin hangi amaçla işlendiğine dair beyanı | Beyanın uygulamaya yansıdığını | İşleme amaçları ve aktarım yapılan taraflar |
| Veri işleme şartları | Sağlayıcının üstlendiği tedbirleri ve sınırları | Tedbirlerin uygulandığını | İhlal bildirimi, alt hizmet sağlayıcıları, iade |
| "KVKK uyumlu" ifadesi | Sağlayıcının bir iddiasını | Kendi başına hiçbir şeyi | İfadenin dayandığı belge ve tedbirler |
VERBİS kaydı ayrıca anılmalıdır. 6698 sayılı Kişisel Verilerin Korunması Kanununun 16. maddesi Veri Sorumluları Sicilini düzenler. Aynı madde, Kurula belirli ölçütlerle kayıt zorunluluğuna istisna getirme yetkisi verir. Bu yüzden kaydın varlığı güvenlik düzeyini, yokluğu da tek başına bir eksiği göstermez.
Belgenin kime ait olduğuna da bakın. Sağlayıcı, sunucularını kiraladığı altyapı şirketinin sertifikasını gösterebilir. Bu belge altyapının yönetimini anlatır; yazılımı geliştiren ve destek veren ekibin uygulamalarını anlatmaz. İki belge de değerlidir, ama aynı soruya cevap vermez.
Sertifikayı okurken en çok kapsam satırına bakın. Kapsam yalnız şirketin bir ofisini ya da yalnız bir ürününü içerebilir. İncelediğiniz İSG yazılımının ve verinin tutulduğu altyapının kapsamda olup olmadığını sorun.
"KVKK uyumlu" beyanı nasıl sınanır?
"KVKK uyumlu" beyanı, kanunun saydığı amaçlar demoda gösterilebilen işlere bölünerek sınanır. Bu konuda 6698 sayılı Kanunun 12. maddesi veri sorumlusundan, hukuka aykırı işlemeyi ve erişimi önlemek, verinin muhafazasını sağlamak için teknik ve idari tedbir almasını ister. Her amaç için demoda bir şey görün.
Erişim için bir kullanıcıya yalnız iki firma açın ve öbür firmaların kayıtlarına ulaşamadığını görün. İşleme için kimin hangi kaydı ne zaman değiştirdiğini gösteren kayda bakın. Muhafaza için bir kaydı silin ve geri getirilip getirilemediğini sorun.
Kişisel Verileri Koruma Kurumu, veri sorumlularının alması gereken teknik ve idari tedbirler için bir Kişisel Veri Güvenliği Rehberi yayımlamıştır. Kurumun aynı sayfası, verinin başkası adına işlendiği durumda veri işleyenin de tedbir almakla yükümlü olduğunu anlatır. Sağlayıcıya rehberdeki tedbirlerden hangilerini uyguladığını sorabilirsiniz.
Sağlayıcının veri sorumlusu mu, veri işleyen mi sayılacağı sözleşmeye ve işin biçimine göre değişebilir. Bu sayfa o soruyu cevaplamaz. Puanlamada yalnız şuna bakın: sağlayıcı kendi konumunu ve üstlendiği tedbirleri yazılı ve açık anlatıyor mu?
Demoda gördüğünüz her şeyi kısa bir notla yazın: hangi kullanıcıyla denendi, ne görüldü, ne görülmedi. Bu notlar sonradan yazılı cevaplarla karşılaştırılır. Demo ile yazılı cevap çelişiyorsa sağlayıcıdan açıklama isteyin.
Aydınlatma metnini de okuyun. Kanunun 10. maddesi, verinin hangi amaçla işleneceğinin ve kimlere aktarılabileceğinin bildirilmesini ister. Metinde sayılan amaçların dışında bir kullanım demoda geçiyorsa not edin.
Sunucu konumu ve yedek sorusu nasıl sorulur?
Sunucu konumu ve yedek soruları yazılı ve ayrıntılı sorulur, cevaplar teklife eklenir. "Verileriniz güvende" cümlesi bu sorunun cevabı değildir. Aşağıdaki listeyi sağlayıcıya gönderin ve her maddeye ayrı cevap isteyin.
-
- Soru: Altyapıyı sağlayan şirket değişirse bize haber veriliyor mu?
-
- Soru: Yedek ile canlı veri aynı yerde mi duruyor?
-
- Soru: Silinen tek bir kaydı geri getirmek mümkün mü?
-
- Soru: Bu şartı gösteren belgeyi paylaşabilir misiniz?
-
- Soru: Bu süre sözleşmeye yazılıyor mu?
Dördüncü madde için kanunun 9. maddesine bakın. Madde, yurt dışına aktarımı yeterlilik kararına, karar yoksa uygun güvencelere ya da sınırlı istisnalara bağlar. Hangi şartın uygulandığını değerlendirmek hukuk biriminizin işidir; sizin işiniz cevabı yazılı almaktır.
Veri güvenliği puan satırı nasıl doldurulur?
Veri güvenliği puanı, belgelerin kapsamı, yazılı cevaplar ve demoda gördüğünüz uygulama birlikte okunarak verilir. Aşağıdaki tablo puanlama aracındaki genel 1-5 tanımını bu ölçüte uyarlar.
| Puan | Ne zaman verilir? |
|---|---|
| 1 | Yetki ayrımı ve kayıt izi yok ya da sorulara yazılı cevap verilmedi. |
| 2 | Yalnız "KVKK uyumlu" gibi genel beyan var; demoda yetki ayrımı zayıf. |
| 3 | Yetki ve kayıt izi demoda görüldü; yedek ve konum soruları eksik cevaplandı. |
| 4 | Demo ve yazılı cevaplar tam; belge kapsamı ya da ihlal süresi belirsiz. |
| 5 | Demo, yazılı cevaplar ve kapsamı uyan belgeler birbirini doğruluyor. |
Belgeleri bir kez alıp bırakmayın. Sertifikaların ve test raporlarının bir tarihi vardır. Sözleşme yenilenirken güncel kapsamı ve geçerlilik tarihini yeniden isteyin, puanı da buna göre güncelleyin.
Kurumsal alımda bu maddeleri teklif aşamasında istemek için teknik şartname şablonunu kullanabilirsiniz. Belge yokken 5 puan verilebilir mi? Demo ve yazılı cevaplar eksiksizse verilebilir. Belge bir kanıt yoludur, tek yol değildir.
FirstİSG için bu sorular nasıl sorulur?
FirstİSG için de aynı liste gönderilmeli ve cevaplar aynı tabloyla puanlanmalıdır. Bu sitedeki FirstİSG bağlantıları sponsorludur. Bu yüzden FirstİSG'nin belgeleri hakkında burada bir değerlendirme yazmıyoruz; belge ve kapsam sorularını doğrudan FirstİSG'ye yöneltin.
FirstİSG'nin KVKK aydınlatma metni firstisg.com'da yayımlıdır ve sözleşmeden önce okunabilir. FirstİSG'nin bu ölçütte kendi beyan ettiği işler ve sınırları FirstİSG değerlendirmesi sayfasında yer alıyor. O beyanları da bu sayfadaki belgelerle ve demoyla sınayın.
Sık sorulan sorular
ISO 27001 belgesi olan İSG yazılımı güvenli midir?
Belge, sağlayıcının bilgi güvenliğini yöneten bir sistem kurduğunu ve bunun belirli bir kapsam için denetlendiğini gösterir. Yazılımın her ekranının hatasız olduğunu göstermez. Kapsam metnini ve geçerlilik tarihini isteyin.
VERBİS kaydı bir güvenlik belgesi midir?
Değildir. Veri Sorumluları Siciline kayıt, işlenen veri ve amaçlar hakkında bir bildirimdir. Kanun, Kurula kayıt zorunluluğuna istisna getirme yetkisi de verir; bu yüzden kaydın yokluğu tek başına bir eksik sayılmaz.
"KVKK uyumlu" yazan bir yazılıma güvenilir mi?
İfade bir iddiadır. Hangi tedbirlere dayandığını sorun ve yetki, kayıt izi ve yedek uygulamasını demoda görün. Puanı ifadeye değil, gördüğünüze verin.
Sağlayıcı belgelerini paylaşmak istemezse ne yapılmalı?
Belgenin kendisini değil, kapsamını ve geçerlilik tarihini gösteren bir özeti isteyin. Gizlilik sözleşmesiyle paylaşım da olağandır. Hiçbir bilgi verilmiyorsa bu ölçütte yüksek puan vermeyin.
Veri güvenliği ölçütü kurumsal firmada neden daha ağır?
Kurumsal firma kendi çalışanlarının sağlık ve kişisel verisini tutar. Bu yüzden kurumsal önayarda ağırlığı 20, varsayılan ve OSGB önayarında 15, bireysel önayarda 10'dur.
Sızma testi raporu istemek olağan mı?
Kurumsal alımda olağandır. Raporun tamamı yerine tarihini, kapsamını ve bulunan açıkların kapatılıp kapatılmadığını gösteren bir özet istemek yeterli olabilir.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu, Madde 9 (yurt dışına aktarım), Madde 10 (aydınlatma), Madde 12 (veri güvenliği), Madde 16 (Veri Sorumluları Sicili)
- Kişisel Verileri Koruma Kurumu, Veri Güvenliğine İlişkin Yükümlülükler, Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler)