KVKK ve Siber Güvenlik Eğitimi: Kurul Kararlarında Çalışan Farkındalığı Neden Belirleyici?

KVKK kapsamında veri ihlali yaşayan şirketlerin Kurul kararlarında tekrar eden bir tespit var: çalışan farkındalığının yetersiz kalması. Kurul, eğitim verilmiş olsa bile pratikte işe yaramadıysa bunu da eksiklik olarak değerlendiriyor. Teknik açıklar kadar bu idari eksiklik de cezanın gerekçesinde yer alıyor. Bu yazıda yayımlanmış karar örnekleri üzerinden KVKK açısından siber güvenlik eğitiminin neden zorunlu bir tedbir gibi ele alınması gerektiğini ve eğitimin nasıl belgelenmesi gerektiğini anlatıyoruz.

KVKK siber güvenlik eğitimini neden şart koşuyor?

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesi, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için "uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri" alma yükümlülüğü getirir. Kurum'un yayımladığı Kişisel Veri Güvenliği Rehberi de idari tedbirler arasında çalışanların eğitimini ve farkındalığını açıkça sayar.

Kanun "yılda şu kadar saat eğitim verin" demez. Ama bir ihlal sonrası inceleme yapıldığında Kurul'un sorduğu soru nettir: Bu riski azaltmak için çalışanlarınızı hazırladınız mı ve bunu kanıtlayabiliyor musunuz?

Kurul kararlarından üç örnek

Örnek 1: Sahte CEO e-postası, 217 kişi, 1 milyon TL (Karar 2024/728). Uluslararası bir mesleki kuruluşun Amsterdam ofisindeki bir çalışanına, Yönetim Kurulu Başkanı ve CEO'dan geliyormuş gibi görünen bir e-posta geliyor. E-postada AB ve AEA'daki üyelerin isim ve e-posta listesi isteniyor. Çalışan listeyi ekleyip cevaplıyor. E-posta aslında taklit edilmiş harici bir hesaptan geliyor ve 217 Türk üyenin kişisel verisi yetkisiz kişilerin eline geçiyor.

Kurum, çalışanlarına çeşitli eğitimler verdiğini söylüyor. Kurul ise bu durumun "veri gizliliği ve güvenliğinin çalışanlar nezdinde tam olarak benimsenmediğinin göstergesi" olduğunu değerlendiriyor. E-posta güvenliği ayarlarının ancak ihlalden sonra sıkılaştırıldığı da tespit ediliyor. Sonuç: veri güvenliği tedbirlerini almamaktan 750.000 TL, ihlali 72 saat içinde bildirmemekten 250.000 TL, toplam 1 milyon TL idari para cezası.

Bu kararın mesajı açık: Eğitim vermiş olmak tek başına yeterli değil. Eğitimin pratikte işe yaradığını gösterebilmek gerekiyor.

Örnek 2: Bir indirme, 797 sunucu, 1 milyon TL. Küresel ölçekte faaliyet gösteren bir sanayi şirketinde internetten indirilen bir program sonrasında fidye yazılımı şirketin ağındaki 797 sunucuya yayılıyor. Basına yansıyan bilgilere göre etkilenen veriler arasında kimlik, pasaport, adres, IBAN, telefon ve kan grubu bilgileri bulunuyor ve çalışan, müşteri ve tedarikçilerden 4.885 kişi etkileniyor. Kurul'un tespit ettiği eksikler:

• Zayıf parola politikaları
• Çalışanların siber güvenlik farkındalığının yetersiz olması
• Gereğinden geniş ağ erişim yetkileri, zararlı yazılımın ağda yayılmasını kolaylaştırıyor
• Güncel olmayan işletim sistemleri ve uygulanmayan kritik güvenlik güncellemeleri
• İhlal öncesi sızma testlerinde tespit edilen kritik açıkların giderildiğine dair kanıt olmaması
• İhlalin Kurul'a 23 gün sonra bildirilmesi

Ceza: veri güvenliği yükümlülüğünü ihlalden 800.000 TL, geç bildirimden 200.000 TL.

Örnek 3: Tedarikçi hesabı, fidye yazılımı, 500.000 TL. Otomotiv sektöründe faaliyet gösteren bir şirkette saldırının, şirkete İK yazılımı sağlayan bir hizmet sağlayıcının kullanıcı hesabının ele geçirilmesiyle başlamış olabileceği değerlendiriliyor. Fidye yazılımı dosyaları şifreliyor, saldırganlar bazı verileri internette yayımlıyor. Kurul; bilgi sistemlerinin düzenli izlenmediğini, olağan dışı ağ hareketlerinin zamanında fark edilmediğini ve zararlı yazılımlara karşı yeterli koruma olmadığını tespit ediyor. Kurul ayrıca veri sorumlularının, verilerini işleyen tedarikçilerin de yeterli güvenlik önlemi almasını sağlamakla yükümlü olduğunu hatırlatıyor.

Bu kararlarda ortak olan ne?

Üç vakada da saldırı filmlerdeki gibi gelişmiyor. Giriş noktası çoğu zaman bir çalışanın ya da tedarikçinin sıradan bir hareketi: bir program indirmek, yöneticiden geldiği sanılan bir e-postaya cevap vermek, ele geçirilen bir hesap. Ardından gelen zarar ise yıllarca ertelenen temel önlemlerden kaynaklanıyor.

Bu yüzden KVKK uyumunu yalnızca aydınlatma metni ve envanter çalışması olarak görmek eksik kalır. Kurul'un baktığı yerlerden biri, insan kaynaklı riski azaltmak için ne yaptığınızdır.

Para cezası tek maliyet değil

İdari para cezası görünen maliyettir. Bunun yanında şunlar da hesaba katılmalı:

• Olay müdahalesi ve veri kurtarma maliyeti
• Sistemler kapalıyken kaybedilen iş günü
• Müşteri ve iş ortağı güveninin sarsılması
• Kurul kararlarının özet olarak yayımlanmasının getirdiği itibar riski

KVKK açısından etkili bir siber güvenlik eğitimi nasıl olmalı?

Kurul kararları önemli bir ipucu veriyor: Eğitimin varlığı kadar etkisi ve kanıtı da önemli. Etkili ve savunulabilir bir program için:

1. Düzenli olmalı. İşe girişte bir kez verilen eğitim yetmez. Yılda bir kez izletilen video da davranış değiştirmez. Kısa ve tekrarlayan modüller daha etkilidir.
2. Gerçek riski hedeflemeli. Kararlarda en sık görülen giriş noktaları oltalama e-postaları, zararlı yazılım indirme ve zayıf parolalardır. Eğitim içeriği bunlara odaklanmalı.
3. Ölçülmeli. Oltalama simülasyonlarıyla çalışanların gerçek bir saldırıya nasıl tepki verdiğini görmek, eğitimin işe yarayıp yaramadığını gösterir.
4. Belgelenmeli. Kim, hangi eğitimi, ne zaman aldı? Simülasyon sonuçları ne gösterdi? Bu kayıtlar bir inceleme anında elinizdeki en somut kanıttır.

Sık sorulan sorular

---
InfoLore, KVKK kapsamında belgelenebilir siber güvenlik farkındalık programları ve oltalama simülasyonları sunar. Mevcut durumunuzu değerlendirmek için bize ulaşabilirsiniz.