Veri ihlalinde 72 saat: sayaç ne zaman başlar?

Veri ihlali bildirimi, kriz anında en çok hata yapılan başlıklardan biri. Sebebi, sürenin nereden başladığının ve kararın kim tarafından verileceğinin önceden belirlenmemiş olması. Olay yaşandığında herkes teknik müdahaleye odaklanıyor, bildirim yükümlülüğü ise saatler sonra akla geliyor.

Süre kayıttan değil, öğrenmeden başlar

Kişisel Verileri Koruma Kurulu’nun ihlal bildirimine ilişkin kararı uyarınca, veri sorumlusu ihlali öğrendiği tarihten itibaren en kısa sürede ve en geç 72 saat içinde Kurul’a bildirimde bulunmakla yükümlüdür.

Buradaki kritik kelime "öğrendiği". Süre, olayın sisteme kaydedildiği an değil, kurumun ihlalden haberdar olduğu an başlar. Sistem yöneticisi Cuma akşamı şüpheli bir durum fark ettiyse ve konu Pazartesi sabahı yönetime taşındıysa, sayaç Pazartesi değil Cuma akşamı işlemeye başlamıştır.

Bu ayrım, ihlal kayıt formlarında ayrı bir "öğrenme tarihi" alanı bulunmasını zorunlu kılar. Kayıt tarihini süre başlangıcı sayan bir sistem, geriye dönük girilen olaylarda yanlış hesap yapar ve kurumu yükümlülüğünü kaçırmış duruma düşürür.

Kim karar verecek?

Her güvenlik olayı kişisel veri ihlali değildir. Bir sunucunun donanım arızası nedeniyle durması kesintidir; ancak kişisel veri yetkisiz kişilerin eline geçmediyse ihlal bildirimi gerektirmeyebilir. Buna karşılık verinin kalıcı olarak kaybedilmesi de bir ihlal olarak değerlendirilebilir.

Bu değerlendirmeyi kriz anında yapmak zordur. Bu nedenle kararın kimde olduğu — genellikle irtibat kişisi, bilgi işlem sorumlusu ve yönetimden bir kişiden oluşan küçük bir ekip — önceden yazılı hâle getirilmelidir. Karar mercii belli değilse, saatler "kimin karar vereceğini" tartışarak geçer.

Bildirime kadar hangi bilgiler toplanmalı?

Bildirim formu, olayın ne zaman ve nasıl gerçekleştiğini, hangi kişisel veri kategorilerinin ve yaklaşık kaç kişinin etkilendiğini, olası sonuçları ve alınan teknik-idari tedbirleri sorar. Bu bilgilerin bir kısmı ilk saatlerde net olmayabilir.

Burada sık yapılan hata, "her şey netleşsin sonra bildirelim" yaklaşımı. Süre, bilgi tamamlanana kadar durmaz. Bilinenlerle bildirim yapılıp eksiklerin sonradan tamamlanması, süreyi kaçırmaktan daha doğru bir yaklaşımdır.

Bildirim sürecinde ayrıca kanıtların korunması gerekir. Etkilenen sistemi hemen yeniden kurmak, kaynağın tespitini imkânsız hâle getirebilir; imaj alınmadan yapılan temizlik hem analizi hem de olası hukuki süreci zorlaştırır.

İlgili kişilere bildirim ayrı bir yükümlülük

Kurul’a bildirim, sürecin tamamı değil. İhlalden etkilenen ilgili kişilere de makul olan en kısa sürede bilgi verilmesi gerekir. Bu, çoğu kurumda ayrı bir hazırlık ister: kimlere, hangi kanaldan, hangi metinle ulaşılacağı önceden düşünülmemişse bu adım günlerce gecikir.

Bildirim metninin ilgili kişiye ne yapması gerektiğini de söylemesi beklenir; örneğin parola değiştirmesi ya da hesap hareketlerini takip etmesi gibi. Yalnızca "bir olay yaşandı" demek, yükümlülüğün ruhuna uymaz.

Krizden önce hazırlanacak üç şey

Birincisi, öğrenme tarihini kaydeden ve sayacı oradan başlatan bir ihlal kayıt düzeni. İkincisi, kimin karar vereceğini ve kimin kimi arayacağını gösteren yazılı bir eskalasyon şeması. Üçüncüsü, Kurul bildirimi ve ilgili kişi bildirimi için önceden hazırlanmış taslak metinler.

Bu üçü hazırsa 72 saat yeterli bir süredir. Hazır değilse, ilk gün yalnızca kimin ne yapacağını konuşmakla geçer.