Pratikte teknik ve kurumsal önlemler (TOM’lar)

Kısaca: TOM’lar, bir şirketin kişisel verileri güvence altına aldığı koruma önlemleridir: erişim haklarından ve şifrelemeden eğitime ve acil durum planlarına kadar.

Biraz daha ayrıntılı: GDPR m. 32, teknolojinin durumuna, maliyetlere, işlemenin niteliğine ve kapsamına ve ilgili kişiler için riske bağlı olarak “uygun teknik ve kurumsal önlemler” ister. Bu yüzden sözleşmelerde (veri işleme), gizlilik belgelerinde ve denetimlerde her zaman bir TOM listesi yer alır. Bu genel bilgidir ve hukuki tavsiye değildir; yasalar değişir ve bireysel durumlar farklı olabilir. Somut sorunlarda danışmanlık (tüketici danışmanlığı, avukat, veri koruma makamı) yardımcı olur.

Ayrıntılı

Teknik önlemler (örnekler)

• Beklemedeki ve iletimdeki verilerin şifrelenmesi (TLS, disk/veritabanı şifrelemesi).
• Erişim denetimi: kullanıcı hesapları, roller ve haklar, iki faktör, parola politikaları, başarısız denemelerden sonra kilitleme.
• Takma adlandırma/anonimleştirme.
• Günlükleme ve izleme.
• Yedekler ve geri yükleme testleri, dayanıklılık.
• Güvenlik duvarları, güncellemeler/yama yönetimi, antivirüs, ağ bölümlendirme.
• Test/üretim verilerinin ayrılması, kiracı ayrımı.

Kurumsal önlemler (örnekler)

• Politikalar (gizlilik, parolalar, temiz masa, mobil cihazlar).
• Çalışanların eğitimi ve gizlilik yükümlülüğü.
• Yetkilendirme kavramı (bilmesi gereken), işe giriş/çıkış süreçleri.
• Hizmet sağlayıcılarla veri işleme sözleşmeleri, tedarikçi kontrolleri.
• Veri ihlalleri için acil durum ve bildirim süreci (72 saat).
• Silme kavramı ve saklama süreleri.
• Ziyaretçi kuralları, kilit sistemi, belge imhası.
• Düzenli gözden geçirme ve belgeleme (etkinliği kontrol et).

Koruma hedeflerine göre yapılandırma

TOM’lar çoğu zaman hedeflere göre yapılandırılır: gizlilik (giriş, erişim, yetkilendirme denetimi, ayrım), bütünlük (aktarım, giriş denetimi), kullanılabilirlik ve dayanıklılık (yedekleme, kurtarma), düzenli gözden geçirme prosedürleri. Bu, onların örneğin koruma ihtiyacı değerlendirmesiyle belirlenen riske atanmasını sağlar.

Küçük işletmeler için uygulama

Fiilen uygulanan önlemlerin kısa bir listesiyle başla: parola yöneticisi, güncellemeler, yedekler, cihaz şifrelemesi, iki faktör, erişim hakları, eğitim, sözleşme şablonları. Gerçekte geçerli olanı dürüstçe belgele, dilek listelerini değil. En az yılda bir gözden geçir. Şablonları denetim makamları, BSI Grundschutz, sektör dernekleri sunar.

Ayrıca bak: Koruma ihtiyacı değerlendirmesi, Veri işleme sözleşmesi (AVV), Veri ihlali ve bildirim yükümlülüğü, ISO 27001 ve BSI Grundschutz