Kişisel veri ihlalini önlemek için neler yapılmalı?

Şirketlerin siber güvenlik yatırımlarını belirlerken iç tehditleri de göz önünde bulundurması büyük önem taşıyor. Yapılan araştırmalar kuruluşların %65’inin son 12 ayda bir veya daha fazla içeriden saldırıya uğradığını raporluyorken tek bir olayın neden olduğu maddi zararların giderilmesi için 100.000 ile 500.000 dolar arasında harcadığını bildiriyor. “Dışarıdaki hackerlerin şirketin veri tabanlarına girmek için güvenlik duvarlarını ve diğer güvenlik önlemlerini aşmanın yollarını bulması gerekiyor ancak birçok dahili kullanıcının zaten bu veri tabanlarına erişimi olduğu için içeriden veri sızdırmak daha kolaydır.” ifadelerinde bulunan  Günal, şirket içi tehditlerin neden olduğu kişisel veri ihlaline karşı yetki matrisi oluşturulması ve departmanlar arası veri akışına izin verilmemesi gerektiğini aktarıyor. 

Şirketlerin 3’te 2’si Saldırılarla Karşılaştı 

Dışarıdan gelen tehditler her zaman bir kuruluşun endişeleri listesinde en üst sırada yer alsa da içeriden gelen tehditler de şirketlerin büyük hasarlarla karşılaşmasına neden oluyor. Öyle ki son araştırmalara göre üç şirketten ikisi içeriden saldırıya uğrarken karşılaştıkları veri ihlalleri karşısında da önemli maddi kayıplar yaşıyor. Bilgi güvenliği konusunda yeteri kadar eğitilmemiş çalışanların genellikle hackerlerin dahili veri tabanlarına veya suçlu olarak kendilerinin verimli olabilecek bilgilere erişimini kolaylaştıracağını belirten Serap Günal, şirketleri bu tür kötü niyetli iç tehditlere karşı dikkatli olması gerektiği konusunda uyarıyor. 

Departmanlar Arası Veri Akışına Dikkat Edilmeli 

Başta sağlık, finans ve turizm sektörleri olmak üzere birçok sektör içerisinde yaşanan kişisel veri ihlalleri, şirketleri sorunun kaynağını araştırmaya yönlendiriyor. Dış tehditlere karşı idari ve teknik altyapılarını oluşturmaya başlayan şirketlerin gözden kaçırdıkları önemli noktayı şirket içi tehditler oluşturuyor. Şirket içi tehditlerin yaratacağı zararlara şirketlerin dikkat etmediğini aktaran Günal, kişisel verilerin korunması adına atılması gereken önemli adımlardan birinin şirket içi kişisel verilerin korunması ve güvenliğine yönelik idari prosedürlerin uygulanarak departmanlar arası veri akışının gerçekleşmemesi olduğunu belirtiyor. KVKK uyumluluğu sürecinde analiz ettikleri şirketlerdeki genel hatanın elde edilen kişisel veriyi şirket içerisinde belirli kurallara göre koruyamama olduğunu tespit ettiklerini belirten Günal, açık rızası alınan ve belirli bir departmanın gözetiminde olması gereken kişisel verinin alakasız bir departmana aktarılması, sonucunu büyük bir krizin meydana getireceği süreci başlattığını belirtiyor. 

Şirketlerde Yetki Matrisi Oluşturulmalı, Erişim Logları Kayıt Altına Alınmalı 

Kişisel Verilerin Korunması Kanununda mevcut ilkelere aykırılık riskini daha da artıran departmanlar arası veri akışına karşı şirketlerde veri segmentasyonu gerektiğini de hatırlatan Serap Günal, her departmanın sadece kendine özel tutulan bilgilere erişim sağlaması gerektiğini, aksi takdirde yetkisi olmayan kimselerin sağlayacağı yetkisiz erişimlerle ihlallerin yaşanmaması için bir nedenin kalmayacağını ifade ediyor. Şirketlerde paylaşılan her türlü dosya ve veri tabanı için kimin erişim yetkisi olduğu, kimin ne zaman ne şekilde hangi cihazdan erişim sağladığı ya da erişim yetkisinin olduğunu bilmenin ve belirlemenin gerekliliğini önemli bir adım olarak gören Günal, erişim yetkisi verilen kişilerin de ayrıca kaydının tutulmasını gerektiğini, bu yüzden oluşturulan yetki matrisinin işlevselliğini ve verilen yetkilerin kötüye kullanılıp kullanılmadığının da tutulan erişim logları ve log kayıtları ile ölçülebileceğini ifade ediyor.