KVKK açısından şifre yönetimi

6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel veri işleyen her işletmeden verilerin güvenliği için uygun teknik ve idari tedbirleri almasını ister. Müşteri bilgilerinin durduğu e-ticaret panelleri, muhasebe programları ve e-posta hesapları da bu verilere açılan kapılardır. Bu kapıların anahtarı ise şifrelerdir.

Bu yazı genel bilgi içindir, hukuki danışmanlık değildir. Kendi durumunuz için bir hukukçuya danışın.

Şifreler neden konuyla ilgili?

Bir müşterinin adı, adresi ve siparişleri pazaryeri panelinde; faturaları muhasebe programında; yazışmaları e-postada durur. Bu hesaplara yetkisiz biri girdiğinde kişisel veriler de açığa çıkar. Bu yüzden şifrelerin ve erişimlerin nasıl yönetildiği, veri güvenliği tedbirlerinin doğrudan bir parçasıdır.

Kişisel Verileri Koruma Kurumu'nun yayımladığı kişisel veri güvenliği rehberi de erişim yetkilerinin sınırlandırılması, yetkilerin düzenli gözden geçirilmesi, işten ayrılan çalışanların yetkilerinin kaldırılması ve kayıt tutulması gibi tedbirlerden söz eder.

Pratik bir başlangıç listesi

1. Erişimi sınırlayın. Her çalışan yalnızca işi için gereken hesaplara erişsin. Ortak bir Excel dosyası bu ilkeyle çelişir: dosyayı açan her şeyi görür.
2. Kişiye özel yetkiler tanımlayın. Mümkünse her çalışana ayrı kullanıcı; değilse ortak şifreyi bir şifre yöneticisinde, ekiplere ayrılmış kasalarda paylaşın.
3. İki adımlı doğrulamayı açın. Özellikle e-posta, muhasebe ve pazaryeri panellerinde.
4. Erişimleri düzenli gözden geçirin. Üç veya altı ayda bir, kimin hangi hesaba erişebildiğine bakın ve gereksizleri kaldırın.
5. İşten çıkışta yetkileri kaldırın. Ayrılan çalışanın erişimini aynı gün kapatın ve gördüğü ortak şifreleri değiştirin.
6. Kayıt tutun. Kim hangi şifreye ne zaman erişti, kim neyi değiştirdi? Bir olay olduğunda geriye dönüp bakabilmek için bu kayıtlar gereklidir.
7. Kuralları yazıya dökün. Bir şifre ve erişim politikası, alınan tedbirleri belgelemenin pratik bir yoludur. Şifre politikası oluşturucumuz bir taslakla başlamanıza yardımcı olur.

Şifre yöneticisi bu listede nereye düşer?

Bir şifre yöneticisi listenin birçok maddesini tek başına karşılamaz ama uygulamayı kolaylaştırır. Passhield şifreleri uçtan uca şifreli kasalarda saklar, ekiplere göre dört izin düzeyiyle paylaşır, kimin hangi şifreyi gördüğünü değiştirilemez bir kayda geçirir ve işten çıkışta yapılacakları listeler. Sunucu şifreleri düz metin olarak hiçbir zaman görmez; neyi görüp neyi görmediği güvenlik sayfamızda tek tek yazılıdır.

Kısaca

Şifre ve erişim yönetimi, kişisel veri güvenliğinin ön kapısıdır. Erişimi sınırlayın, yetkileri gözden geçirin, ayrılışta kaldırın, kayıt tutun ve kurallarınızı yazıya dökün.