Bilgilendirme: Bu yazı genel bilgi amaçlıdır, hukuki danışmanlık değildir. İşletmenize özgü yükümlülükler için hukuk müşavirinize danışın.
KVKK yedeklemeyi neden ilgilendirir?
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel veri işleyen herkesten verinin hukuka aykırı erişimini ve kaybını önlemek için uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri almasını bekler. Müşteri listesi, personel kayıtları, fatura bilgileri gibi veriler kişisel veri içerir; bunların yedekleri de aynı korumayı hak eder.
Yani yedekleme iki yönlü bir konudur: verinin kaybolmaması için yedek almak, aldığınız yedeğin de yetkisiz kişilerin eline geçmemesi için korumak.
Yedeklerde dikkat edilecek noktalar
| Konu | Pratikte ne anlama gelir? |
|---|---|
| Erişim kontrolü | Yedek klasörüne yalnızca yetkili kişiler erişebilmeli; paylaşılan hesaplar kullanılmamalı |
| Şifreleme | Yedek dosyaları şifrelenirse, ele geçirilse bile okunamaz (bkz. AES-256) |
| Güvenli aktarım | Yedekler şifreli kanaldan (SFTP/FTPS) taşınmalı (bkz. FTP, SFTP, FTPS) |
| Saklama süresi | Kişisel veri gereğinden uzun saklanmamalı; yedek saklama süresi de buna uyumlu planlanmalı (bkz. saklama politikası) |
| Kayıt ve izleme | Yedeğe kimin eriştiği ve işlemin başarısı izlenebilmeli |
Anahtarı olmayan için içerik anlamsızdır. Veriler örnektir.
Silinen veri yedekte kalırsa?
Bir kişi verisinin silinmesini talep ettiğinde, veri canlı sistemden silinse bile yedeklerde kalabilir. Bu konuda hangi yaklaşımın uygun olduğu (ör. yedeklerin belirli bir süre sonra kendiliğinden silinmesi ve geri yükleme sırasında silinen kayıtların yeniden temizlenmesi) hukuki değerlendirme gerektirir; saklama süresi politikanızın net olması bu değerlendirmeyi kolaylaştırır.
Veri ihlalinde yedeğin rolü
Fidye yazılımı gibi bir olayda verilerinizin kaybolması ya da ele geçirilmesi söz konusu olabilir. Doğru alınmış, şifrelenmiş ve ayrı bir yerde tutulan yedek, hem iş sürekliliği hem de olay sonrası kayıpları sınırlamak açısından en önemli araçtır (bkz. fidye yazılımına karşı yedekleme).
Kısa kontrol listesi
- Hangi yedeklerde kişisel veri olduğunu biliyor musunuz?
- Yedekler şifreli mi ve parola güvenli yerde mi?
- Yedek sunucusuna kimlerin erişimi var; gereksiz yetkiler kaldırıldı mı?
- Yedek saklama süreniz yazılı mı?
- Yedeklerden geri dönebildiğinizi düzenli test ediyor musunuz?
