Bir çalışanın e-posta hesabına yetkisiz giriş yapıldığını fark ettiğiniz an, saat işlemeye başlar. Kişisel Verileri Koruma Kurulu'nun veri ihlali bildirimine ilişkin kararı, veri sorumlusunun ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirimde bulunmasını öngörür. Üç gün, ihlalin kapsamını anlamak, zararı sınırlamak ve doğru bilgiyle bildirim yapmak için uzun bir süre değildir. Hazırlıksız bir acente bu süreyi panik içinde geçirir. Bu yazıda, bir sigorta acentesinin olası bir kişisel veri ihlalinde ilk 72 saati nasıl planlayabileceğini zaman çizelgesi üzerinden ele alıyoruz.
Önce tanım: Neler ihlal sayılabilir?
Kişisel veri ihlali yalnızca dışarıdan yapılan saldırılardan ibaret değildir. Acente ortamında karşılaşılabilecek bazı örnekler şunlardır:
- Bir çalışanın kullanıcı bilgilerinin ele geçirilmesi ve hesabın üçüncü kişilerce kullanılması.
- Müşteri listesini içeren bir tablonun yanlış alıcıya e-postayla gönderilmesi.
- Müşteri belgeleri bulunan bir dizüstü bilgisayarın veya telefonun kaybolması.
- Teklif formlarının yanlış müşteriye iletilmesi.
- Ayrılan bir çalışanın erişiminin kapatılmaması ve sonrasında kayıtlara ulaşması.
- Fiziksel arşiv dosyalarının korumasız bir alanda bırakılması.
Bu örneklerin ortak noktası, kişisel verinin yetkisiz kişilerce elde edilmiş olması ya da elde edilme ihtimalinin doğmasıdır.
İlk saatler: Fark etme ve sınırlama
İhlalin ilk saatlerinde amaç, durumu tam olarak anlamak değil, zararın büyümesini durdurmaktır. Bu aşamada yapılabilecekler şöyle sıralanabilir:
- Olayı bildiren kişiden ne gördüğünü, ne zaman fark ettiğini ve neler yaptığını yazılı olarak alın.
- Etkilenen kullanıcı hesaplarının şifrelerini değiştirin, gerekirse hesabı geçici olarak askıya alın.
- Kaybolan cihaz söz konusuysa uzaktan kilitleme veya oturum kapatma imkânlarını kullanın.
- Yanlış alıcıya gönderilen içerik için alıcıyla iletişime geçip içeriğin silinmesini talep edin.
- Delilleri koruyun; aceleyle kayıtları silmek veya sistemleri sıfırlamak sonraki incelemeyi zorlaştırır.
Ayrıca ihlali öğrendiğiniz an, 72 saatlik sürenin başlangıcı olarak not edilmelidir. Bu tarih ve saat, bildirimde de soruşturulacak ilk bilgilerden biridir.
İlk gün: Kapsamı anlamak
Zarar sınırlandıktan sonra "ne oldu?" sorusuna dönülür. Bu aşamada acente yazılımının işlem kayıtları en değerli bilgi kaynağıdır. Hangi kullanıcının, hangi tarih aralığında, hangi müşteri kayıtlarına eriştiği; hangi listelerin dışa aktarıldığı ve hangi cihazlardan oturum açıldığı incelenir.
Kapsam belirlenirken şu sorular yanıtlanmaya çalışılır:
- Hangi veri kategorileri etkilendi? Kimlik, iletişim, araç, adres, sağlık?
- Yaklaşık kaç kişi etkilendi?
- İhlal hangi tarihte başladı, hangi tarihte sona erdi?
- Veri yalnızca görüntülendi mi, kopyalandı mı, değiştirildi mi?
Kesin bir sayı ilk gün belirlenemeyebilir. Bu durumda tahmini aralıkları ve belirsizliğin nedenini kaydetmek, sonradan yapılacak güncellemeler için zemin oluşturur.
İkinci gün: Etki değerlendirmesi
Etkilenen veriler belirlendikten sonra, ihlalin ilgili kişiler üzerindeki olası sonuçları değerlendirilir. Bir müşteri listesinde yalnızca ad ve telefon bulunması ile kimlik numarası, adres ve sağlık beyanı bulunması aynı riski taşımaz. Kimlik bilgisiyle birlikte sızan iletişim verileri, dolandırıcılık amaçlı aramalara zemin hazırlayabilir. Sağlık verisi içeren kayıtlar ise özel nitelikli veri olduğu için daha ağır sonuçlar doğurabilir.
Bu değerlendirme, ilgili kişilere ne söyleneceğini ve hangi önerilerde bulunulacağını da belirler. Örneğin müşterilere, acente adına arandıklarını iddia eden kişilere karşı dikkatli olmaları ve kimlik bilgisi paylaşmamaları önerilebilir.
Üçüncü gün: Bildirim
Kurul'a bildirim, Kurul'un yayımladığı veri ihlali bildirim formu aracılığıyla yapılır. Form; ihlalin tarihini, tespit tarihini, etkilenen veri kategorilerini, kişi sayısını, olası sonuçları ve alınan önlemleri içerir. Tüm bilgilerin 72 saat içinde netleşmemesi halinde, eldeki bilgilerle bildirim yapılması ve eksik bilgilerin ardından tamamlanması yaklaşımı benimsenebilir. Gecikmeli bildirimde ise gecikmenin gerekçesinin açıklanması gerekir.
Kurul kararı ayrıca ilgili kişilere de makul olan en kısa süre içinde bildirim yapılmasını öngörür. Bu bildirimin yalın, anlaşılır ve kişinin kendini korumak için atabileceği adımları içeren bir dille yazılması önerilir.
Sonrası: Kayıt ve iyileştirme
İhlal kapandıktan sonra yapılacak en önemli iş, olayı bir ders olarak belgelemektir. Ne oldu, nasıl fark edildi, hangi önlemler işe yaradı, hangi adımlar gecikti? Bu sorulara verilen yanıtlar, bir sonraki olası durumda süreyi kısaltır. Kurul kararı da veri sorumlularının ihlallere ilişkin kayıt tutmasını beklemektedir.
Önceden hazırlanabilecekler
72 saatlik süreyi rahatlatmanın yolu, ihlalden önce hazırlık yapmaktır:
- İhlal durumunda kimin karar vereceği ve kimin bildirim yapacağı yazılı olarak belirlenmeli.
- Yazılım sağlayıcısıyla ihlal durumunda iletişim kanalı önceden netleştirilmeli.
- İşlem kayıtlarının hangi ekranlardan ve hangi ayrıntıda alınabileceği bilinmeli.
- Kayıp cihaz senaryosu için uzaktan oturum kapatma adımları denenmiş olmalı.
- İlgili kişilere gönderilecek bildirim için taslak bir metin hazır tutulmalı.
Kullandığınız sigorta acentesi yazılımı kullanıcı bazlı oturum ve işlem kayıtları tutuyorsa, kapsam belirleme aşaması günlerden saatlere inebilir. Sahada kullanılan mobil uygulama için de oturumların merkezden kapatılabilmesi, kayıp cihaz senaryolarında ilk saatlerin en etkili önlemidir.
Bu hazırlıkları yılda bir kez kısa bir masa başı tatbikatıyla denemek, örneğin "bir çalışanın telefonu kayboldu" senaryosunu ekiple birlikte adım adım konuşmak, planın kâğıt üzerinde kalmadığını gösterir.
Sonuç
Veri ihlali, hiçbir acentenin yaşamak istemediği ama her acentenin hazırlıklı olması gereken bir durumdur. İlk saatlerde sınırlama, ilk gün kapsam belirleme, ikinci gün etki değerlendirmesi ve üçüncü gün bildirim şeklinde düşünülen bir plan, baskı altında doğru kararlar vermeyi kolaylaştırır. Bu yazı genel bir çerçeve sunar; ihlal durumunda hukuk ve bilgi güvenliği uzmanlarından destek almanızı öneririz. Hazırlık sürecinizi değerlendirmek isterseniz bizimle iletişime geçebilirsiniz.