Bir üniversitenin bilgi işlem uygulama ve araştırma merkezi, kurumun en hassas veri yığınını işleyen birimdir. Öğrenci kayıtları, personel özlük bilgileri, sağlık verileri, sınav sonuçları ve ağ trafiği aynı altyapı üzerinde toplanır. Merkezin yönetmeliği idari görev dağılımını belirler; ancak veri koruma hukuku bakımından asıl soru, teknik işlemleri kimin adına yapıldığıdır.
Bilgi İşlem Merkezlerinin Veri Sorumluluğu
Veri koruma mevzuatında sorumluluk, verinin işlenme amacını ve vasıtalarını belirleyen kuruma aittir. Bilgi işlem merkezi çoğu zaman teknik uygulayıcıdır; ancak kendi inisiyatifiyle yeni bir işleme faaliyeti başlattığında konumu değişebilir. Bu nedenle her sistem için amaç, hukuki sebep, saklama süresi ve erişim yetkisi yazılı olarak tanımlanmalıdır. Envanteri olmayan bir sistem, denetimde savunulamaz.
Öğrenci ve Personel Verilerinde Hassas Noktalar
- Sağlık raporları ve engellilik bilgileri gibi özel nitelikli verilerin ayrı erişim rejimine tabi tutulması
- Kamera ve giriş kontrol kayıtlarının saklama süresinin belirlenmesi
- Akademik birimlerin talebiyle yapılan toplu veri aktarımlarının kayda bağlanması
- Mezun olan veya ayrılan kişilerin hesap ve yetkilerinin zamanında kapatılması
Log Kayıtları ve İçerik Sorumluluğu
Kurumun sağladığı internet erişimi üzerinden yürütülen faaliyetlere ilişkin trafik kayıtlarının tutulması ve bütünlüğünün korunması gerekir. Bu kayıtlar iki yönlü işlev görür: bir yandan yasal yükümlülüğün yerine getirilmesini sağlar, diğer yandan kuruma yöneltilen bir suçlamada savunma imkânı verir. Kayıtların zaman damgası ve erişim kısıtı olmadan tutulması, ispat değerini önemli ölçüde zayıflatır.
İhlal Anında İzlenecek Adımlar
Yetkisiz erişim, sızıntı veya fidye yazılımı vakalarında ilk saatler belirleyicidir. İzlenecek sıra genellikle şudur: etkilenen sistemin izole edilmesi, delil niteliğindeki imajın alınması, etkilenen kişi ve veri kategorilerinin tespiti, yetkili kuruma bildirim ve ilgili kişilerin bilgilendirilmesi. Sistemi hemen yeniden kurmak, sorunu çözerken ihlalin nasıl gerçekleştiğine dair delilleri de yok edebilir.
Bu metin genel bilgilendirme amaçlıdır. Kurumun sistem mimarisi ve olayın kapsamı yükümlülükleri değiştirebileceğinden, veri ihlali şüphesinde gecikmeden hukuki ve teknik destek alınması önerilir.