Şirketlerin siber güvenliği KVKK + 5651 + sektör mevzuatı gereği yasal yükümlülüktür.
Temel Tedbirler
- Firewall (donanım/yazılım)
- Antivirüs/EDR
- Yedekleme (3-2-1 kuralı)
- Şifreleme (veritabanı, taşıma)
- 2FA tüm hesaplarda
- Erişim yönetimi
- Yama yönetimi (güncellemeler)
- Çalışan eğitimi
İleri Düzey
- SIEM (Security Information and Event Management)
- Penetrasyon testi (yıllık)
- Zero Trust mimarisi
- Sıfır günlük açık (zero-day) izleme
- SOC (Security Operations Center)
Çalışan Eğitimi
- Phishing simülasyonu
- Şifre yönetimi
- Sosyal mühendislik farkındalığı
- Veri sınıflandırma
- Kayıp/çalıntı cihaz prosedürü
Olay Müdahale Planı (IRP)
- Tespit
- İzolasyon
- Eradikasyon
- Geri yükleme
- Öğrenilen dersler
- 72 saat KVKK bildirimi
Hukuki Yükümlülükler
- KVKK m.12 veri güvenliği
- 5651 m.5 yer sağlayıcı yükümlülükleri
- BDDK (banka)
- EPDK (enerji)
- SPK (finans)
Sigorta
- Siber sigorta
- Veri ihlal müdahale poliçesi
- İş kesintisi tazminatı
- KVKK ceza koruması
Yargıtay 11. HD ve KVKK Kurulu
Mahkemeler ve KVKK Kurulu, şirketlerin "makul siber güvenlik tedbiri" almakla yükümlü olduğunu, ihmal halinde mağdur ve KVKK karşı sorumluluk doğacağını benimsemektedir.
Kapsam notu: Yukarıdaki değerlendirme, belirli bir karara atıf yapmak yerine uygulamada yerleşik hâle gelmiş genel yaklaşımı özetlemektedir; bu nedenle esas ve karar numarası verilmemiştir. Somut bir dosyada emsal karara dayanılacaksa, ilgili kararın esas ve karar numarasıyla Yargıtay Karar Arama üzerinden teyit edilmesi ve tam metninin incelenmesi gerekir. Her dosyanın olgu örgüsü farklı olduğundan kararların somut olaya uygulanışı dosyaya özgüdür.
Bilişim ve KVKK uzmanı avukat önerilir.