Veri İhlalinde İlk 72 Saat: Adım Adım Müdahale Planı

1. İhlalin kapsamını tespit edin

İlk adım, teknik bir olayı hukuki bir tespite dönüştürmektir: hangi veri kategorileri, kaç ilgili kişi ve hangi süre boyunca etkilendi? Sunucu günlükleri, erişim kayıtları ve yedekleme tarihleri bu aşamada delil niteliğindedir; kayıtların üzerine yazılmasını önleyecek şekilde korunması gerekir.

Fidye yazılımı, yetkisiz erişim ve çalışan hatası kaynaklı ihlaller hukuken farklı sonuçlar doğurur. Özellikle özel nitelikli veri işlenen sistemlerde ihlalin ağırlığı doğrudan artar.

2. Bildirimi zamanında ve doğru yapın

Kurul bildirimi, ihlalin öğrenilmesinden itibaren en kısa sürede — uygulamada 72 saat ölçütü esas alınarak — yapılmalıdır. Bildirimde ihlalin tarihi, etkilenen veri kategorileri, olası sonuçlar ve alınan tedbirler açık biçimde yer almalıdır.

Eksik bildirim, geç bildirimden her zaman daha iyi değildir: sonradan esaslı biçimde değişen bir bildirim, Kurul nezdinde iyi niyet savunmasını zayıflatır. Bu nedenle önce doğru kapsam, sonra hız.

3. İlgili kişileri ve kayıtları yönetin

Etkilenen kişilere yapılacak bilgilendirme; sade ve suçlayıcı olmayan bir dille, hangi verinin etkilendiği ve hangi önlemin alınabileceği anlatılarak yapılmalıdır. Kimlik avı riski artmışsa ilgili kişilere yönelik ayrı bir uyarı gerekir.

Süreç boyunca tutulan müdahale kaydı; alınan kararların tarih ve gerekçesiyle işlendiği bir dosya hâline getirilmelidir. Bu kayıt, olası bir denetimde savunmanın temelini oluşturur.

Özet

• İhlalin kapsamı belirlenmeden bildirim yapılmamalıdır.
• Teknik kayıtlar zaman kaybedilmeden korunmalıdır.
• Bildirim, alınan tedbirlerle birlikte açık ve tutarlı olmalıdır.
• Müdahale adımları tarih ve gerekçesiyle yazılı hâle getirilmelidir.