Kriz Anı Rehberi: Veri Sızıntısıyla Karşılaştığınızda İlk Yapmanız Gerekenler

1- Sızıntı Kaynağını Kapatın

İlk yapılması gereken, verinin nereden sızdığını tespit etmek ve bu kaynağı derhal kapatmaktır. Eğer sızıntı bir dış saldırgan ya da içeriden kötü niyetli bir çalışan tarafından gerçekleşmişse, bu kişilerin sisteme erişimi tamamen engellenmelidir.

Ne yazık ki çoğu zaman olay basına yansıdıktan sonra bile güvenlik ekipleri sistemin hala internete açık olduğunu fark etmez; hacker sistemden çıkmış mı, içerideki çalışanın yetkileri iptal edilmiş mi, bunlar kontrol edilmez.

Hatta bazı durumlarda ortada gerçek bir sızıntı bile olmayabilir – şirketinizin itibarını zedelemek isteyen kişiler, sahte bir veritabanı hazırlayıp bunu sızdırılmış gibi gösterebilir. Bu ihtimal de mutlaka göz önünde bulundurulmalıdır.

2- Sızıntının Kapsamını Belirleyin

Sızdırılan verilerin görünen kısmının, buzdağının yalnızca ucu olabileceğini unutmayın. Saldırganlar, ilk etapta fark edilmeyen başka hassas bilgilere de erişmiş olabilir.

Bu nedenle, yalnızca görünenlerle yetinmeyin; sızıntının kapsamını tam olarak anlayabilmek için daha derinlemesine bir inceleme yapın.

3- Yasal Bildirimleri Yapın

Bazı ülkelerde net bir zaman sınırı bulunmasa da, Türkiye’de kişisel veri ihlali durumunda, veri sorumlusunun ihlali öğrendiği tarihten itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurumu’na ve ilgili kişilere bildirimde bulunması gerekmektedir.

4- Olayın İncelemesini Yapın

Sızan verilerin türüne ve yapısına bakarak ilk analiz yapılabilir. Örneğin, verilerin şirketinizden mi yoksa dışarıdan bir iş ortağından mı sızdığı anlaşılabilir. Ama asıl nedenin tespiti için daha detaylı bir teknik inceleme gerekir.

Eğer baştan sağlam bir veri yönetim sistemi kurmadıysanız – örneğin kim, ne zaman hangi veriye erişmiş kaydı tutulmuyorsa - bu süreç oldukça zor olabilir.

Bu tür durumlarla karşılaşmamak için DLP (veri sızıntısı önleme) ve DCAP (veri odaklı denetim ve koruma) gibi sistemleri önceden kurmak büyük fark yaratır.

5- İtibar Kaybını En Aza İndirin

Kamuoyuna ve müşterilere net, dürüst ve zamanında bilgi vermek yalnızca etik bir sorumluluk değil, aynı zamanda yasal bir zorunluluktur.

Olayla ilgili açıklama yaparken; ne olduğunu, nasıl gerçekleştiğini ve hangi bilgilerin etkilendiğini açıkça anlatın. Müşterilere alabilecekleri önlemler konusunda rehberlik sağlayın. Şirket olarak olaya nasıl müdahale ettiğinizi ve gelecekte hangi güvenlik adımlarını atmayı planladığınızı da net bir şekilde açıklayın.

Bu süreçte halkla ilişkiler (PR) ekibi de aktif olarak sürece dahil olmalı, medyada çıkan haberleri dikkatle takip etmeli ve şirketin duruşunu, aldığı önlemleri kamuoyuna doğru şekilde yansıtmalıdır.

6- Hukuki Riskleri Değerlendirin

Veri sızıntısı, ciddi hukuki sonuçlar doğurabilir. Mevzuata uyulmaması, yüksek para cezalarıyla da sonuçlanabilir.

Örneğin, 2025 yılı itibarıyla Kişisel Verilerin Korunması Kanunu kapsamında, veri güvenliğine ilişkin yükümlülüklerin ihlali halinde uygulanacak idari para cezasının üst sınırı 13.620.402 TL olarak belirlenmiştir.

Ayrıca, aynı Kanunun 15. maddesinin 7. fıkrası uyarınca, Kurul; telafisi güç veya imkansız zararların doğması ve açıkça hukuka aykırılık bulunması halinde, şirketlerin veri işlemesinin veya verilerin yurt dışına aktarılmasının durdurulmasına karar verebilir.

Türk Ceza Kanunu’nun 140. maddesi ise, tüzel kişilere yönelik olarak, kişisel verilerle ilgili suçların işlenmesi durumunda güvenlik tedbirlerinin uygulanmasını öngörmektedir. Bu tedbirler arasında, şirket faaliyetlerinin tamamen veya kısmen durdurulması da yer alabilir.

Bir diğer önemli risk ise, verileri sızan müşteriler, çalışanlar veya iş ortakları tarafından şirkete karşı dava açılmasıdır. Bu nedenle, hukuk biriminin olası senaryolara karşı hazırlıklı olması büyük önem taşır.

Yasal süreçlerde en güçlü savunma, olayın ne zaman fark edildiği ve ardından hangi adımların atıldığına dair ayrıntılı bir kayıt tutulmasıdır. Her aksiyonun belgelenmesi, hem resmi denetimlerde hem de olası dava süreçlerinde şirketin elini güçlendirir.

________________

Veri sızıntısı yaşandığında doğru adımları zamanında atmak, şirketin hem teknik hem de itibari açıdan ayakta kalmasını sağlar. Kriz anlarında soğukkanlı ve sistematik hareket etmek için şimdiden hazırlıklı olmak, en büyük avantajdır.