KVKK Uyumlu Uç Nokta Güvenliği: Yerli ve Kurum İçi (On-Premises) Kurulum Rehberi

• KVKK m.12, veri sorumlusuna hukuka aykırı işlemeyi ve erişimi önleme ile verinin muhafazası için teknik ve idari tedbir alma yükümlülüğü verir.
• KVKK Kurulu’nun “Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler)” bu tedbirlere örnekler verir: yetki ve erişim kontrolü, log kayıtları, güncel yazılım, zararlı yazılıma karşı koruma, veri kaybı önleme ve yedekleme.
• Kamu kurumları ve kritik altyapılar ek olarak Cumhurbaşkanlığı Bilgi ve İletişim Güvenliği Rehberi’ni (BİG Rehberi) dikkate alır.
• ISO 27001:2022 Ek A’da uç noktayı doğrudan ilgilendiren kontroller vardır: 8.1, 8.8, 8.12, 7.10, 8.15 ve 8.16.
• Uç nokta güvenliği aracının kendisi de kişisel veri işler. Telemetrinin nerede saklandığı bir KVKK sorusudur.

1. Bu rehber kimin için ve neyi kapsar?

Bu rehber BT yöneticileri, bilgi güvenliği sorumluları ve KVKK uyum ekipleri içindir. Konu, kişisel verinin işlendiği uç noktalarda hangi teknik tedbirlerin alınacağı ve bu tedbirlerin kanıtının nasıl tutulacağıdır. Bu yazı hukuki görüş değildir. Kurumunuza uygulanan yükümlülükleri hukuk danışmanınızla ve mevzuatın güncel metniyle doğrulayın.

Uç nokta derken çalışan bilgisayarlarını, sunucuları ve sanal makineleri kastediyoruz. Kişisel veri bu cihazlarda açılır, kopyalanır, yazdırılır ve paylaşılır. Bir müşteri listesinin USB belleğe kopyalanması veya bir bordro dosyasının kişisel e-postaya gönderilmesi, ağ çevresindeki bir güvenlik duvarında değil, uç noktada olur. Bu yüzden KVKK tedbirlerinin uygulandığı yer çoğu zaman uç noktadır.

2. KVKK m.12 uç nokta için ne anlama gelir?

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12. maddesi “Veri güvenliğine ilişkin yükümlülükler” başlığını taşır. Maddeye göre veri sorumlusu, üç amaç için uygun güvenlik düzeyini sağlayacak her türlü teknik ve idari tedbiri almak zorundadır: kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak.

Madde ayrıca şunları düzenler: veri sorumlusu, veriyi kendi adına işleyen kişi veya kurumla (veri işleyen) birlikte tedbirlerden sorumludur. Veri sorumlusu kendi kurumunda tedbirlerin uygulanmasını sağlamak için denetim yapmak veya yaptırmak zorundadır. İşlenen veriler hukuka aykırı yollarla başkalarının eline geçerse, veri sorumlusu durumu en kısa sürede ilgili kişiye ve Kurul’a bildirir.

Tablodaki son satır önemlidir. KVKK Kurulu, 24.01.2019 tarihli ve 2019/10 sayılı kararında ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kurul’a bildirim yapılmasını öngörmüştür. Uç noktada kayıt yoksa, 72 saat içinde “hangi veri, hangi cihazdan, kime gitti” sorusuna cevap vermek zorlaşır.

3. KVKK Kurulu’nun Teknik ve İdari Tedbirler rehberi uç noktada neye karşılık gelir?

KVKK Kurulu’nun yayımladığı “Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler)”, m.12’deki tedbirlerin neler olabileceğini örneklerle açıklar. Rehber bir kontrol listesi değil, bir yol göstericidir. Kurum, kendi risklerine göre tedbir seçer. Aşağıdaki tablo, rehberde geçen teknik tedbir başlıklarından uç noktayı ilgilendirenleri ve tipik uygulama şeklini gösterir.

Rehber idari tedbirleri de ayrıca anlatır: politika ve prosedürler, çalışan eğitimi, gizlilik taahhütleri, veri işleyenlerle sözleşmeler ve kişisel veri envanteri. Teknik tedbir, idari tedbirin yerini almaz. Örneğin USB engelleme politikası, “kim hangi durumda USB kullanabilir” sorusuna yazılı bir cevap olmadan uygulanırsa ya iş akışını bozar ya da istisnalarla anlamını yitirir.

4. Kamu ve kritik altyapı: BİG Rehberi ne ekler?

Cumhurbaşkanlığı Dijital Dönüşüm Ofisi’nin yayımladığı Bilgi ve İletişim Güvenliği Rehberi (BİG Rehberi), 2019/12 sayılı Cumhurbaşkanlığı Genelgesi ile başlayan süreçte hazırlandı. Rehber, kamu kurumları ve kritik altyapı işletmecileri için varlık gruplarına ve güvenlik seviyelerine göre tedbirler tanımlar. Uç nokta açısından öne çıkan alanlar şunlardır: varlık envanteri, taşınabilir ortam kontrolü, zararlı yazılımdan korunma, yama ve güncelleme yönetimi, kayıt (log) yönetimi ve veri sızıntısı önleme.

Genelge, kritik verinin yurt içinde güvenli ortamlarda saklanmasını ve kamu verisinin kurumun kendi sistemleri veya yerli hizmet sağlayıcılar dışında bulut depolama hizmetlerinde tutulmamasını ister. Bu yüzden kamuda uç nokta güvenliği aracı seçerken ilk soru, aracın telemetri ve olay kayıtlarını nerede tuttuğudur. Kamu kurumlarına daha ayrıntılı bakmak için “Kamu Kurumlarında Veri Güvenliği ve DLP” yazımızı okuyabilirsiniz.

5. ISO 27001:2022 Ek A: uç nokta ile ilgili kontroller

ISO/IEC 27001:2022 standardının Ek A bölümü 93 kontrolü dört temada toplar: kurumsal, insan, fiziksel ve teknolojik. KVKK ile ISO 27001 aynı şey değildir. Ancak çoğu kurum KVKK teknik tedbirlerini ISO 27001 kontrolleriyle birlikte yönetir. Aynı kanıt iki ihtiyaca da hizmet edebilir.

Kontrol numaralarını kendi Uygulanabilirlik Bildirgenizle (SoA) eşleştirin. Bir kontrolü kapsam dışı bıraktıysanız, gerekçesi de kanıtın parçasıdır.

6. Neden kurum içi (on-premises) kurulum?

Uç nokta güvenliği aracının kendisi de veri işler. Ajan, cihazdaki dosya adlarını, kullanıcı adlarını, süreç listelerini ve DLP olaylarında eşleşen içerik parçalarını toplayabilir. Bu bilgilerin önemli bir kısmı kişisel veridir. Yönetim konsolu yurt dışındaki bir bulutta çalışıyorsa, bu telemetri yurt dışına aktarılmış olabilir. Bu durumda KVKK m.9’daki yurt dışına aktarım kuralları değerlendirilmelidir.

Kurum içi kurulumun bir bedeli vardır: sunucunun bakımı, yedeği ve güncellemesi sizin sorumluluğunuzdadır. Her kurum için doğru cevap aynı değildir. Ancak kamu, bankacılık, sağlık ve savunma gibi alanlarda veriyi kurum içinde tutma ihtiyacı çoğu zaman bu bedelden daha ağır basar.

7. Yerli çözüm ne demek, ne demek değil?

“Yerli” etiketi tek başına KVKK uyumu sağlamaz. Bir ürün Türkiye’de geliştirilmiş olsa da telemetriyi yurt dışında bir bulutta tutabilir. Tersine, yabancı bir ürün kurum içinde kurulabilir. Değerlendirmede etiket yerine şu somut özelliklere bakın: verinin kurum sınırında kalması, Türkçe arayüz ve Türkçe destek, TC kimlik numarası ve vergi kimlik numarası gibi yerel veri tiplerini hazır tanıma, KVKK’ya göre yapılandırılmış rapor şablonları ve yerel mühendislik desteği.

8. Uç nokta tedbirleri: KVKK uyumlu bir mimarinin yapı taşları

Envanter ve görünürlük

Bilmediğiniz cihazı koruyamazsınız. Her cihazın donanım, yazılım, kullanıcı ve güvenlik ayarı bilgisi sürekli güncel olmalıdır. Bu, ISO 27001 5.9 kontrolünün ve BİG Rehberi’ndeki varlık envanteri beklentisinin temelidir. Ayrıntılar için “Uç Nokta Görünürlüğü: Kapsamlı Rehber” yazımıza bakabilirsiniz.

Hassas veri keşfi

Kişisel verinin hangi cihazda ve klasörde olduğunu bilmeden DLP politikası eksik kalır. Keşif; TC kimlik numarası, VKN ve Luhn doğrulamalı kart numarası gibi kalıpları uç noktalarda ve dosya paylaşımlarında arar. Bulunan her kaydın bir sahibi olmalıdır. Silmeden önce erişimi kısıtlamak genellikle daha güvenli ilk adımdır; silme, kurumun saklama ve imha politikasına göre yapılmalıdır.

Veri sızıntısı önleme (DLP)

DLP, hassas verinin USB, web, e-posta, pano, ekran görüntüsü ve yazdırma kanallarından çıkışını kontrol eder. Saha deneyimimizde en sık hata, politikayı doğrudan engelleme modunda açmaktır. Doğru sıra şudur: politikayı denetim (audit) modunda başlatın, küçük bir pilot grupta yanlış pozitifleri ölçün, istisnaları ekleyin ve ancak sonra engellemeye geçin.

USB ve çıkarılabilir medya kontrolü

Taşınabilir ortam hem KVKK Kurulu rehberinde hem BİG Rehberi’nde ayrı bir başlıktır. Tamamen yasaklamak çoğu kurumda uygulanabilir değildir. Cihaz bazlı izin listesi daha sürdürülebilirdir: kurumun verdiği şifreli bellekler izinli, diğerleri engelli olur. Her kopyalama işlemi kayda geçer.

Yama ve güncelleme yönetimi

Yamanmamış bir açık, kişisel veriye hukuka aykırı erişimin en bilinen yollarından biridir. İşletim sistemi yamaları ile güncel olmayan üçüncü taraf yazılımlar birlikte izlenmelidir. Otomasyon politikaları cihaz grubuna veya etikete göre uygulanmalı, başarısız görevler ayrıca takip edilmelidir. Sürekli yama yaklaşımını “Salı Yamalarına Elveda” yazımızda anlattık.

Fidye yazılımına karşı muhafaza

KVKK m.12 yalnızca sızıntıyı değil, verinin muhafazasını da ister. Fidye yazılımı veriyi şifrelediğinde muhafaza yükümlülüğü de risk altına girer. Uç noktada yerel geri dönüş noktaları ve kritik dosyalarda bütünlük izleme, kurum yedek altyapısını tamamlar; onun yerini almaz.

Kayıt, olay inceleme ve raporlama

Denetçinin ilk sorusu genellikle “kanıtınız nerede?” olur. Raporu denetim dönemi ve kapsamıyla birlikte üretin ve saklayın. Kanıtı olmayan bir kontrol, denetimde ilk sorulan bulgudur. Bir rapor tek başına uyum kanıtı değildir; platformun gözlediği ve uyguladığı şeyi gösterir. Süreç ve politika kanıtları ayrıca tutulmalıdır.

9. Moftgate bu mimariye nasıl uyar?

Moftgate, kurumun kendi altyapısında on-premises bir cihaz (appliance) olarak çalışır. Telemetri ve veri kurum sınırında kalır; bu sayede kapalı devre ve internete kapalı (air-gapped) ağlarda da çalışabilir. Ajan Windows, macOS ve Linux masaüstü ve sunucularını destekler. Uç nokta görünürlüğü temel modüldür; DLP, DSPM ve SSPM lisansa göre birer birer devreye alınabilir.

• DLP: USB, web, e-posta, pano, ekran görüntüsü ve yazdırma kanallarında politika; denetim modundan engelleme moduna kademeli geçiş.
• Veri sınıflandırma: regex, anahtar kelime ve doğrulayıcılar (Luhn kontrollü kart numarası, TCKN, VKN). Aynı sınıflandırma keşif ve DLP’de ortak kullanılır.
• USB ve çıkarılabilir medya: cihaz bazlı izin ve engelleme listeleri.
• Güncellemeler: OS yamaları ve güncel olmayan yazılımların listelenmesi; gruba, etikete veya cihaza göre otomasyon politikaları.
• Fidye yazılımı koruması: uç noktada anlık görüntü (snapshot) ve geri dönüş (rollback).
• Dosya bütünlüğü izleme: sistem dizinleri ve yapılandırma dosyalarında değişiklik takibi.
• Uyum raporları: KVKK, GDPR, ISO 27001, PCI DSS, BDDK ve HIPAA çerçevelerine göre, kapsam ve dönem seçilerek üretilen raporlar.

Moftgate KVKK uyumunu tek başına sağlamaz; hiçbir yazılım sağlamaz. Platform, m.12’deki teknik tedbirlerin uç noktadaki kısmını uygular ve kanıtını kurum içinde üretir. İdari tedbirler, envanter ve politika süreçleri kurumun sorumluluğunda kalır.

10. 90 günlük uygulama planı

• 0–15 gün: Kapsamı belirleyin. Kişisel veri envanterinizi ve ISO 27001 SoA belgenizi uç nokta tedbirleriyle eşleştirin. Kurum içi sunucuyu kurun.
• 16–30 gün: Ajanı pilot gruba dağıtın. Envanterin eksiksiz geldiğini doğrulayın.
• 31–50 gün: Hassas veri keşfini çalıştırın. Bulguları sahiplerine atayın.
• 51–70 gün: DLP ve USB politikalarını denetim modunda açın. Yama otomasyonunu pilot grupta başlatın.
• 71–90 gün: Yanlış pozitifleri temizleyin, engelleme moduna geçin, ilk uyum raporunu üretip kapsamı ve dönemiyle saklayın.

11. Bu kümedeki diğer rehberler

• KVKK denetimine 30 günde hazırlık kontrol listesi
• Kamu Kurumlarında Veri Güvenliği ve DLP: Vatandaş Verisi Nasıl Korunur?
• KVKK ve Uzaktan Erişim Araçları: Veri Nereden Geçiyor?
• Salı Yamalarına Elveda: Sürekli Yama Yönetimine Geçiş
• Uç Nokta Görünürlüğü (Endpoint Visibility): Kurumsal Güvenlik Ekipleri İçin Kapsamlı Rehber
• Kurumsal Veri Sızıntısı Önleme (DLP) Mimarisi ve Uygulama Rehberi
• Fidye yazılımı 2026: değişen taktikler, değişmeyen savunma ilkeleri
• Birleşik Uç Nokta Güvenliği: 5 Ayrı Aracı Tek Platforma Dönüştürme Rehberi