KVKK veri ihlallerinden ISO 27001 dersleri

30 Eylül 2026'da KVKK, dokuz şirketin veri ihlal bildirimini yayımladı. Toplamda en az 1.033.853 kişi etkilendi. Bu yazıda yalnızca kamuoyuna açıklanan nedenleri ve bunların ISO/IEC 27001:2022 ek A kontrolleriyle nasıl örtüştüğünü özetliyoruz. Kaynak: memurlar.net haberi.

Ne yayımlandı?

KVKK'nın duyurusunda yer alan etkilenen kişi sayıları şöyledir: Efece 353.811, Bambi 323.052, Ofix 183.873, Deve Yükü 133.031. Unigen, Papara Menkul ve diğer şirketler için duyuruda farklı ayrıntılar vardır; Papara Menkul için etkilenen kişi sayısı açıklanmamıştır.

Açıklanan nedenler

Duyuruda neden bağlanan olaylar sınırlıdır. Ofix için Elasticsearch'e yetkisiz erişim belirtilmiştir. Unigen için üçüncü taraf bir kütüphanedeki açıklık yazılmıştır. Papara Menkul için bir oltalama e-postasının, yurt dışındaki veri işleyeninin Okta SSO platformuna yetkisiz erişime yol açtığı belirtilmiştir. Üçüncü taraf bir uygulama üzerinden gelen zararlı yazılım da nedenler arasındadır.

Nedeni duyuruda yazılmayan şirketlere neden atfetmiyoruz. Ceza veya yaptırım hakkında da yorum yapmıyoruz.

ISO 27001 kontrolleriyle eşleme

Aynı kök nedenler, ISO/IEC 27001:2022 Ek A'da karşılık bulur. Sertifika, akredite bir belgelendirme kuruluşundan gelir; danışman sertifika vermez. Doğa Network danışmanlık yapar, belgelendirme yapmaz.

İnternete açık ve kötü yapılandırılmış bir veritabanı, yapılandırma yönetimi (8.9) ve ağ güvenliği (8.20) kontrollerinin zayıf kaldığına işaret eder. Üçüncü taraf kütüphane açığı, teknik zafiyetlerin yönetimi (8.8) ile ilgilidir. Veri işleyen taraftaki ihlal, tedarikçi ilişkileri kontrollerini (5.19–5.22) hatırlatır. Oltalama, bilgi güvenliği farkındalığı, eğitim ve öğretim (6.3) konusudur. Zararlı yazılım, kötü amaçlı yazılıma karşı koruma (8.7) ile bağlanır.

KVKK kapsamında veri sorumlusu, işleyen taraf ihlal etse bile sorumluluğunu korur. Bu genel ilke, sözleşmeye güvenlik maddesi koymanın neden yeterli olmadığını da gösterir: izleme ve gözden geçirme gerekir.

KOBİ için ilk adımlar

1. İnternete bakan hizmetlerin envanteri: hangi sunucu, hangi port, hangi uygulama dışarıdan görünüyor.
2. Yama ve bağımlılık takibi: işletim sistemi, uygulama ve üçüncü taraf kütüphaneler için sürüm ve yama kaydı.
3. Tedarikçi listesi ve sözleşme güvenlik maddeleri: kim hangi kişisel veriyi işliyor, ihlalde kim kimi bilgilendirir.
4. Oltalamaya dirençli çok faktörlü kimlik doğrulama: özellikle yönetim panelleri ve SSO için.
5. İhlal müdahale planı: kim karar verir, KVKK'ya ve etkilenenlere kim, ne zaman haber verir.

Bu beş madde, duyurudaki nedenlerin tekrarını azaltmaya yönelik pratik bir başlangıçtır.

Açıklanan ihlaller, kontrol listesinin kağıt üzerinde kalmaması gerektiğini gösterir.

Doğa Network nasıl yardımcı olabilir?

ISO 27001 boşluk analizi, tedarikçi güvenlik maddeleri, farkındalık eğitimi ve ihlal müdahale planı konularında ekibimiz destek verebilir. Bize 0850 888 3642 numaralı telefondan veya hi@doga.network adresinden ulaşabilirsiniz.