Küçük İşletmeler İçin KVKK ve Siber Güvenlik: Temel Adımlar

Küçük bir işletme sahibi olarak “Bizden ne çalınacak ki?” diye düşünebilirsiniz. Oysa müşteri telefon numaraları, adresler, fatura bilgileri, çalışan kayıtları gibi veriler, büyüklüğü ne olursa olsun her işletmede bulunur. Bu verilerin korunması hem müşterilerinize karşı bir sorumluluk hem de yasal bir yükümlülüktür.

Bu yazıda kişisel verilerin korunması ve temel siber güvenlik konusunda küçük işletmelerin atabileceği adımları genel hatlarıyla anlatıyoruz.

Önemli not: Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. İşletmenize özel yükümlülükler için bir hukuk uzmanından destek almanızı öneririz.

KVKK neden küçük işletmeleri de ilgilendirir?

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verilerin işlenmesine ilişkin kuralları belirler. Müşterinizin adını ve telefonunu kaydettiğiniz anda, kişisel veri işlemiş olursunuz. Bu nedenle kanun, yalnızca büyük şirketleri değil, kişisel veri işleyen işletmeleri de ilgilendirir.

Yükümlülüklerin kapsamı işletmenin türüne, işlediği verilere ve faaliyet alanına göre değişebilir. Güncel düzenlemeler ve rehberler için Kişisel Verileri Koruma Kurumu’nun resmi sitesi olan kvkk.gov.tr adresini takip edebilirsiniz.

1. Hangi verileri neden tuttuğunuzu bilin

Korumaya başlamadan önce neyi koruduğunuzu bilmeniz gerekir. Basit bir liste ile başlayabilirsiniz:

• Hangi kişisel verileri topluyorsunuz? (ad, telefon, adres, e-posta vb.)
• Bu verileri hangi amaçla topluyorsunuz?
• Veriler nerede saklanıyor? (kâğıt dosya, bilgisayar, bulut, mesajlaşma uygulaması)
• Bu verilere kimler erişebiliyor?
• Veriler ne kadar süre saklanıyor?

İhtiyaç duymadığınız verileri hiç toplamamak, en etkili korunma yöntemlerinden biridir.

2. Aydınlatma metnini hazırlayın

Aydınlatma metni, kişilere verilerinin hangi amaçla, nasıl işlendiğini ve haklarını anlatan bilgilendirme metnidir. Web sitenizdeki iletişim formunda, mağazanızda müşteri kaydı alırken veya çalışan alımında bu bilgilendirmenin yapılması gerekebilir.

İnternetten bulunmuş hazır bir metni kopyalamak yerine, işletmenizin gerçek veri işleme süreçlerini yansıtan bir metin hazırlanmalıdır. Bu konuda bir hukuk uzmanından destek almak doğru olacaktır. Açık rıza ve aydınlatma kavramlarının birbirinden farklı olduğunu da unutmayın.

3. Erişim yetkilerini sınırlayın

Her çalışanın her bilgiye erişmesi gerekmez. Erişimi işin gerektirdiği kadarla sınırlamak, hem hata hem de kötüye kullanım riskini azaltır.

1. Her çalışana kendi kullanıcı hesabını verin; ortak şifre kullanmayın.
2. Yönetici yetkisini yalnızca gerçekten ihtiyaç duyan kişilere tanıyın.
3. E-posta, muhasebe programı ve sosyal medya hesaplarında iki adımlı doğrulamayı açın.
4. Güçlü ve her hesap için farklı şifreler kullanın; bir şifre yöneticisi bu işi kolaylaştırır.
5. İşten ayrılan çalışanların erişimlerini aynı gün kapatın.

4. Düzenli yedekleme yapın

Bilgisayar arızası, hırsızlık, yanlışlıkla silme ya da fidye yazılımı gibi durumlarda yedekleriniz işletmenizi kurtarır.

• Önemli verilerin düzenli ve otomatik olarak yedeklenmesini sağlayın.
• Yedeğin en az bir kopyasını ana sistemden ayrı bir yerde tutun.
• Yedekleri şifreleyin ve erişimini sınırlayın.
• Yedekten geri dönüşü ara sıra deneyin; çalışmayan bir yedek, yedek değildir.

5. Cihazları ve yazılımları güncel tutun

Güncellemeler, bilinen güvenlik açıklarını kapatır. İşletim sistemi, tarayıcılar, web sitesi yazılımı ve eklentiler güncel tutulmalıdır. Lisanssız ya da bilinmeyen kaynaklardan indirilmiş yazılımlar ciddi risk taşır.

6. Çalışan farkındalığını artırın

Pek çok güvenlik olayı, teknik bir açıktan çok bir insan hatasıyla başlar. Sahte bir e-postadaki bağlantıya tıklamak ya da telefonda kendini yetkili olarak tanıtan birine bilgi vermek buna örnektir.

• Beklenmedik ödeme veya hesap değişikliği taleplerini başka bir kanaldan doğrulayın.
• Şifre ve doğrulama kodlarının kimseyle paylaşılmaması gerektiğini hatırlatın.
• Şüpheli e-posta ve mesajları kimin, nasıl bildireceğini belirleyin.
• Müşteri verilerinin kişisel telefonlarda veya mesajlaşma gruplarında dolaştırılmaması için kural koyun.

Güncel siber tehdit uyarıları için Ulusal Siber Olaylara Müdahale Merkezi’nin sitesi usom.gov.tr adresini takip edebilirsiniz.

7. Olay anında ne yapmalısınız?

Önlem almak riskleri azaltır ama sıfırlamaz. Bir olay yaşandığında panik yerine önceden belirlenmiş adımları izlemek zararı sınırlar.

1. Durumu kontrol altına alın. Etkilenen cihazı ağdan ayırın, ele geçirildiğinden şüphelendiğiniz hesapların şifrelerini değiştirin.
2. Kanıtları silmeyin. Şüpheli e-postaları, mesajları ve ekran görüntülerini saklayın.
3. Bankanızı arayın. Ödeme bilgileri veya banka hesapları etkilendiyse bankanıza hemen bildirin.
4. Uzman desteği alın. Bilgi işlem desteğiniz varsa hemen haberdar edin.
5. Yasal yükümlülükleri değerlendirin. Kişisel verilerin etkilendiği bir ihlalde bildirim yükümlülükleri söz konusu olabilir; güncel bilgi için kvkk.gov.tr adresine bakın ve bir hukuk uzmanına danışın.
6. Gerekirse resmî başvuru yapın. Dolandırıcılık veya suç şüphesi varsa Cumhuriyet Başsavcılığı’na ya da emniyete başvurabilir, siber olayları USOM’a bildirebilirsiniz.

Sık yapılan hatalar

• “Bize bir şey olmaz” düşüncesiyle hiçbir önlem almamak.
• Tüm çalışanların aynı şifreyle aynı hesabı kullanması.
• Müşteri listelerini korumasız tablolar hâlinde e-postayla dolaştırmak.
• Yedeği yalnızca aynı bilgisayarda tutmak.
• Başka bir işletmenin aydınlatma metnini olduğu gibi kopyalamak.

Özetle

Küçük işletmeler için veri koruma ve siber güvenlik, büyük yatırımlardan çok düzenli alışkanlıklarla başlar. Hangi verileri neden tuttuğunuzu bilin, aydınlatma metninizi işletmenize uygun hazırlatın, erişimleri sınırlayın, yedekleme yapın ve çalışanlarınızı bilinçlendirin. Bir olay yaşandığında izleyeceğiniz adımları önceden belirleyin. Bu yazı genel bir yol haritası sunar; işletmenize özel yükümlülükler için mutlaka bir hukuk uzmanından destek alın.