KVKK kapsamında çalışan farkındalığı

Farkındalık programının yasal çerçevedeki yeri

Kişisel Verileri Koruma Kurumu'nun veri güvenliği açıklamalarına göre tek bir güvenlik modeli bütün veri sorumluları için yeterli değildir. Faaliyet, veri kategorisi, kurum büyüklüğü ve ilgili kişiler üzerinde oluşabilecek zarar dikkate alınarak uygun tedbirler belirlenir.

Kişisel Veri Güvenliği Rehberi çalışanların eğitilmesi ve farkındalık çalışmalarını idari tedbirler arasında ele alır. Bu, yılda bir kez video izletmenin tek başına yeterli olduğu anlamına gelmez. Rol tanımları, politika, erişim, olay bildirimi, tedarikçi yönetimi ve teknik kontrollerle birlikte çalışan bir program gerekir.

Rol bazlı farkındalık programı nasıl kurulur?

Herkes için ortak temel

Parola ve MFA güvenliği, şüpheli e-posta bildirimi, kişisel verinin doğru alıcıyla paylaşılması, temiz masa/ekran, cihaz güvenliği ve olay bildirim kanalı tüm çalışanlar için temel olabilir.

Role göre derinleşme

• İK: aday, bordro, sağlık ve özlük verisinin güvenli paylaşımı.
• Finans: tedarikçi hesap değişikliği, çift onay ve bağımsız doğrulama.
• BT/SOC: ayrıcalıklı hesap, log erişimi, olay triage ve kanıt bütünlüğü.
• Satış/destek: müşteri verisi, dış paylaşım, kayıt dışı iletişim kanalları.
• Yönetim: hedefli sosyal mühendislik, seyahat ve karar yetkisi istismarı.

İçerik, çalışanın gerçekten karşılaşacağı kararlarla ilişkilendiğinde daha anlamlı olur. Buna rağmen gerçek kişisel olaylar, sağlık korkusu veya işten çıkarılma tehdidi gibi aşırı senaryolar farkındalık amacıyla kullanılmamalıdır.

Eğitim kanıtı neyi göstermeli?

Katılım yüzdesi tek başına programın etkisini kanıtlamaz. Ancak hiçbir kanıt olmaması da yürütülen tedbirin izlenmesini zorlaştırır. Kontrollü kayıt modeli aşağıdaki öğeleri içerebilir:

• İçeriğin adı, sürümü, öğrenme hedefi ve yayın tarihi.
• Atanan rol veya grup ile kapsam dışı bırakma gerekçesi.
• Başlama, tamamlama ve değerlendirme sonucu.
• Hatırlatma ve tekrar eğitim süreci.
• İçerik sahibi, teknik/hukuki inceleme ve sonraki gözden geçirme tarihi.

Kayıtlar amaçla orantılı tutulmalı; gereksiz cihaz, konum veya ayrıntılı gezinme verisi toplanmamalıdır. Kişi bazlı kayıt erişimi sınırlı olmalı, üst yönetim raporu mümkün olduğunda aggregate hazırlanmalıdır.

Phishing simülasyonu verisinde özel dikkat

Simülasyon; çalışan e-posta adresi, hedef grup, teslim, tıklama, bildirim ve eğitim sonucu gibi kişisel veriyle ilişkilendirilebilen olaylar üretebilir. Bu nedenle kampanya başlamadan önce amaç, hukuki değerlendirme, erişim rolü, saklama süresi ve silme/anonimleştirme akışı belirlenmelidir.

• Gerçek parola veya hassas form verisi toplamayı kapalı tutun.
• Ham olay ile yönetim raporunun saklama süresini ayırın.
• Küçük ekipleri yeniden tanımlanabilir biçimde karşılaştırmayın.
• Kişi sonuçlarını disiplin sürecinin otomatik girdisine dönüştürmeyin.
• Yanlış gönderim ve itiraz durumunda düzeltme prosedürü tanımlayın.

Program sahibinin beş kontrolü