Fidye yazılımı: KVKK bildirimi ve bankaların BDDK yükümlülükleri

Kısa cevap: KVKK bildirimi ve bankaların BDDK yükümlülükleri

Fidye yazılımı saldırısında olayı sınırlandırın, kayıtları koruyun ve bildirim değerlendirmesini sistemlerin düzelmesini beklemeden başlatın. Kişisel verilerin hukuka aykırı olarak başkalarınca elde edildiğini öğrenen veri sorumlusu, gecikmeksizin ve en geç 72 saatte Kişisel Verileri Koruma Kuruluna bildirir. Bankalarda belirli ağır olaylar için BDDK bünyesindeki Sektörel SOME’ye derhal bildirim ayrıca gerekir; 72 saat bunun bekleme süresi değildir.

Kapsamı ve benzer işlemlerden ayrımı

Siber olay, kişisel veri ihlali ve bankacılık hizmetinin kesintiye uğraması ayrı sorulardır. Veri sorumlusu ile yalnız onun adına veri işleyen hizmet sağlayıcının görevleri aynı değildir. Veri işleyen, ihlali öğrendiğinde gecikmeden veri sorumlusuna bildirir. Verinin dışarı çıkarıldığına dair kesin rapor bulunmaması, yetkisiz erişim ve şifreleme bulgularını görmezden gelme gerekçesi değildir. Bu rehberdeki BDDK açıklaması bankalar içindir; finansman, faktoring ve diğer kuruluşlara aynı düzenleme doğrudan uygulanmış sayılmaz.

Şartlar ve kontrol kriterleri

İlk olay kaydı şu ayrımı içermelidir: saldırının bilinen zamanı; kuruluşun olayı fark ettiği zaman; kişisel verinin hukuka aykırı elde edildiğini öğrendiği zaman; etkilenen sistem ve veri kategorileri; bilinen ve henüz doğrulanmayan kişi sayısı; alınan önlemler. Teknik ekip, hukuk/uyum ve yönetim için görevli kişiler belirleyin.

Adım adım ne yapmalısınız?

1. Müdahale ekibini devreye alın; delil koruma ile sistemi güvenli hâle getirmeyi birlikte yönetin. 2. Hizmet sağlayıcıların bildirimlerini, log ve yedek kayıtlarını toplayın. 3. Kurula bildirim gerekip gerekmediğini ve öğrenme anını gerekçesiyle kaydedin. 4. Bildirim formunun bütün bilgileri hazır değilse mevcut bilgiyi zamanında iletip eksikleri gecikmeden tamamlayın. 5. Bankaysanız BDDK/Sektörel SOME bildirimini ve müşterilerin bilgilendirilmesini ayrı değerlendirin; KVKK süresini beklemeyin. 6. Her bildirimin muhatabını, kanalını, gönderim zamanını ve sonraki tamamlama işlemlerini kaydedin.

Süreler ve kritik tarihler

Kurula bildirim için 72 saat, veri sorumlusunun ihlali öğrenmesinden itibaren işler; iç onay veya adli bilişim raporunun tamamlanmasıyla başlamaz. Gecikme varsa gerekçesi bildirimle açıklanır. Etkilenen kişilere, kimlikleri belirlendikten sonra makul olan en kısa sürede bildirim yapılır; onlar için otomatik olarak aynı 72 saat kuralı yazılmamalıdır.

Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik m.18/1 uyarınca siber olaylar BDDK’ya ve ilgili yönetim birimlerine raporlanır. Olayın krize dönüşmesi, verilerin sızması/ifşası veya Bilgi Sistemleri Süreklilik Planının ya da ikincil merkezin devreye alınması gibi hallerde m.18/5 gereğince BDDK bünyesindeki Sektörel SOME derhal bilgilendirilir. Hassas veya kişisel verilerin sızması/ifşasında banka ayrıca değerlendirme yaparak müşterilerin bilgilendirilmesini sağlar. Bu, KVKK kapsamındaki ilgili kişi bildiriminden ayrı değerlendirilir.

Ciddi kesinti veya bozulmaya yol açan önemli siber olaylarda kök neden ve etki analizi ile iyileştirici çalışmalar Sektörel SOME’ye bildirilir (m.18/6). Kuruluşun güncel bildirim kanalı, ek talimatları ve m.18/8 kapsamındaki bilgilendirmeleri uyum birimi ayrıca kontrol etmelidir; bu rehber bütün sektör bildirimlerini tüketen bir liste değildir.

Somut senaryo ile düşünün

Varsayımsal örnek: Sistemin yedeği geri yüklenmiştir, fakat müşteri dosyalarının yetkisiz erişime açıldığı anlaşılmıştır. Hizmetin geri gelmesi ihlal bildirimini ortadan kaldırmaz. Eksik kişi sayısı sonradan tamamlanabilir; bilinen ihlalin bildirimi rapor bitene kadar ertelenmez. Olay bir bankada yaşanmış ve veri sızması/ifşasıyla sonuçlanmışsa, Kurula bildirim yanında Sektörel SOME’ye derhal bildirim de ayrıca gündemdedir.

Hangi belgeleri hazırlamalısınız?

Olay zaman çizelgesi, ilk uyarılar, değiştirilmemiş loglar, veri envanteri, hizmet sağlayıcı sözleşmeleri, müdahale kayıtları, bildirim kararının gerekçesi, gönderilen formlar ve teyitleri saklanır. Delil dosyaları yalnız görev gereği erişecek kişilere açılır.

En sık yapılan hatalar

KVKK’ya bildirim yapınca BDDK dâhil bütün yükümlülüklerin tamamlandığını varsaymayın. KVKK’daki 72 saati, bankanın Sektörel SOME’ye derhal bildirim yükümlülüğüne taşımayın. Banka, finansman şirketi ve diğer kuruluşlar aynı düzenlemeye tabi olmayabilir. Güncel kurum talimatları, bildirimin muhatabı ve kanalını kuruluşun yetkilendirme statüsüne göre kontrol edin. Adli başvurular ve diğer özel mevzuat bildirimleri de ayrıca değerlendirilir.

Sonraki adım ve sorumluluk reddi

Dosyanızı kısa olay özeti, tarih çizelgesi ve belge listesiyle hazırlayın. Somut olayın değerlendirilmesi için ofis iletişim bilgilerini kullanabilirsiniz.

Bu içerik genel bilgilendirme amacıyla hazırlanmıştır; hukuki görüş, dava sonucu veya başarı garantisi değildir. Her olayın tarafları, belgeleri, süreleri ve güncel mevzuatı farklı olabilir. İşlem yapmadan önce yetkin bir avukattan somut dosya incelemesi almanız önerilir.