Ponemon Institute’nin 2020 yılı şirket içi tehdit raporuna göre, ortalama şirket içi tehdidin maliyeti şirketlere 10 milyon doların üzerinde oluyor. Kişisel verilerin sızdırılması ve ihlali ise şirket içi tehditlerin sıklıkla oluşturduğu zararların başında görülüyor. Şirketlerde departmanlar arası veri akışının sağlanmasının ve yetkisiz bir şekilde kişisel verilere erişimin olmasının kişisel veri ihlaline zemin hazırlayabildiğini aktaran Siberasist Genel Müdürü Serap Günal, şirket içi tehditlerden oluşabilecek kişisel veri ihlaline karşı yetki matrisi oluşturulması ve departmanlar arası veri akışına izin verilmemesi gerektiğini belirtiyor.
Departmanlar Arası Veri Akışına Dikkat
Başta sağlık, finans ve turizm sektörleri olmak üzere birçok sektör içerisinde yaşanan kişisel veri ihlalleri, şirketleri sorunun kaynağını araştırmaya yönlendiriyor. Dış tehditlere karşı idari ve teknik altyapılarını oluşturmaya başlayan şirketlerin gözden kaçırdıkları önemli noktayı şirket içi tehditler oluşturuyor. Şirket içi tehditlerin yaratacağı zararlara şirketlerin dikkat etmediğini aktaran Serap Günal, kişisel verilerin korunması adına atılması gereken önemli adımlardan birinin şirket içi kişisel verilerin korunması ve güvenliğine yönelik idari prosedürlerin uygulanarak departmanlar arası veri akışının gerçekleşmemesi olduğunu belirtiyor. KVKK uyumluluğu sürecinde analiz ettikleri şirketlerdeki genel hatanın elde edilen kişisel veriyi şirket içerisinde belirli kurallara göre koruyamama olduğunu tespit ettiklerini belirten Günal, açık rızası alınan ve belirli bir departmanın gözetiminde olması gereken kişisel verinin alakasız bir departmana aktarılması, sonucunu büyük bir krizin meydana getireceği süreci başlattığını belirtiyor.
Şirketlerde Yetki Matrisi Oluşturulmalı, Erişim Logları Kayıt Altına Alınmalı
Kişisel Verilerin Korunması Kanununda mevcut ilkelere aykırılık riskini daha da artıran departmanlar arası veri akışına karşı şirketlerde veri segmentasyonu gerektiğini de hatırlatan Serap Günal, her departmanın sadece kendine özel tutulan bilgilere erişim sağlaması gerektiğini, aksi takdirde yetkisi olmayan kimselerin sağlayacağı yetkisiz erişimlerle ihlallerin yaşanmaması için bir nedenin kalmayacağını ifade ediyor. Şirketlerde paylaşılan her türlü dosya ve veri tabanı için kimin erişim yetkisi olduğu, kimin ne zaman ne şekilde hangi cihazdan erişim sağladığı ya da erişim yetkisinin olduğunu bilmenin ve belirlemenin gerekliliğini önemli bir adım olarak gören Günal, erişim yetkisi verilen kişilerin de ayrıca kaydının tutulmasını gerektiğini, bu yüzden oluşturulan yetki matrisinin işlevselliğini ve verilen yetkilerin kötüye kullanılıp kullanılmadığının da tutulan erişim logları ve log kayıtları ile ölçülebileceğini ifade ediyor.