ISO 27001 BGYS & KVKK İlişkisi

Temelinde bilgi varlıklarımızın güvenliğini ele alan ISO 27001 ve KVKK’nın birçok ortak noktası bulunmaktadır. Kurum Bilgi Güvenliği alanında belgelendirme gerçekleştirerek bu kapsamda ele aldığı tedbirleri de ortaya koymaktadır. Standardın amacı, bir bilgi güvenliği yönetim sisteminin kurulması, uygulanması, sürdürülmesi ve sürekli iyileştirilmesidir. Hem BGYS’ nin hem de KVKK’nın ana prensibinin gizlilik ve güvenliğin sağlanması olması, tabi ki BGYS alanında çalışmaları olan organizasyonların KVKK’ya daha hızlı ve sağlıklı şekilde adapte olmalarını sağlamaktadır. Ancak bu tarafta şu yanılgıdan kaçınmamız gerekir; ISO 27001 sertifikası olan organizasyonların, yalnızca standart kapsamındaki tedbirleri alarak KVKK ile de tam uyumlu hâle geldiklerini düşünmeleri. İkisini birbirinden ayıran önemli noktaların mevcut olması sebebiyle yalnızca bu şekilde KVKK alanında tam uyumu sağlamış olmayız.

Kişisel verilerin korunması ile ilgili kanun ve yönetmelikleri incelediğimizde KVKK’yı üç ana başlıkta toplayabiliriz. Başlıklarımız şu şekilde;

• Kayıt
• Veri Güvenliği
• Silme İşlemi

İlgili başlıkları kısaca açacak olursak;

Kayıt

Kişisel veya özel nitelikli kişisel verileri işleme, aktarma ve açık rıza konularını kapsamaktadır.

Veri Güvenliği

Kurumların; kişisel verilerin hukuka aykırı olarak işlenmesini, erişilmesini ve muhafazasını sağlamasıdır.

Silme İşlemi

Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesidir.

Şimdi ise KVKK ile BGYS arasındaki ilişkiyi bu üç ana başlık üzerinden kuralım.

“Kayıt” ve “silme işlemleri” ne bakacak olursak, bu süreçler kanunun kendisine ait süreçleridir ve BGYS’ den bağımsızdır. BGYS ile doğrudan ilişkili olan sürecimiz KVKK’nın ana başlıklarından birisi olan “Veri Güvenliği” dir.

KVKK kurumunun yayınlamış olduğu Veri Güvenliği Rehberi’ne bakıldığında kanun tarafından kurumlardan beklenen:

• Mevcut risklerin belirlenmesi,
• Farkındalık eğitimlerinin verilmesi,
• Kişisel veri güvenliği konusunda prosedür ve politikaların oluşturulması
• Kişisel verilerin en aza indirilmesi konusunda tedbir alınması gerektiğini açıkça belirtmektedir.

Ayrıca kurumlardan beklenen, siber güvenliğin sağlanması, kişisel veri güvenliğinin takibi, verilerin bulutta depolanması, gerekli bilgi teknolojileri sistemlerinin tedarik edilmesi, düzenli bakım ve yedeklerinin alınması gibi teknik tedbirler belirtilmektedir.

Değineceğim diğer konu KVKK’nın da ele aldığı risk analizi kısmının BGYS’nin en temel konusu olması. İdari ve teknik tedbirlerin iki sistem arasındaki bağlantısı ekteki tabloda detaylandırılmıştır. Sonuç olarak KVKK ve ISO 27001’ in ortak birçok yönü bulunmakta ve veri güvenliği konusunda kurumların önemli kilometre taşlarındandır.

Kıyaslama Tablomuz: