Kanun veri sorumlusuna «uygun güvenlik düzeyi için gerekli her türlü teknik ve idari tedbir» yükümlülüğü verir ve bu yükümlülüğün ihlali en ağır idari para cezası aralığındadır. Bu modül tedbirleri bir liste olarak değil, bir risk kararı olarak öğretir: kim neye erişebilir, kim ne yaptığını kaydeder, kurum kendini nasıl denetler.
Bu modülün sonunda
- Bir süreç için teknik ve idari tedbirleri riskle orantılı olarak seçer.
- Erişim yetkilerini en az ayrıcalık ilkesine göre gözden geçirir.
- Kurumun kendi denetim yükümlülüğünü bir iç denetim planına çevirir.
Dersler
- M09-D01Teknik ve idari tedbirYayında
Teknik ve idari tedbirleri ayırır ve bir süreç için ikisini birlikte kurar.
Dayanak: 6698 m.12/1; Kurum'un kişisel veri güvenliği rehberi
Siber Güvenlik Akademisi’nde: 56.1
- M09-D02Kim neye erişebilirYayında
Rol bazlı erişim yetkisini en az ayrıcalık ilkesine göre tasarlar ve periyodik erişim gözden geçirmesini yapar.
Dayanak: 6698 m.12/1-b; Kurum'un veri güvenliği rehberi
Siber Güvenlik Akademisi’nde: 14.2 · 38.6
- M09-D03Kayıt tutmak: logYayında
Kişisel veriye erişimin kayıt altına alınmasının amacını, kapsamını ve log kaydının kendisinin de kişisel veri olduğunu açıklar.
Dayanak: 6698 m.12/1; Kurum'un veri güvenliği rehberi
Siber Güvenlik Akademisi’nde: 27.4
- M09-D04Şifreleme ve maskelemeYayında
Şifreleme ile maskelemenin hangi riski azalttığını ve hangisini azaltmadığını açıklar.
Dayanak: 6698 m.12/1; Kurum'un veri güvenliği rehberi
Siber Güvenlik Akademisi’nde: 24.1 · 25.5
- M09-D05Gizlilik taahhüdü ve eğitimYayında
Çalışan gizlilik taahhüdünün, görev değişikliğinde yetki güncellemesinin ve eğitimin idari tedbir olarak işlevini açıklar.
Dayanak: 6698 m.12/1 ve m.12/4
- M09-D06Kurumun kendini denetlemesiYayında
Veri sorumlusunun kendi kurumunda kanuna uyumu denetleme yükümlülüğünü yıllık bir iç denetim planına çevirir.
Dayanak: 6698 m.12/3