Veri sızıntısı ve senin hesapların

Açılış

Salı sabahı Barış mutfağa telefonunu sallayarak girdi. Bir sosyal medya hesabı, sık kullandıkları bir kargo şirketinin "çökertildiğini" yazıyordu: "Milyonlarca kişinin kimlik numarası, adresi, kart bilgisi satışta. Hepimizin bilgileri gitti." Paylaşım binlerce kez yeniden paylaşılmıştı.

Duru'nun telefonu aynı dakikalarda titredi. Kargo şirketinden bir e-posta gelmişti; konu satırında "Kişisel veri ihlali hakkında bilgilendirme" yazıyordu. E-postada bir bağlantı yoktu, yalnız şirketin internet sitesindeki duyuru sayfasının adı verilmişti. Duru adresi kendisi yazıp sayfayı açtı. Duyuru, ihlalin iki hafta önceki bir gece gerçekleştiğini, etkilenen verilerin ad, soyad, telefon numarası ve teslimat adresi olduğunu yazıyordu. Kimlik numarası ve kart bilgisi listede yoktu; şirket kart bilgisi saklamadığını da ayrıca belirtiyordu.

Öğleden sonra Duru'ya bir kısa mesaj geldi: "Kargo veri sızıntısından etkilendiniz. Tazminat başvurusu için bilgilerinizi doğrulayın," ve altında bir bağlantı.

Aynı olay hakkında üç ayrı metin. Biri korkutuyor, biri bilgi veriyor, biri tuzak kuruyor. Duru'nun sorusu basitti: hangisine inanacağım ve şimdi ne yapmam gerekiyor?

Tek fikir

Bir sızıntı haberinde önemli olan, sızan verinin türüdür; çünkü her türün riski ve yapılacak işi farklıdır. Değiştirilebilen veriyi değiştir, değiştirilemeyen veriyi artık bir sır sayma ve haberin peşinden gelecek dolandırıcılığa hazır ol.

Nasıl çalışır

Bu modülün önceki dersleri senin elindeki veriyi ve senin bıraktığın izi korudu. Bu ders, bilgilerini emanet ettiğin bir kurumun onları koruyamadığı ana bakıyor.

Bir ihlalde senin payın, o kurumda hakkında tutulan veridir. Bu yüzden ilk soru "kurum çökertildi mi?" değil, "benim hangi verim oradaydı ve hangisi etkilendi?" sorusudur.

Türkiye'de bu sorunun cevabını sana vermek, veri sorumlusunun yükümlülüğüdür. Altı bin altı yüz doksan sekiz sayılı Kanun'un on ikinci maddesinin beşinci fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde veri sorumlusunun bunu en kısa sürede ilgilisine ve Kurul'a bildireceğini, Kurul'un da gerekirse durumu kendi internet sitesinde ilan edebileceğini söyler.

Bu ayrım Duru'nun e-postasının neden iki hafta sonra geldiğini de açıklar: önce ihlalin kapsamı ve etkilenen kişiler belirlenir, sonra onlara yazılır.

Bildirimin içinde ne olması gerektiği de bellidir ve bir sızıntı haberini okumanın en iyi şablonu budur.

Barış'ın paylaşımı bu beş sorudan hiçbirine kaynaklı bir cevap vermiyordu. Kargo şirketinin duyurusu beşine de cevap veriyordu. Kısa mesaj ise bir bildirim değildi: bir ihlal haberini bahane olarak kullanan bir oltalama girişimiydi. Modül 7'de gördüğümüz güncel olay kaldıracı, sızıntı haberlerinde en güçlü hâlindedir, çünkü insanlar gerçekten etkilenip etkilenmediklerini merak eder.

Sızan verinin türü, yapılacak işi belirler. Kabaca üç grup var.

Değiştirilebilen veriler: parolalar, kart numaraları, bazen kullanıcı adları. Bunların sızması acil ama çözülebilir bir durumdur. Parola, o hizmette ve aynı parolanın kullanıldığı her yerde değiştirilir; Modül 6'nın ilk dersinde gördüğün kimlik bilgisi doldurma, tam olarak sızmış bir parolanın başka sitelerde denenmesidir. Kart için banka aranır.

Değiştirilemeyen veriler: ad, doğum tarihi, kimlik numarası, adres, telefon numarası; bir kısmı yıllarca, bir kısmı ömür boyu sabittir. Bunlar sızdığında yapılacak şey, onları artık bir sır olarak görmemektir. Seni arayan biri adını, adresini ve kimlik numaranı biliyorsa, bu onun kim olduğunu kanıtlamaz; yalnız bir sızıntıyı okuduğunu gösterir.

Özel nitelikli veriler: sağlık, biyometrik veri ve Kanun'un saydığı diğer hassas bilgiler. Bunlar hem değiştirilemez hem de açığa çıktıklarında şantaj ve ayrımcılık riski taşır; bu yüzden Kurul bildirimde ayrıca belirtilmelerini ister.

Sahada

Savunma

Bir sızıntıya karşı savunmanın büyük kısmı, sızıntıdan önce yapılır. Her hizmette ayrı parola kullanmak, bir sızıntının etkisini o hizmetle sınırlar; Modül 6'da kurduğun parola yöneticisi bunu mümkün kılar. Çok faktörlü doğrulama, parola sızsa bile hesabı korur. Bir hizmete gereğinden fazla bilgi vermemek de bir önlemdir: doğum tarihin gerekmiyorsa yazmamak, kart bilgisini kaydetmemek, kullanmadığın hesapları kapatmak, bir gün sızabilecek veri miktarını küçültür.

Tespit tarafında, bir sızıntıdan haberdar olmanın güvenilir yolları vardır. Veri sorumlusunun doğrudan bildirimi, Kurul'un internet sitesindeki duyurular ve Modül 6'da kullandığın sızıntı sorgulama hizmetinin bildirim özelliği bunlardır. Sosyal medya paylaşımı ise bir başlangıç noktasıdır, bir kaynak değil; içindeki iddia, bildirimle karşılaştırılmadan kabul edilmez.

Müdahale, sızan verinin türüne göre yapılır ve sırası önemlidir. Önce bildirimin gerçek olduğunu, bağlantıya tıklamadan, kurumun adresini kendin yazarak ya da bilinen numarasını arayarak doğrula. Sonra beş soruyu sor: ne zaman, hangi veri, olası sonuç, önerilen tedbir, iletişim yolu. Parola sızdıysa o hizmetteki parolayı ve aynı parolayı kullandığın her yeri değiştir, çok faktörlü doğrulamayı aç. Kart sızdıysa bankanı ara. Değiştirilemeyen veriler sızdıysa, önümüzdeki aylarda o bilgileri kullanan aramalara ve mesajlara karşı daha dikkatli ol; Duru'nun aldığı kısa mesaj, bu dikkatin neden gerekli olduğunu aynı gün gösterdi.

Bir kurum için müdahale, yasal bir takvimle başlar. Defne Hanım'ın yaşadığı gibi, verinin işleyende sızması veri sorumlusunun yükümlülüğünü ortadan kaldırmaz; Kurul kararı, veri işleyenin ihlali gecikmeksizin veri sorumlusuna bildirmesini, veri sorumlusunun da bir veri ihlali müdahale planı hazırlamasını ister.

Uygulama

Kendi hesapların için bir sızıntı okuma ve müdahale tablosu kuracaksın.

Bu tabloyu bir kez kurduktan sonra, bir sonraki sızıntı haberinde ilk on dakikanın ne yapılacağı bellidir.

Defter: Gizlilik bölümüne sızıntı tablosu: hizmet, bildirim tarihi, beş sorunun cevabı, sızan veri ve yapılan iş. Sorgulama hizmetinde bildirimin açıldığı tarih. Değiştirilemeyen verilerin listesi ve "bunlar artık kimlik kanıtı değil" notu.

Hata köşesi

Etik ve sınırlar

Bir sızıntıdan etkilenip etkilenmediğini anlamanın yolu, sızan veri dosyasını bulup içinde kendini aramak değildir. Bu dosyalar başkalarının kişisel verilerini taşır; onları indirmek, saklamak ya da paylaşmak, dördüncü derste andığımız ceza hükmünün, yani başkalarına ait verinin izinsiz ele geçirilmesini ve yayılmasını suç sayan maddenin kapsamına girebilir ve her durumda o insanların mahremiyetini bir kez daha ihlal eder. Yalnız kendi adresini sorgulayan hizmetleri kullan ve başkasının adresini, onun izni olmadan sorgulama. Kurum içinde bir sızıntının çalışanları etkileyip etkilemediğine bakmak, Gülay Hanım'ın yaptığı gibi, yönetimin yetkisiyle ve yalnız kurumun kendi alan adıyla sınırlı yapılır. Bir veri sorumlusu olarak bildirim yükümlülüğün ise bir tercih değil, Kanun'un ve Kurul kararının koyduğu bir takvimdir.

Kapanış

1. Bir veri ihlalinde senin için önemli olan, o kurumda hakkında tutulan hangi verinin etkilendiğidir; en güvenilir kaynak, veri sorumlusunun bildirimidir ve Kurul bu bildirimin içermesi gereken beş unsuru belirlemiştir.
2. Sızan verinin türü yapılacak işi belirler: parola ve kart gibi değiştirilebilen veriler hemen değiştirilir; ad, kimlik numarası ve adres gibi değiştirilemeyen veriler artık kimlik kanıtı sayılmaz.
3. Sızıntı haberlerinin peşinden, haberi bahane eden oltalama gelir; gerçek bir bildirim bağlantıda bilgi doğrulaması istemez ve her bildirim, kurumun adresini kendin yazarak ya da bilinen numarasını arayarak doğrulanır.

Üç soru

1. Duru aynı olay hakkında üç metin aldı; bunlardan hangisi güvenilirdi ve bunu nasıl anladı?
2. Bir sızıntıda parolanın sızmasıyla kimlik numarasının sızması arasındaki fark nedir ve her birinde ne yapılır?
3. Defne Hanım'ın bürosu, sızıntı bordro sağlayıcısında olduğu hâlde neden hareket etmek zorundaydı?

Yanıtlar

1. Kargo şirketinin e-postası güvenilirdi: bir bağlantı içermiyordu, Duru şirketin sitesini adresi kendisi yazarak açtı ve duyuru ihlalin tarihini, etkilenen veri türlerini ve etkilenmeyenleri açıkça yazıyordu. Sosyal medya paylaşımı kaynaksız iddialar taşıyordu; kısa mesaj ise bilgilerin bir bağlantıda doğrulanmasını istediği için bir oltalama girişimiydi.
2. Parola değiştirilebilir bir veridir: o hizmette ve aynı parolanın kullanıldığı her yerde hemen değiştirilir; hesapta ikinci adım da açılır. Kimlik numarası değiştirilemez; yapılacak şey onu artık bir sır olarak görmemek, bir arayanın onu söylemesini kimlik kanıtı saymamak ve önümüzdeki aylarda bu bilgiyi kullanan aramalara karşı dikkatli olmaktır.
3. Büro, müşterilerinin çalışanlarına ait verilerin veri sorumlusuydu; sağlayıcı yalnız onun adına veriyi işliyordu. Kurul kararına göre veri işleyen ihlali veri sorumlusuna gecikmeksizin bildirir, Kurul'a ve ilgili kişilere bildirim ise veri sorumlusunun yükümlülüğüdür. Bu yüzden Defne Hanım etkilenen verileri belirleyip bildirimi Kurul'un beş unsuruna göre hazırlamak zorundaydı.

Sonraki derse köprü

Bu derste bir kurumun senin hakkında tuttuğu veriyi kaybettiği anı okuduk ve bildirimin bir hak olduğunu gördük. Ama Kanun sana yalnız haber alma değil, sorma ve isteme hakkı da verir: hangi verini işlediklerini öğrenmek, yanlışsa düzeltilmesini, gereksizse silinmesini istemek. Kişisel veri hakların dersi, bu hakları ve veri sorumlusuna nasıl başvurulacağını ele alıyor.