Kurumumuz tarafından toplanan, muhafaza edilen ve işlenen kişisel verilerle ilgili olarak idari tedbirlerin yansıra teknik tedbirler de alınmıştır. Bu kapsamda alınan teknik tedbirleri şu şekilde açıklamak mümkündür:
Erişim sınırlamaları: Kişisel veri içeren sistemlere erişim yetkileri sınırlandırılmakta ve düzenli olarak gözden geçirilmektedir. Bu kapsamda çalışanlara, yapmakta oldukları iş ve görevler ile yetki ve sorumlulukları için gerekli olduğu ölçüde erişim yetkisi tanınmakta ve kullanıcı adı ve şifre kullanılmak suretiyle ilgili sistemlere erişim sağlanmaktadır.
Anti irüs yazılımları: Kötü amaçlı yazılımlardan korunmak için ayrıca, bilgi sistem ağını düzenli olarak tarayan ve tehlikeleri tespit eden antivirüs, antispam gibi ürünlerin kullanılmakta, ayrıca bunlar güncel tutularak gereken dosyaların düzenli olarak taranmaktadır. Farklı internet siteleri ve/veya mobil uygulama kanallarından kişisel veri temin edilecekse, bağlantıların SSL ya da daha güvenli bir yol ile gerçekleştirilmesi sağlanmaktadır.
Kişis l V ri İç r n Ortamların Gü nliğinin Sağlanması: Kişisel verilerin saklandığı cihazlarda ve kağıt ortamlarında, bu cihazların ve kağıtların çalınması veya kaybolması veya zarar görmemesi için gereken fiziksel güvenlik önlemleri alınmaktadır.
Bu ortamlar kilitli bir şekilde ve sadece yetkili kişilerin erişebileceği hale getirilmekte, bu alanlara erişimler kayıt altına alınarak ve 7/24 izlenerek uygunsuz erişimler veya erişim denemeleri kontrol altında tutulmaktadır. Söz konusu ortamlara ve kaynaklara yetkisiz erişim önlenmektedir.
Kişisel verilerin yer aldığı fiziksel ortamlar dış risklere (yangın, sel, ısı vb.) karşı uygun yöntemlerle korunmakta, yangın söndürme iklimlendirme gibi sistemler kurulamaktadır.
Sib r Gü nliğin Sağlanması: Kişisel veri güvenliğinin sağlanması için siber güvenlik ürünleri kullanılmaktadır. Güvenlik duvarı, güvenlik protokolü ve ağ geçidi gibi tedbirler ile internet gibi ortamlardan gelen saldırılara karşı ilk savunma hattı oluşturulmaktadır. Bununla birlikte hemen hemen her yazılım ve donanım bir takım kurulum ve yapılandırma işlemlerine tabi tutulmaktadır. Yaygın şekilde kullanılan bazı yazılımların özellikle eski sürümlerinin belgelenmiş güvenlik açıkları olabileceği dikkate alınarak, kullanılmayan yazılım ve servisler cihazlardan kaldırılmaktadır. Yama yönetimi ve yazılım güncellemeleri ile yazılım ve donanımların düzgün bir şekilde çalışması ve sistemler için alınan güvenlik tedbirlerinin yeterli olup olmadığının düzenli olarak kontrol edilmesi sağlanmaktadır.
Şifr l m : Kişisel veri içeren sistemlere erişim yetkileri için güçlü şifre ve parolalar oluşturulurken, kişisel bilgilerle ilişkili ve kolay tahmin edilecek rakam ya da harf dizileri yerine büyük küçük harf, rakam ve sembollerden oluşacak kombinasyonların tercih edilmesi sağlanmaktadır. Buna bağlı olarak, erişim yetki ve kontrol matrisi oluşturulmaktadır. Ayrıca kaba kuvvet algoritması (BFA) kullanımı gibi yaygın saldırılardan korunmak için şifre girişi deneme sayısının sınırlandırılması, düzenli aralıklarla şifre ve parolaların değiştirilmesinin sağlanması, yönetici hesabı ve admin yetkisinin sadece ihtiyaç olduğu durumlarda kullanılması için açılması ve veri sorumlusuyla ilişikleri kesilen çalışanlar için zaman kaybetmeksizin hesabın silinmesi ya da girişlerin kapatılması gibi yöntemlerle erişimin sınırlandırılması yapılmaktadır.
Kişis l V ril rin Y d kl nm si: Kişisel verilerin herhangi bir sebeple zarar görmesi, yok olması, çalınması veya kaybolması gibi hallerde kurum yedeklenen verileri kullanarak en kısa sürede faaliyete geçmeyi sağlamaktadır. Yedeklenen kişisel veriler sadece sistem yöneticisi tarafından erişilebilir olup, veri seti yedekleri ağ dışında tutulmaktadır.
Kişis l V ri Gü nliğinin Takibi: Bilişim ağlarında hangi yazılım ve servislerin çalıştığının kontrol edilmesi, bilişim ağlarında sızma veya olmaması gereken bir hareket olup olmadığının belirlenmesi, tüm kullanıcıların işlem hareketleri (log kayıtları gibi) kaydının düzenli olarak tutulması, güvenlik sorunlarının mümkün olduğunca hızlı bir şekilde raporlanması yapılmaktadır. Bu kapsamda periyodik olarak sızma testleri yapılmakta bilişim sistemlerine yönelik risk, tehdit, zafiyet ve varsa açıklar ortaya çıkarılarak gerekli önlemler alınmaktadır.
Yine çalışanların sistem ve servislerdeki güvenlik zafiyetlerini ya da bunları kullanan tehditleri
yazılım, servis dışı bırakma saldırısı, eksik veya hatalı veri girişi, gizlilik ve bütünlüğü bozan ihlaller, bilişim sisteminin kötüye kullanılması gibi istenmeyen olaylarda deliller toplanmakta ve güvenli bir şekilde saklanmaktadır.
Kurum dışında bulunan l ktronik ortam cihazlar için alınan t dbirl r: Kurumumuzun, kurum dışında kişisel veri muhafaza ettiği herhangi bir alan yoktur. Bununla birlikte, kişisel veri güvenliği ihlalleri sıklıkla kişisel veri içeren cihazların (dizüstü bilgisayar, cep telefonu, flash disk vb.) çalınması ve kaybolması gibi nedenlerle ortaya çıktığı gözetilerek elektronik posta ya da posta ile aktarılacak kişisel verilerin de dikkatli bir şekilde ve yeterli tedbirler alınarak gönderilmektedir. Çalışanların şahsi elektronik cihazları ile bilgi sistem ağına erişim sağlaması durumunda bunlar için de yeterli güvenlik tedbirleri alınmaktadır.
El ktronik ortam cihazların çalınmasına ilişkin t dbirl r: Kişisel veri içeren cihazların kaybolması veya çalınması gibi durumlara karşı erişim kontrol yetkilendirmesi ve/veya şifreleme yöntemlerinin kullanılması yöntemi uygulanmaktadır. Bu kapsamda şifre anahtarı, sadece yetkili kişilerin erişebileceği ortamda saklanmakta ve yetkisiz erişim önlenmektedir.
Bilgi T knolojil ri Sist ml ri T dariki, G liştirm Bakım: Kurumumuz tarafından yeni sistemlerin tedariki, geliştirilmesi veya mevcut sistemlerin iyileştirilmesi ile ilgili ihtiyaçlar belirlenirken güvenlik gereksinimleri göz önüne alınmaktadır.
Kişis l V ril rin Bulutta D polanması: Kurumumuz tarafından prensip olarak bulut depolama işlemi uygulanmamaktadır. Bununla birlikte, bulutta depolamanın yapıldığı istisnai anlarda, bulut depolama hizmeti sağlayıcısı tarafından alınan güvenlik önlemlerinin yeterli ve uygun olup olmadığına bakılmaktadır. Yine bulutta depolanan kişisel verilerin neler olduğu listelenmekte, yedeklenmekte, senkronizasyonu sağlanmaktadır. Buluta erişim için iki kademeli kimlik doğrulama ve şifreleme kontrolü uygulanmaktadır. Kişisel verilerin bulunduğu veri depolama alanlarına erişimler loglanarak uygunsuz erişimler veya erişim denemeleri ilgililere anlık olarak iletilmektedir.
Kişis l ril rin l g çirilm si ihtimalin ilişkin t dbirl r: Kişisel verilerin hukuka aykırı işlenmesini önlemeye yönelik riskler belirlenmekte, bu risklere uygun teknik tedbirlerin alınması sağlanmakta ve alınan tedbirlere yönelik teknik kontroller yapılmaktadır. Alınan tüm tedbirlere rağmen, kişisel verilerin herhangi bir yolla ele geçirilmesi halinde kurumumuz, bu durumu KVKK 12.Madde gereğince en kısa sürede KVK Kurulu’na ve veri sahiplerine bildirir. KVK Kurulu, gerekli görmesi halinde bu durumu internet sitesinde veya başka bir yöntemle ilan edebilir. Bu ihtimalin ortaya çıkması halinde uygulanmak üzere bir sistem ve altyapı oluşturulmuştur.
İmha dil n kişis l ril rl ilgili alınan t dbirl r: Kurumumuz, silme, yok etme veya anonimleştirme yöntemlerinden biriyle imha edilen kişisel verilerin erişilemez veya tekrar kullanılamaz olması veya geri getirilememesi için gerekli tedbirleri almaktadır.
Kurumumuz yukarıda belirtilen tedbirlerle, kişisel verilerin muhafazasını sağlamaktadır.
22. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN KORUNMASI İ İN ALINAN