İçindekiler
ISO 27001 KVKK Uyumunu Sağlar mı?
ISO 27001’in Karşıladığı KVKK Tedbirleri
ISO 27001’in Karşılamadığı KVKK Yükümlülükleri
Veri İhlali Bildirimi ve ISO 27001
ISO 27701 ile Daha Güçlü KVKK Uyumu
ISO 27001 belgesi KVKK denetiminde kabul edilir mi?
KVKK uyumu için ISO 27001 zorunlu mu?
ISO 27001 ve KVKK, kişisel verilerin korunmasında birbirini tamamlayan iki çerçevedir. ISO 27001 bilginin nasıl korunacağını yönetir, KVKK ise kişisel verilerin hangi hukuki kurallarla işleneceğini belirler.
Bu yazı, ISO 27001 Belgesi almış veya almayı planlayan kuruluşlar için KVKK ile ilişkiyi açıklar.
ISO 27001 ve KVKK Nedir?
ISO/IEC 27001, uluslararası bir bilgi güvenliği yönetim sistemi standardıdır ve gönüllüdür. Kuruluş isterse belgelendirme denetimiyle uygunluğunu kanıtlar.
KVKK ise 6698 sayılı Kişisel Verilerin Korunması Kanunu’dur ve kişisel veri işleyen herkes için zorunludur. Uyumu Kişisel Verileri Koruma Kurumu denetler.
ISO 27001 KVKK Uyumunu Sağlar mı?
Tek başına sağlamaz, ancak en zor kısmı olan veri güvenliği tedbirlerinin büyük bölümünü karşılar. KVKK’nın 12. maddesi, veri sorumlusundan uygun teknik ve idari tedbirleri almasını ister.
ISO 27001’in risk değerlendirmesi ve Ek A kontrolleri bu tedbirlerin sistemli şekilde alınmasını sağlar. Hukuki işleme şartları ise ayrıca yürütülmelidir.
ISO 27001’in Karşıladığı KVKK Tedbirleri
Kurum’un yayımladığı veri güvenliği rehberindeki tedbirlerin çoğu Ek A kontrolleriyle örtüşür. Başlıca eşleşmeler şunlardır.
| KVKK tedbiri | İlgili ISO 27001 Ek A kontrolü |
|---|---|
| Yetki matrisi ve erişim kısıtlama | 5.15 Erişim kontrolü, 5.18 Erişim hakları |
| Log kayıtlarının tutulması | 8.15 Kayıt tutma |
| Şifreleme | 8.24 Kriptografi kullanımı |
| Yedekleme | 8.13 Bilgi yedekleme |
| Çalışan eğitimi ve gizlilik taahhüdü | 6.3 Farkındalık ve eğitim, 6.6 Gizlilik anlaşmaları |
| Veri ihlali yönetimi | 5.24 – 5.27 Olay yönetimi |
| Veri işleyenlerle sözleşme | 5.19 – 5.20 Tedarikçi ilişkileri |
| Kişisel verilerin silinmesi | 8.10 Bilginin silinmesi |
Kişisel verilere özel kontrol 5.34 ise doğrudan KVKK gibi mevzuata uyumu ister. Kontrollerin tam listesi ISO 27001 Ek A Kontrolleri rehberindedir.
ISO 27001’in Karşılamadığı KVKK Yükümlülükleri
KVKK’nın hukuki yükümlülükleri bir güvenlik standardının kapsamı dışındadır. Bunlar hukuk ve uyum ekipleriyle ayrıca yürütülmelidir.
- Aydınlatma metinlerinin hazırlanması ve sunulması
- Açık rızanın gerektiği durumlarda alınması
- Kişisel veri envanteri ve saklama-imha politikası
- VERBİS kaydı (yükümlü olan veri sorumluları için)
- İlgili kişi başvurularının yasal sürede yanıtlanması
- Yurt dışına veri aktarımı kuralları
Veri İhlali Bildirimi ve ISO 27001
KVKK, kişisel veri ihlallerinin Kurul’a en kısa sürede bildirilmesini ister; Kurul bu süreyi 72 saat olarak yorumlamaktadır. Bu süreye yetişmek için ihlalin hızla fark edilmesi ve değerlendirilmesi gerekir.
ISO 27001’in olay yönetimi kontrolleri tam olarak bu hazırlığı sağlar. Olay tespit, sınıflandırma ve müdahale adımları önceden tanımlandığı için bildirim süresi kaçırılmaz.
ISO 27701 ile Daha Güçlü KVKK Uyumu
ISO 27701, ISO 27001’in üzerine kişisel veri gizliliğine özel kontroller ekleyen uzantıdır. Veri sorumlusu ve veri işleyen rollerini ayrı ayrı ele alır.
KVKK uyumunu belgeyle göstermek isteyen kuruluşlar için doğal bir sonraki adımdır. Ayrıntılar için ISO 27701 Belgesi sayfasına bakın.
İki çalışmayı birlikte planlamak için ISO 27001 Danışmanlığı sayfamıza göz atın.
Sıkça Sorulan Sorular
ISO 27001 belgesi KVKK denetiminde kabul edilir mi?
Belge tek başına uyum kanıtı sayılmaz, ancak alınan tedbirlerin güçlü bir göstergesidir. Kurum, somut tedbirlerin uygulanıp uygulanmadığına bakar.
KVKK uyumu için ISO 27001 zorunlu mu?
Hayır, KVKK belirli bir standart şart koşmaz. Ancak ISO 27001, istenen tedbirleri sistemli şekilde almanın en yaygın yoludur.
ISO 27001 ve KVKK çalışmaları birlikte yürütülebilir mi?
Evet, veri envanteri ve risk değerlendirmesi iki çalışmada ortak kullanılır. Birlikte yürütmek zaman ve maliyet tasarrufu sağlar.
Küçük işletmeler için hangisi önce gelmeli?
KVKK zorunlu olduğu için önce temel KVKK yükümlülükleri tamamlanmalıdır. ISO 27001 ise müşteri ve ihale beklentisine göre planlanabilir.