Bir veri ihlali bildirimi ilk bakışta hukuk ekibinin işi gibi görünür. Oysa bildirim süresine yetişmek tümüyle teknik bir hazırlık meselesidir. Log'unuz yoksa neyin sızdığını bilemezsiniz; tespitiniz yoksa saatin ne zaman başladığını bile fark etmezsiniz.
72 saat nereden başlar?
Kişisel Verileri Koruma Kurulu'nun kararına göre, veri sorumlusu bir ihlali öğrendiği andan itibaren makul olan en kısa sürede ve en geç yetmiş iki saat içinde Kurul'a bildirim yapar. Buradaki kritik ifade "öğrendiği an"dır. Saat, sizin fark ettiğiniz anda başlar; saldırının gerçekleştiği anda değil.
Bu yüzden hazırlığın kalbi tespittir. Fark etme süreniz ne kadar uzarsa, elinizdeki yetmiş iki saat o kadar erir.
Bildirimde neyin yer alması beklenir?
Kurul'un formu, olayın niteliğine dair somut bilgi bekler:
- İhlalin ne zaman ve nasıl gerçekleştiği
- Etkilenen kişi ve kayıt sayısının yaklaşık büyüklüğü
- Etkilenen veri kategorileri
- Olası sonuçlar ve alınan teknik tedbirler
Bu bilgilerin hiçbiri, olay anında toplanmaya başlanırsa süreye yetişmez. Hepsi önceden kurulmuş bir kayıt ve tespit düzeninin çıktısıdır.
Teknik hazırlık: dört temel
1. Merkezî ve değiştirilemez log. Kimlik doğrulama, veri erişimi ve dışa veri akışı en az bu üç katmanda kayıt altında olmalı. Kayıtlar saldırganın silemeyeceği ayrı bir yerde tutulmalı.
2. Tespit kuralları. Olağandışı erişim, toplu dışa aktarım ve mesai dışı yönetici işlemleri için uyarı üreten kurallar. Uyarı gitmiyorsa, olayı günler sonra öğrenirsiniz.
3. Yazılı müdahale planı. Kim haberdar edilir, kim karar verir, hangi sistem izole edilir, bildirimi kim hazırlar. Bu sıralama olay anında değil, önceden belli olmalı.
4. Tatbikat. Planı yılda en az bir kez masa başı senaryoyla çalıştırın. İlk kez gerçek olayda denenen plan, plan değildir.
Sık yapılan hata
En çok gördüğümüz eksik, log'ların var olması ama saklama süresinin çok kısa olmasıdır. Saldırı çoğu zaman fark edilmeden haftalar önce başlar. Kayıtlarınız yalnızca son birkaç günü tutuyorsa, olayın başlangıcını hiç göremezsiniz ve bildirim formundaki "ne zaman" sorusunu yanıtlayamazsınız.
Sonuç
72 saat kuralı bir hukuk maddesi gibi yazılır ama pratikte bir mühendislik gereksinimidir. Bildirime yetişmenin yolu, olaydan önce kurulmuş log, tespit ve müdahale düzenidir. Bu düzeni birlikte kurabilir, tatbikatla sınayabiliriz.