Etiket arşivi: Burak Sadıç

Makale & Analiz

‘KVKK’nın 12. Maddesi geç ama çok önemli bir adım’

Yorum yapın

Siber Bülten’de bugüne kadar Türkiye’deki siber güvenlik konusunda öne çıkan isimlerle yaptığımız röportajları okuyucularımıza sunduk. Bugün yayınladığımız röportajı diğerlerinden ayıran özelliği bir Siber Bülten yazarının -Selin Çetin- başka bir yazarımız olan Burak Sadıç ile bu röportajı yapmış olması. İki yazarımızın siber sigorta, yapay zeka ve KVKK konularına değindiği röportajı ilginize sunuyoruz:

Çetin: Kişisel bir soru ile başlayalım, günlük hayatta kullandığınız teknolojik ürünlerin riskleri karşısında kullanıcı olarak sizin çözümleriniz neler oluyor?

Sadıç: Bir siber risk uzmanı olarak, teknolojiyi olabildiğince az kullanmaya çalışıyorum 🙂 Şakayı bir kenara bırakacak olursam, kullanıcı olarak benim kişisel tercihlerim:

– Her uygulama ve sistem için farklı ve karmaşık bir parola kullanmak,

– Yukarıda belirtilen tüm şifreleri saklamak için güvenli bir parola yönetimi uygulaması kullanmak,

– Mümkün olduğunda, ikili kimlik doğrulama kullanmak,

– Mevcut coğrafi konumu paylaşmayı mümkün olduğunca sınırlamak,

– E-posta veya mesajlar veya sosyal medya yoluyla gönderilen eklentileri açmamak veya bağlantılara tıklama konusunda paranoyak olmak. Eğer bu eklentileri ya da bağlantıları gerçekten merak ediyorsam da, onları “güvenli” bir ortamda açmaya çalışırım.

Çetin: Peki, bugünlerde şirketler hangi siber güvenlik tehditleri ile karşılaşıyor? Geçmişle karşılaştırdığında, özellikle yapay zekanın (YZ) gelişimiyle birlikte sigorta şirketlerinin sunduğu risk yönetimi çözümlerindeki değişimler neler oldu?

Sadıç: Siber güvenliği bir kitap olarak düşünürsek, şimdi ilk bölümün sonunda veya son bölümün başındayız. Internet’in yaygınlaşması ve bağlı cihazlarla (Nesnelerin Internet’i) birlikte şirketler veya bireyler için siber güvenlik tehditleri her bakımdan yalnızca bizim hayal gücümüzle sınırlanıyor. Ancak özet olarak, işin durması ve veri ihlali, şirketlerin bugünlerde karşı karşıya kaldıkları en büyük tehditler. Bence YZ gelişmelerinin siber sigorta üzerindeki potansiyel etkileri hakkında yorum yapmak için henüz erken.

Çetin: YZ kullanımının sigorta sektöründeki olumlu ve olumsuz etkileri nelerdir?

Sadıç: YZ tüm endüstrileri değiştirecek ve sigorta sektörü de bir istisna değil. Aşağıdakine benzer bir senaryo düşünün:

Bir trafik kazasına karıştığınızda, bağlantılı arabanız polise, hastaneye ve sigorta şirketine aynı anda bilgi veriyor. Polis ve sağlık uzmanları size ve diğer potansiyel mağdurlara yardım ederken, sigortacınız da aracınıza verilen zararın seviyesini belirliyor. İhtiyaç olması durumunda çekici otomatik olarak aranıyor ve ayrıca hasar seviyesi ve olası onarım maliyetleri önceden hesaplanıyor. Böylece, birkaç dakika içinde her şey robotik süreç otomasyonu ve YZ ile düzenleniyor.

Çetin: Siber saldırıları tespit etmek için geliştirilen YZ uygulamaları yayılmaya başladı. Bu uygulamaların geleceğini nasıl değerlendiriyorsunuz?

Sadıç: YZ, siber savunmada geleceğin zorunlu bir parçası. Mevcut altyapıların karmaşıklığı, son otomasyon teknolojilerinin yardımıyla bile, insanın durumu kavrayışını gerçekten zorlaştırıyor. Ancak, madalyonun bir de öteki yüzü var. Saldırganlar da YZ’yi saldırılarını daha da karmaşık hale getirmek için kullanacaklar. Dolayısıyla, gelecekte siber ortamda hem insan hem de YZ mücadelesi olacak.

TÜRKİYE YARIŞTA GERİ KALDI

Çetin: Türkiye siber güvenlik tehditleriyle karşı karşıya, YZ çözümlerinin daha iyi kullanılması için ne gibi adımlar atılmalı?

Sadıç: Türkiye yarışta geri kaldı, ancak hem özel sektör hem de kamudaki oyuncular siber silah yarışının hızına ayak uydurabilmek için cesur adımlar atıyor. Bence, YZ’nin daha etkili kullanılmasında ilk adım, YZ’nin gerçekte ne olduğunu anlamak ve buna göre davranmak.

Çetin: Yasal anlamda, Türkiye’deki düzenlemeler çerçevesinde, siber güvenlik alanındaki gelişmeler karşısında yapılanların yeterli olduğunu düşünüyor musunuz?

Sadıç: KVKK ve özellikle 12. madde ve bilhassa veri ihlali bildirimi fıkrası siber güvenlik için geç ama çok önemli bir adım. BDDK’nın yeni taslağı ve çeşitli endüstri düzenlemeleri ve rehberler de umut verici gelişmeler. Ben bir hukuk uzmanı değilim, ancak ilgili makamlar, çerçeveyi sürekli artan bir hızda geliştirmeye ve zenginleştirmeye devam ettiği sürece, mevcut çerçeve siber güvenlik alanındaki sürekli değişen gerçeklikle başa çıkma konusunda umut verici görünüyor.

Siber Bülten abone listesine kaydolmak için formu doldurunuz

Makale & Analiz

Türkiye’nin önündeki yol ayrımı: Siber alan tehdit mi, fırsat mı?

Yorum yapın

Siber güvenlik konusunda öne çıkan ülkelere baktığımızda yönetim şekilleri arasında büyük bir fark olduğunu görüyoruz. ABD, İngiltere, Fransa gibi demokratik, serbest piyasa ekonomisini benimsemiş ülkeler bir yanda, Rusya ve Çin gibi özgürlüklerin kısıtlandığı, devletin ekonomiye hakim olduğu otokratik rejimler de öbür yanda duruyor. Siber alanda ‘güçlü ülke’ olarak anılan bu devletlerin siber alan stratejileri arasında ciddi uçurum bulunuyor.

Birinci gruptaki ülkeler fırsat odaklı bir yaklaşım sergilerken, ikinci gruptaki devler siber alan politikalarını tehdit algısı üzerine şekillendiriyor. Birincilerin siber güvenlik şirketleri dünyanın dört bir yanında ihracat peşinde koşarken, Çin ve Rusya’nın şirketlerine yönelik güven duygusu sürekli azalıyor. İngiltere siber güvenlik stratejisinde hedefini ‘dünyada online ticaretin en güvenli yapıldığı ülke olma’ olarak belirliyor, İsrail siber güvenlik ihracatı her geçen gün artıyor; ABD’de siber güvenlik start-up’larına yatırım yağıyor. Diğer tarafta ise Rus şirketi Kaspersky en büyük müşterisi olan ABD’de ciddi bir bunalım yaşıyor. Güvenlik şüphesiyle yaklaşılan Huawei dışında, Çin sadece siber espiyonaj operasyonlarıyla, İnternet’e getirdiği kısıtlamalar ile gündeme geliyor. Yani demokratik siber güçlerin şirketleri demokratik olmayan siber güçlere fark atıyor. Türkiye’nin de siber alandaki tehditlere değil de fırsatlara yoğunlaşarak özel sektörü güçlendirmesinin orta-uzun vadede milli çıkarımıza olduğuna kesinlikle inandığım için siber güvenlik sektörünü geliştirmeye yönelik adımları kritik önemde buluyorum.

Bu ideal doğrultusunda Türkiye Bilişim Vakfı bünyesinde kurulan Başlangıç Noktası’nın start verdiği Siber Güvenlik Kariyer Sohbetleri hem sektörel bir networking fırsatı sunması açısından hem de tecrübenin yeni kuşakları ulaşması anlamında fonksiyonel bir rolü olabilir.

İlki mart ayında İstanbul’da düzenlenen sohbet serisinin konukları Burak Sadıç ve Levend Abay’dı.

Güvenlik sektöründe farklı şirketlerin değişik kademelerinde bulunduktan sonra siber güvenlik direktörü olduğu PwC’den ayrılan Sadıç ve 27 yıl boyunca Yapı Kredi’nin IT’sinde çalışmış olan Abay dinleyicilere Türkiye’de İnternet’in yayılmaya başladığı günden bu yana tecrübelerini aktardığı etkinlikten çok şey öğrendim. Notlarımdan bazılarını burada paylaşıyorum:

İNSANA YATIRIM DÜŞÜK SEVİYEDE 

Türkiye’de büyük bankaların IT bütçeleri üç haneli milyon dolarlara kadar çıktı ancak bunlardan çok azının insana yatırım için ayrılıyor. Bütçenin yarısının hala donanıma harcanırken, yüzde 10-15’i eğitim için sarf ediliyor. Levend Abay, nispi olarak insana bu kadar az bütçe ayrılmasına rağmen büyük bankalardaki güvenlik çalışanı sayısının 1000’e kadar çıktığını söylüyor.

Günümüz Türkiye’sinde güvenlik yöneticileri çoğunlukla mühendis kökenli insanlardan seçilse de, dünyada farklı alanlarda kariyerlerini yapmış insanların güvenlik yönetiminin başına geçtiğini de görüyoruz. (Bunun sayısız örneği var ancak sitemizde yayınlanan Siber Liderler dizisi mutlaka bir fikir verecektir.) Güvenlik sadece bir BT meselesi değildir. Güvenlik çok farklı boyutları olan bir meseledir.

SERTİFİKA YETERLİ Mİ,  DİPLOMA DA GEREKLİ Mİ?

Eleman alımında önyargılı olunmaması gerekiyor. Katılımcılardan biri ‘sertifika mı diploma mı’ diye soruyor. Yani bir adayın üniversite mezunu olup olmaması veya mezun olduğu üniversite/bölüm mü işe alımında daha önemli; yoksa geçmiş tecrübeleri, güvenlik alanında aldığı uluslararası sertifikalar mı? Burak Sadıç düşünmeden üniversite ve diploma diyor. AMA diye büyük harflerle ekliyor: “PwC’deki ekibime çok yetenekli bir lise mezununu aldım. İstisna olarak kabul edilmesi için çok bastırdım. Başarılı oldu. Şu anda büyük bankalardan birinde güvenlik uzmanı olarak çalışıyor.” diye de ekliyor. Genelde konuştuğum insanlar ki buna lise mezunları da dahil üniversitenin iş yaşamında profesyonel bir nosyon kazandırdığı görüşüne katılıyorlar.

İlk programını 20 sayfa şeklinde kağıda yazdığını anlatan Sadıç 1999’da floopy üzerinden ilk firewall‘u kurduğunu aktarıyor. Bilgi Üniversite’sinde bir yüksek lisans bölümünün 2000’li yıllarda kuruluş sürecinde nasıl bir ‘bilgi güvenliği’ hatasına kurban gittiğini de acı bir gülümsemeyle paylaşıyor.

Firewall zamanla siber güvenliğin vazgeçilmez araçlarında biri haline geldi ve Windows Defender Firewall ileri derece bir güvenlik çözümü olarak ön plana çıktı.

“İSTEMEDEN YÖNETİCİ OLDUM”

Levend Bey başka bir probleme dikkat çekiyor: ‘İstemeden yönetici oldum’ Bugün hala kabul etmeseydim diye geçiriyorum içimden. İdealler ve maaşlar dengesiz.” Abay, Türkiye’de yaptığı işin en iyisi olmak için yola çıkmış bir mühendisken kendisinden bir birim kurması ve bunu yönetmesi istenmiş. Kendisini ikna etmek için tepe yöneticiler bile araya girmiş. Hatta üst düzey bir yönetici ‘Levend, insanlar beni onları yönetici yapmam için ikna etmeye çalışıyor, ben ise seni yönetici olman için ikna etmeye çalışıyorum’ diyerek yakınmış.

Levend Abay’ın aktardıklarından önemli bulduğum bir nokta askerliğin IT kariyerinde oynadığı önemli rol. “Askerde işleri öğrendim. Çeşitli askeri birimler müşterimiz oldu ve adeta güvenlik stajını en doğru yerde, ‘askerlikte’ bitirdim.”

Bunu duyunca aklıma İsrail Ordusu’ndan çıkan askerlerin kurdukları start-up’lar geliyor ki, Abay ekliyor: “2003’de güvenlik danışmanlığını İsrail’den aldık.” Bu bana Burak Sadıç’ın ‘bir kaza maili’ sonrasında suya düşen Bilgi üniversitesindeki master programını hatırlatıyor. ‘O zamanlar bu işe başlansaydı’ diyerek hayıflanmadan edemiyorum.

Sektörel, Türkiye

Etkinlik: Siber güvenlikte başarılı kariyerin ipuçları

Yorum yapın

‘Başlangıç Noktası’ oluşumu siber güvenlikte kariyer yapmak isteyenlere kaçırılmayacak bir fırsat sunuyor: Siber Güvenlik Kariyer Sohbetleri 

Bugüne kadar yapılan etkinliklerden farklı yönleriyle öne çıkan Kariyer Sohbetlerinde, katılımcılara siber güvenlik sektöründe ‘ikinci adımı’ planlamaları için mentor desteği verilecek.

‘Siber Güvenlikte Başarılı Kariyerin İpuçları’ konulu ilk etkinlikte mentor A. Burak Sadıç, katılımcılara birçok farklı açıdan güvenlik sektöründe nasıl ilerleneceğine dair fikirlerini paylaşacak, soruları yanıtlayacak.

 

20 yılı aşkın süredir güvenlik sektöründe bulunan Sadıç, kariyerine Siemens, Symantec ve PwC gibi uluslararası şirketleri sığdırabilmiş tecrübeli bir isim olarak öne çıkıyor.

Kayıt ve ayrıntılı bilgi için:

https://www.biletino.com/event/eventdetail/4868

Makale & Analiz

CEO’ların dijital çağda yaşam savaşı

Yorum yapın

Yazarımız Burak Sadıç’ın, PwC 20. Küresel CEO Araştırmasından derlediği İngilizce makalesinin Türkçe çevirisini ilginize sunuyoruz:

Geçtiğimiz 20 yıl boyunca CEOlar, küreselleşme ve teknolojik değişimin sonucu olan muazzam gelişmelere tanık oldu. Dünya genelindeki yaklaşık 1.400 CEO, bu değişimin büyüme, yetenek, güven ve toplum üzerine etkileri konusundaki görüşlerini PwC’nin 20.sini yayınladığı Küresel CEO Yıllık Araştırması’nda paylaştı.

Araştırmaya katılan birçok CEO, giderek dijitalleşen dünyada işletmelerin insanların güvenini kazanmasının ve kazandığı bu güveni sürdürmesinin gittikçe daha zor olduğuna inanıyor.

Ayrıca CEOlara göre, şirketlerini hem daha geniş paydaş beklentilerine hitap eden bir şekilde yönetmek hem de örgütün değer, kültür ve davranışının yansıtılabileceği güçlü bir kurumsal amaç oluşturmak gittikçe daha önemli hale geliyor.

Peki bu bağlantılılıktan kaynaklanan risklerden en çok hangileri CEOları endişelendiriyor?

Ne zaman ‘teknoloji’ ve ‘güven’ kelimeleri aynı cümle içerisinde kullanılsa, çoğumuz otomatik olarak şöhretlerin bir gecede kitlesel iletişim yollarıyla nasıl elde edilip kaybedildiğini düşünürüz.

CEOların yüzde 87’si aslında sosyal medyanın önümüzdeki beş yıl içinde paydaşların güven düzeyini olumsuz yönde etkileyebileceğine inanıyor.

Ancak, raporda CEOlar yeni ve mevcut teknolojilerin kullanımı yaygınlaştıkça, yeni tehlikelerin ortaya çıktığını, eskilerin ise daha kötüye gittiğini ifade ediyor.

Birçok şirketin, spesifik müşterilerini hedeflemek ve de onların davranışlarını çoğunlukla çok ince şekillerde etkilemek için devasa miktardaki müşteri bilgisini halihazırda toplamış olması hiç de şaşılacak bir durum değil artık.

Türkçeye ‘Nesnelerin İnterneti’ diye çevrilen Internet of Things (loT) giyilebilir nesnelere, otomobillere ve evin akla gelebilecek her parçasına kadar her şeye yayılırken, şirketlerin insanlar hakkında bildikleri de katlanarak artacak.

İlgili haber >> IBM X-FORCE raporu: Dünyanın botnet haritası ve nesnelerin İnterneti

Bu veriler, şirketler ve müşterileri için inanılmaz birer varlık. İşletmelerin daha iyi bir hizmet sunmasını, müşterileriyle daha yakın ilişkiler geliştirmesini ve onların güvenini kazanmasını sağlamakta yardımcı oluyorlar. Müşterilerin daha hedefli teklifler almasına ve şirketlerle daha anlamlı şekilde ilişki kurmasına olanak tanıyorlar.

Ancak, bir şirket, müşterilerin ihtiyaçlarını tahmin etmek ile gizliliklerine müdahale etmek arasındaki çizgiyi aşarsa ya da bir hükümet güvenlik risklerini kontrol etmek için verilere erişmeye çalışırsa ne olur?

Veriler kaybolur ya da çalınırsa ve suçluların eline geçerse ne olur? Daha da kötüsü, otomobiller ve evler giderek birbirine bağlı hale geldiğinden, insanların fiziksel güvenliği tehlikeye atılabilir.

İş yerinde verilerin gittikçe artan bir şekilde kullanımı yeni güven sorunlarını da beraberinde getiriyor.

İK departmanları veri analitiklerinin kullanımını yavaşça ama emin adımlarla arttırdıkça, yetenek yönetimi yarım yamalak bir sanat dalından bilime dönüşüyor.

Ancak çalışanların iş ve iş dışı faaliyetlerini izlemek durumu çabucak tatsız bir hale getirebilir. Peki şirketlerin topladığı bilgilerin limitleri nelerdir? Çalışanın ödülleri veya cezaları ile ilgili kararlar alırken bu verilerin kullanımı ne kadar şeffaftır?

CEO’lar durumun karmaşıklığının farkındalar.

Yüzde 91’i veri gizliliği ve etik ihlallerinin önümüzdeki beş yıl içinde paydaş güvenini olumsuz yönde etkileyeceğini, yüzde 89’u ise halihazırda konuyla ilgili adımlar atmaya başladıklarını iddia ediyor.

Bununla birlikte, en büyük şirketlerin CEO’ları küçük firmalara kıyasla bu sorunların üzerine daha fazla eğiliyor.

Güvenlik ihlalleri müşteri verileriyle sınırlı kalmıyor; siber casusluk bazı sektörler için büyük bir tehdit oluşturuyor. Altyapı, enerji ve bankacılık gibi kilit alanlarda faaliyet gösteren işletmeler özellikle saldırılara en açık olanlar.

Bu durum, pek çok CEO’nun, neden işle ilgili kritik bilgi ve sistemleri etkileyen ihlallerin kamu güvenini de bozabileceğinden endişe ettiğini açıklıyor. Büyük çoğunluk zaten bu tür sorunları önlemeye yönelik adımlar atıyor lakin bu konuda da en aktif olanlar yine büyük firmalar.

Bilişim Teknolojilerinin kesintiye uğraması ise başka bir endişe kaynağı…

Teknolojiye aşırı bağımlı olan bir dünyada ışıkların kesilmesi çok sarsıcı sonuçlar doğurabilir.

Müşteriler paralarına ihtiyaç duyduklarında paralarına erişemezse veya akıllı evlerinde kilitli kalırlarsa ne olur?

Bu tür olayları düşünmesi bile oldukça rahatsız edici, fakat bunlar, teknolojiye daha bağımlı hale geldikçe ortaya çıkacak fiziksel risklerin yanında önemsiz kalıyor. Örneğin, bir veya daha fazla akıllı arabada bir bilgisayar hatası sonucu meydana gelebilecek kazayı düşünün.

Birçok CEOnun IT kesintileri ve aksamalarının paydaşların güvenini etkileyebileceğinden korkmaları ve konuyla ilgili harekete geçmeleri oldukça normal.

Fakat bu tür risklere dikkat etmek gün geçtikçe daha zorlaşıyor. Kurumsal sistemlerin karmaşıklığı ve birbirine bağımlılığı büyük bir soruna dönüşüyor.

Dijital çağ için bir güven stratejisi

Bazı açılardan dijital bağımlılık bizi daha güven dolu bireylere dönüştürdü. Örneğin paylaşım ekonomisini düşünün; artık daha çok insan yabancıların evinde kalmasına ya da daha önce hiç duymadığı işletmelerden ürün satın almaya sıcak bakıyor.

Diğer açıdan ise, dijital bağımlılık yeni tehditler oluşturarak ve kuruluşları daha fazla incelemeye maruz bırakarak güven zedeliyor.

Teknolojinin gittikçe artan karmaşıklığı şirketlerin güven oluşturmasına ya da kaybedilen güvenin yeniden inşa edilmesini daha güç hale getirdi.

Ve her firma bu durumun üstesinden gelemiyor, bu yüzden etkin kriz yönetimi sağlam risk yönetimi kadar önemlidir.

Güven sadece risk değil aynı zamanda da bir fırsattır. 

Birçok CEO, firmalarının verileri nasıl yönettiğinin gelecekte ayırıcı bir faktör olacağına inanıyor.

Ve bu CEO’lar, giderek daha sanal bir dünyada insan deneyimine öncelik verilmesinin, müşterilere dürüstlükle davranılmasını zorunlu hale getirdiğinin de artık çok iyi farkında.

Siber Bülten abone listesine kaydolmak için formu doldurunuz

[wysija_form id=”2″]

 

Makale & Analiz

Kişisel Verilerin Korunması Yolculuğu: 2. Bölüm

Yorum yapın

Bu yazının ilk bölümünde kişisel verilerin korunması yolculuğumuzun yeni başladığından bahsedip, yazıyı bu yolculukla ilgili bazı sorulara da bir sonraki yazımda cevap vermeye çalışacağımdan bahsederek bitirmiştim. Bu bölümde de “Doğru yaklaşım nedir?” ve “Teknoloji tek başına bir çözüm mü?” sorularına elimden geldiğince cevap vermeye çalışacağım.

Kanun yayınlandıktan sonraki aylarda konu hakkındaki bilgilendirici etkinliklere ve bu etkinliklerin kimler tarafından düzenlendiğine baktığımızda bu alandaki yaklaşımları da görme şansı bulduk. Birinci grup konuya hukuk gözlüğü ile bakıyordu ve konunun sadece hukuki boyutlarını irdeleyip, çözümü burada arıyordu. İkinci grup ise konuya tamamen teknoloji gözlüğüyle bakıp, çözümü teknolojide arıyordu. Hukuk ve teknoloji, kişisel verilerin korunması için vazgeçilmez iki temel bileşen olsa da, bence kişisel verilerin korunmasına bir hukuk projesi ya da teknoloji projesi olarak bakmak yapılacak en büyük yanlış olacaktır. Peki, doğru yaklaşım nedir?

BURAK SADIÇ’IN DİĞER YAZILARINA ULAŞMAK İÇİN TIKLAYINIZ

Bu yolculuğa bizden on, yirmi hatta otuz sene önce başlamış tüm ülkelere baktığımızda doğru yaklaşımın bu ve benzeri kanunlara uyumu “bir uyum projesi” olarak değerlendirip öyle yaklaşmak olduğunu görüyoruz. Evet, hukuki uzmanlık ve ilgili teknolojiler de bu projenin çok önemli parçaları, ama projeye bir uyum projesi olarak bakılmazsa önemli eksiklikler olması kaçınılmaz.

Konuya bir uyum projesi olarak yaklaşıldığında ilk adımın ne olduğu da önemli bir soru işareti. Tüm uyum projelerinde olduğu gibi bu projenin de ilk adımı tespit aşaması, başka bir deyişle kurum içindeki tüm kişisel veri işleme süreçlerinin tespiti olmalı. Eğer ne gibi kişisel verileri, hangi süreçlerle işlediğimizi bilmiyorsak, bu konuda hukuki ya da teknolojik önlemler almamız kendimizi kandırmak ya da göle maya çalmaktan çok da farklı değil. Tespit aşamasında kurumdaki tüm süreç sahipleri ile görüşülüp, aşağıdaki soru silsilesinin cevapları alınmadıkça da bu aşamanın gerektiği şekilde tamamlandığını söylemek doğru olmayacaktır.

Neymiş bu sorular?

“İlgili süreçte, hangi veriler, hangi kaynaklardan elde edilerek, hangi amaçlarla, hangi birimler tarafından, hangi teknolojilerle, kiminle paylaşılarak, hangi hukuki dayanaklarla, ne süreyle işlenmektedir” ve tabii ki “bu süre sonunda bu verilere ne yapılıyor?”.

Tahmin edersiniz ki yukarıdaki soruların cevaplarını bulmak çok da kolay değil. Daha da önemlisi büyük zaman ve kaynak ihtiyacı olan bir çalışma. Ama bu çalışma tamamlanmadan hukuki uyum adımlarını atmaya çalışmak, ya da teknoloji satın almak da ne kadar doğru tartışılır.

Bu tespit çalışmasını kim yapmalı?

Her ne kadar bu projenin bir hukuk ya da teknoloji projesi olmadığının altını birkaç kez çizsem de, hukuk ve teknoloji uzmanları tespit aşaması da dahil olmak üzere proje ekibinin vazgeçilmez üyeleri olmalı. Bu iki önemli uzmanlığı kim bir araya getirecek sorusunun cevabı ise kurumuna göre değişecektir. Dünya örneklerine baktığımızda artık “Privacy Office” kavramının yerleşmeye başladığını görüyoruz. Ama, biz yolculuğun başında olduğumuzdan ötürü bu konuya özel uzmanların sayısı yok denecek kadar az. Yani sorumluluğu kurum içinde birilerinin üstlenmesi ve farklı birimlerden kişisel verilerin korunması uzmanlığının devşirilmesi gerekecek gibi görünüyor. Benzer projelerde tecrübe kazanmış “uyum” ya da “bilgi güvenliği” uzmanları en ciddi adaylar. Konunun önemi düşünüldüğünde üst yönetimlerle çalışma tecrübesi çok yüksek olan “hukuk” ve “iç denetim” uzmanları da bu tarz projelerde önemli fark yaratabilir.

Proje başlangıcında sorulması gereken üç önemli soru da, “Kurum ya da şirket üstte belirtilen uzmanlıkları kendi içinde barındırıyor mu?”, “İlgili uzmanlar bu proje için hak ettiği zamanı ayırabilecek mi?” ve “Bu kapsamda bir projeyi yönetebilecek proje yöneticimiz var mı?”. Eğer üç sorunun da cevabı evetse, kısıtlı kapsamda danışmanlık ve/veya eğitim alımları ile kişisel verilerin korunması yolculuğuna kurum dahili kaynakları ile başlanması düşünülebilir. Uzman kaynağın varlığı ya da kapasitesi hakkında tereddüt varsa, ya da tereddüt olmasa da riski azaltmak veya paylaşmak amacıyla, bu tarz uyum projelerini yapma kapasitesi olan danışmanlık şirketleriyle anlaşıp işi sağlama almak da düşünülebilir. “Kişisel verilerin korunması” başlığında proje tecrübesi de bulunan danışmanlarla çalışmak ise en doğrusu, ama haliyle bu alanda tecrübeli danışmanların sayısı da henüz bir elin parmakları kadar bile değil ülkemizde.

Umarım iki bölümlük bu mini yazı dizisi kişisel verilerin korunması yolculuğuna biraz olsun ışık tutabilmiştir. Bu yolculukla ilgili sorulması gereken başka sorular da var tabii. İlk anda akla gelen bazı sorular; “Uyum projesinin detayları neler olmalı?”, “Bahsedilenkişisel veri işleme faaliyetlerinin tespiti adımı sonrasındaki adımlar neler?”, “Uyum projesi tamamlandığında uyumlu olacak mıyız?”, “Bu işin denetimi nasıl olacak?” ve “Peki ya güvenlik, güvenlik gibi bu konunun çok önemli ve vazgeçilmez bir parçası hakkında ne yapmalıyız?”.

“Bence” üstteki soruların doğru cevaplarını ve bu cevapların doğuracağı yeni soruları ise ilerleyen dönemlerdeki yazılarda paylaşmaya çalışacağım.

HAFTALIK SİBER BÜLTEN RAPORUNA ABONE OLMAK İÇİN DOLDURUNUZ

[wysija_form id=”2″]