KVKK (Kişisel Verilerin Korunması Kanunu) 2016'da yürürlüğe girdi, ama Türk KOBI'lerinin çoğu 2023 sonrasındaki denetim artışıyla ciddiye almaya başladı. Kişisel Verileri Koruma Kurulu'nun (KVKK Kurulu) 2025 yıllık raporunda ortalama ceza 850.000 TL, ölçekli firmalar için 15 milyon TL'ye kadar tırmandı.
Bu yazı, IT varlık yönetimi tarafında KOBI'nin uyması gereken minimum standardı + audit-ready kontrol listesini sunuyor. Hukuki tavsiye değildir — mali müşavir/hukuk danışmanınıza referans olarak kullanın.
KVKK IT tarafında ne ister?
Kanun 4 temel yükümlülük getirir:
- VERBIS kaydı — 2019'dan beri belirli eşiği aşan firmalar Kurul'a başvurup Veri Sorumluları Sicil Bilgi Sistemi'ne kayıt olmalı.
- Veri işleme envanteri — hangi kişisel veriyi kimden aldığın, nerede sakladığın, ne kadar tuttuğun, kimlerle paylaştığın.
- Teknik önlemler — şifreleme, erişim logları, yedekleme, saldırı önleme.
- Ihlal bildirimi — veri sızıntısı olursa Kurul'a 72 saat içinde bildirim.
IT varlık yönetimi (donanım envanteri, lisans, employees, müşteri) doğrudan #2 ve #3 kapsamında. Excel dosyasında tutmak artık yeterli değil — audit sırasında "değişiklikleri kim ne zaman yaptı, kim erişebilir, veriler nerede saklanıyor" sorularına net cevap gerekir.
Checklist — 12 madde
Inventory + veri işleme kaydı
- [1] Tüm cihazlar (bilgisayar, sunucu, yazıcı, telefon) tekil ID ile kayıtlı mı? — KVKK 8. madde: "hangi cihaz hangi çalışanda"
- [2] Licenses + aboneliklerin bitiş tarihleri takip ediliyor mu? — Compliance için "actively supported software" gerekliliği
- [3] Service logu var mı — cihaz arızası + bakım geçmişi audit-friendly? — Bir cihaz hurdaya çıkarken üzerindeki veri silme kaydı VERBIS'e girer
Erişim kontrolü + audit log
- [4] Her kullanıcı için farklı hesap + güçlü parola (min 12 karakter) — "admin/admin" ihlal
- [5] 2FA aktif (özellikle admin/yönetici hesapları için) — KVKK Kurulu 2024 rehberinde "önerilir" kelimesi kaldırıldı, artık "gerekir"
- [6] Kim ne zaman hangi kaydı okudu/değiştirdi/sildi hash zincir audit log'a düşüyor mu? — Denetimde en sık sorulan
- [7] Role bazlı yetkilendirme — muhasebe employeesi müşteri bilgisine erişebiliyor mu? Erişebiliyorsa gerekçe ne?
Teknik önlemler
- [8] Veritabanı yedekleri şifreli — sunucu veya bulut hesabında düz metin backup KVKK ihlali
- [9] HTTPS zorunlu — panele HTTP üzerinden bağlantı yok (HSTS header + preload)
- [10] Server Türkiye'de veya AB'de + DPA (Veri Işleme Sözleşmesi) imzalı — ABD sunucusu uyumsuz (2020'de Kurul kararı)
Süreç + belge
- [11] Employees çıkışında zimmet iade tutanağı + hesap kapatma sistematik mi? — Eski çalışan verisi ihlali en yaygın sızıntı sebebi
- [12] "Sistem güvenliği" politikan yazılı bir belge mi? — VERBIS başvurusunda ve audit'te ilk sorulan
Excel yerine ne kullanmalı?
Excel dosyalarındaki envanter 3 sebeple KVKK riskli:
- Audit log yok. Kim ne zaman hangi hücreyi değiştirdi görünmez. Version history bile sınırlı.
- Erişim kontrolü zayıf. Excel dosyası shared drive'da → herkes okur, kimse loglanmaz.
- Yedek + tarih damgası eksik. "3 ay önceki halini göster" mümkün değil (versiyon sistemi yoksa).
IT varlık yönetimi için Türkiye'de aktif tutulan bir platform seçin. Kriterler:
- Türkiye'de sunucu (KVKK data locality)
- DPA imzalı (veri işleyen sıfatıyla)
- Audit log entegre — kim ne zaman ne yaptı
- Role bazlı yetkilendirme granular
- 2FA + güçlü şifreleme
- Kişisel veri ihlali durumunda 72 saat bildirim akışı hazır
Technical Consulting Panel yukarıdaki 12 maddenin tamamını out-of-the-box sağlar:
- Multi-tenant izole MySQL veritabanı (Türkiye/Hetzner DE)
- Hash-chained audit log — Trust Center'da doğrulama
- Her tenant'a özel DPA (istenirse imzalı PDF)
- KVKK ihlal bildirim akışı — panelden Kurul'a başvuru template + veri işleme envanteri PDF
- Employees giriş/çıkış zimmet tutanağı otomasyonu
Sonuç
KVKK uyumu "önce yasa, sonra teknik" değil, tam tersi. Teknik altyapınız audit-ready olduğunda yasal uyum kendiliğinden gelir. Excel'den kurumsal panele geçiş 1-2 haftalık iş, ilk denetimde tasarrufu 100-1000 kat.
Trust Center'da 12 politika belgesi, 15 risk kaydı, 9 vendor register + DPA envanteri hazır — vendor security questionnaire için yeterli.
Yasal uyarı: Bu içerik bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz. KVKK uyum süreçleriniz için sertifikalı hukuk danışmanı veya Veri Koruma Görevlisi (VKG) ile çalışın.