Belediyede bilgi güvenliği için neler yapılmalı?

Bu alan hem hizmet sürekliliği hem de kişisel verilerin korunması bakımından kritik önemdedir.

Hukuki dayanaklar: 6698 sayılı Kişisel Verilerin Korunması Kanunu veri güvenliğine ilişkin idari ve teknik tedbirlerin alınmasını zorunlu kılar. Ayrıca kamu kurumları için bilgi ve iletişim güvenliğine ilişkin düzenlemeler ve rehberler bulunmaktadır.

Asgari olarak yapılması gerekenler şunlardır. Birincisi, düzenli ve test edilmiş yedekleme; yedek alınıyor olması yeterli değildir, geri dönüş testi yapılmalıdır. İkincisi, erişim yetkilerinin görev bazlı sınırlandırılması ve ayrılan personelin yetkilerinin kapatılması. Üçüncüsü, güçlü parola politikası ve mümkünse çok faktörlü kimlik doğrulama. Dördüncüsü, sunucu ve uygulamaların güncel tutulması. Beşincisi, log kayıtlarının tutulması ve saklanması.

Ayrıca personelin bilinçlendirilmesi en etkili tedbirlerden biridir; olayların önemli kısmı oltalama e-postalarıyla başlamaktadır.

Dışarıdan hizmet alınıyorsa, sözleşmede veri güvenliği yükümlülükleri, veri sahipliği ve hizmet sonunda verilerin iadesi/imhası açıkça düzenlenmelidir.

Bir olay müdahale planı hazırlamanızı da öneririm: kimin ne yapacağı, kime bildirim yapılacağı ve KVKK kapsamındaki bildirim yükümlülüklerinin nasıl yerine getirileceği önceden belirlenmelidir.