Veri ifşası sırasında yasal uyumluluğun gözetilmesi

07 Aralık 2023 23:55

Beyza Doğan

Şeffaflık ile veri uyumluluğunun dengelenmesi
Veri şeffaflığı ve güvenliğinin yaygın olarak tartışıldığı bir çağda, kamu sektörü kuruluşları kendilerini hem kamu bilgilerinin korunmasından sorumlu hem de böylesine önemli bir görevin beraberinde getirdiği gelişen güvenlik risklerine karşı savunmasız bulmaktadır. Nitekim yakın zamanda yaptığımız bir araştırma, kamu sektörü kuruluşlarının %70’inin veri güvenliğini en önemli iş risklerinden biri olarak gördüğünü ortaya koymuştur. Bu riskler, Bilgi Edinme Özgürlüğü (FOI) taleplerinin işlenmesi sırasında meydana gelen veri ihlallerinin sık sık rapor edilmesiyle daha da belirgin hale gelmiştir. Bu ihlaller, hassas bilgilerin korunması konusunda şüphe uyandırmakta ve kamunun bilgiye erişim hakkı ile gizli verileri koruma yükümlülüğünü dengelemenin karmaşık zorluğunu vurgulamaktadır.

Uygun şekilde ele alındığında, bilgi edinme talepleri kamu kurumları ve vatandaşlar arasında daha fazla şeffaflık ve hesap verebilirliği güçlendirebilir. Daha bilinçli karar vermeyi kolaylaştırır ve kamu anlayışını ve güvenini geliştirir.

Ancak, bilgi edinme taleplerinin yanlış ele alınması ciddi mali sonuçlar doğurma ve itibara zarar verme potansiyeli taşır. İhlal edilen verilerin niteliğine bağlı olarak sonuçlar değişebilirken, kişisel olarak tanımlanabilir bilgiler (PII) gibi hassas bilgilerin bir FOI talebi yoluyla yanlışlıkla ifşa edilmesi, verilerin yanlış kullanımına yönelik cezalar ve para cezaları da dahil olmak üzere önemli yasal sonuçlara yol açabilir.
Ancak itibar kaybı, herhangi bir mali yansımadan çok daha ağır basabilir. Bir FOI talebinden kaynaklanan bir veri ihlalinin kamuya açıklanması, halkın ve paydaşların güvenini sarsabilir. Bu durum uzun vadeli incelemelere yol açarak kurumun güvenilirliğini etkileyebilir ve kurumun amacını etkili bir şekilde yerine getirmesini engelleyebilir.

Veri uyumluluğunu sağlamak için beş ipucu
Veri ihlallerinin risklerini azaltmak, veri korumanın ortak bir sorumluluk haline geldiği bir siber dayanıklılık kültürünü teşvik etmekle başlar. Düzenli eğitim ve öğretimin yanı sıra potansiyel riskler ve sonuçlar, çalışanların kimlik avı girişimlerine, sosyal mühendislik taktiklerine ve veri ihlalleri için diğer yaygın vektörlere karşı akıllı olmalarına yardımcı olabilir.

Güvenli VPN’lerin, şifreli iletişim araçlarının ve güvenli dosya paylaşım yöntemlerinin kullanımı da dahil olmak üzere uzaktan çalışmaya yönelik net yönergeler ve politikalarla işletmeler, gelecekteki veri ihlallerini önlemek için çalışanlara en iyi uygulamaları aşılayabilir.

Kültür değişimine ek olarak, kuruluşlar sağlam veri koruma politikalarına, olay müdahale planlarına ve güvenlik önlemlerine sahip olmalıdır. İhlali derhal ele alabilmek, yasaların gerektirdiği şekilde etkilenen bireyleri bilgilendirmek, yetkililerle işbirliği yapmak ve gelecekteki ihlalleri önlemek için adımlar atmak, serpintiyi yönetmeye yardımcı olabilir ve durumu düzeltme taahhüdünü gösterebilir. Güvenin yeniden kazanılmasına yardımcı olmak ve kuruluşların veri korumayı ciddiye aldığını göstermek için aşağıdaki beş temel teknik önlem uygulanabilir:

1. Verileri çitle çevirin: kurumsal verileri farklı ağlara veya konteynerlere ayırmak ve bunlar arasındaki erişimi kısıtlamak veri güvenliğini güçlendirebilir. Veri çitinin her noktasını güvence altına almak için güçlü kimlik doğrulama ve yetkilendirme kontrolleri kullanılmalıdır.

2. Verileri sınıflandırın: kuruluşlar verileri hassasiyet seviyelerine göre kategorize etmelidir (ör. kamuya açık, dahili, gizli, çok gizli). Verilerin sınıflandırmasına göre uygun erişim kontrollerinin ve şifrelemenin uygulanması ve hassas verilerin beklemede ve aktarım sırasında şifrelenmesi, veri sızıntıları meydana gelse bile gizli bilgilerin şifre çözme anahtarı olmadan okunamaz durumda kalmasını sağlayabilir.

3. Sağlam izleme ve kayıt mekanizmaları uygulayın: Sağlam izleme ve kayıt mekanizmaları, işletmelerin kritik sistemler ve veritabanları üzerindeki kullanıcı faaliyetlerini izlemelerine ve kaydetmelerine yardımcı olabilir. Hassas veriler farklı bulut konumlarına yayılmışsa, bu izleme tüm çoklu bulut ortamına yayılmalıdır. Bunun başarılı olmasını sağlamak için kuruluşlar, olağandışı veya şüpheli davranışları tespit etmek üzere günlükleri ve denetim izlerini incelemelidir.

4. Veri Kaybını Önleme (DLP) çözümlerini dağıtın: DLP çözümleri hassas verilerin kuruluşun ağı dışına izinsiz iletimini belirleyebilir ve önleyebilir. İşletmeler, önceden tanımlanmış belirli kurallar tetiklendiğinde uyarılar ayarlayabilir veya veri aktarımlarını otomatik olarak engelleyebilir. Bir veri sızıntısı durumunda atılacak adımları özetleyen kapsamlı bir olay müdahale planı da mevcut olmalıdır. Bu plan, hızlı ve etkili bir müdahale sağlamak için simülasyonlar aracılığıyla düzenli olarak test edilmelidir.

5. Düzenli güvenlik değerlendirmeleri yapın: sistemlerdeki güvenlik açıklarını ve zayıflıkları belirlemek için düzenli siber dayanıklılık değerlendirmeleri ve sızma testleri yapın. İşletmeler ayrıca verilerine erişimi olan üçüncü taraf satıcıların ve iş ortaklarının güvenlik uygulamalarını da değerlendirmelidir. Üçüncü taraf sözleşmelerinin veri koruma maddeleri içermesini ve aynı güvenlik standartlarına uyulmasını gerektirmesini sağlamak da hayati önem taşımaktadır.

Veriler kamu hizmetlerinin işleyişinde ve vatandaşların bu hizmetlerle etkileşiminde giderek daha önemli bir rol oynadığından, verilerin korunması şeffaflık ve hesap verebilirlik ilkeleri kadar hayati önem taşımaktadır. Veri sorumluluğunu merkeze alan bir kültür geliştirerek ve güvenlik savunmalarını güçlendiren teknolojileri benimseyerek, kamu sektörü kuruluşları kendilerini toplumlarımızın temelini oluşturan bilgilerin güvenilir bekçileri olarak kurabilir, şeffaflığı teşvik edebilir ve güven inşa edebilirler.

Daha fazla haber için;