KVKK Teknik Tedbirler: Log ve Erişim Kaydı Kontrol Listesi

Kısa cevap

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) md. 12, veri sorumlusunu kişisel verilerin hukuka aykırı işlenmesini ve bu verilere hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak için "uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri" almakla yükümlü kılar. Kanun tedbirleri tek tek saymaz; Kişisel Verileri Koruma Kurulunun Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler, Nisan 2025) bunları açıklar.
Rehber'in teknik tedbir tablosunda erişim güvenliği (yetki matrisi, yetki kontrol, kullanıcı hesap yönetimi, şifreleme, güncel antivirüs, güvenlik duvarları) ve kayıt/izleme (erişim logları, log kayıtları, saldırı tespit ve önleme sistemleri, sızma testi) yan yana durur.
Rehber, log için iki şey ister: kaydın tutulması ("tüm kullanıcıların işlem hareketleri kaydının düzenli olarak tutulması") ve kayda bakılması ("güvenlik yazılımı mesajları, erişim kontrolü kayıtları ve diğer raporlama araçlarının düzenli olarak kontrol edilmesi, bu sistemlerden gelen uyarılar üzerine harekete geçilmesi").
Bu iki gereklilik, pratikte merkezi log toplama ve izleme (SIEM) ile karşılanır; 5651 erişim kayıtları aynı akışın bir parçasıdır.

Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş niteliği taşımaz; tedbirlerin kurumunuza uygunluğu için hukuk ve bilgi güvenliği danışmanınıza başvurun.

KVKK teknik tedbirler nelerdir?

KVKK teknik tedbirler, 6698 sayılı Kanun md. 12/1 uyarınca veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve bu verilere hukuka aykırı erişilmesini önlemek, verilerin muhafazasını sağlamak için almak zorunda olduğu "teknik ve idari tedbirler"in teknik ayağıdır. Kanun tedbirleri tek tek saymaz; Kurulun Kişisel Veri Güvenliği Rehberi (Nisan 2025) Tablo 4.1'de teknik tedbir başlıklarını şöyle sıralar: yetki matrisi, yetki kontrol, erişim logları, kullanıcı hesap yönetimi, ağ güvenliği, uygulama güvenliği, şifreleme, sızma testi, saldırı tespit ve önleme sistemleri, log kayıtları, veri maskeleme, veri kaybı önleme yazılımları, yedekleme, güvenlik duvarları, güncel anti-virüs sistemleri, silme/yok etme/anonim hale getirme, anahtar yönetimi. Bu yazı bunların erişim güvenliği ve log/izleme kümesine odaklanır.

Kanun ne ister, Rehber ne açıklar?

KVKK md. 12/1, veri sorumlusunun kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak zorunda olduğunu söyler. Md. 12/2'ye göre veri işleyenden hizmet alınıyorsa veri sorumlusu ve veri işleyen güvenlikten müştereken sorumludur. Md. 12/3, veri sorumlusunun bu hükümlerin uygulanması için gerekli denetimleri yapmak veya yaptırmak zorunda olduğunu ekler. Md. 12/5'e göre ihlal hâlinde durum en kısa sürede ilgilisine ve Kurula bildirilir; Kurul 24.01.2019 tarihli ve 2019/10 sayılı kararıyla bu süreyi 72 saat olarak yorumlamıştır.

Kurulun Rehberi (Nisan 2025), tedbirleri idari (risk analizi, eğitim, politika, veri minimizasyonu, veri işleyen ilişkileri) ve teknik (siber güvenlik, takip, ortam güvenliği, bulut, tedarik/geliştirme, yedekleme) başlıklarında açıklar ve Tablo 4.1'de teknik tedbirleri özetler. Rehber'in kendi ifadesiyle "tek bir siber güvenlik ürünü kullanımı ile tam güvenliğin sağlanabileceği görüşü her zaman doğru değildir"; önerilen, "birçok prensip dahilinde tamamlayıcı niteliğe sahip ve düzenli olarak kontrol edilen" tedbirlerdir.

Erişim güvenliği: Rehber'in söyledikleri

Rehber, erişimi gerektiği kadar ilkesine bağlar: çalışanlara "yapmakta oldukları iş ve görevler ile yetki ve sorumlulukları için gerekli olduğu ölçüde erişim yetkisi tanınmalı" ve sistemlere kullanıcı adı ve şifreyle erişilmelidir. Buna bağlı olarak veri sorumlularının erişim yetki ve kontrol matrisi oluşturması ve ayrı bir erişim politika ve prosedürü yazıp uygulaması önerilir.

Parola için Rehber, kişisel bilgilerle ilişkili ve kolay tahmin edilebilir dizilerin yerine "büyük küçük harf, rakam ve sembollerden oluşacak kombinasyonların" tercih edilmesini önerir. İki kademeli kimlik doğrulama kontrolünü ise bulutta depolanan kişisel verilere gerektiğinde uzaktan erişim için önerir (bölüm 3.4); biz bu kontrolü tüm uzaktan erişimlerde öneriyoruz. Yama yönetimi ve yazılım güncellemeleri, kullanılmayan yazılım ve servislerin kaldırılması, güncel tutulan antivirüs/antispam ürünleri ve "internet üzerinden gelen izinsiz erişim tehditlerine karşı ... öncelikli tedbirler" olarak güvenlik duvarı ve ağ geçidi parola önerisiyle aynı bölümde (3.1) sayılır.

Pratikte bu, şu kontrollere karşılık gelir:

Rehber'deki tedbir	Uygulamada ne demek	Nasıl kanıtlanır
Yetki matrisi / yetki kontrol	Hangi rol hangi veriye erişir; ayrıcalıklı hesaplar ayrı; ayrılan çalışanın erişimi kapanır	Matris belgesi + dizin (Active Directory) grup üyeliklerinin periyodik denetimi
Kullanıcı hesap yönetimi	Kişiye özel hesaplar, paylaşımlı hesap yok, servis hesapları envanteri	Hesap listesi, son oturum tarihleri, pasif hesapların kapatılma kaydı
Güçlü parola; bulutta depolanan verilere uzaktan erişimde iki kademeli doğrulama	Parola politikası; VPN, e-posta ve yönetim panellerinde çok faktörlü kimlik doğrulama (MFA)	Politika ayarları, MFA kayıtları
Güvenlik duvarı, güncel antivirüs, yama	Varsayılan reddet, düzenli yama, güncel imza	Kural seti gözden geçirmesi, yama raporu
Şifreleme	Diskte ve aktarımda şifreleme; anahtar yönetimi	Yapılandırma kayıtları

Tablonun ikinci ve üçüncü sütunu Rehber'in ifadesi değil, bizim önerimizdir.

Log kayıtları ve izleme: Rehber'in söyledikleri

Rehber'in "Kişisel Veri Güvenliğinin Takibi" bölümü, sistemlerin içeriden ve dışarıdan gelen saldırılara maruz kaldığını, çeşitli belirtilere rağmen bu durumun uzun süre fark edilemeyebildiğini ve müdahalede geç kalınabildiğini belirtir; bunun önüne geçmek için şunları ister:

bilişim ağlarında hangi yazılım ve servislerin çalıştığının kontrol edilmesi,
ağlarda sızma veya olmaması gereken bir hareket olup olmadığının belirlenmesi,
"tüm kullanıcıların işlem hareketleri kaydının düzenli olarak tutulması (log kayıtları gibi)",
güvenlik sorunlarının mümkün olduğunca hızlı raporlanması ve çalışanların sistem ve servislerdeki güvenlik zafiyetlerini ya da bunları kullanan tehditleri bildirmesi için resmî bir raporlama prosedürü.

Ardından ekler: "güvenlik yazılımı mesajları, erişim kontrolü kayıtları ve diğer raporlama araçlarının düzenli olarak kontrol edilmesi, bu sistemlerden gelen uyarılar üzerine harekete geçilmesi", bilinen zafiyetlere karşı düzenli zafiyet taraması ve sızma testi yapılması ve sonuçlara göre değerlendirme.

Bu ifadelerin sonucu nettir: Rehber, logu arşiv olarak değil, izlenen bir kayıt olarak ele alır. "Kayıt tutuyoruz" cevabı, "kayda düzenli bakıyoruz ve uyarıya harekete geçiyoruz" ile tamamlanmadıkça tedbir eksik kalır. Rehber log saklama süresi için bir yıl sayısı vermez; süre, kişisel veri saklama ve imha politikasında amaçla orantılı olarak belirlenir (5651 kapsamındaki erişim kayıtları için mevzuat iki yıl der). Bu iki yıllık saklamayı bütünlüğü doğrulanabilir biçimde yürütmek için 5651 loglama hizmetimize göz atabilirsiniz.

Uygulamada log ve izleme tedbiri şu kaynakları kapsar: dizin (oturum açma, yetki değişikliği), sunucu ve uygulama erişim kayıtları (kişisel veri içeren sistemlerde kim, ne zaman, neye erişti), güvenlik duvarı ve VPN kayıtları, uç nokta güvenlik yazılımı olayları. Rehber kayıtların düzenli kontrol edilmesini ve uyarılar üzerine harekete geçilmesini bekler. Bunun yaygın teknik yolu, bu kayıtları bir merkezde toplayıp ilişkilendirmek ve alarmı izleyen kişiye ya da ekibe ulaştırmaktır. Bu işi kendi ekibinizle yürütebilir ya da mesai dışı izleme dahil yönetilen SIEM hizmeti olarak dışarıdan alabilirsiniz. Hangi yolu seçerseniz seçin, bu kayıtların KOBİ ölçeğinde hangi asgari katmanlarla toplanıp izleneceğini KVKK teknik tedbirleri için SIEM mimarisi yazımızda anlattık.

İhlal anında log ne işe yarar?

Kurulun 2019/10 sayılı kararı, ihlalin öğrenilmesinden itibaren 72 saat içinde bildirimi ve "veri ihlallerine ilişkin bilgilerin, etkilerinin ve alınan önlemlerin kayıt altına alınması" ile Kurulun incelemesine hazır tutulmasını ister. "Hangi kayıtlara erişildi, kaç kişi etkilendi, ne zamandan beri?" sorularının cevabı erişim ve işlem loglarındadır. Log yoksa ya da izlenmiyorsa ihlal geç fark edilir, kapsamı tahminle yazılır.

Yedekleme, veri işleyen ve imha

Yedekleme. Rehber, fidye yazılımına karşı veri yedekleme stratejileri geliştirilmesini; yedeklerin yalnızca sistem yöneticisince erişilebilir olmasını ve "veri seti yedekleri mutlaka ağ dışında tutulmalıdır" kuralını koyar.
Veri işleyen. Bilgi teknolojileri hizmeti dışarıdan alınıyorsa (log toplama ve izleme dahil), veri işleyenle yazılı sözleşme yapılması; işleyenin yalnızca veri sorumlusunun talimatlarıyla ve mevzuata uygun hareket edeceğine ilişkin hüküm ile saklama-imha politikasına uyum önerilir. Kanun md. 12/2 gereği güvenlikten müştereken sorumluluk vardır.
İmha. Kişisel veri saklama ve imha politikası, "işlendikleri amaç için gerekli olan azami süreyi" belirler; süresi dolan kayıtlar (loglar dahil) silinir, yok edilir ya da anonim hale getirilir.

Uygulama kontrol listesi

Erişim yetki ve kontrol matrisi yazın; dizin gruplarını matrisle karşılaştırın (üç ayda bir).
Paylaşımlı hesapları kaldırın; ayrıcalıklı hesapları ayrı tutun; ayrılan çalışan prosedürü işletin.
Parola politikası + uzaktan erişimde iki kademeli doğrulama.
Yama takvimi; kullanılmayan servisleri kapatın; antivirüs/antispam güncel.
Kişisel veri içeren sistemlerin erişim ve işlem loglarını merkezde toplayın; dizin, güvenlik duvarı, VPN ve uç nokta kayıtlarını ekleyin.
Uyarı sahibi belirleyin: alarm kime, hangi kanaldan, ne sürede gider; düzenli kontrol kaydı tutun.
Zafiyet taraması ve sızma testi periyodu belirleyin; bulguları kapatma kaydıyla izleyin.
Yedekleri ağ dışında tutun ve geri yükleme testini periyodik yapın.
Veri işleyen sözleşmelerini (log/izleme sağlayıcısı dahil) yazılı hale getirin; verinin nerede tutulduğunu bilin.
Saklama-imha politikasında log kayıtlarına yer verin; süresi dolanları imha edin.

voosec'te nasıl destekleniyor?

SIEM (Rehber: kayıtların düzenli kontrolü ve uyarılar üzerine harekete geçme): güvenlik duvarı, sunucu ve uç noktalardan gelen logların merkezi ve şifreli toplanması; korelasyon kurallarıyla tespit ve alarm. Alarmları panelden siz izlersiniz (Görünürlük) ya da 7x24 SOC ekibimiz izler (Yönetilen SOC).
DomainGuard (Rehber: yetki matrisi ve hesap yönetiminin denetim tarafı): Active Directory ve domain güvenlik denetimi; ayrıcalıklı hesaplar ve zayıf yapılandırmaların tespiti.
LogVault · 5651: 5651 kayıtlarının bütünlüğü doğrulanabilir, imzalı ve zaman damgalı saklanması (eklenti, kapsam cihaz başına).
Veri işleyen (Rehber'in veri işleyen bölümü): veriler Türkiye'deki altyapıda tutulur; müşteri verileri satır seviyesinde erişim denetimiyle (RLS) ayrılır; KVKK kapsamındaki roller veri işleme sözleşmesiyle tanımlanır.

Sık sorulanlar

KVKK log tutmayı zorunlu kılıyor mu?

Kanun tedbirleri tek tek saymaz; "gerekli her türlü teknik ve idari tedbir" der. Kurulun Rehberi, işlem hareketleri kaydının düzenli tutulmasını ve kayıtların kontrol edilmesini teknik tedbirler arasında sayar. Bu nedenle log tutmamak, tedbir yükümlülüğü açısından savunulması güç bir tercihtir; nihai değerlendirme kurumunuzun veri işleme faaliyetine ve hukuki danışmanınıza bağlıdır.

Logları ne kadar saklamalıyız?

Rehber bir süre vermez; saklama-imha politikanızda amaçla orantılı bir süre belirlemeniz beklenir. 5651 kapsamındaki internet erişim kayıtları için mevzuat iki yıl der. Sürenin mevzuata ya da amaca göre nasıl belirleneceğini, imhanın ne zaman yapılacağını ve kayıtların sonradan değiştirilmediğinin nasıl gösterileceğini saklama süresi ve log bütünlüğü yazımızda anlattık.

Erişim loglarını dış hizmetten almak KVKK'ya uygun mu?

Evet, veri işleyen ilişkisi kurallarına uyulduğu sürece: yazılı sözleşme, talimatla işleme, güvenlik tedbirleri, saklama-imha uyumu ve verinin nerede tutulduğunun bilinmesi. Kanun md. 12/2 gereği sorumluluk paylaşılır, devredilmez.

Kaynaklar

Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş niteliği taşımaz.