Kişisel Verilerin Korunumu Kanunu ( KVKK ) için Bilgi Güvenliği Yönetim Sistemi ( BGYS )

Gerçek şahsa ait her türlü özel bilgi, kişisel veridir kapsamına girmektedir. Paylaşılmakta olan ad, soyadı, e-posta adresleri T.C. Kimlik Numaraları, telefon numarası gibi bilgiler kişinin kişisel verileridir. Kişisel Verilerin Korunumu Kanunu ( KVKK ) ise kişisel verilerin korunmasını, kişilere ilişkin verilerin toplanması ve saklanması gibi durumları kapsama alanına almaktadır.
KVKK’ nın asıl amacı veri güvenliğini sağlamaktır. Aynı zamanda yasal düzenleme işlevini de yapar. Önemle hukuk kuralları kabul edilmeli ve güncelliğe ve doğru olana inanılmalıdır. Örneğin günde birçok kişiye spam mail ve SMS iletilmektedir. Kişisel veriler adeta mal veya hizmet gibi firmalar arasında aktarılmakta veya satılmaktadır. Bu durumun sonucunda ise kişisel verilerin korunmasıyla ilgili hukuki düzenleme zorunlu hale getirilmiştir.
Bilgi Güvenliği Yönetim Sistemi ( BGYS ) ise firmanın hassas ve korunması gereken bilgilerini yönetebilmek amacıyla oluşturulan sistematik bilgiye dayalı bir yaklaşımdır. BGYS’ nin asıl amacı ise hassas bilgilerin güvenli ortamda korunmasıdır. BGYS sistemi çalışanları, iş süreçlerini ve bilgi teknolojileri (BT) sistemlerini kapsamaktadır.
Bilgi güvenliği yönetiminde, “ISO/IEC 27002 Bilgi Güvenliği Yönetimi İçin Uygulama Prensipleri” en yaygın olarak kullanılan standarttır. ISO/IEC 27002 standardı, işletmelerde bilgi güvenliği yönetimini başlatmak, sürdürmek ve iyileştirmek için yönlendirici bilgileri ortaya koyup, oluşturmaktadır. ISO/IEC 27002 standardından faydalanılarak kurulan BGYS belgelendirilmesi için “ISO/IEC 27001:2005 Bilgi Güvenliği Yönetim Sistemleri – Gereksinimler” standardı kullanılır. Bu standart, BGYS’ni kurumun tüm iş riskleri bağlamında kurmak, gerçekleştirmek, izlemek, gözden geçirmek, sürdürmek ve iyileştirmek gibi gereksinimleri kapsamaktadır. İş risklerini karşılamak amacıyla ISO/IEC 27002 standardı; ortaya konan kontrol hedeflerinin kurum içerisinde nasıl uygulanacağı ve denetleneceği ISO/IEC27001 standardında belirlenmiştir.
Bilgi Güvenliği Yönetim Sistemi standartlarının çerçevesinde BGYS’in kurulumu, işletimi, izlenmesi, gözden geçirilmesi evresi, sürdürülebilirliği ve tekrar gözden geçirilmesi için PUKÖ (Planla – Uygula – Kontrol et – Önlem al) modeli kullanılır. Bu durumda Kişisel Verilerin Korunumu Kanunu (KVKK) kapsamında, kişisel verinin güvenli ortamda saklanması olayı meydana gelir.
Bilgi güvenliği yönetimi, başlangıç / bitiş tarihleri belli olan bir proje gibi görülebilir. Aynı zamanda sürekli olarak devam eden bir gelişim süreci olarak da düşünülebilir. PUKÖ modelinde olduğu gibi (Planla – Uygula – Kontrol et – Önlem al) bir döngü içinde sürekli olarak devam etmelidir. Özet olarak PUKÖ modeli uygulanacak durumda karar verilmesi, kararların hayata geçirilmesi, olayların sorunsuz çalıştığının kontrol edilmesi hatta hedefine uygun olmayan her durum için önlemlerin alınmasıdır.