Müşteri Verisini Güvenli Saklamak: Sorumluluk ve Uygulama

Bir e-ticaret işletmesi olarak topladığınız müşteri verisi çift yönlü bir varlıktır. Bir yanda bu veri size müşteriyi tanıma, kişiselleştirme ve tekrar satış imkânı verir; diğer yanda ise korumakla yükümlü olduğunuz bir emanettir. Bir sızıntı olduğunda kayıp yalnızca teknik değildir: müşteri güveni, marka itibarı ve KVKK kapsamında ciddi idari para cezaları gündeme gelir. Bu yüzden veri saklamak, "topla ve bir yere koy" işi değil, baştan sona tasarlanması gereken bir sorumluluktur.

Bu yazıda hangi veriyi neden sakladığınızdan başlayarak, şifreleme, erişim kontrolü, KVKK yükümlülükleri ve sızıntıya hazırlık konularını uygulanabilir biçimde ele alacağız.

İlk Kural: Sakladığın Kadar Sorumlusun

Veri güvenliğinin en güçlü ama en çok göz ardı edilen ilkesi veri minimizasyonudur: gerçekten ihtiyacınız olmayan veriyi hiç toplamayın, topladıysanız gereğinden uzun tutmayın. Sakladığınız her veri parçası, gelecekte sızdırabileceğiniz bir yükümlülüktür.

En güvenli veri, hiç toplanmayan veridir. Toplanan verinin en güvenli hali ise ihtiyaç bitince silinmiş olanıdır.

• Bir siparişi tamamlamak için gerçekten hangi alanlar gerekli?
• Doğum tarihi, TC kimlik numarası gibi hassas verileri gerçekten saklamam gerekiyor mu?
• Eski, kullanılmayan verileri belirli bir süre sonra siliyor muyum?

Türkiye'de KVKK, kişisel verinin yalnızca "işlendiği amaçla bağlantılı, sınırlı ve ölçülü" olmasını ve amaç ortadan kalkınca silinmesini zorunlu kılar. Yani veri minimizasyonu hem güvenlik hem yasal bir gerekliliktir.

Hangi Veri, Ne Kadar Hassas?

Tüm veri aynı riski taşımaz. Verinizi hassasiyetine göre sınıflandırmak, hangisine ne kadar koruma uygulayacağınızı belirler.

1. Yüksek hassasiyet: Kart bilgisi (saklamayın), TC kimlik no, sağlık verisi. En katı koruma veya hiç saklamama.
2. Orta hassasiyet: Ad, adres, telefon, e-posta, sipariş geçmişi. Şifreleme ve sıkı erişim kontrolü.
3. Düşük hassasiyet: Anonim analitik, ürün tercihleri (kimliğe bağlı değilse). Yine de dikkatli işlenmeli.

Kart bilgisini bu listede özellikle "saklamayın" olarak işaretledik. Tokenizasyon ve barındırılan ödeme sayfası sayesinde kart verisini kendi sisteminize hiç almadan da tekrar eden ödeme sunabilirsiniz; bu, en büyük riski kökten ortadan kaldırır.

Şifreleme: Beklerken ve Yol Alırken

Şifreleme veri korumanın temelidir ve iki durumda uygulanmalıdır.

• Aktarımda şifreleme (in transit): Müşteri ile sunucu arasındaki tüm trafik HTTPS/TLS ile şifrelenmeli. Bu, verinin ağ üzerinde dinlenmesini engeller.
• Beklerken şifreleme (at rest): Veritabanı ve yedekler diskte şifreli tutulmalı. Bir saldırgan diske erişse bile veriyi okuyamaz.

Parolalar için özel bir kural vardır: parolayı asla şifreli bile olsa geri döndürülebilir biçimde saklamayın. Parolalar güçlü ve tuzlanmış bir özet fonksiyonu (örneğin bcrypt/argon2) ile saklanmalıdır; böylece veritabanı sızsa bile parolalar okunamaz.

Erişim Kontrolü: Kim, Neye, Neden Erişiyor?

Veri sızıntılarının önemli bir kısmı dışarıdan gelen bir hackleme değil, içeriden gereksiz geniş erişimdir. En az yetki ilkesi (least privilege) her çalışana yalnızca işini yapmak için gereken veriye erişim verilmesini söyler.

• Müşteri hizmetleri temsilcisinin kart tokenlarına erişmesi gerekmez.
• Pazarlama ekibinin ham veritabanına doğrudan erişimi olmamalı.
• Yönetici erişimleri kayıt altına alınmalı ve düzenli gözden geçirilmeli.
• İşten ayrılan çalışanın erişimi anında kapatılmalı.

Veriye erişebilen her kişi, o verinin potansiyel bir sızıntı noktasıdır. Erişimi daralttıkça yüzeyinizi küçültürsünüz.

KVKK Yükümlülükleri

Türkiye'de kişisel veri işleyen her işletme KVKK kapsamındadır. E-ticaret açısından öne çıkan yükümlülükler şunlardır:

1. Aydınlatma yükümlülüğü: Müşteriye hangi verisinin, hangi amaçla, ne kadar süre işlendiği açıkça bildirilmeli.
2. Açık rıza: Özellikle pazarlama iletişimi için ayrı ve açık rıza alınmalı; sipariş onayına gizlenmiş bir onay geçerli sayılmaz.
3. VERBİS kaydı: Belirli eşikleri aşan veri sorumluları sicile kayıt olmalı.
4. Veri saklama ve imha politikası: Verinin ne kadar tutulacağı ve nasıl silineceği yazılı bir politikayla tanımlanmalı.
5. İhlal bildirimi: Veri ihlali durumunda Kurul'a ve etkilenen kişilere makul sürede bildirim yapılmalı.

KVKK uyumu bir "belge doldurma" işi değil, veri işleme süreçlerinizin baştan sona bu ilkelere göre tasarlanmasıdır. Teknik güvenlik ile yasal uyum birbirini tamamlar.

Sızıntıya Hazırlık: "Eğer" Değil "Ne Zaman"

Hiçbir savunma yüzde yüz değildir. Olgun bir işletme, sızıntı olmayacağını varsaymaz; olduğunda ne yapacağını önceden planlar. Bir olay müdahale planı şunları içermeli:

• Kim sorumlu, kim aranacak (teknik, hukuk, yönetim).
• Etkilenen sistem nasıl izole edilecek.
• Hangi veri etkilendi, nasıl tespit edilecek (bu yüzden loglama şart).
• Müşteriye ve KVKK Kurulu'na bildirim ne zaman, nasıl yapılacak.
• Sonrasında hangi zafiyet kapatılacak.

Ayrıca düzenli, şifreli ve test edilmiş yedekler, hem sızıntı hem de fidye yazılımı senaryosunda toparlanmanızı sağlar. Test edilmemiş yedek, yedek sayılmaz.

Kontrol Listesi: Veri Saklama Hijyeni

• Gerçekten ihtiyacım olmayan veriyi topluyor muyum?
• Kart bilgisini hiç saklamıyor, tokenizasyon kullanıyor muyum?
• Veri hem aktarımda hem beklerken şifreli mi?
• Parolalar güçlü bir özet fonksiyonuyla mı saklanıyor?
• Erişim en az yetki ilkesine göre mi verilmiş?
• KVKK aydınlatma, rıza ve imha politikam tam mı?
• Test edilmiş yedeklerim ve bir olay müdahale planım var mı?

Sık Sorulan Sorular

Küçük bir işletmeyim, KVKK gerçekten beni bağlar mı? Evet. KVKK işletme büyüklüğüne göre muafiyet vermez; kişisel veri işleyen herkesi kapsar. Yükümlülüklerin bir kısmı eşiğe göre değişse de temel ilkeler herkes için geçerlidir.

Bulut hizmeti kullanıyorsam veri güvenliği onların sorumluluğu mu? Sorumluluk paylaşımlıdır. Sağlayıcı altyapıyı korur; verinin nasıl yapılandırıldığı, kimin eriştiği ve nasıl işlendiği ise sizin sorumluluğunuzdadır.

Müşteri verisini güvenli saklamak, teknik önlemler ile yasal uyumun birlikte yürüdüğü bir disiplindir. Az topla, iyi koru, gerektiğinde sil ilkesini benimsemek hem müşteri güvenini hem işinizi korur. Veri saklama ve KVKK uyum mimarinizi birlikte kurmak için projenizi konuşalım.