KVKK'dan veri ihlalini zamanında bildirmeyen şirkete 1 milyon lira ceza
KVKK, küresel ölçekte faaliyet gösteren bir şirkete, sisteminde meydana gelen veri ihlalinin zamanında bildirilmemesi ve veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi nedeniyle 1 milyon lira idari para cezası uygulanmasına karar verdi.
Kişisel Verileri Koruma Kurumu'nun (KVKK) kararına göre, sanayi alanında küresel ölçekte faaliyet gösteren şirketin ABD'deki bir çalışanının internetten indirdiği programı çalıştırmasının ardından, fidye yazılımı şirketin küresel ağındaki 797 sunucuya yayıldı ve çok sayıda dosya şifrelendi.
İnceleme sonucu, sistemlerde meydana gelen ihlalden, 4 bin 885 çalışan, müşteri ve tedarikçi ile bu kişilere ait kimlik, pasaport, adres, IBAN, telefon numarası ve kan grubu bilgilerinin etkilendiği tespit edildi.
İlgili haber: Divriği'de kaybolan Büşra bebeğin babasından eşine suçlama
Konuyla ilgili inceleme yapan KVKK, şirket tarafından veri ihlali öncesinde yaptırılan sızma testlerinde kritik seviyede güvenlik açıklarının tespit edildiğini ancak bunların giderildiğine ilişkin herhangi bir bilgi veya belgenin sunulmadığını belirledi. Ayrıca şirketin Kişisel Veri Güvenliği Rehberi'nde aykırılıklar tespit eden KVKK, ihlal bildiriminin de 23 gün sonra yapıldığını belirledi.
KVKK, veri güvenliğine ilişkin yükümlülüklerin ihlal edilmesi nedeniyle 800 bin lira, veri ihlalinin geç bildirilmesi ve ilgililere bildirim yapılmasına rağmen ihlalden etkilenen verilerin kişiler üzerinde olumsuz etki doğurma riskinin bulunması nedeniyle de 200 bin lira olmak üzere şirkete toplam 1 milyon lira idari para cezası uygulanmasına karar verdi.
KVKK'nın kararında, basit parola politikalarının uygulanması, çalışanların siber güvenlik farkındalığının yetersiz olması, ağ erişimlerinin gereğinden geniş tutulması, güncel olmayan işletim sistemlerinin kullanılmaya devam edilmesi ve kritik güvenlik güncellemelerinin yapılmamasının veri güvenliği bakımından risk oluşturduğu, bunun veri ihlalinin etkisini artırdığı belirtildi.
Kararda, saldırının bir çalışanın internetten indirdiği program aracılığıyla tüm kurumsal ağa yayılmasının, ağ bileşenleri arasında yeterli erişim sınırlandırmasının yapılmadığını gösterdiği, bunun yükümlülüklerin yerine getirilmemesi anlamını taşıdığı kaydedildi.
İlgili haber: Küresel Motorin Krizi Pompa Fiyatlarını Vurdu: Arz Daralması Maliyetleri Artırıyor
Veri ihlalinin 23 gün sonra KVKK'ya bildirildiği anımsatılan kararda, bunun "en kısa sürede bildirim" yükümlülüğünün yerine getirilmediğini gösterdiği vurgulandı.
Yorum Yap