KVKK dan veri ihlalini zamanında bildirmeyen şirkete 1 milyon lira ceza

Kişisel Verileri Koruma Kurumu'nun (KVKK) kararına göre, sanayi alanında küresel ölçekte faaliyet gösteren şirketin ABD'deki bir çalışanının internetten indirdiği programı çalıştırmasının ardından, fidye yazılımı şirketin küresel ağındaki 797 sunucuya yayıldı ve çok sayıda dosya şifrelendi.

İnceleme sonucu, sistemlerde meydana gelen ihlalden, 4 bin 885 çalışan, müşteri ve tedarikçi ile bu kişilere ait kimlik, pasaport, adres, IBAN, telefon numarası ve kan grubu bilgilerinin etkilendiği tespit edildi.

Konuyla ilgili inceleme yapan KVKK, şirket tarafından veri ihlali öncesinde yaptırılan sızma testlerinde kritik seviyede güvenlik açıklarının tespit edildiğini ancak bunların giderildiğine ilişkin herhangi bir bilgi veya belgenin sunulmadığını belirledi. Ayrıca şirketin Kişisel Veri Güvenliği Rehberi'nde aykırılıklar tespit eden KVKK, ihlal bildiriminin de 23 gün sonra yapıldığını belirledi.

KVKK, veri güvenliğine ilişkin yükümlülüklerin ihlal edilmesi nedeniyle 800 bin lira, veri ihlalinin geç bildirilmesi ve ilgililere bildirim yapılmasına rağmen ihlalden etkilenen verilerin kişiler üzerinde olumsuz etki doğurma riskinin bulunması nedeniyle de 200 bin lira olmak üzere şirkete toplam 1 milyon lira idari para cezası uygulanmasına karar verdi.

KVKK'nın kararında, basit parola politikalarının uygulanması, çalışanların siber güvenlik farkındalığının yetersiz olması, ağ erişimlerinin gereğinden geniş tutulması, güncel olmayan işletim sistemlerinin kullanılmaya devam edilmesi ve kritik güvenlik güncellemelerinin yapılmamasının veri güvenliği bakımından risk oluşturduğu, bunun veri ihlalinin etkisini artırdığı belirtildi.

Kararda, saldırının bir çalışanın internetten indirdiği program aracılığıyla tüm kurumsal ağa yayılmasının, ağ bileşenleri arasında yeterli erişim sınırlandırmasının yapılmadığını gösterdiği, bunun yükümlülüklerin yerine getirilmemesi anlamını taşıdığı kaydedildi.

Veri ihlalinin 23 gün sonra KVKK'ya bildirildiği anımsatılan kararda, bunun "en kısa sürede bildirim" yükümlülüğünün yerine getirilmediğini gösterdiği vurgulandı.