Kategori: İşletmeler İçin

Bir muayenehanenin hasta kayıtlarını tutan bilgisayarı açılmıyor. Bir muhasebe bürosunun sunucusunda yüzlerce müşterinin bordro bilgisi var. Bir insan kaynakları uzmanının dizüstünde aday özgeçmişleri duruyor. Bu cihazlardan birini kurtarma için bir laboratuvara teslim ettiğinizde, yalnızca bir donanımı değil, başka insanlara ait kişisel verileri de emanet etmiş olursunuz. Bu yazıda 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) çerçevesinde bu sürecin nasıl ele alınabileceğine dair genel bir bakış sunuyoruz.

Rolleri doğru tanımlamak

KVKK, kişisel verilerin işlenme amaçlarını ve araçlarını belirleyen kişi veya kuruma veri sorumlusu, veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen kişi veya kuruma ise veri işleyen der. Bir işletme, arızalı sunucusunu kurtarma için bir laboratuvara gönderdiğinde genellikle işletme veri sorumlusu, laboratuvar ise veri işleyen konumundadır.

Bu ayrımın pratik bir sonucu vardır: Kanunun 12. maddesine göre veri sorumlusu, veriler kendi adına başka biri tarafından işlendiğinde gerekli güvenlik tedbirlerinin alınmasından o kişiyle birlikte sorumludur. Yani “cihazı verdik, gerisi onların işi” yaklaşımı yeterli değildir; kimle ve hangi koşullarla çalıştığınızı belgelemeniz gerekir.

Cihazı teslim etmeden önce

1. Cihazda ne tür veri olduğunu not edin. Özellikle sağlık bilgisi, biyometrik veri veya ceza mahkûmiyeti gibi özel nitelikli kişisel veriler varsa bunu bilmek, alınacak önlemlerin düzeyini belirler.
2. Yazılı bir çerçeve oluşturun. Gizlilik sözleşmesi ya da veri işleme şartlarını içeren bir hizmet sözleşmesi; verilerin yalnızca kurtarma amacıyla işleneceğini, üçüncü kişilerle paylaşılmayacağını ve iş bitiminde ne olacağını açıkça yazmalıdır.
3. Teslim kaydı tutun. Cihazın seri numarası, teslim tarihi, teslim eden ve teslim alan kişi bir tutanakta yer almalıdır. Kargo ile gönderimde de takip numarasını saklayın.
4. Kapsamı daraltmayı düşünün. Yalnızca belirli klasörlere ihtiyacınız varsa bunu belirtin. Gereğinden fazla verinin işlenmemesi, kanunun ölçülülük ilkesiyle de uyumludur.
5. Erişim bilgilerini güvenli kanaldan iletin. Disk şifreleme anahtarları veya parolalar gerekiyorsa bunları cihazın üzerine yapıştırılmış bir kâğıtla değil, ayrı ve güvenli bir kanalla paylaşın.

Laboratuvarda sorulması gerekenler

Çalışacağınız firmaya şu soruları yöneltmek, değerlendirmenizi kolaylaştırır: Cihaza ve kurtarılan verilere kimler erişebiliyor? Kopyalar hangi ortamda tutuluyor? Veriler bir bulut hizmetine veya yurt dışına aktarılıyor mu? İş bitiminde laboratuvardaki kopyalar nasıl siliniyor ve bu bildiriliyor mu? Firma seçerken bakılacak diğer noktaları veri kurtarma firması seçerken dikkat edilmesi gerekenler yazımızda topladık.

Bizim uygulamamızda veriler yalnızca kurtarma amacıyla işlenir, talep edildiğinde gizlilik sözleşmesi imzalanır ve teslimat tamamlandığında laboratuvarda kalan kopyalar güvenli yöntemlerle temizlenir. Ayrıntıları gizlilik ve veri güvenliği sayfamızda ve KVKK aydınlatma metnimizde bulabilirsiniz.

Kurtarmadan sonra: eski cihazlar ve imha

Veriler kurtarıldıktan sonra arızalı disk genellikle unutulur; bir dolabın köşesinde bekler ya da elektronik atıkla birlikte çıkar. Oysa arızalı bir disk de okunabilir veriler içerebilir. Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi de KVKK kapsamında düzenlenen bir yükümlülüktür ve bunun kayıt altına alınması beklenir. Kullanım dışı kalan diskler için güvenli veri imha hizmetimizden yararlanabilirsiniz.

Yedekleriniz de aynı ilkelere tabidir: Kişisel veri içeren yedeklerin şifrelenmesi, erişimin sınırlandırılması ve saklama süresinin belirlenmesi gerekir. Sahada sık karşılaştığımız eksikler için yedekleme hataları listemize göz atabilirsiniz.

Bireysel kullanıcılar için

Kişisel fotoğraflarınızı veya aile belgelerinizi kurtarmaya gönderiyorsanız, KVKK’nın getirdiği veri sorumlusu yükümlülükleri sizin için genellikle söz konusu olmaz; kanun, kişilerin kendileri ve aileleriyle ilgili ev içi faaliyetlerini kapsam dışında tutar. Yine de gizliliğiniz önemlidir: Kimin elinde ne kadar süre kalacağını sormak, sizin de hakkınızdır.

BAMER olarak veri kurtarmanın yanında bilgi güvenliği ve KVKK danışmanlığı da veriyoruz. Kurumsal süreçleriniz için kurumsal veri kurtarma sayfamıza göz atabilirsiniz.

Sık sorulan sorular

Veri kurtarma firmasıyla ayrı bir sözleşme yapmamız gerekir mi?

Kanun, veri işleyenle ilişkinin belirli bir formda olmasını şart koşmasa da güvenlik tedbirlerinin alındığını gösterebilmek için yazılı bir çerçeve oluşturmak iyi bir uygulamadır. Gizlilik sözleşmesi bu çerçevenin temel parçasıdır.

Kurtarılan veriler bize nasıl teslim edilmeli?

Mümkünse şifrelenmiş bir ortamda ve yetkili bir kişiye, tutanakla teslim edilmesi önerilir. Teslim ortamının parolasının ayrı bir kanaldan iletilmesi riski azaltır.

Hasta veya müşteri verilerini içeren bir diski kargoyla göndermek uygun mu?

Uygun paketleme, takipli gönderim ve teslim kaydıyla mümkündür. Disk şifreliyse risk önemli ölçüde azalır. Gönderim öncesinde firmayla teslim koşullarını yazılı olarak netleştirin.

Pazartesi sabahı ofise geliyorsunuz; çalışanlar ortak klasörlere ulaşamadığını söylüyor. Rafın köşesindeki NAS ya hiç tepki vermiyor, ya ışıkları sürekli yanıp sönüyor ya da yönetim paneline girince “birim çöktü” gibi bir uyarı çıkıyor. Bu yazı, o anda neye dokunup neye dokunmamanız gerektiğini anlatıyor. Amacımız, sorunu kendi başınıza çözmeye çalışırken verileri daha zor bir duruma sokmamanızı sağlamak.

Önce tabloyu doğru okuyun

“NAS açılmıyor” cümlesi birbirinden çok farklı arızaları anlatabilir. Hangisini yaşadığınızı anlamak, sonraki adımı belirler:

• Hiç ışık yok, fan dönmüyor: Sorun büyük ihtimalle güç adaptöründe veya cihazın anakartındadır. Diskler ve üzerindeki veriler çoğu zaman sağlamdır.
• Işıklar yanıyor ama ağda görünmüyor: Ağ ayarı, IP adresi değişikliği, kablo veya cihazın kendi işletim sistemindeki bir sorun olabilir.
• Panele giriliyor ama birim “bozulmuş” veya “çökmüş” görünüyor: Bir ya da birden fazla disk diziden düşmüş, dosya sistemi zarar görmüş olabilir. En dikkat isteyen durum budur.
• Cihaz bip sesi çıkarıyor, bir yuvanın ışığı turuncu veya kırmızı: Genellikle bir diskin arızalandığını ya da sağlık değerlerinin kötüleştiğini gösterir.

Riski olmayan kontroller

Aşağıdaki adımlar disklere herhangi bir yazma yapmadığı için güvenle denenebilir:

1. Güç kaynağını kontrol edin. Prizi, uzatma kablosunu ve varsa kesintisiz güç kaynağını (UPS) gözden geçirin. Harici adaptörlü modellerde aynı değerlere sahip orijinal bir adaptörle deneme yapılabilir.
2. Ağ bağlantısını doğrulayın. Kabloyu ve switch portunu değiştirin; modem veya yönlendirici arayüzündeki bağlı cihazlar listesinde NAS’ın aldığı adrese bakın. Üreticinin kendi bulma aracı da işe yarar.
3. Elektrik kesintisi sonrası sabırlı olun. Düzgün kapanmayan bir cihaz açılışta dosya sistemini kontrol edebilir ve bu, büyük birimlerde uzun sürebilir. Bu sırada fişi çekip tekrar takmak, kontrolü yarıda bırakır.
4. Durumu kayıt altına alın. Panele girebiliyorsanız disk durumu, birim bilgisi ve sistem günlüklerinin ekran görüntülerini alın. Bu bilgiler arıza tespitini hızlandırır. Panele hiç girilemiyorsa ön paneldeki ışıkların rengini ve yanıp sönme düzenini kısa bir videoyla kaydetmek de işe yarar.

Kaçınmanız gereken hamleler

Diskleri bilgisayara takmak

NAS diskleri çoğunlukla Linux tabanlı dosya sistemleri ve yazılımsal RAID ile biçimlendirilir. Windows bu diskleri tanımadığında “diski başlatmanız gerekiyor” uyarısı verir. Bu uyarıyı onaylamak, disk başına yeni bir bölüm tablosu yazar ve kurtarmayı zorlaştırır.

Disklerin yerini değiştirmek

Bazı cihazlar diskleri yuva sırasına göre tanır. Diskleri çıkarmanız gerekirse her birini yuva numarasıyla etiketleyin ve çıkarmadan önce fotoğraf çekin.

Arızalı diziyi yeniden oluşturmak

Bir disk düştüğünde yeni disk takıp yeniden yapılandırma başlatmak mantıklı görünür. Ancak kalan disklerden biri de zayıfsa, bu yoğun işlem sırasında ikinci bir arıza ortaya çıkabilir ve dizi tamamen erişilemez hâle gelebilir. Önemli verilerin yedeği yoksa önce mevcut durumun kopyalanması daha güvenlidir. RAID düzenleri hakkında daha fazla bilgi için RAID veri kurtarma sayfamıza göz atabilirsiniz.

Sıfırlama düğmesini rastgele kullanmak

Pek çok NAS’ta arka paneldeki küçük düğme, basılı tutma süresine göre farklı işler yapar: bazen yalnızca ağ ayarlarını ve yönetici parolasını sıfırlar, bazen cihazın yazılımını yeniden kurmaya hazırlar. Üreticinin belgelerine bakmadan bu düğmeyi kullanmayın. Aynı uyarı, internette bulduğunuz komut satırı talimatları için de geçerlidir; forumlarda paylaşılan ve başka bir model ya da farklı bir arıza için yazılmış komutlar, sizin cihazınızda bambaşka bir sonuç doğurabilir.

NAS yedek değil, bir depolama noktasıdır

Ofislerde NAS, çoğu zaman “yedek cihazımız” olarak anılır. Ama dosyaların tek kopyası NAS’ta duruyorsa, o cihaz bir yedek değil ana depodur. Arıza geçtikten sonra NAS’taki verilerin ikinci bir ortama düzenli kopyalanıp kopyalanmadığını mutlaka sorgulayın. Bu konudaki tipik eksikleri işletmelerin en sık yaptığı 7 yedekleme hatası yazımızda ele aldık. NAS’taki disklerin yaşlanma belirtilerini öğrenmek için hard disk ömrü yazımıza da bakabilirsiniz.

Sık sorulan sorular

NAS’ın kendisi bozuldu; diskleri aynı modelde yeni bir cihaza takabilir miyim?

Bazı üreticiler buna resmi olarak izin verir ve diskler yeni kasada tanınabilir. Ancak yazılım sürümü farklıysa veya disk sırası karışırsa cihaz diskleri başlatmayı önerebilir. Yedeğiniz yoksa bu adımı atmadan önce danışmanızı öneririz.

Tek diskli bir NAS’ta veri kurtarma daha mı kolay?

RAID yeniden kurulumu gerekmediği için çoğu zaman daha sadedir. Yine de disk Linux dosya sistemiyle biçimlendirildiğinden, sıradan bir bilgisayarda doğrudan açılmaz ve aynı özeni gerektirir.

Fidye yazılımı NAS’taki dosyaları şifrelediyse ne yapmalıyım?

Cihazın ağ bağlantısını kesin ama kapatıp açmayın, şifrelenmiş dosyaları silmeyin. Anlık görüntü (snapshot) özelliği açıksa eski sürümler kurtuluş olabilir. Ayrıntılar için fidye yazılımı veri kurtarma sayfamıza bakabilirsiniz.

Bir işletmeye “Yedeğiniz var mı?” diye sorduğumuzda cevap çoğunlukla “Evet” olur. Sonraki soru ise genellikle bir sessizlik yaratır: “Son kez ne zaman geri yüklediniz?” Veri kurtarma laboratuvarında karşılaştığımız kurumsal vakaların önemli bir kısmı, yedeği hiç olmayan firmalardan değil, yedeğinin işe yaramadığını kriz anında öğrenen firmalardan gelir. Aşağıda en sık gördüğümüz yedi hatayı ve her biri için uygulanabilir bir çözümü bulacaksınız.

1. Yedekleme raporlarının sahibi yok

Yedekleme yazılımı her gece bir e-posta gönderir; bu e-posta ya kimsenin bakmadığı bir posta kutusuna düşer ya da filtrelere takılır. Bir disk dolduğunda veya bir parola değiştiğinde görev aylarca sessizce başarısız olabilir.

Çözüm: Yedeklemenin sorumlusu olarak bir kişi ve bir yedek kişi belirleyin. Başarısız görevler için ayrı ve dikkat çekici bir bildirim kanalı kurun, haftada bir de başarılı raporları gözle kontrol edin.

2. Bulut uygulamalarının “zaten yedeklendiğini” sanmak

Kurumsal e-posta, ortak takvim ve çevrim içi ofis dosyaları için kullanılan bulut hizmetleri, kendi altyapılarının çalışmasından sorumludur. Bir çalışanın yanlışlıkla sildiği klasör, ayrılan bir personelin kapatılan hesabı ya da ele geçirilen bir hesabın verdiği zarar ise çoğu zaman kullanıcı tarafının sorumluluğundadır. Hizmetin geri dönüşüm süresi dolduğunda bu veriler kalıcı olarak gidebilir.

Çözüm: Kullandığınız bulut hizmetlerinin saklama ve geri yükleme koşullarını okuyun; kritik posta kutuları ve paylaşılan alanlar için hizmetten bağımsız bir yedekleme çözümü değerlendirin.

3. Saklama süresinin çok kısa olması

Yalnızca son yedi günü tutan bir düzen, sorun yedinci günden sonra fark edildiğinde işe yaramaz. Bozulan bir muhasebe dosyası ya da sessizce şifrelenen bir arşiv klasörü haftalarca kimsenin dikkatini çekmeyebilir; o süre içinde her yedek bozuk sürümü kopyalar.

Çözüm: Günlük kopyaların yanında haftalık ve aylık kopyaları da daha uzun süre saklayın. Ne kadar geriye gitmeniz gerekebileceğini, sektörünüzün kayıt saklama yükümlülükleriyle birlikte düşünün.

4. Yedeğe, sistemle aynı anahtarla girilebilmesi

Yedek sunucusuna veya NAS’a etki alanı yöneticisi hesabıyla erişilebiliyorsa, o hesabı ele geçiren bir saldırgan yedekleri de silebilir ya da şifreleyebilir. Fidye yazılımı vakalarında sık rastlanan senaryo budur.

Çözüm: Yedekleme ortamı için ayrı, yalnızca o iş için kullanılan hesaplar tanımlayın ve iki aşamalı doğrulama kullanın. Kopyalardan en az biri ağdan kopuk ya da değiştirilemez olsun. Saldırı sonrası yapılacaklar için fidye yazılımı veri kurtarma sayfamıza bakabilirsiniz.

5. Yalnızca dosyaları yedekleyip sistemi unutmak

Muhasebe verileri yedekte duruyor olabilir; peki programın kurulumu, lisans bilgileri, sunucunun ayarları, yazıcı ve kullanıcı tanımları? Sıfırdan kurulan bir sunucuda verileri geri yüklemek, bazen günler süren bir yapılandırma işinin yalnızca son adımıdır. Veritabanlarının da tutarlı biçimde yedeklenmesi gerekir; çalışırken kopyalanan bir veritabanı dosyası açılmayabilir.

Çözüm: Kritik sunucular için sistemin tamamını geri getirebilen imaj tabanlı yedek alın ve veritabanlarını kendi araçlarıyla yedekleyin. Bozulan veritabanları için veritabanı kurtarma sayfamızda bilgi bulabilirsiniz.

6. Dizüstüleri ve sahadaki cihazları kapsam dışı bırakmak

Satış ekibinin teklif dosyaları, mühendislerin saha ölçümleri, yöneticinin dizüstündeki sunumlar çoğu zaman ortak sunucuya hiç ulaşmaz. Çalınan veya sıvı dökülen bir dizüstü, şirketin en güncel bilgilerini de yanında götürebilir. Sıvı vakalarında ilk adımları laptopa su döküldü yazımızda anlattık.

Çözüm: Taşınabilir cihazları merkezi yedekleme kapsamına alın ya da çalışma klasörlerinin otomatik olarak şirket depolama alanına eşitlenmesini sağlayın. Disk şifrelemesi kullanıyorsanız kurtarma anahtarlarını merkezi olarak kayıt altına alın; neden önemli olduğunu BitLocker yazımızda açıkladık.

7. Kriz anı için yazılı bir plan olmaması

Sunucu çöktüğünde kim kimi arayacak, yedekler nerede, şifreleme parolası kimde, hangi sistem önce ayağa kaldırılacak? Bu soruların cevabı yalnızca bir kişinin aklındaysa ve o kişi izindeyse, en iyi yedek bile geç devreye girer. Bir başka sık rastlanan durum: yedeklerin şifre çözme anahtarı, tam da çöken sunucunun içinde saklanmaktadır.

Çözüm: Bir iki sayfalık bir kurtarma planı hazırlayın; iletişim listesini, kritik sistemlerin öncelik sırasını ve erişim bilgilerinin güvenli olarak nerede tutulduğunu yazın. Yılda en az bir kez masa başı bir tatbikatla planı sınayın.

Sık sorulan sorular

Yedeklerimizin çalıştığını nasıl anlarız?

Tek güvenilir yol geri yükleme denemesidir. Belirli aralıklarla rastgele dosyaları ve en az bir kritik sistemi, canlı ortamı etkilemeyecek şekilde ayrı bir yere geri yükleyip açılıp açılmadığını kontrol edin.

Küçük bir işletmeyiz; bu önlemlerin hepsine gerçekten gerek var mı?

Ölçek küçüldükçe çözümler sadeleşir ama ilkeler değişmez. Bir sorumlu kişi, ayrı tutulan bir kopya, makul bir saklama süresi ve ara sıra yapılan bir geri yükleme testi, küçük ofislerde de büyük farkı yaratır.

Yedekleme düzenimizi gözden geçirmemize yardım eder misiniz?

Bilgi güvenliği ve KVKK danışmanlığı da verdiğimiz hizmetler arasında. İhtiyacınızı konuşmak için bizimle iletişime geçebilirsiniz.