ISMS-P Sertifikasyon Denetimleri Saha Doğrulamalarıyla Güçlendiriliyor

Kişisel Bilgileri Koruma Komisyonu, Bilgi Güvenliği ve Kişisel Verilerin Korunması Yönetim Sistemi olan ISMS-P sertifikasyon denetimlerini belge odaklı yapıdan saha doğrulamalarını artıran bir yapıya dönüştürüyor.

Komisyon, sertifikasyon sisteminin etkinliğini artırmak amacıyla Kişisel Verilerin Korunması Kanunu Uygulama Yönetmeliği'nde bir değişiklik taslağı hazırladı. Bu taslak, 16 Eylül ile 26 Ekim tarihleri arasında yasama duyurusuna çıkarılacak. Yeni düzenleme ile yazılı incelemeler ve saha denetimleri eş zamanlı olarak yürütülebilecek, böylece güvenlik önlemlerinin gerçek işletim ortamında çalışıp çalışmadığı doğrudan kontrol edilebilecek.

Sertifika geçerlilik süresi boyunca veri sızıntısı veya güvenlik ihlali yaşayan şirketler için teknik denetimler genişletiliyor. Belirli niteliklere sahip uzman teknik personel, saha araçlarını kullanarak zafiyet teşhisi ve sızma testleri gerçekleştirebilecek. Bu denetimleri yapacak personelin, Bilgi Güvenliği Endüstrisinin Teşviki Hakkında Kanun Uygulama Kuralları uyarınca orta seviye veya üzeri yeterlilik standartlarına sahip olması gerekiyor. Benzer şekilde, her yıl yapılan takip denetimlerinde de saha incelemeleri ve zafiyet kontrolleri uygulanabilecek.

Sertifikasyon kriterleri, kurumların işlediği kişisel verilerin hacmine ve olası bir kaza durumunda yaratacağı toplumsal etkiye göre farklılık gösterecek. Büyük ölçekli veri işleyen veya çok sayıda kullanıcıyı etkileyebilecek işletmelerden daha sıkı yönetimsel ve teknik koruma önlemleri talep edilebilecek.

Sertifikası iptal edilen zorunlu kuruluşlar için yaptırımlarda değişikliğe gidiliyor. İptal nedenlerini gideren ve önleme planları hazırlayan şirketlere, yeni sertifika almaları için süre tanımak amacıyla idari para cezaları bir yıl boyunca ertelenebilecek. Ancak, hileli veya dürüst olmayan yöntemlerle sertifika aldığı için iptal alan kurumlar bu erteleme imkanından yararlanamayacak.

Komisyon, yasama duyurusu sürecinde ilgili bakanlıklar ve sektör paydaşlarından görüş toplayacak. Yönetmelik değişikliğinin ardından, sistemin genel etkinliğini artırmak için ilgili bildirimlerin yıl sonuna kadar güncellenmesi planlanıyor.