Veri ihlalleri her zaman sofistike saldırılarla gerçekleşmez. Fidye yazılımı ve hesap ele geçirme gibi saldırıların yanında, yanlış kişiye gönderilen e-posta, şifrelenmemiş bir dizüstü bilgisayarın kaybolması veya herkese açık bırakılan bir bulut depolama alanı da veri ihlalidir.
KVKK açısından: İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi durumunda veri sorumlusu, durumu Kurul'a ve ilgili kişilere bildirmekle yükümlüdür. Kurul kararına göre Kurul'a bildirim, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılmalıdır.
İhlal anında temel adımlar:
- İhlalin tespit zamanını kayıt altına alın.
- Etkilenen sistemleri yalıtarak ihlali sınırlandırın.
- Hangi verilerin ve kaç kişinin etkilendiğini değerlendirin.
- Bildirim yükümlülüklerini yerine getirin.
- Kök nedeni giderin ve kayıtları saklayın.
Önceden hazırlanmış bir olay müdahale planı bu adımların hızlı ve doğru atılmasını sağlar.