Müşteri Verileri WhatsApp Grubunda: Şirketlerin Görmediği Risk

Bir müşteri listesi, birkaç ekran görüntüsü ve hızla açılmış bir mesajlaşma grubu. Şirketin operasyonunu kolaylaştıran bu alışkanlık, aynı zamanda en az denetlenen bilgi akışlarından birini yaratabiliyor. Siber güvenlik bütçesi yüksek olsa bile kurumsal verilerin nerede, kimlerle ve ne kadar süreyle paylaşıldığı bilinmiyorsa önemli bir açık kalıyor.

Sorun WhatsApp’ın adı değil, kontrolsüz veri paylaşımı

Bir satış ekibinin kişisel telefonlardan oluşturduğu grupta müşteri numaraları, teklif dosyaları ve ödeme notları dolaştığını düşünelim. Çalışan ekipten ayrıldığında dosyaların hangi cihazlarda kaldığı, yedeklenip yedeklenmediği veya başka gruplara iletilip iletilmediği belli olmayabilir. İşte sorun burada başlar.

Her WhatsApp kullanımı otomatik olarak KVKK ihlali değildir. Risk; paylaşılan verinin niteliğine, işleme amacına, hukuki dayanağa, erişim yetkilerine, hizmet sağlayıcı ilişkilerine ve alınan teknik-idari tedbirlere göre değerlendirilir. Kurumsal mesajlaşma ve müşteri iletişimi için hangi sistemin kullanılacağını bu çerçeve belirlemelidir.

Kişisel Verileri Koruma Kurumu’nun açıkladığı 6698 sayılı Kanun’un 12. maddesi, veri sorumlusuna hukuka aykırı işleme ve erişimi önleme, kişisel verileri koruma ve uygun teknik-idari önlemleri alma yükümlülüğü yüklüyor. Dolayısıyla mesele yalnızca hangi uygulamanın kullanıldığı değil, kurumun bu kullanımı denetleyebilmesi.

Gölge bilişim nasıl ortaya çıkıyor?

Gölge bilişim, çalışanların kurumun onayladığı bilgi teknolojileri ve veri süreçleri dışında uygulamalar kullanmasıdır. Amaç çoğu zaman işini hızlandırmaktır; sonuç ise kurumsal envanterin dışında kalan veri hareketidir.

Birinci risk: Dosya kurumun kayıt sisteminden çıkıyor

Satış ekibi CRM’deki müşteri listesini indirip mesajlaşma grubuna gönderiyor. Liste artık yalnızca yetkili CRM kullanıcılarının eriştiği bir kayıt olmaktan çıkıyor. Güncel olmayan kopyalar ve kimliği belirsiz alıcılar ortaya çıkabiliyor.

İkinci risk: Çalışan ayrılıyor, veri kalıyor

Bir personelin gruptan çıkarılması, geçmişte cihazına indirdiği dosyaların otomatik olarak kurumun kontrolüne dönmesi anlamına gelmiyor. Erişim iptali ve saklama-imha süreçleri, mesajlaşma gruplarından bağımsız tasarlanmalı.

Üçüncü risk: İletişim krizi teknik krize ekleniyor

Müşteri veya çalışan bilgilerinin yetkisiz kişilere ulaşması durumunda kurum sadece teknik inceleme yapmakla kalmıyor. İlgili kişilerin bilgilendirilmesi, olayın kayıt altına alınması, gerektiğinde mevzuata uygun bildirim ve güven ilişkisinin yeniden kurulması da gündeme geliyor.

Kurumlar nereden başlamalı?

1. Veri haritası çıkarın. Müşteri, çalışan ve tedarikçi bilgilerinin hangi uygulamalarda dolaştığını belgeleyin.
2. Kanal politikası belirleyin. Hangi iş bilgisinin hangi onaylı sistemde paylaşılabileceğini yazılı hale getirin.
3. Erişimi görevle sınırlayın. Her personelin bütün kişi listelerini, sözleşmeleri ve finansal notları görmesi gerekmez.
4. Ayrılış ve cihaz süreçlerini tanımlayın. Çalışan işten ayrıldığında hesaplar, dosyalar ve kurumsal erişimler gözden geçirilsin.
5. Olay iletişimini önceden hazırlayın. Veri güvenliği sorumlusu, hukuk ekibi ve iletişim ekibi kimin hangi bilgiyi ne zaman paylaşacağını bilsin.

KVKK’nın Kişisel Veri Güvenliği Rehberi erişim politikaları, eğitim, risk analizi ve denetim gibi idari tedbirleri; güvenlik izleme, yetkilendirme ve veri kaybını önleme gibi teknik tedbirlerle birlikte ele alıyor.

İtibar yönetimi, veri yönetiminden ayrı düşünülemez

Bir veri olayı yaşandığında kamuoyuna gönderilecek kusursuz açıklama, eksik güvenlik sürecini telafi etmez. Öncelik olayın kapsamını doğrulamak, riski sınırlamak, yükümlülükleri yerine getirmek ve etkilenen kişilere açık bilgi vermektir. İletişim ekibinin görevi teknik gerçeği gizlemek değil, doğrulanmış bilgiyi anlaşılır ve sorumlu bir dille aktarmaktır.

Yankı Ötesi’nin siber güvenlik alanındaki B2B iletişim yaklaşımı, uzmanlık bilgisini yöneticilerin ve paydaşların anlayabileceği somut sorulara dönüştürmenin neden önemli olduğunu gösteriyor.

Sonuç: Güçlü bir güvenlik duvarı gereklidir; ancak çalışanların kurum verilerini nasıl paylaştığı görünmüyorsa koruma eksiktir. Kurumsal veri disiplini teknoloji satın alımıyla değil, günlük çalışma alışkanlıklarının yönetilmesiyle başlar.