Kişisel Verileri Koruma Kurumu (KVKK), veri güvenliğine ilişkin yükümlülüklerini yerine getirmediği ve yaşanan veri ihlalini zamanında bildirmediği belirlenen şirkete toplam 1 milyon lira idari para cezası uygulanmasına karar verdi.
KVKK'nın kararına göre, sanayi alanında küresel ölçekte faaliyet gösteren şirketin ABD'deki bir çalışanı tarafından internetten indirilen programın çalıştırılmasının ardından fidye yazılımı şirketin küresel ağına yayıldı.
Saldırıdan şirketin küresel ağındaki 797 sunucu etkilenirken çok sayıda dosya şifrelendi.
Yapılan incelemelerde veri ihlalinden 4 bin 885 çalışan, müşteri ve tedarikçinin etkilendiği belirlendi. İhlal kapsamında bu kişilere ait kimlik, pasaport, adres, IBAN, telefon numarası ve kan grubu bilgilerinin etkilendiği tespit edildi.
Kritik güvenlik açıkları tespit edilmişti
Olayla ilgili inceleme gerçekleştiren KVKK, şirketin veri ihlalinden önce yaptırdığı sızma testlerinde kritik seviyede güvenlik açıklarının tespit edildiğini belirledi. Ancak söz konusu açıkların giderildiğine ilişkin herhangi bir bilgi veya belgenin sunulmadığı kaydedildi.
KVKK ayrıca şirketin Kişisel Veri Güvenliği Rehberi'ne yönelik aykırılıklar bulunduğunu ve veri ihlalinin Kuruma 23 gün sonra bildirildiğini tespit etti.
Kurum, veri güvenliğine ilişkin yükümlülüklerin ihlal edilmesi nedeniyle şirkete 800 bin lira idari para cezası verdi.
Veri ihlalinin geç bildirilmesi ve ilgililere bildirim yapılmasına rağmen ihlalden etkilenen verilerin kişiler üzerinde olumsuz etki oluşturma riskinin bulunması nedeniyle de 200 bin lira ceza uygulandı. Böylece şirkete verilen toplam idari para cezası 1 milyon liraya ulaştı.
KVKK veri güvenliğindeki risklere dikkat çekti
KVKK'nın kararında basit parola politikalarının uygulanması, çalışanların siber güvenlik farkındalığının yetersiz olması, ağ erişimlerinin gereğinden geniş tutulması, güncel olmayan işletim sistemlerinin kullanılmaya devam edilmesi ve kritik güvenlik güncellemelerinin yapılmamasının veri güvenliği açısından risk oluşturduğu belirtildi.
Bu eksikliklerin veri ihlalinin etkisini artırdığı ifade edildi.
Saldırının bir çalışanın internetten indirdiği program üzerinden tüm kurumsal ağa yayılmasının, ağ bileşenleri arasında yeterli erişim sınırlandırmasının yapılmadığını gösterdiği kaydedildi. KVKK, bu durumu yükümlülüklerin yerine getirilmemesi olarak değerlendirdi.
Kararda ayrıca veri ihlalinin 23 gün sonra KVKK'ya bildirilmesinin, "en kısa sürede bildirim" yükümlülüğünün yerine getirilmediğini gösterdiği vurgulandı.