Sertifikasyon Gereksinimleri: 7545 Sayılı Kanun ' un 7. maddesinin birinci fıkrasının( c) bendi uyarınca, kamu kurumları ve kritik altyapı kapsamındaki kuruluşların etik hat hizmetini dışarıdan temin etmesi halinde, hizmet sağlayıcının Başkanlık tarafından yetkilendirilmiş ve belgelendirilmiş olması gerekmektedir.
Teknik Mimari: Türkiye ' deki sistemlere ait log verilerinin yurt içinde işlenmesi, siber güvenlik izleme araçlarının Türkiye veri egemenliği gerekliliklerini destekleyen konfigürasyonda kullanılması ve kritik kararlar için yerel onay mekanizmasının tasarıma dahil edilmesi sağlanmalıdır. Etik hat platformlarının 7545 Sayılı Kanun ' un 4. maddesindeki temel ilkelere uyumu değerlendirilmeli; ihbarcı kimlik bilgilerinin korunmasına yönelik şifreleme ve anonimleştirme mekanizmaları Kanun ' un 6. maddesiyle uyumlu biçimde güçlendirilmelidir.
Etik Kırmızı Çizgiler: Güvenlik sorumluluğunu sözleşmede tamamen devredip fiilî denetim mekanizması kurmamak; denetim hakkı içermeyen outsource sözleşmeleri yapmak; ihlal bildirimini geciktiren veya veri sorumlusuna iletmeden kapatan outsource hizmet sağlayıcılarıyla çalışmayı sürdürmek; güvenlik süreçlerini veri sorumlusunun haberi olmaksızın alt yükleniciye devrettirmek— bu durumların her biri hukuki uyuma teknik olarak uyulsa dahi etik açıdan kabul edilemezdir.
Yerel Bildirim Kapasitesi: KVKK kapsamında siber güvenlik hizmeti satın alınan şirketler çoğunlukla " veri işleyen " sıfatını kazanmaktadır. Veri sorumlusu; veri işleyenin yeterli güvenlik tedbirlerini uygulayıp uygulamadığını önceden değerlendirmek, sözleşmede işlemenin konusunu ve amacını açıkça belirlemek, talimatlar dışında işlem yapılmadığını denetlemek ve güvenlik ihlali halinde derhal bildirim yapılmasını sözleşmesel olarak güvence altına almak zorundadır.
Ancak hizmet sağlayıcının ihbarları yalnızca barındırmak ve iletmekle yetinmeyip, gelen ihbarları bizzat değerlendirmesi veya aksiyon alması halinde, KVKK madde 3 uyarınca veri işleme amaç ve vasıtalarını fiilen belirleyen konumda bulunduğu değerlendirilmelidir. Türk veri koruma mevzuatında açık bir müşterek veri sorumluluğu düzenlemesi bulunmamakla birlikte, Kişisel Verileri Koruma Kurulu uygulamasında fiili veri işleme amacını belirleyenin bağımsız veri sorumlusu olarak nitelendirildiği görülmekte; dolayısıyla bu ihtimalde hizmet sağlayıcının da veri sorumlusu sıfatını kazanabileceği ve taraflar arasında fiilen müşterek veri sorumluluğuna benzer bir ilişkinin doğabileceği değerlendirilmelidir. Bu ihtimalde sözleşmesel çerçevenin müşterek veri sorumluluğunu düzenleyen bir yapıda kurgulanması; bildirim yükümlülüklerinin, ilgili kişi başvurularının ve yaptırım sorumluluğunun dağılımının açıkça belirlenmesi gerekmektedir.
15