HUKUK
iii. Etik Hat Süreci Şirket Tarafından Yönetiliyorsa Alınması Elzem Aksiyonlar
Etik hat sürecinin doğrudan şirketin kendi bünyesinde, Türkiye ' de konuşlandırılmış altyapıyla yönetildiği yapılarda dahi siber güvenlik uyumu kendiliğinden sağlanmış olmaz. Aşağıdaki aksiyonların alınması gerekmektedir:
Adli Bilişim ve Delil Zincirinin Korunması: Etik hat platformlarına yönelik muhtemel bir siber saldırı veya sızıntı durumunda, adli soruşturmalara esas teşkil edecek dijital delillerin( loglar, sistem imajları) ISO / IEC 27037 gibi uluslararası adli bilişim standartlarına uygun şekilde zaman damgasıyla mühürlenerek saklanması, hem 7545 Sayılı Kanun kapsamındaki bildirimlerin sıhhati hem de yargı süreçlerindeki delil güvenliği için kritiktir.
16
KVKK Uyumu ve Veri Koruma: Şirket kendi bünyesinde etik hat yönetse dahi KVKK açısından yükümlülükleri devam etmektedir. Etik hat süreci kapsamında veri minimizasyonu ilkesine uyulmalı; yalnızca ihbarın değerlendirilmesi için zorunlu veriler toplanmalıdır. Aydınlatma yükümlülüğü yerine getirilmeli; verilerin saklama süresi belirlenmeli ve süre sonunda imha prosedürü uygulanmalıdır. Veri koruma etki değerlendirmesi yapılması önerilmektedir.
Başkanlık Denetim Hazırlığı: 7545 Sayılı Kanun madde 8 kapsamında Başkanlık, etik hat platformunu da kapsayan bir denetim yetkisine sahiptir. Şirket, teknik dokümantasyonu, güvenlik politikalarını, erişim loglarını ve olay müdahale kayıtlarını denetime hazır tutmalı; mahallinde inceleme için gerekli erişim altyapısını tesis etmelidir.
SOME Entegrasyonu: 7545 Sayılı Kanun madde 5 / d kapsamında şirketin SOME yapısı mevcutsa etik hat platformu bu yapının gözetim kapsamına dahil edilmeli; etik hatta ilişkin bir siber olayın tespit, müdahale ve bildirim süreci tanımlanmalı ve olay müdahale planları buna göre güncellenmelidir.
Yönetişim ve Hesap Verebilirlik: Etik hat platformunun siber güvenlik sorumluluğu yönetim kurulu düzeyinde sahiplenilmelidir. Kanun ' un 4. maddesindeki " hesap verebilirlik " ilkesi uyarınca siber güvenlik riskleri düzenli olarak raporlanmalı ve kurumsal risk yönetimi çerçevesine dahil edilmelidir. Etik hat sürecinden sorumlu bir " Etik Hat Veri Sorumlusu " belirlenmeli; bu kişinin hem KVKK hem de 7545 Sayılı Kanun kapsamındaki yükümlülükleri bizzat yerine getirme yetkisi korunmalıdır. Yıllık siber güvenlik uyum raporunun bağımsız denetim aracılığıyla hazırlanması önerilmektedir.