Denetim hazırlığı, kurumda hangi kişisel verilerin işlendiğini bilmek ve yazılı kurallarla uygulamanın tutarlılığını gösterebilmekle başlar. Çalışmayı dört haftalık bir önceliklendirme planıyla ilerletin.
Kapsamı ve uygulanacak yükümlülükleri kurumun hukuk ve bilgi güvenliği ekipleriyle birlikte değerlendirin; takvimi mevcut eksiklere ve önceliklere göre düzenleyin.
Birinci hafta: envanter ve veri akışı
İK, muhasebe, satış, pazarlama ve BT ekipleriyle veri kategorilerini, işleme amaçlarını, saklama yerlerini ve paylaşılan tarafları belirleyin. Verinin toplandığı noktadan imhasına kadar geçtiği sistemleri haritalayın; kurumunuza uygulanan kayıt yükümlülüklerini ilgili uzmanlarla kontrol edin.
İkinci hafta: belgeler ve politikalar
Veri toplama noktalarındaki aydınlatma metinlerini envanterle karşılaştırın. Saklama ve imha politikası, işleme ve koruma çerçevesi, gerekiyorsa açık rıza metinleri ve olay müdahale prosedürünü gerçek işleyişle uyumlu hâle getirin.
Üçüncü hafta: teknik tedbirler
Göreve göre erişim yetkilerini, erişim kayıtlarını, aktarım ve saklama güvenliğini inceleyin. Yedeklerin korunması, yama yönetimi, güçlü kimlik doğrulama ve test ortamlarında kişisel verinin kullanılma biçimini değerlendirin.
İdari hazırlık
Çalışan farkındalık eğitimlerini, gizlilik düzenlemelerini ve veriye erişen tedarikçilerle yapılan sözleşmeleri kontrol edin. Tamamlanan çalışmaların tarihini, sorumlusunu ve kanıtını kaydedin.
Dördüncü hafta: tatbikat ve boşluk analizi
Envanteri, belgeleri ve fiilî uygulamayı karşılaştırın. İlgili kişi başvurusunun nasıl karşılandığını ve kurgusal bir ihlal olayında kimin hangi adımı atacağını test edin. Bulgular için sorumlu ve düzeltme planı belirleyin.
Hazırlık dosyası
Güncel envanter, ilgili aydınlatma metinleri, imha kayıtları, erişim matrisi, log örnekleri, yedek güvenliği kayıtları, eğitim belgeleri, tedarikçi sözleşmeleri ve tatbikat notlarını birlikte düzenleyin.
Düzeni sürdürmek
Yeni bir sistem veya veri işleme süreci eklendiğinde envanter ve ilgili belgeleri yeniden gözden geçirin. Teknik kontrolleri ve eğitimleri tek seferlik denetim hazırlığının ötesinde düzenli bir çalışma olarak ele alın.