Kişisel Verileri Koruma Kurumu (KVKK), uluslararası alanda faaliyet gösteren küresel bir sanayi şirketine, yaşanan büyük çaplı sızma ve veri ihlalini zamanında rapor etmemesi ve güvenlik açıklarını kapatmaması gerekçesiyle toplam 1 milyon lira idari para cezası kesti.
Yaşanan siber güvenlik olayının arka planında, şirketin ABD'deki bir personelinin internet üzerinden bilgisayarına indirdiği zararlı bir program yer alıyor. Programın çalıştırılmasıyla birlikte devreye giren fidye yazılımı, kurumun dünya genelindeki devasa ağında bulunan 797 sunucuya hızla yayılarak çok sayıda kritik dosyayı şifreledi. Gerçekleştirilen kapsamlı incelemeler sonucunda, bu siber saldırıdan binlerce kişinin olumsuz etkilendiği ortaya çıktı.
Sızma olayından toplam 4 bin 885 çalışan, müşteri ve tedarikçinin etkilendiği belirlenirken; mağdurlara ait kimlik bilgileri, pasaport detayları, ikamet adresleri, IBAN numaraları, telefon bilgileri ve hatta kan gruplarının dahi tehlikeye girdiği tespit edildi. Olayı mercek altına alan KVKK, şirketin daha önce yaptırdığı sızma testlerinde kritik düzeyde güvenlik açıkları saptandığını, ancak bu açıkların giderildiğine dair herhangi bir resmi belgenin ya da bilginin kurula sunulmadığını kaydetti.
Kurum tarafından yapılan incelemelerde ayrıca Kişisel Veri Güvenliği Rehberi'ne aykırı durumlar tespit edildi. Şirketin, yaşanan büyük veri ihlalini yasal süresinde bildirmeyerek 23 gün gecikmeyle rapor ettiği belirlendi. Bu gelişmelerin ardından KVKK, veri güvenliği yükümlülüklerinin ihlal edilmesi nedeniyle 800 bin lira, ihlalin geç bildirilmesi ve risk barındırması sebebiyle de 200 bin lira olmak üzere şirkete toplam 1 milyon lira idari para cezası verilmesini kararlaştırdı.
KVKK kararında, şirket bünyesindeki zafiyetlere de dikkat çekildi. Basit parola politikalarının benimsenmesi, personelin siber güvenlik konusundaki bilinç düzeyinin yetersiz kalması, ağ erişimlerinin gerekenden çok daha geniş tutulması, güncelliğini yitirmiş işletim sistemlerinin kullanılmaya devam edilmesi ve kritik güvenlik güncellemelerinin aksatılmasının büyük riskler doğurduğu vurgulandı.
