Veri İhlali Etkili Kişiler Sayısı
İdari Para Cezası
| Kriter | Veri |
|---|---|
| Veri İhlali Etkili Kişi Sayısı | 4885 |
| İhlalden Etkilenen Kişi Sayısı | 788 |
| İdari Para Cezası Tutarı | 1000000 |
ÖNE ÇIKAN DETAYLAR
- Saldırının bir çalışanın internetten indirdiği program aracılığıyla tüm kurumsal ağa yayılması
- Ağ bileşenleri arasında yeterli erişim sınırlandırması yapılmamış
KVKK, küresel ölçekte faaliyet gösteren bir şirkete, sisteminde meydana gelen veri ihlalinin zamanında bildirilmemesi ve veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi nedeniyle 1 milyon lira idari para cezası uygulanmasına karar verdi.
Kişisel Verileri Koruma Kurumu’nun (KVKK) kararına göre, sanayi alanında küresel ölçekte faaliyet gösteren şirketin ABD’deki bir çalışanının internetten indirdiği programı çalıştırmasının ardından, fidye yazılımı şirketin küresel ağındaki 797 sunucuya yayıldı ve çok sayıda dosya şifrelendi.
İnceleme sonucu, sistemlerde meydana gelen ihlalden, 4 bin 885 çalışan, müşteri ve tedarikçi ile bu kişilere ait kimlik, pasaport, adres, IBAN, telefon numarası ve kan grubu bilgilerinin etkilendiği tespit edildi.
Konuyla ilgili inceleme yapan KVKK, şirket tarafından veri ihlali öncesinde yaptırılan sızma testlerinde kritik seviyede güvenlik açıklarının tespit edildiğini ancak bunların giderildiğine ilişkin herhangi bir bilgi veya belgenin sunulmadığını belirledi. Ayrıca şirketinKişisel VeriGüvenliği Rehberi’nde aykırılıklar tespit eden KVKK, ihlal bildiriminin de 23 gün sonra yapıldığını belirledi.
KVKK, veri güvenliğine ilişkin yükümlülüklerin ihlal edilmesi nedeniyle 800 bin lira, veri ihlalinin geç bildirilmesi ve ilgililere bildirim yapılmasına rağmen ihlalden etkilenen verilerin kişiler üzerinde olumsuz etki doğurma riskinin bulunması nedeniyle de 200 bin lira olmak üzere şirkete toplam 1 milyon lira idari para cezası uygulanmasına karar verdi.
Karardan
KVKK’nın kararında, basit parola politikalarının uygulanması, çalışanlarınsiber güvenlikfarkındalığının yetersiz olması, ağ erişimlerinin gereğinden geniş tutulması, güncel olmayan işletim sistemlerinin kullanılmaya devam edilmesi ve kritik güvenlik güncellemelerinin yapılmamasının veri güvenliği bakımından risk oluşturduğu, bunun veri ihlalinin etkisini artırdığı belirtildi.
Kararda, saldırının bir çalışanın internetten indirdiği program aracılığıyla tüm kurumsal ağa yayılmasının, ağ bileşenleri arasında yeterli erişim sınırlandırmasının yapılmadığını gösterdiği, bunun yükümlülüklerin yerine getirilmemesi anlamını taşıdığı kaydedildi.
Veri ihlalinin 23 gün sonra KVKK’ya bildirildiği anımsatılan kararda, bunun “en kısa sürede bildirim” yükümlülüğünün yerine getirilmediğini gösterdiği vurgulandı.
