Denetime hazır olmak: "yaptık" ile "kanıtı burada" arasındaki fark

Bir denetimde “kişisel verileri sınıflandırdık, erişimi daralttık, süresi dolanları imha ettik” demek ile bunların her birini tarih, kişi, gerekçe ve onayla göstermek arasında belirleyici bir fark vardır. Birincisi bir beyandır; ikincisi kanıttır. Denetime hazır olmak, uyum çalışmasını yapmış olmak değil, yapılan her işin zincir halinde izlenebilir olmasıdır. Bu zincir ancak veri kurumun içinde kalırken, her adım kaydedilerek ve onay ayrı bir yetkiyle verilerek kurulabilir.

“Yaptık” ile “kanıtı burada” arasındaki fark

Denetimler iki tür soru sorar. Birinci tür politikaya ilişkindir: saklama politikanız var mı, aydınlatma metniniz güncel mi, VERBİS kaydınız yapılmış mı? Bu sorular belgeyle yanıtlanır. İkinci tür uygulamaya ilişkindir: saklama süresi dolan veriyi gerçekten imha ettiniz mi, kim, ne zaman, hangi kaynakta? Özel nitelikli veriye kimlerin eriştiğini biliyor musunuz ve bu erişim ne zaman daraltıldı? Bu sorular yalnızca kayıtla yanıtlanabilir.

Çoğu kurumun eksikliği ikinci türdedir. Çalışma yapılmıştır; ancak e-postalarla, toplantı notlarıyla ve kişisel hafızayla yürütülmüştür. Denetim anında “bunu geçen yıl yapmıştık” cümlesinin arkasında gösterilebilecek bir kayıt yoktur. Kurum’un Veri Sorumluları Sicili bilgilendirme sayfası, veri sorumlusunun kayıt yükümlülüğünü anlatır; ancak sicildeki beyanın gerçek keşifle uyuştuğunu ve zaman içinde güncel tutulduğunu göstermek, beyandan ayrı bir kanıt işidir.

Kanıt zinciri dört halkadan oluşur: bulgu (neyi, nerede, ne zaman bulduk), karar (ne yapılmasına karar verildi, kim tarafından, hangi gerekçeyle), onay (kim onayladı, ne zaman), eylem (ne uygulandı, sonucu ne oldu). Bu halkalardan biri eksikse zincir kopar.

Zincirin bir de zaman boyutu vardır. Denetim, yalnızca bugünkü durumu değil, dönem boyunca ne olduğunu sorar: hangi açıklar ne zaman bulundu, ne kadar süre açık kaldı, hangi tarihte kapatıldı. Tek seferlik bir tarama raporu bu soruyu yanıtlamaz; ancak dönemsel taramalar ve her bulgunun yaşam döngüsünü izleyen bir kayıt yanıtlar. Hazırlık puanının zaman içindeki değişimi de aynı kayıttan türetilir.

Denetim kaydı: kim, ne zaman, neden

Teknik sistem logları ile denetim kaydı birbirine karıştırılır. Sistem logu “dosya silindi” der; denetim kaydı “şu bulgu için, saklama süresi dolduğu gerekçesiyle, şu sorumlunun önerisi ve şu yetkilinin onayıyla, şu tarihte imha edildi; redakte kopya şu konumda saklandı” der. Denetçinin sorduğu, ikincisidir.

İyi bir denetim kaydı en az şu alanları taşır:

• Bulgu kimliği ve bağlamı. Kaynak, konum, veri türü ve gizlilik derecesi, bulgunun hangi taramada ve ne zaman ortaya çıktığı.
• Kişi. Bulguya atanan sorumlu, eylemi öneren, eylemi onaylayan; her biri ayrı ayrı.
• Zaman. Bulgu, atama, karar, onay ve uygulama anlarının her biri.
• Gerekçe. Eylemin neden seçildiği: saklama süresi doldu, aşırı paylaşım, yanlış pozitif, hukuki saklama yükümlülüğü devam ediyor.
• Eylem ve sonuç. Maskeleme, karantina, izin kaldırma, silme/imha, etiket uygulama; eylemin başarıyla tamamlanıp tamamlanmadığı.

Seratus’un iyileştirme ve kanıt akışı bu alanların tamamını otomatik olarak doldurur; kayıt, eylemin ayrılmaz parçasıdır, sonradan eklenmez. KVKK’nın 16 Eylül 2026 tarihli 2026/2035 sayılı İlke Kararı’nda vurgulanan “erişim sınırlı personelle yapılmalı, erişim kayıtları tutulmalı” ilkesi, konsola erişim için de geçerlidir: Seratus’ta konsol erişimi rol tabanlıdır, bulgular maskeli örnekle gösterilir ve tam içerik yalnızca onaylı inceleme akışında, kayıt altında açılır.

Onay zinciri: ikinci yetkili neden şart

Silme, izin kaldırma ve maskeleme geri alınması zor eylemlerdir. Tek kişinin kararıyla uygulanmaları hem operasyonel hata riskini artırır hem de denetimde “bu kararı kim verdi, kontrol eden oldu mu?” sorusuna zayıf bir yanıt bırakır.

Onay zinciri bu riski üç mekanizmayla yönetir. Birincisi, sorumluya atama: her bulgunun adı belli bir sahibi vardır. İkincisi, ayrı onay yetkisi: eylemi öneren ile onaylayan farklı kişilerdir ve eylem türüne göre yetki ayrılır; bir sorumlu maskelemeyi onaylayabilirken imha için ikinci yetkilinin onayı gerekir. Üçüncüsü, rol tabanlı erişim: tarama, inceleme, onay ve yönetim rolleri birbirinden ayrılır; konsolda görünen ve yapılabilen işler role göre sınırlanır.

Bu yapı, denetçiye “görevler ayrılığı” ilkesinin uygulandığını somut olarak gösterir. Her eylem için öneren, onaylayan ve uygulayan kayıtta ayrı ayrı görünür.

Raporlar: özet, denetim, kaynak detayı

Kanıt zinciri kayıtta durur; ancak denetçiye ve yönetime sunulması için rapora dönüşmesi gerekir. Seratus dört rapor türü üretir ve her biri PDF, Excel ve CSV biçiminde alınır:

Rapor	Hedef okuyucu	İçerik
KVKK hazırlık özeti	Veri sorumlusu, uyum ekibi	Hazırlık puanı, açıklar listesi (özel nitelikli veri geniş paylaşımda, süresi geçmiş başvuru, saklama süresi dolmuş veri, envanterde olmayan veri), açıkların durumu
Denetim raporu	Denetçi, iç denetim	Dönem içindeki bulgular, kararlar, onaylar ve eylemler; kim, ne zaman, neden
Kaynak bazlı detay	Bilgi güvenliği, sistem sahipleri	Her kaynak için tespitler, erişim durumu, uygulanan eylemler
Yönetici özeti	Üst yönetim	Risk eğilimi, kapatılan ve açık kalan bulgular, öncelikler

KVKK hazırlık puanı tek başına kanıt değildir; puanı oluşturan açıklar listesi ve her açığın kapanış kaydı kanıttır. Denetim raporu bu bağı kurar: her açık için bulgu, karar, onay ve eylem halkaları tek belgede görünür. Bulgular ve eylemler ayrıca SIEM ve talep yönetimi sistemlerine iletilebilir; böylece kurumun mevcut denetim izi araçlarıyla tutarlılık sağlanır.

Raporların üretim sıklığı da hazırlığın parçasıdır. Denetim öncesi tek seferde üretilen rapor, yalnızca o anı anlatır; dönemsel olarak üretilip saklanan raporlar ise sürecin işlediğini gösterir. Yönetici özetinin düzenli olarak üst yönetime sunulması, uyum programının yönetim düzeyinde sahiplenildiğinin de kanıtıdır; denetçiler bu sahiplenmeyi ayrıca sorar.

Veri kurumdan çıkmadan kanıt üretmek

Denetim hazırlığında sık gözden kaçan bir soru, kanıt üreten aracın kendisinin veriyi nereye götürdüğüdür. Kişisel veri, özel nitelikli veri ve ticari sırları tarayan bir sistemin bu veriyi analiz için dışarı göndermesi, çözmesi gereken sorunu yeniden üretir.

Seratus yerinde kurulur ve air-gap ağlarda çalışır. Tarama, sınıflandırma, erişim analizi, iyileştirme ve raporlama kurumun kendi altyapısında gerçekleşir; bağlantılar salt okunurdur; kurulum ve güncellemeler doğrulanabilir imzalı paketlerle gelir. İsteğe bağlı LLM zenginleştirme (belge türü ve başvuru özeti gibi) yalnızca kurumun kendi veya yerinde barındırdığı modelle çalışır; dış AI servisine veri gönderilmez. Ayrıntı: özel LLM ve air-gap.

Kurum’un Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, kişisel verinin üretken yapay zeka sistemlerinde işlenmesini ayrı bir başlık olarak ele alır; yerinde model tercihi, bu başlığın gerektirdiği değerlendirmeyi kurumun kendi sınırları içinde tutar. Veri kurumun sınırını geçmez ve denetçiye bu sınır gösterilebilir.

Denetim günü: ne gösterilir

Denetime hazır bir kurum, denetim günü şu soruları kayıtla yanıtlar:

1. Hangi kişisel veriniz nerede? Keşif temelli envanter; VERBİS beyanıyla eşleme; “envanterde olmayan veri” açığının durumu.
2. Özel nitelikli veriye kim erişiyor? Erişim ve maruziyet grafiği; “özel nitelikli veri geniş paylaşımda” açığı ve kapanış kayıtları.
3. Saklama süresi dolan veriye ne yaptınız? Saklama takvimi; imha ve anonimleştirme kayıtları; redakte kopya ve aslın imhası; tekillik denetimiyle kalite ölçümü.
4. İlgili kişi başvurularını nasıl yanıtladınız? Başvuru kayıtları, kaynaklar arası bulma, redakte kopya, süre takibi.
5. İhlal oldu mu, ne yaptınız? İhlal kayıtları ve etkilenen veri kümesinin keşif çıktısı.
6. Bu kararları kim verdi? Her eylem için sorumlu, onaylayan ve gerekçe.

Bu soruların her biri için Seratus’un KVKK uyum takımı ilgili kaydı ve raporu üretir. Denetim, beyanın savunulduğu bir toplantı olmaktan çıkar; kaydın gösterildiği bir oturuma dönüşür.

Örnek olarak bir perakende şirketini düşünelim. Denetçi, bir yıl önce kapatılan bir mağazanın personel dosyalarının ne olduğunu sorar. Kayıtsız bir kurumda yanıt, İK müdürünün hafızasına ve birkaç e-postaya dayanır. Kayıtlı bir kurumda ise yanıt şöyledir: dosyalar şu taramada şu paylaşımda bulundu; saklama takvimine göre süreleri şu tarihte doldu; sorumlu imha önerdi, ikinci yetkili onayladı; redakte kopya şu konumda saklandı, asıl şu tarihte imha edildi; tekillik denetimi şu sonucu verdi. Örnek anonim ve varsayımsaldır; ancak iki yanıt arasındaki fark, denetimin seyrini belirler.

Seratus bu açıkları nasıl kapatır

Açık 1: Uyum çalışması yapıldı ama kaydı yok. Her bulgu, karar, onay ve eylem kim/ne zaman/neden bilgisiyle denetim kaydına otomatik yazılır; kayıt eylemin parçasıdır, sonradan oluşturulmaz. Ayrıntı: iyileştirme ve kanıt.

Açık 2: Kararlar tek kişiyle veriliyor. Sorumluya atama, eylem türüne göre ayrı onay yetkileri ve ikinci yetkili onayı; rol tabanlı erişimle tarama, inceleme, onay ve yönetim ayrılır.

Açık 3: VERBİS beyanı gerçek veriyle uyuşmuyor. Keşif temelli envanter, kategori/amaç/saklama eşlemesi ve “envanterde olmayan veri” açığı; KVKK hazırlık özeti bu farkı görünür kılar.

Açık 4: Denetçiye sunulacak tutarlı rapor yok. KVKK hazırlık özeti, denetim raporu, kaynak bazlı detay ve yönetici özeti; PDF, Excel, CSV; SIEM ve talep yönetimi sistemlerine iletim.

Açık 5: İmha yapıldı ama geri döndürülemezliği gösterilemiyor. Redakte kopya + aslın imhası + tekillik denetimiyle kalite ölçümü; her adım kayıtlı. Ayrıntı: KVKK uyum.

Açık 6: Kanıt üreten araç veriyi dışarı taşıyor. Yerinde ve air-gap uyumlu kurulum, salt okunur bağlantılar, imzalı paketler, özel/yerinde LLM; dış AI servisine veri gitmez.

Sonuç

Denetime hazır olmak, uyum çalışmasını yapmış olmak değil, her adımın kim, ne zaman ve neden bilgisiyle izlenebilir olmasıdır. Bulgu, karar, onay ve eylem halkalarından oluşan kanıt zinciri; ayrı onay yetkileri ve rol tabanlı erişimle güvence altına alınır; raporlarla denetçiye sunulur. Seratus bu zinciri kurumun kendi ağında, veri dışarı çıkmadan kurar ve “yaptık” cümlesini “kanıtı burada” cümlesine dönüştürür.