KVKK küresel sanayi şirketine veri ihlali nedeniyle 1 milyon lira ceza verdi

Kişisel Verileri Koruma Kurumu (KVKK), bir çalışanının internetten indirdiği program nedeniyle sistemlerine fidye yazılımı bulaşan ve 4 bin 885 kişinin kişisel verilerinin çalındığı güvenlik ihlalini 23 gün sonra bildiren küresel ölçekteki sanayi şirketine toplam 1 milyon lira idari para cezası verdi.

İnceleme sonucunda, saldırının şirketin ABD'deki bir çalışanının internetten indirdiği programın ardından küresel ağdaki 797 sunucuya yayıldığı ve çok sayıda dosyanın şifrelendiği tespit edildi. İhlalden etkilenen 4 bin 885 kişilik grubun çalışan, müşteri ve tedarikçilerden oluştuğu; bu kişilere ait kimlik, pasaport, adres, IBAN, telefon numarası ve kan grubu bilgilerinin sızdırıldığı belirlendi.

KVKK tarafından yapılan incelemede, şirketin veri ihlali öncesinde gerçekleştirdiği sızma testlerinde kritik seviyede güvenlik açıkları tespit edilmesine rağmen, bu açıkların giderildiğine dair herhangi bir belge veya bilgi sunulmadığı saptandı. Ayrıca şirketin uygulamalarında Kişisel Veri Güvenliği Rehberi'ne aykırılıklar bulunduğu kaydedildi.

Kararda; basit parola politikalarının uygulanması, çalışanların siber güvenlik farkındalığının yetersizliği, ağ erişimlerinin gereğinden geniş tutulması, güncel olmayan işletim sistemlerinin kullanımı ve kritik güvenlik güncellemelerinin yapılmamasının veri güvenliği riskini artırdığı belirtildi. Saldırının tüm kurumsal ağa yayılması, ağ bileşenleri arasında yeterli erişim sınırlandırması yapılmadığını gösterdi.

Verilen ceza, veri güvenliğine ilişkin yükümlülüklerin ihlal edilmesi nedeniyle 800 bin lira, ihlalin geç bildirilmesi ve etkilenen verilerin kişiler üzerinde olumsuz etki doğurma riskinin bulunması nedeniyle ise 200 bin lira olarak iki kalem halinde uygulandı.