Güvenlik sertifikası hangi soruyu cevaplamıyor?

Bir tedarikçinin güvenlik sertifikası bulunması satın alma incelemesinde değerli bir bilgi. Fakat bu belge, şirketin kullanacağı her ürünün, ülkenin ve destek sürecinin aynı kapsamda olduğunu tek başına göstermiyor.

Kapsamı eşleştirmek

Önerimiz, belgenin kapsadığı tüzel kişi, hizmet ve dönem ile sözleşmedeki tarafı ve satın alınan ürünü yan yana koymak. Hariç tutulan bileşenler, müşteri tarafından yapılandırılması gereken kontroller ve alt sağlayıcılar ayrıca sorulmalı.

Kişisel veri içeren hizmetlerde KVKK’nın teknik ve idari tedbir yaklaşımı, yalnızca tek bir belge toplamaya indirgenmemeli. Şirketin kendi erişim yönetimi ve kullanım biçimi de sonuç üzerinde etkili.

Müzakerede denetim hakkının nasıl kullanılacağı açıklığa kavuşturulabilir. Her durumda sınırsız yerinde inceleme istemek yerine, güncel raporun teslimi, önemli bulguların takibi ve belirli olaylarda ek bilgi sağlanması gibi uygulanabilir yollar değerlendirilebilir.

İncelemenin sonunda “sertifika var” kaydı yerine kısa bir sonuç yazılması yararlı olur: Hangi hizmet doğrulandı, hangi soru açık kaldı ve bu sorunun takibini kim yapacak?

Kaynaklar

KVKK · Veri güvenliğine ilişkin yükümlülükler

https://www.kvkk.gov.tr/Icerik/2040/Veri-Guvenligine-Iliskin-Yukumlulukler