Ofisinizdeki En Büyük Veri Sızıntısı Riski: Fotokopi Makineniz

Bir hukuk bürosu, üç yıl kullandığı kiralık fotokopi makinesini sözleşme bitiminde iade eder. Cihaz temizlenir, kutulanır, kamyona yüklenir. Kimse tek bir soru sormaz: Bu makinenin içindeki disk üç yıl boyunca ne gördü? Cevap rahatsız edici. Müvekkil kimlik fotokopileri, dava dosyaları, vekaletnameler, bordrolar, banka yazışmaları. Hepsi bir noktada bu cihazın tarayıcı camından geçti ve büyük ihtimalle bir kısmı hâlâ diskin üzerinde duruyor. Fotokopi makineniz aslında bir bilgisayar Ofisinizdeki çok fonksiyonlu cihaz (MFP) artık mekanik bir kopyalama makinesi değil. İçinde bir işlemci, bellek, çoğu modelde bir sabit disk veya SSD, kendine ait bir işletim sistemi ve bir web yönetim arayüzü var. Ağınıza bağlı, e-posta gönderebiliyor, ağ klasörlerine yazabiliyor, bazen bulut servislerine bağlanabiliyor. Yani ofisinizdeki her bilgisayar için düşündüğünüz güvenlik sorularının aynısını bu cihaz için de sormanız gerekiyor. Ama neredeyse hiçbir işletme sormuyor. Kurumsal ağlarda en çok gözden kaçan uç nokta, koridordaki fotokopi makinesidir. Sessizce biriken beş risk 1. Dahili diskteki belge arşivi Birçok MFP modeli, işlem hızını artırmak için taranan ve yazdırılan belgeleri geçici olarak diske yazar. "Geçici" burada aldatıcı bir kelime: veri üzerine yenisi yazılana kadar disk üzerinde kalır ve uygun araçlarla geri getirilebilir. Cihazda kayıtlı iş geçmişi, adres defteri ve tarama kutuları ise zaten kalıcı olarak saklanır. 2. Değiştirilmemiş varsayılan yönetici şifresi Cihazların web arayüzü çoğu ofiste kurulduğu günkü fabrika şifresiyle duruyor. Bu arayüzden adres defterine, tarama ayarlarına, iş kayıtlarına ve bazı modellerde saklanmış belgelere erişilebilir. Ağınıza sızan birinin ilk baktığı yerlerden biridir, çünkü en kolay kapıdır. 3. Tarama ayarlarında saklanan kurumsal şifreler "Ağ klasörüne tara" veya "e-posta gönder" özelliğini kurarken cihaza bir kullanıcı adı ve şifre tanımlanır. Genellikle de rahat olsun diye geniş yetkili bir hesap kullanılır. O kimlik bilgisi artık koridordaki cihazın ayarlarında duruyor. 4. Tepside unutulan çıktılar En düşük teknolojili, en sık gerçekleşen sızıntı. Bordro veya teklif çıktısı yazıcıya gönderilir, araya bir toplantı girer, belge yarım saat boyunca herkesin geçtiği koridorda bekler. Güvenli baskı (kart veya PIN ile serbest bırakma) özelliği bu riski tamamen ortadan kaldırır ama çoğu ofiste cihaz bu özelliği desteklediği hâlde kapalıdır. 5. Cihazın el değiştirdiği an Kiralama süresi bitip cihaz iade edildiğinde, ikinci el olarak satıldığında veya hurdaya ayrıldığında disk üzerindeki veri sizinle birlikte kalmaz. Cihazla birlikte gider. Bu, listedeki en büyük ve en çok göz ardı edilen risktir. KVKK bu tabloya nasıl bakıyor? 6698 sayılı Kişisel Verilerin Korunması Kanunu, veri sorumlusuna kişisel verilerin hukuka aykırı erişimini önlemek için gerekli teknik ve idari tedbirleri alma yükümlülüğü getiriyor. Bu yükümlülüğün kapsamı yalnızca sunucular ve bilgisayarlarla sınırlı değil; kişisel veri işlenen her ortamı kapsıyor. İçinde kimlik fotokopisi taranmış bir cihazın diski de bu ortamlardan biri. Ayrıca kişisel verilerin yetkisiz kişilerce ele geçirilmesi hâlinde veri sorumlusunun bu durumu en kısa sürede Kişisel Verileri Koruma Kurulu'na bildirmesi gerekiyor. Kurul'un ihlal bildirimlerine ilişkin kararında bu süre en geç 72 saat olarak belirlenmiş durumda. Verinin nereden sızdığını bilmiyor olmanız bu süreci başlatmıyor da değil — çoğu zaman sorun, işletmenin sızıntıdan yıllar sonra haberdar olması. Bu yazı hukuki görüş niteliği taşımaz; kurumunuzun özel durumu için KVKK uyum danışmanınıza başvurmanız yerinde olur. Ancak teknik tarafta yapılabilecekler oldukça net. Bugün uygulayabileceğiniz sekiz önlem Cihazın yönetim arayüzündeki varsayılan yönetici şifresini değiştirin. Fotokopi makinelerine sabit IP verin ve yönetim arayüzüne yalnızca IT'nin bulunduğu ağ segmentinden erişilebilmesini sağlayın. Kullanılmayan protokolleri (FTP, Telnet, gereksiz portlar) kapatın. Cihaz "veri üzerine yazma" (overwrite) özelliğini destekliyorsa etkinleştirin; destekliyorsa disk şifrelemeyi de açın. Güvenli baskı özelliğini devreye alın; çıktılar kullanıcı cihazın başına gelene kadar serbest bırakılmasın. Tarama için sınırlı yetkili, yalnızca ilgili klasöre yazabilen ayrı bir servis hesabı tanımlayın. Cihaz yazılımını (firmware) güncel tutun; üreticiler bu cihazlar için de düzenli güvenlik yaması yayımlıyor. Adres defterini ve kayıtlı iş geçmişini periyodik olarak temizleyin. Kiralamanın burada sağladığı somut avantaj Cihazı satın aldığınızda, hayatının sonunda o diskle ne yapacağınız tamamen size kalır. Uygulamada bu genellikle "hiçbir şey" anlamına gelir: cihaz ikinci el alıcısına diski dolu olarak gider. Sözleşmeli kiralamada ise bu adımı baştan yazılı hâle getirebilirsiniz. Ematek Büro Makineleri olarak kiralık cihazlarımızın sözleşme sonu iadesinde disk verilerinin silinmesini süreç olarak yürütüyor, talep eden kurumsal müşterilerimize bu işlem için imha tutanağı düzenliyoruz. KVKK denetiminde "cihazı iade ettik" cümlesiyle "cihazın diski şu tarihte şu yöntemle silindi, tutanağı burada" cümlesi arasında ciddi bir fark var. Aynı şekilde teknik servis sırasında disk değişimi gereken durumlarda, sökülen diskin akıbeti de kayıt altına alınabilir. Bunlar küçük operasyonel detaylar gibi görünür; bir ihlal incelemesinde ise tam olarak sorulan sorular bunlardır. Özetle Fotokopi makineniz ofisinizdeki en çok kişisel veri gören, en az korunan cihaz. İyi haber şu ki risklerin büyük kısmı bir öğleden sonrada kapatılabilecek ayarlardan ibaret. Kalan kısmı ise doğru sözleşme ve doğru iş ortağıyla çözülüyor. Ofisinizdeki cihazların güvenlik ayarlarını gözden geçirmemizi veya sözleşme sonu veri imha süreçlerimiz hakkında bilgi almak isterseniz 0212 222 21 38 numaralı hattımızdan bize ulaşabilirsiniz.