Ana sayfa Yazılar Sızma testinde kişisel veri nasıl ele alınır
Sızma testinde kişisel veri nasıl ele alınır
Asgari örnekle ele alınır. Sızma testi, kişisel verinin durduğunu göstermek için kaydın tamamını taşımaz. Örnek raporda maskelenir. Kanıt şifreli saklanır. Formdaki süre bitince imha edilir. Penetrasyon testi, müşteri listesini, kartı veya kimlik fotoğrafını teslim dosyası yapmaz.
Kısa sonuç
- Form, varlıkta kişisel veri olup olmadığını sorar.
- Varsayılan yasak, veriyi silmek ve dışarı çıkarmaktır.
- Maskesiz ham kayıt, dar alıcıya ve yazılı süreye bağlıdır.
- Ayrı bir KVKK sayfası bu sitede yoktur. Sitede tutulan veri gizlilik sayfasındadır.
Form neyi kilitler
Her varlık satırında kişisel veri var mı diye sorulur. Varsa hangi türün asgari örneğinin yeteceği yazılır. Yazılmazsa test eden kişi, “kanıt için lazım” diyerek listeyi alamaz. PTES, hassas verinin indirilmeden de erişimin gösterilebileceğini anlatır. Kapı açıldıysa içerik taşınmaz.
NIST SP 800-115, toplanan verinin saklanması, iletilmesi ve yok edilmesini planın parçası sayar. Süre yoksa plan da yoktur. “Bir süre bizde” cümlesi süre değildir.
Raporda ne görünür
Alanın dolu olduğu maskeli gösterilir. Değer durmaz. İstek ve yanıt da maskelidir. Yönetici özeti, etkiyi anlatır. Kişinin adını taşımaz. Teknik raporun alıcısı, kurumun yazdığı listedir. Liste yoksa rapor herkese açık dosya değildir.
Bu sitede örnek işin kaydı, hesabı ve ekranı yoktur. Örnek rapor sayfası da müşteri dosyası değildir.
İhlal sayılacak bir taşma
Veri, formdaki yasağa rağmen kopyalandıysa iş durur ve kurum aranır. Kopya, imha kuralına girer. O taşma, “ek kanıt” diye rapora eklenmez. Durdurma ayrı yazıdadır. Verinin neden dışarı çıkmadığı veri yazısında durur.