Mevzuat ve Uyum (Compliance) Stratejisi

Kurumsal bir satışın son haftasında, her şey tamam görünürken müşterinin bilgi güvenliği ekibinden 240 soruluk bir form gelir. Veri nerede tutuluyor, alt işleyiciler kimler, silme talebi kaç günde karşılanıyor, son bağımsız denetim ne zaman yapıldı. Hazırlıklı olan ekip formu iki günde kapatır. Hazırlıksız olan ekip üç hafta boyunca mühendisleri, hukukçuları ve satışçıları aynı tabloda toplar; anlaşma ya kayar ya da fiyattan taviz verilerek kurtarılır.

Uyumu maliyet kalemi olarak gören şirketle onu rekabet gücü olarak kuran şirket arasındaki fark çoğu zaman bu sahnede görünür. İlki uyumu denetçi gelince hatırlar. İkincisi onu, ürünün nasıl tasarlandığıyla birlikte kurar.

Ne zaman ihtiyacınız var?

Sinyaller genelde finansal tablodan önce satış hattında görünür. Satış ekibi “güvenlik anketi” yüzünden kapanışların uzadığından söz etmeye başladıysa, bir pazara girerken hangi lisansın veya kaydın gerektiğini kimse tek cümleyle söyleyemiyorsa, aynı kişisel veri üç farklı sistemde üç farklı kuralla tutuluyorsa zaman gelmiştir.

İkinci grup sinyal yapısaldır: yurt dışında ilk müşteri, ilk kurumsal sözleşme, ilk ortaklık veya satın alma, düzenlemeye tabi bir sektöre (finans, sağlık, kamu) açılma kararı. Bunların her biri uyum yükünü bir kademe artırır ve yükü sonradan eklemek, baştan tasarlamaktan belirgin biçimde pahalıdır.

Henüz erken olduğu durumlar da var. Tek ülkede, tek ürün hattında, düzenlemeye tabi olmayan ve verisi sınırlı bir iş yapıyorsanız tam bir uyum programı kurmak enerji israfıdır. Orada doğru hamle hafiftir: veri envanteri, temel güvenlik hijyeni, sözleşme şablonları. Program, ihtiyaç geldiğinde üzerine büyüyebilecek bir iskelet olsun yeter.

Çoğu ekibin atladığı nokta

En sık yapılan yanlış, uyumun düzenleme düzenleme, ülke ülke yönetilmesidir. GDPR için bir proje, başka bir ülkenin veri kanunu için başka bir proje, sektörel standart için bir üçüncüsü. Her proje kendi tablosunu, kendi sorumlusunu ve kendi kanıt klasörünü üretir. Sonuç, birbirinin aynısı olan ama birbirini tanımayan kontrol yığınıdır.

Düzenlemeler birbirinden çok farklı görünür ama istedikleri şeylerin çekirdeği şaşırtıcı biçimde ortaktır: neyi topladığınızı bilin, neden topladığınızı söyleyebilin, erişimi sınırlayın, olayı fark edin ve bildirin, yaptığınızı kanıtlayın. Olgun ekipler bu çekirdeği bir kez kontrol kütüphanesi olarak yazar ve her düzenlemeyi bu kütüphaneye eşler. Yeni bir kanun geldiğinde soru “yeni proje ne olacak?” olmaz, “kütüphanede hangi kontrol eksik?” olur.

Uyum, her düzenleme için yeniden yapılan bir iş değildir. Bir kez kurulan kontroller sistemi ve ona eşlenen düzenlemelerdir.

İkinci düzeltme sahiplikle ilgili. Uyum hukuk departmanında yaşadığında ürün kararları alındıktan sonra onay sorusuna dönüşür. Mühendislikte, ürün tasarımında ve satın almada yaşadığında karar anına girer. Privacy by design bu yüzden bir slogan değil, ürün gereksinim şablonuna eklenmiş bir satırdır: bu özellik hangi kişisel veriyi yaratıyor, ne kadar süre tutuyor, kim görüyor?

Üçüncüsü, uyumun gelir tarafı. SOC 2 ya da ISO 27001 gibi bağımsız doğrulamalar yasal zorunluluk olmasa bile kurumsal alımda sık sık fiilî giriş koşuludur. Raporu cebinde olan satışçı güvenlik görüşmesini kısaltır. Bunu bir pazarlama cümlesi olarak değil, satış döngüsü süresi olarak ölçebilirsiniz.

Uygulama planı

1. Düzenleyici haritayı çıkarın

Hangi ülkede, hangi veri türüyle, hangi sektörde faaliyet gösterdiğinizi tek sayfada yazın. Her kesişim için geçerli düzenlemeyi, sorumlu kişiyi ve tahmini etki derecesini ekleyin. Çıktı, uzun bir hukuk notu değil, ilk iki sütunu hukukçunun, son iki sütunu ürün sahibinin doldurduğu bir tablodur. Bu adımın kararı da bellidir: hangi düzenleme şimdi, hangisi on iki ay içinde, hangisi izlenerek bekleyecek.

2. Veri ve süreç envanterini kurun

Kişisel veri nerede doğuyor, nereye akıyor, kimler işliyor? Alt işleyici listesini, saklama sürelerini ve veri sahibi talep akışını belgeleyin. Çoğu şirket bu envanteri ilk kez çıkardığında en az bir sürpriz bulur: kimsenin sahiplenmediği bir analiz aracı ya da silinmesi gerekirken yıllardır duran bir tablo.

3. Ortak kontrol kütüphanesini yazın

Erişim yönetimi, şifreleme, olay müdahalesi, tedarikçi değerlendirmesi, eğitim gibi 40-80 arası kontrolü sade bir dille tanımlayın. Her kontrole bir sahip, bir kanıt türü ve bir sıklık verin. Sonra her düzenlemenin maddelerini bu kontrollere eşleyin. Bu kütüphane, hem denetçinin hem müşterinin güvenlik anketinin cevap anahtarıdır.

4. Uyumu ürün ve satın alma akışına gömün

Ürün gereksinim şablonuna veri etkisi bölümü ekleyin. Yeni tedarikçi onayına güvenlik ve veri ön değerlendirmesi koyun. Yüksek riskli değişikliklerde hukuk ve güvenliği sprint planlamasına davet edin, sprint sonuna değil. Amaç, riskli kararın onay kuyruğunda değil, tasarım masasında yakalanmasıdır.

5. Kanıtı sürekli toplayın, denetime hazırlıkla yetinmeyin

Erişim gözden geçirmeleri, yedek testleri, eğitim katılımı gibi kanıtlar otomatik veya takvimli toplansın. Denetimden önce iki haftalık telaş yaşayan şirket, aslında yıl boyu uyumlu olmadığını itiraf ediyordur. Yılda en az bir kez, olay müdahale planını gerçek bir masa başı tatbikatla sınayın.

6. Yönetim kuruluna tek sayfalık risk görünümü sunun

Üç-beş kritik risk, her biri için sahip, mevcut kontrol düzeyi ve karar bekleyen konu. Yönetim, uyumu rapor olarak değil, kaynak kararı olarak görmeli.

Neyi ölçmeli?

• Güvenlik anketi ve kurumsal değerlendirme süresi: satış döngüsünde uyumun yarattığı sürtünmeyi gösterir; öncü göstergedir.
• Kontrol kapsama oranı: kütüphanedeki kontrollerden kanıtı güncel olanların payı; programın gerçekten çalışıp çalışmadığını söyler.
• Veri sahibi talebini kapatma süresi: yasal süre içinde kalıp kalmadığınızı ve süreçlerin ne kadar elle yürüdüğünü gösterir.
• Olay tespit ve bildirim süresi: uyumun asıl sınandığı an; gecikmeli ama en dürüst göstergedir.

Tuzaklar

Kâğıt üzerinde uyum. Politika yazılmış, ama kimse uygulamıyor. Denetçi bunu görür; daha kötüsü, bir olay anında sizi sorumluluktan kurtarmaz. Her politikanın arkasında bir sahip ve bir kanıt olmalı.

Her düzenlemeyi ayrı proje yapmak. Yukarıda anlattığım kopya yığın. Maliyet katlanır, çelişen kontroller çıkar, ekip yorulur.

Uyumu sadece yasaklayan fonksiyon olarak konumlamak. Ürün ekibi uyum ekibini “hayır diyen taraf” olarak görürse bilgiyi saklamaya başlar. Uyum ekibi, hayır demek yerine uyumlu yolu birlikte tasarlayan taraf olmalı.

Gerçekte yapmadığınız bir şeyi vaat etmek. Web sitesinde, satış sunumunda veya sözleşmede “uyumluyuz” demek, bunu kanıtlayamıyorsanız yeni bir risk yaratır. Vaadi, kanıtınızın genişliğiyle sınırlı tutun.

Bu hafta başlayın

1. Satış ekibinden son üç güvenlik anketini isteyin; en sık gelen 20 soruyu çıkarıp bir “standart cevap” dokümanı başlatın.
2. Bir tablo açın: hangi ülkelerde, hangi kişisel veri türüyle, hangi alt işleyicilerle çalışıyorsunuz? İlk sürüm eksik olsun, ama yarın var olsun.
3. Ürün gereksinim şablonunuza tek bir satır ekleyin: “Bu özellik yeni bir kişisel veri topluyor mu veya yeni bir yere aktarıyor mu?” Cevabı boş bırakılan gereksinim sprint'e girmesin.