Bilgi Sızıntısının Önlenmesi: Düzenlenmesi Gereken İç Yönetmeliklerin İçeriği Hakkında Açıklama

Bilgi sızıntısı, şirket faaliyetlerine ölümcül zararlar verebilir. Bu nedenle, içeride önlemler oluşturmak önemlidir.

Özellikle, şirket içi düzenlemeleri sağlamak ve buna uygun işlemler yapmak gibi şeyler düşünülebilir. Peki, tam olarak hangi şirket içi düzenlemeleri belirlemek gerekiyor? Bu makalede, şirketlerin hukuk departmanlarına yönelik olarak, bilgi sızıntısı riskini azaltmak için şirket içi düzenlemelerin nasıl sağlanacağı hakkında açıklama yapacağız.

Bilgi Sızıntısı ile İlgili İç Yönetmelikler Nedir

Bilgi sızıntısı, ne zaman ve hangi koşullarda oluşacağı önceden bilinmeyen bir durumdur. Bu nedenle, önceden sağlam bir iç yönetmelik oluşturmak ve bilgi sızıntısına karşı hazırlıklı olmak önemlidir.

Ayrıca, her ne kadar istenmese de, bilgi sızıntısı gibi bir durumun ortaya çıkması durumunda, önceden belirlenmiş iç yönetmeliklere uygun olarak uygun bir şekilde yanıt vermek, bilgi sızıntısından kaynaklanan zararı en aza indirebilir.

Temel Politika Belirleme

Öncelikle, bir şirket olarak, bilgi sızıntısına nasıl yanıt vereceğimizi belirlemek için, bilgi sızıntısı hakkında bir temel politika belirlemeliyiz.

Temel politikanın içinde, örneğin, aşağıdaki gibi konuların belirlenmesi düşünülebilir:

• Şirket ve yöneticilerin sorumlulukları hakkında
• Yasaların ve diğer düzenlemelerin uygulanması hakkında
• Şirket içi sistemlerin oluşturulması hakkında
• Bilgi yönetimi hakkında
• Çalışanlara yönelik girişimler hakkında
• Bilgi sızıntısı durumunda nasıl yanıt verileceği hakkında
• Temel politikanın düzenli olarak gözden geçirilmesi hakkında

Temel politika, iç yönetmelik yönünün yanı sıra, gizlilik politikası gibi, dışa dönük temel politikayı açıklama şeklinde de uygulanabilir. Dışa dönük temel politikayı açıklamak, bilgi sızıntısına karşı şirketin bilincini gösterir ve toplumsal güvenin artmasına katkıda bulunabilir.

Ancak, tabii ki, sadece temel bir politika belirlemek anlamlı değildir. Şirketin gerçek durumuna uygun bir temel politika belirlemek ve belirlenen temel politikaya uygun bir işleyiş sağlamak önemlidir.

İlgili Makale: Kişisel Bilgi Koruma Yasası Göz Önünde Bulundurularak Gizlilik Politikası Oluşturmanın Noktaları Nelerdir?[ja]

Bilgi Koruma İlkeleri

Şirket içi düzenlemelerin içeriği olarak, bilgi koruma ile ilgili maddelerin belirlenmesi düşünülebilir.

Bilgi koruma ile ilgili maddeler hakkında, örneğin, aşağıdaki gibi içerikler belirlenebilir.

Bilgi Sızıntısı Risk Analizi

Bilgi sızıntısı risk analizi yeterince yapılmadığında, risklere uygun bir yanıt vermek mümkün olmaz. Bu nedenle, bilgi koruma ile ilgili maddeler olarak, şirket içi düzenlemelerde bilgi sızıntısı risk analizi ile ilgili maddelerin belirlenmesi önemlidir.

Şirketin Sahip Olduğu Bilgilerin Anlaşılması ve Veritabanına Aktarılması

Şirket olarak, sahip olduğumuz bilgileri tam olarak anlamadığımızda, etkin bir yönetim yapmak zorlaşır. Ayrıca, şirketin sahip olduğu bilgileri veritabanına aktararak, bilgi yönetimini uygun bir şekilde gerçekleştirmek mümkün olur.

Bilgi İşlemcisinin Belirlenmesi

Şirket içi düzenlemelerde, şirketin sahip olduğu bilgilerin işlemcisini belirlemek, bilginin kullanım alanını minimuma indirger ve bilgi sızıntısı riskini azaltır.

Bilgi Açıklama ve Sağlama Prosedürlerinin Belirlenmesi

Şirket içi düzenlemelerde, şirketin sahip olduğu bilgilerin açıklanması ve sağlanması ile ilgili prosedürlerin içeriğini belirlemek, prosedürlere uygun işlemlerin gerçekleştirilmesini sağlar. Bu nedenle, çalışanların kendi kararlarına dayanarak şirket bilgilerini kullanmaları gibi durumların önlenmesi ve sonuç olarak bilgi sızıntısının önlenmesi mümkün olabilir.

Bilginin Dışarıya Çıkarılmasının Sınırlanması

Şirket içi düzenlemelerde, şirketin sahip olduğu bilgilerin dışarıya çıkarılması ile ilgili maddeleri belirlemek, bilginin gereksiz yere dışarıya çıkarılmasını önler ve bilgi sızıntısının önlenmesinde belirli bir etki beklenir.

Bilgi Koruma Sisteminin Denetlenmesi

Şirket bilgi koruma sistemini oluşturmuş olsa bile, bu bilgi koruma sistemine uygun işlemler gerçekleştirilmiyorsa, bu anlamsızdır.

Bu nedenle, şirket içi düzenlemelerde, denetim konusundan bağımsız bir organın, bilgi koruma sistemine ilişkin denetim yapacağını belirlemek de düşünülebilir.

İnsan Kaynakları Yönetimi İle İlgili Düzenlemeler

Bilgi sızıntıları, bilgiyi işleyen kişinin hatası (insan hatası) sonucu oluşabilir. Bu nedenle, iç düzenlemelerde, bilgiyi işleyen kişiye ilişkin içerikleri belirlemek düşünülebilir.

Bununla birlikte, bu insan kaynakları yönetimi ile ilgili düzenlemeler, iş kuralları veya gizli bilgi yönetim düzenlemeleri içinde belirlenebilir.

Örneğin, aşağıdaki gibi içerikler belirlenebilir:

Bilgi Gizlilik Yükümlülüğü

İç düzenlemelerde, çalışanları hedef alarak, bilgi gizlilik yükümlülüğü ile ilgili içerik belirlenebilir. Bilgi gizlilik yükümlülüğünü belirleyerek, çalışanlara sözleşme yükümlülüğü olarak gizlilik yükümlülüğü yüklemek mümkün olabilir.

Ayrıca, çalışanlara, bilgi gizlilik yükümlülüğü ile ilgili farkındalık oluşturulması beklenebilir.

Bilginin Amaç Dışı Kullanımının Yasaklanması

Bilgi gizlilik yükümlülüğü, öncelikle bilginin sızdırılmaması anlamına gelir. Ancak buna ek olarak, bilginin amaç dışı kullanımını yasaklayan bir içerik belirlemek de bilgi sızıntısının önlenmesi için etkili olabilir.

İşe Girişte Gizlilik Taahhütnamesi

Çalışanlara, işe girişte gizlilik yükümlülüğü ve bilginin amaç dışı kullanımının yasaklanması dahil olmak üzere gizlilik taahhütnamesi sunulmasını belirleyen bir yöntem de vardır.

İşe girişteki taahhütnameler, sözleşme yükümlülüğünü yüklerken aynı zamanda, çalışanlara bilgi sızıntısının önlenmesi ile ilgili farkındalık oluşturmanın da anlamı vardır.

İşten Ayrılışta Gizlilik Taahhütnamesi

Çalışanlar için, görev süresince bilgi sızdırmamak önemlidir, ancak işten ayrıldıktan sonra da bilgi sızdırmamaları gerekmektedir.

Bu nedenle, işten ayrılırken, görev süresince öğrenilen bilgilerin işten ayrıldıktan sonra da sızdırılmaması içeriğini taşıyan bir taahhütnamenin sunulması düşünülebilir. Bu, iç düzenlemelerin temelde sadece çalışanlara etkisi olduğu ve işten ayrıldıktan sonra etkisinin olmadığı için gereklidir.

Bilgi Sızıntısı İle İlgili Çalışan Eğitimi

Çalışanlardan taahhütnameler alarak, bilgi sızıntısı ile ilgili belirli bir farkındalık oluşturabilirsiniz, ancak sadece taahhütnameler, bilgi sızıntısının ciddiyetini çalışanlara anlatmak için yeterli olmayabilir.

Bu nedenle, belirli aralıklarla şirket içi eğitimler düzenleyerek, çalışanlara bilgi sızıntısını önlemek için eğitim verilmesini iç düzenlemelere eklemek de yararlı olabilir.

Fiziksel Yönetim İle İlgili Düzenlemeler

Bilgi sızıntısını önlemek için, bilginin fiziksel olarak sızmasını zorlaştıran bir ortam oluşturmak gereklidir.

Örneğin, şirket politikalarında, bilgi yönetimi ile ilgili içerik olarak, aşağıdaki gibi maddelerin belirlenmesi düşünülebilir.

Bilgi Saklama Odasının Giriş-Çıkış Yönetimi

Şirket içinde işlenen bilgilere uygun güvenlik bölümlerini belirlemek ve her bir bölümün giriş-çıkış yönetimini ve kilitleme gibi yönetimlerini yapmak, bilgilere fiziksel erişimi azaltabilir.

Bilgilere fiziksel erişimi azaltmak, bilgi sızıntısının oluşabileceği riski düşürebilir.

Sunucuya Erişim

Bilgileri bir sunucuda veya benzeri bir yerde saklıyorsanız, şirket politikalarında, sunucuya erişim yetkisini sınırlamayı düşünebilirsiniz.

Çalışanların her birinin kolayca bilgilere erişebilmesi, bilgi sızıntısı riskini artırır. Bu nedenle, bilgi saklama sunucusuna erişimi sınırlamak, bilgi sızıntısını önlemek için etkili olabilir.

Döküman ve Diğer Medyaların Kullanımı

Şirket politikalarında, bilgileri gerçekten işlerken, kullanım ve saklama ile ilgili içeriği belirlemek de önemlidir.

Örneğin, bilgi kağıt medya ise, kilitleyebileceğiniz bir dolapta saklamak veya bilgi görüntüleme odası oluşturup diğer odalara çıkarılmasını engellemek gibi düzenlemeler düşünülebilir.

IT Ekipmanlarının Kullanımına İlişkin Yönetmelik

Son zamanlarda, internetin gelişmesi ve uzaktan çalışmanın artması gibi nedenlerle, IT ekipmanlarını kullanarak bilgi alışverişi yapma fırsatları artmıştır.

Bu nedenle, şirket politikalarında, IT ekipmanlarının kullanımına ilişkin aşağıdaki gibi içeriklerin belirlenmesi düşünülebilir.

Şirketten IT Ekipmanı Ödünç Alma Prosedürü

Öncelikle, şirketten bilgisayar gibi IT ekipmanları ödünç alırken, kimin ne zaman ödünç aldığı gibi konuların yönetilmesi önemlidir.

Ayrıca, şirketten IT ekipmanı ödünç alan kişinin, bilgi sızıntısının kolayca oluşabileceği bir ortamda IT ekipmanını kullanıp kullanmadığını kontrol etmek için, belirli aralıklarla kullanım durumunu anlamak da önemlidir.

Kişisel Cihaz (BYOD) Kullanım Prosedürü

Evden çalışmanın artmasıyla birlikte, çalışanların kişisel IT cihazlarını iş için kullanma durumları da artmıştır. PC veya USB bellek gibi cihazlar çalışanın kişisel eşyası olduğunda, yeterli güvenlik önlemlerinin alınmış olması garanti edilemez.

Ayrıca, genellikle kullanılan IT cihazlar olduğundan, çalışanlar işle ilgili bilgileri ele alırken, yönetimin yetersiz olabileceği ve kriz bilincinin azalabileceği bir durum olabilir.

Bu nedenle, şirket politikalarında, şirketin, çalışanlara, kişisel cihaz (BYOD) kullanımını kabul ettiği durumlarda, kişisel cihaz (BYOD) kullanımı için prosedürler ve yasaklar belirlemesi düşünülebilir.

Diğer Bilgi Sızıntısı İle İlgili Düzenlemeler

Bunun yanı sıra, bilgi sızıntısı ile ilgili şirket içi düzenlemelerde aşağıdaki hususların belirlenmesi düşünülebilir.

SNS’nin Kişisel Kullanımı İle İlgili Düzenlemeler

SNS’lerde, gerçek isimle veya anonim olarak kullanılanlar olabilir. Anonim durumunda, anonim olduğu için SNS’de rahatça gönderi yapma olasılığı düşünülebilir. Ayrıca, çok fazla kişinin görmeyeceğini düşünerek hafif bir ruh haliyle gönderi yapılır ve bu durum alevlenirse, birçok kişinin göreceği durumlar da olabilir.

SNS’nin yayılma gücü olduğu için, bilgi sızıntısı oluşursa, anında yayılma riski vardır.

Bu nedenle, şirket içi düzenlemelerde, çalışanların SNS kullanımı ile ilgili içeriği belirlemek de düşünülebilir.

Örneğin, SNS kullanım amacını “iş amaçlı” ve “iş dışı amaçlı (özel)” olarak ayırabilir ve iş amaçlı durumlarda başvuru/onay veya alevlenme durumunda raporlama gibi yükümlülükler getirebiliriz. İş dışı amaçlar için bile, şirketin gizli bilgilerini veya yasa dışı olabilecek şeyleri yazmayı yasaklayabilir ve bilgi sızıntısı olasılığı veya alevlenme durumunda raporlama yükümlülüğü getirebiliriz.

Bilgi Sızıntısı Önlemleri Grup Şirketlerinde Topluca Alınmalıdır

Büyük ölçekli bir şirket söz konusu olduğunda, birden fazla grup şirketi olabilir. Grup şirketleri arasında gizli bilgilerin paylaşılma olasılığı da vardır, ancak tüm grupların aynı seviyede güvenliğe sahip olduğu garanti edilemez.

Bu nedenle, örneğin, ana şirketten daha zayıf güvenliğe sahip bir yan kuruluşa izinsiz erişim yapmayı ve bilgiyi haksız yere elde etmeyi düşünenler de olabilir.

Bu tür bir duruma yanıt olarak, grup şirketlerinin bilgi sızıntısına karşı önlemleri ayrı ayrı alması yerine, grup şirketlerinin bilgi sızıntısına karşı önlemleri birlikte alması da önemlidir.

Özet: Bilgi Sızıntısı ile İlgili İç Yönetmelikler Hakkında Avukata Danışın

Yukarıda, şirketlerin hukuk departmanlarına yönelik olarak, bilgi sızıntısı riskini azaltmak için iç yönetmeliklerin nasıl düzenleneceği hakkında bilgi verdik. Bilgi sızıntısını önlemek için, çeşitli açılardan geniş kapsamlı önlemler almanın önemli olduğunu belirtmek gerekir.

Bu tür önlemlerle ilgili iç yönetmelikler hakkında, uzman görüşleri dahilinde dikkatli bir inceleme yapılması gerekmektedir. İç yönetmelikleri düzenlerken, uzman bilgisine sahip bir avukata danışmanızı öneririz.

İlgili Makale: Şirketlerin Kişisel Bilgi Sızıntısı ve Zarar Tazminatı Riski[ja]

Büromuz Tarafından Alınan Önlemler Hakkında Bilgi

Monolith Hukuk Bürosu, özellikle IT ve internet hukuku olmak üzere hukukun çeşitli alanlarında yüksek uzmanlığa sahip bir hukuk bürosudur. İç düzenlemelerin oluşturulmasında uzman bilgiye ihtiyaç duyulmaktadır. Büromuz, Tokyo Borsası’nda listelenen şirketlerden erken aşama girişimlere kadar çeşitli durumların gözden geçirilmesini gerçekleştirmektedir. Eğer iç düzenlemeler konusunda bir sorunuz varsa, lütfen aşağıdaki makaleye başvurunuz.

https://monolith.law/contractcreation[ja]