Bir kişisel veri ihlali yalnız bilgi güvenliği ekibinin çözmesi gereken teknik olay değildir. Müşteri verisinin yetkisiz kişilerce elde edilmesi veya erişilebilir hale gelmesi, markanın güvenilirliği ve müşterinin şirketle kurduğu ilişki üzerinde doğrudan etki yaratabilir.
Ancak bu etkinin büyüklüğü için bütün şirketlere uygulanabilecek sabit bir yüzde veya ortalama müşteri kaybı oranı bulunmaz. İhlalin niteliği, etkilenen veri, müşteri kitlesi, iletişim biçimi ve olay müdahalesinin kalitesi sonucu değiştirir.
Veri İhlali Neden İtibar Riskine Dönüşür?
Kullanıcı açısından teknik ayrıntıdan daha önemli soru çoğu zaman şudur: “Şirket verimi koruyabildi mi ve olaydan sonra bana doğru bilgi verdi mi?”
İtibar etkisi özellikle şu alanlarda görülebilir:
- müşteri güveni,
- markalı aramalar,
- sosyal medya konuşmaları,
- müşteri hizmetleri talepleri,
- haber görünürlüğü,
- review ve şikâyet davranışı.
İlk Adım: Olayın Gerçekliğini Doğrulayın
Kriz iletişimi teknik incelemeden kopuk yürütülmemelidir.
İlk aşamada:
- olayın ne zaman öğrenildiği,
- hangi sistemlerin etkilendiği,
- hangi veri kategorilerinin söz konusu olduğu,
- yetkisiz erişimin devam edip etmediği,
- olayın kontrol altına alınıp alınmadığı
netleştirilmelidir.
72 Saat Kuralı
KVKK kapsamında Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı Kararı, Kanun’daki “en kısa sürede” ifadesini veri sorumlusunun ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat olarak yorumlamaktadır.
Bu süre, iletişim ekibinin kamuoyu açıklamasını mutlaka 72 saat bekletmesi veya tam 72’nci saatte açıklaması anlamına gelmez. Hukuki bildirim ve kriz iletişimi birbirine bağlı fakat farklı süreçlerdir.
İlgili Kişilere İletişim
İhlalden etkilenen kişiler belirlendikten sonra doğru, anlaşılır ve uygulanabilir bilgi sunulmalıdır.
İletişimde:
- ne olduğu,
- hangi verilerin etkilenmiş olabileceği,
- şirketin aldığı tedbirler,
- kullanıcının alabileceği önlemler,
- iletişim kanalı
açık biçimde belirtilmelidir.
Spekülasyondan Kaçının
Henüz teknik olarak doğrulanmamış saldırgan, veri miktarı veya olay nedeni kesin bilgi gibi açıklanmamalıdır.
Yanlış ilk açıklama, veri ihlalinin kendisinden sonra ikinci bir güven krizine dönüşebilir.
Marka İtibarı Nasıl Ölçülür?
Sabit ve doğrulanmamış “itibar kaybı yüzdeleri” yerine şirketin kendi baseline verisi kullanılabilir.
- mention velocity,
- weighted sentiment,
- branded search değişimi,
- review trendi,
- support ticket hacmi,
- response SLA,
- kriz sonrası recovery süresi.
Search Reputation
Veri ihlali haberi kriz sona erdikten sonra da marka adıyla yapılan aramalarda görünmeye devam edebilir.
Bu nedenle kriz sonrası dönemde şirketin:
- güncel resmî açıklamasını,
- güvenlik güncellemelerini,
- sık sorulan soruları
kendi doğrulanmış dijital varlıklarında erişilebilir tutması önemlidir.
Post-Incident Review
Teknik düzeltmeden sonra olay kapatılmamalıdır.
İncelenmesi gereken başlıklar:
- ilk alarm ne zaman oluştu?
- olay ne zaman öğrenildi?
- escalation doğru çalıştı mı?
- hukuk, IT ve iletişim aynı veriyle mi çalıştı?
- müşteri sorularına ne kadar sürede cevap verildi?
- hangi teknik ve idari kontrol değiştirildi?
Veri İhlali Sonrası İtibar Kontrol Listesi
- Öğrenme zamanı kayıt altına alındı mı?
- İhlal kapsamı doğrulandı mı?
- 72 saatlik KVKK süreci yönetiliyor mu?
- İlgili kişi iletişimi planlandı mı?
- Tek bir doğrulanmış mesaj merkezi var mı?
- Social listening ve branded search izleniyor mu?
- Yanlış bilgi ve sahte paylaşımlar takip ediliyor mu?
- Post-incident review yapıldı mı?
B10 Yaklaşımı
B10 Digital Agency veri ihlali sonrasındaki dijital riski teknik olay, hukuki yükümlülük ve online itibar katmanlarını birlikte değerlendirerek ele alır.
Resmî Kaynak
KVKK – 24.01.2019 tarih ve 2019/10 sayılı Veri İhlali Bildirim Kararı
Sonuç
Veri ihlalinin itibar etkisini kaynaksız genel yüzdelerle ifade etmek yerine şirketin gerçek müşteri, arama, destek ve sosyal dinleme verileriyle ölçmek gerekir. Güvenin korunmasında en önemli unsur hızlı ama doğrulanmış ve tutarlı olay yönetimidir.
Bu içerik genel bilgilendirme amaçlıdır.
