Data Breach Reputation Response: Veri İhlali Sonrası Medya, Sosyal Medya ve Google Takibi
Data Breach Reputation Response; ilk 24–72 saatte iddia ve spekülasyonları ayıran, resmî açıklamalarla medya/sosyal/arama görünürlüğünü eşleştiren ve düzeltme gerektiren içerikleri önceliklendiren kriz izleme modelidir.
Kısa Cevap
Data Breach Reputation Response; ilk 24–72 saatte iddia ve spekülasyonları ayıran, resmî açıklamalarla medya/sosyal/arama görünürlüğünü eşleştiren ve düzeltme gerektiren içerikleri önceliklendiren kriz izleme modelidir.
Neden Önemli?
Veri ihlalinde teknik olay, hukuki bildirim ve itibar krizi aynı anda ilerler ancak aynı süreç değildir. KVKK bakımından veri sorumlusu ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapmak zorundadır. Etkilenen kişilere bildirim ise bu kişilerin belirlenmesini takiben makul olan en kısa sürede gerçekleştirilmelidir.
Bu 72 saatlik hukuki süre “72 saat boyunca kamuoyuna hiçbir şey söylemeyin” anlamına gelmez. Medyada yanlış sayı, yanlış veri türü veya gerçekte olmayan saldırı senaryoları yayılıyorsa şirketin doğrulanmış bilgilerle kontrollü iletişim kurması gerekebilir. Reputation Response modelinin görevi hukuk ekibinin bildirimini ikame etmek değil, doğrulanmış gerçeklerle dış dünyadaki anlatı arasındaki farkı izlemektir.
Şirketler Ne Yapmalı?
Data Breach Reputation Response Zaman Çizelgesi
- 0–4 saat: doğrulanmış gerçek seti oluşturun. Olayın bilinen zamanı, etkilenen sistem, teyit edilmiş veri türleri ve henüz bilinmeyen alanları birbirinden ayırın.
- 0–12 saat: tek kaynaklı iletişim oluşturun. Hukuk, bilgi güvenliği, yönetim ve iletişim ekibinin kullanacağı ortak incident fact sheet hazırlayın.
- 4–24 saat: medya ve sosyal medya baseline’ı alın. Haber sayısı, erişim, ana iddialar, yanlış bilgiler ve arama sonuçlarını kayıt altına alın.
- İlk 24 saat: spekülasyonları sınıflandırın. “Doğrulandı”, “yanlış”, “henüz doğrulanmadı” şeklinde üç seviyeli bilgi modeli kullanın.
- 72 saat hukuki saatini ayrı yönetin. KVKK’ya bildirim için olayın öğrenilme zamanı, sorumlu kişi ve gönderim kanıtı ayrıca tutulmalıdır.
- İlgili kişi iletişimini delille eşleştirin. Kimlerin etkilendiği, hangi veri kategorilerinin söz konusu olduğu ve kişilerin alabileceği önlemler netleştikçe bildirim güncellenmelidir.
- 72 saat sonrası anlatıyı takip edin. Eski haberlerin, yanlış sayıların ve arama sonuçlarının olay düzeltildikten sonra yaşamaya devam edip etmediğini izleyin.
B10 İçin Önerilen Ölçüm Modeli
| Katman | KPI | Amaç |
|---|---|---|
| Hız | Time to verified first statement | Spekülasyon boşluğunu azaltmak |
| Doğruluk | False / unverified claim count | Yanlış anlatıyı ölçmek |
| Medya | Correction rate | Yanlış haberlerin ne kadarının düzeltildiğini görmek |
| Sosyal | Misinformation recurrence | Aynı yanlış iddianın tekrarını izlemek |
| Negative / outdated SERP share | Arama görünürlüğündeki kalıcı etkiyi ölçmek | |
| Kanıt | Incident evidence completeness | Hukuk–teknik–iletişim kayıtlarını eşleştirmek |
İyi bir kriz skoru yalnız negatif mention sayısını ölçmez. Yanlış iddianın erişimi, doğrulanmış bilginin görünürlüğü, düzeltmenin hızı ve güncelliğini yitirmiş içeriğin Google’da kalıcılığı birlikte değerlendirilmelidir.
Kriz izleme ekranında doğrulanmış olay zamanı, ilk iç bildirim, Kurula bildirim, ilgili kişi iletişimi ve kamuya yapılan açıklamalar ayrı zaman damgalarıyla tutulmalıdır. Bu kronoloji medya veya sosyal medyada ortaya çıkan iddiaların olayın hangi aşamasında yayıldığını anlamayı kolaylaştırır. Özellikle “şirket geç bildirdi” veya “şu kadar kişinin verisi sızdı” gibi iddialar resmî zaman çizelgesiyle karşılaştırılabilir.
Google takibi yalnız marka adının ilk sayfasına bakmakla sınırlı kalmamalıdır. Marka + veri ihlali, marka + hack, marka + KVKK, marka + veri sızıntısı gibi olay sorgularında hangi haberlerin ve sosyal içeriklerin görünür kaldığı izlenmelidir. Yanlış veya güncelliğini yitirmiş sonuçlarda düzeltme, güncelleme, kaynak iletişimi veya uygun hukuki başvuru seçenekleri vaka bazında değerlendirilmelidir.
Kriz sonrası kapanış için de ölçülebilir kriter gerekir. Teknik açık kapatılmış ve bildirim yükümlülükleri tamamlanmış olsa bile yanlış bilgi hâlâ yüksek görünürlüğe sahipse reputation incident operasyonel olarak kapanmış sayılmamalıdır. Teknik, hukuki ve itibar kapanışlarının ayrı statülerde tutulması bu nedenle daha doğru bir modeldir.
Kriz boyunca tek bir doğrulanmış bilgi kaynağı kullanılmalıdır. Etkilenen kişi sayısı, veri kategorileri, olay tarihi veya saldırı yöntemi hakkında teknik ekipten, hukuk ekibinden ve iletişim ekibinden farklı rakamların çıkması ikinci bir itibar problemi yaratır. Bu nedenle dış iletişimde kullanılabilecek her kritik bilginin incident fact sheet üzerinde doğrulanmış, tarih damgalı ve sorumlusu belli bir versiyonu bulunmalıdır.
Uzman Değerlendirmesi
Data Breach Reputation Response teknik incident response’un yerine geçmez. Aynı şekilde KVKK kapsamındaki bildirim takvimi de medya veya sosyal medya için otomatik bir iletişim SLA’sı olarak yorumlanmamalıdır.
İletişimde kullanılacak kişi sayısı, veri kategorisi, olay nedeni ve alınan önlemler gibi kritik bilgiler incident fact sheet üzerinde doğrulanmış, tarih damgalı ve sorumlusu belli biçimde tutulmalıdır. Yeni teknik bulgu ortaya çıktığında iletişim versiyonu da buna göre güncellenmelidir.
Bu yapı medya, sosyal medya, Google ve AI-search sonuçlarında dolaşan eski veya yanlış bilgilerin hangi doğrulanmış olay verisiyle düzeltileceğini belirlemeyi kolaylaştırır.
İlgili İçerikler
Resmî ve Birincil Kaynaklar
- KVKK – 24.01.2019 tarihli ve 2019/10 sayılı Veri İhlali Bildirim Kararı
- KVKK – Veri ihlali bildirimi ve 72 saat uygulamasına ilişkin kamuoyu duyurusu
- KVKK – Travelport International Operations Limited veri ihlali bildirimi
72 saat, Kurula bildirim için uygulanan süredir; kriz iletişiminin otomatik olarak 72 saat bekletilmesi anlamına gelmez.
Sık Sorulan Sorular
Bu konu neden şimdi önemli?
Data Breach Reputation Response; ilk 24–72 saatte iddia ve spekülasyonları ayıran, resmî açıklamalarla medya/sosyal/arama görünürlüğünü eşleştiren ve düzeltme gerektiren içerikleri önceliklendiren kriz izleme modelidir.
Şirketler ilk olarak neyi kontrol etmeli?
Mevcut uygulamayı ve veri/iş akışını envanterleyin.
Tek seferlik kontrol yeterli mi?
Hayır. Dijital reklam, veri, platform ve itibar riskleri kampanya, satıcı, algoritma ve mevzuat değiştikçe yeniden oluşabildiği için periyodik izleme ve kayıt tutma gerekir.
B10 bu konuda ne sağlayabilir?
B10 Digital Agency; dijital risk envanteri, izleme modeli, teknik veri toplama, raporlama, içerik/itibar analizi ve uyum ekiplerinin kullanabileceği kanıt setlerinin oluşturulmasını birlikte kurgulayabilir.
