# Yazılımınızı KVKK ve ISO 27001 beklentilerine göre kurun. > Yazılım ekipleri için güvenli geliştirme süreci, erişim ve loglama tasarımı, sistem bazında veri envanteri ve ISO 27001 denetim hazırlığı. Source: https://www.algofact.tech/tr/services/technology-assessment/kvkk-iso27001-compliance Language: tr-TR Updated: 2026-10-26 Languages: en-US, tr-TR ALGOFACT, yazılım ekiplerinin geliştirdiği ve işlettiği sistemleri 6698 sayılı KVKK ve ISO/IEC 27001:2022 beklentilerine göre düzenlemesine yardımcı olur: güvenli yazılım geliştirme süreci, erişim ve loglama tasarımı, sistem bazında kişisel veri envanteri ve denetim öncesi kanıt hazırlığı. Kendi bilgi güvenliği yönetim sistemimiz ISO/IEC 27001:2022 sertifikalıdır. Belgelendirme kuruluşu veya hukuk bürosu değiliz; hukuki görüş sizin hukuk danışmanınızdan gelir. ## Key facts - **Yasal çerçeve:** 6698 sayılı KVKK [1] - **Standart:** ISO/IEC 27001:2022 [2] - **ALGOFACT’in durumu:** ISO/IEC 27001:2022 sertifikalı - **Odak:** Yazılım sistemleri ve geliştirme ekipleri - **Rolümüz:** Teknik tasarım, uygulama ve kanıt - **Kapsam dışı:** Belgelendirme ve hukuki görüş ## Bu danışmanlık ne zaman doğru seçimdir? Şirketiniz ISO 27001 belgesine hazırlanıyor ama yazılım ekibi denetçinin ne soracağını bilmiyorsa, bir müşteri tedarikçi güvenlik anketinde kişisel verinin nerede tutulduğunu soruyor ve yanıt birkaç kişinin hafızasındaysa ya da yeni bir ürün KVKK gereklilikleri düşünülmeden tasarlanmışsa bu hizmet doğru başlangıçtır. Odak, politika metinlerinden çok yazılımın kendisidir: kod, altyapı, erişimler, loglar ve geliştirme süreci. Belgelendirmeyi akredite belgelendirme kuruluşları yapar; KVKK kapsamındaki yükümlülüklerin yorumu ise hukuk danışmanınızın işidir. Biz bu ikisinin arasındaki teknik boşluğu doldururuz: denetçinin ve hukukçunun istediği kontrollerin yazılımda nasıl uygulanacağını tasarlar, uygular ve kanıtlanabilir hâle getiririz. Kendi ISO/IEC 27001:2022 sertifikasyon sürecimiz, yazılım ekiplerinin denetimde nerede zorlandığını içeriden görmemizi sağladı. ## Çalışma alanları Her alan, denetçinin veya müşterinizin güvenlik ekibinin sorduğu somut bir soruya yanıt üretir. ### Güvenli yazılım geliştirme süreci Gereksinimlerde güvenlik ve gizlilik maddeleri, tehdit modelleme, kod inceleme kuralları, bağımlılık ve gizli anahtar taraması, güvenlik testleri ve canlıya alma onayı. Süreç Git, CI/CD ve iş takip sisteminiz gibi mevcut araçlarınıza eklenir. ### Erişim ve yetki tasarımı Rol bazlı erişim, en az yetki ilkesi, ayrıcalıklı hesapların yönetimi, çok faktörlü kimlik doğrulama ve işten ayrılan kişinin erişiminin kapatılması gibi kontrollerin uygulama ve altyapı düzeyinde tasarımı. ### Loglama ve izlenebilirlik Kişisel veriye kimin, ne zaman ve hangi işlemle eriştiğini kaydeden uygulama logları; logların değiştirilemez saklanması, saklama süreleri ve şüpheli erişim alarmları. ### Sistem bazında veri envanteri Her uygulamada hangi kişisel verinin hangi tabloda, hangi amaçla ve ne kadar süre tutulduğunu, kimlerle paylaşıldığını ve yurt dışına aktarılıp aktarılmadığını gösteren teknik envanter. Hukuk ekibinizin hazırladığı kayıtlar için girdi olarak kullanılır. ### ISO 27001 denetim hazırlığı Güvenli geliştirme, değişiklik yönetimi, yedekleme, zafiyet yönetimi ve tedarikçi güvenliği kontrolleri için kanıt toplama ve eksiklerin denetimden önce kapatılması için iş listesi. ## Çalışma nasıl ilerler ### Kapsam ve mevcut durum Hangi uygulamaların, altyapının ve ekiplerin kapsamda olduğunu belirler, mevcut politika, prosedür ve araçlarınızı inceleriz. ### Teknik boşluk analizi ISO/IEC 27001:2022 Ek A kontrollerinden yazılımla ilgili olanları ve hukuk danışmanınızın KVKK kapsamında belirlediği teknik tedbirleri; kod tabanı, altyapı ve süreçlerdeki gerçek durumla karşılaştırırız. ### Önceliklendirilmiş iş listesi Bulguları risk ve çaba düzeyine göre sıralar, her madde için sorumlu ve kabul ölçütü yazarız. ### Uygulama İsterseniz düzeltmeleri ekibinizle birlikte yaparız: CI/CD’ye güvenlik kontrolleri, erişim modeli, log altyapısı, şifreleme ve yedekleme ayarları. ### Kanıt ve devir Her kontrol için denetçiye gösterilecek kanıtı (yapılandırma, log örneği, kayıt, prosedür) hazırlar, ekibinizin süreci kendi başına sürdürmesi için eğitim ve runbook’ları devrederiz. ## Teslim edilenler ### Boşluk analizi raporu Kontrol bazında mevcut durum, bulgular ve risk seviyesi. ### Güvenli geliştirme süreci tanımı Ekibinizin araçlarına uyarlanmış süreç, kod inceleme kuralları ve canlıya alma kontrol listesi. ### Erişim ve log tasarımı Rol ve yetki matrisi, log şeması, saklama süreleri ve alarm kuralları. ### Teknik veri envanteri Sistem, tablo ve alan düzeyinde kişisel veri haritası ve veri akış şemaları. ### Denetim kanıt dosyası Kontrollerle eşleştirilmiş kanıtlar ve kapatılan bulguların kaydı. ## Neyi yaparız, neyi yapmayız - **Yaptığımız:** Yazılım ve altyapı tarafındaki kontrolleri tasarlamak ve uygulamak, teknik kanıtı hazırlamak, ekibinizi denetim görüşmelerinin teknik bölümüne hazırlamak. - **Belgelendirme:** ISO/IEC 27001 belgesini akredite belgelendirme kuruluşları verir. Belgelendirme kuruluşu değiliz ve belge alacağınızı garanti etmeyiz; denetim sonucu denetçiye aittir. - **Hukuki görüş:** Aydınlatma metni, açık rıza, VERBİS kaydı ve yurt dışına aktarım gibi konularda hukuki değerlendirme sizin hukuk danışmanınızdan gelir. Biz onların belirlediği gereklilikleri teknik tasarıma çeviririz. - **Politika yazımı:** Bilgi güvenliği politikalarının tamamını yazmak bu hizmetin odağı değildir. Güvenli geliştirme, erişim, loglama ve değişiklik yönetimi gibi teknik prosedürlere katkı veririz. ALGOFACT’in bilgi güvenliği yönetim sistemi ISO/IEC 27001:2022 sertifikalıdır ve şirket, kamu kurumlarında dijital iş yapma yetkisi veren Kamu Bilişim Yetki Belgesi’ne sahiptir. /work sayfasındaki örneklerden Özel Letoon Hastanesi için güvenlik altyapısı ve hastane yönetim sistemi yazılımı geliştirdik; sağlık verisi gibi özel nitelikli kişisel veri işleyen sistemlerde bu kontrollerin günlük işleyişini bu projelerden tanıyoruz. ## Sorular ### ISO 27001 belgesi almamızı garanti ediyor musunuz? Hayır. Belgelendirme kararı akredite belgelendirme kuruluşunun denetimine bağlıdır. Biz yazılım ve altyapı tarafındaki kontrollerin uygulanmasını ve kanıtlanmasını sağlayarak denetime hazırlıklı girmenize yardımcı oluruz. ### KVKK uyumu için hukuk danışmanımız yeterli değil mi? Hukuk danışmanınız yükümlülükleri ve gereken tedbirleri belirler. Bu tedbirlerin önemli bir kısmı (erişim kısıtı, loglama, şifreleme, saklama ve imha süreleri, veri envanteri) yazılımda uygulanmak zorundadır. Hukuk ekibinizle birlikte çalışır, onların kararlarını koda ve altyapıya çeviririz. ### Mevcut bir yazılımı mı, yeni bir projeyi mi kapsıyorsunuz? İkisini de. Mevcut sistemlerde boşluk analiziyle başlarız. Yeni projelerde gizlilik ve güvenlik gereksinimlerini tasarım aşamasında yazarak sonradan yapılacak maliyetli değişikliklerin önüne geçeriz. ### Bu çalışma sızma testi içerir mi? Bu hizmetin odağı süreç, tasarım ve kanıttır; sızma testi ayrı bir çalışmadır. Boşluk analizi, hangi güvenlik testlerinin gerektiğini ve hangi sıklıkla yapılması gerektiğini belirlemenize yardımcı olur. ### Süreyi ve maliyeti ne belirler? Kapsamdaki uygulama ve ekip sayısı, mevcut süreçlerin ne kadar belgelenmiş olduğu, işlenen kişisel veri çeşitliliği, denetim tarihinize kalan süre ve düzeltmeleri bizim mi yoksa ekibinizin mi yapacağı. Boşluk analizi ayrı bir aşama olarak kapsamlanabilir; sonraki adımları bulgulara göre yazılı olarak planlarız. ## Related - [Teknolojik Değerlendirme](https://www.algofact.tech/tr/services/technology-assessment) - [Yapay zeka danışmanlığı](https://www.algofact.tech/tr/services/technology-assessment/ai-consulting) - [Siber güvenlik](https://www.algofact.tech/tr/services/cloud/cybersecurity) - [Kalite ve bilgi güvenliği](https://www.algofact.tech/tr/quality) - [Keşif görüşmesi](https://www.algofact.tech/tr/contact) ## Sources 1. [Personal Data Protection Law (Law No. 6698)](https://www.kvkk.gov.tr/Icerik/6649/Personal-Data-Protection-Law), Kişisel Verileri Koruma Kurumu 2. [ISO/IEC 27001:2022 Information security management systems](https://www.iso.org/standard/27001), International Organization for Standardization