Veri imha sertifikası nedir?

Veri imha sertifikası, kişisel veri taşıyan bir diskin hangi tarihte, hangi yöntemle ve kim tarafından geri getirilemez hâle getirildiğini gösteren belgedir. Sunucu kiralayan, eski donanımını elden çıkaran ya da sağlayıcı değiştiren bir şirketin denetimde göstermesi gereken şey, verinin silindiğine dair bir sözden fazlasıdır: kayıttır. Sertifika bu kaydın kanıtıdır.

Bu yazı hukuki görüş değildir; belgenin teknik olarak neyi taşıması gerektiğini anlatır. Diskin kendisinin nasıl imha edildiğini sunucuda kişisel veri imhası yazımızda ayrıntılı anlattık.

Sertifika neden gerekir?

KVKK'nın 7. maddesi, işlenme sebebi ortadan kalkan kişisel verinin silinmesini, yok edilmesini ya da anonim hâle getirilmesini ister. Silme, yok etme ve anonim hâle getirme yönetmeliği de bu işlemlerin kayıt altına alınmasını ve kayıtların, başka hukuki yükümlülükler saklı kalmak üzere, en az üç yıl saklanmasını öngörür.

Kaydı siz tutarsınız; ama sunucudaki diske dokunan siz değilseniz kaydın dayanağı da sizde değildir. Kiraladığınız fiziksel sunucu hizmet sonunda sağlayıcıya döner, eski şirket sunucuları bir imha firmasına teslim edilir. Bu durumlarda kayda eklenecek kanıt, işi yapanın verdiği belgedir: imha sertifikası.

"KVKK sertifikası" ile karıştırmayın

Kişisel Verileri Koruma Kurumu sunucu, yazılım ya da firma sertifikalandırmaz; resmî bir "KVKK sertifikası" yoktur. İmha sertifikası da resmî bir onay değildir, işi yapan tarafın imzasıyla verdiği bir beyandır. Değeri bu yüzden içeriğine ve doğrulanabilirliğine bağlıdır: hangi diskin imha edildiğini seri numarasıyla söylemeyen bir belge, denetimde cevap değil yeni bir sorudur.

Bir imha sertifikasında neler olmalı?

Listede veri kategorisi ve imha sebebi yok, çünkü onları sağlayıcı bilmez; kendi imha kaydınıza siz yazarsınız. Sertifika kaydın yerini almaz, kayda eklenir.

İmzalı ve imzasız belge arasındaki fark

Logolu bir PDF'i herkes üretebilir. Bir belgenin sonradan değiştirilmediğini ve gerçekten iddia ettiği kuruluştan çıktığını gösteren şey dijital imzadır. Dijital imzalı sertifikada düzenleyen kuruluş açık anahtarını yayımlar; siz ya da denetçiniz belgeyi bu anahtarla, düzenleyene sormadan doğrularsınız. Tarih ya da seri numarası gibi tek bir alan değiştirilmişse doğrulama başarısız olur.

Kaşeli ve ıslak imzalı kâğıt belge de bir kanıttır; farkı, sahteciliğe karşı korumanın belgenin kendisinde değil, düzenleyene dönüp sorabilmenizde olmasıdır. Kayıtları en az üç yıl saklayacaksınız; o tarihte artık çalışmadığınız bir firmaya ulaşmak zorunda kalmamak, dijital imzanın asıl kazancıdır.

Sanal sunucuda neden fiziksel imha sertifikası alınmaz?

VDS ve bulut sunucuda size ait olan sanal disktir; altındaki fiziksel disk aynı anda başka müşterilerin verisini de taşır. Sağlayıcı sizin hizmetiniz bittiğinde paylaşılan fiziksel diski sıfırlayamaz, çünkü bu diğer müşterilerin verisini de yok eder. Sanal sunucuda yapılabilen, sanal diskin ve anlık görüntülerin kaldırılması ya da üzerine yazılmasıdır; yani mantıksal düzeyde silmedir. Bunu "fiziksel disk imha edildi" diye belgeleyen bir sertifika gerçeği yansıtmaz.

Disk düzeyinde, seri numaralı bir imha belgesine ihtiyacınız varsa disk yalnız size ait olmalıdır: fiziksel sunucu. Sanal sunucu kullanıyorsanız en sağlam yol, diski baştan şifreli kurmak ve hizmet sonunda anahtarı yok etmektir.

Hangi durumda sertifika istemelisiniz?

Kişisel veri taşıyan bir disk elinizden çıktığı her an bir imha anıdır. Pratikte dört durum öne çıkar:

• Hizmetin sona ermesi. Kiraladığınız sunucuyu bıraktığınızda diskler sağlayıcıda kalır ve büyük olasılıkla başka bir müşteriye tahsis edilir.
• Sağlayıcı değiştirmek. Taşınma bittiğinde eski sunucuda veri kalır; doğru sırayı sağlayıcı değiştirirken veri silme yazımızda anlattık.
• Disk değişimi. Hizmet sürerken arızalanıp sökülen disk de veri taşır. Değiştirilen diskin akıbetini sağlayıcınıza ayrıca sorun.
• Kendi donanımınızı elden çıkarmak. Ofisteki ya da kolokasyondaki sunucular satılmadan, hurdaya ya da imha firmasına verilmeden önce.

Saklama süresi dolan kayıtların sunucu üzerinde silinmesi ise sizin işinizdir; disk elinizden çıkmadığı sürece belge sizin imha kaydınızdır.

Sağlayıcıya sorulacak beş soru

1. Hizmet bittiğinde diskler hangi yöntemle temizleniyor ve bu yöntemin NIST SP 800-88 karşılığı ne?
2. İşlemden sonra diskten doğrulama okuması yapılıyor mu?
3. Bana verilen belgede diskin seri numarası yazıyor mu?
4. Belge dijital imzalı mı, imzayı nasıl doğrularım?
5. Yedekler ve anlık görüntüler bu işlemin kapsamında mı?

Yazılı cevap alamadığınız her soru, imha kaydınızda boş kalacak bir satırdır.

Turklokasyon'da imha sertifikası

Fiziksel sunucularımızda hizmet bittiğinde, açacağınız destek talebiyle diskleri kalıcı olarak imha ediyoruz. Sunucu ağdan yalıtılmış bir ortamda açılır, disk türüne göre en güçlü yöntem uygulanır ve sonuç diskten örnekleme okumasıyla doğrulanır. Turklokasyon imzalı Veri İmha Sertifikası PDF ve JSON olarak e-postanıza gelir. Ed25519 açık anahtarımızı yayımlıyoruz; belgeyi bizden bağımsız doğrulayabilirsiniz. Sertifikanın alanlarını ve süreci KVKK uyumlu sunucu sayfamızda gösteriyoruz.