Kurumsal LMS Bilgi Güvenliği ve KVKK Uyum Rehberi
CIO ve CISO onayı için bir LMS'i yalnızca eğitim deneyimiyle değil; veri akışı, erişim, kayıt, tedarikçi sorumluluğu ve yapay zekâ yönetişimiyle değerlendirin.
Kurumsal LMS seçimi, İK veya Öğrenme ve Gelişim ekibinin tek başına vereceği bir yazılım kararı değildir. Platform; çalışan profilleri, eğitim geçmişi, sınav sonuçları, sertifikalar, yetkinlik kayıtları ve bazen yöneticilerin performans notları gibi verileri işleyebilir. Bu nedenle CIO ve CISO'nun sorusu “Sistem kullanışlı mı?” ile sınırlı kalmaz. Asıl soru, hangi verinin hangi amaçla, kim tarafından, ne kadar süreyle ve hangi kontrol altında işlendiğidir.
Bu rehber, kurumsal LMS bilgi güvenliği ve KVKK değerlendirmesini satın alma sürecine taşımak için hazırlanmıştır. Bir ürünün “güvenli” veya “KVKK uyumlu” diye pazarlanması tek başına kanıt değildir. Kapsam, veri akışları, sözleşmeler, denetim kayıtları ve pilot kabul kriterleri birlikte incelenmelidir. Qulak da ancak kurumunuzun bu gereksinimleriyle uyumlu kanıt ve koşulları sunabildiği durumda kısa listeye alınmalıdır.
Teknik değerlendirmeyi erkenden başlatın: Güvenlik ve veri koruma gereksinimlerinizi Qulak ekibiyle paylaşarak hangi kanıtların sunulabileceğini netleştirin.
Ön görüşme başlatınCIO ve CISO onayı neden LMS'te kritik?
Kısa cevap: LMS, yalnızca içerik oynatan bir uygulama değil, çalışan yaşam döngüsünün bir parçasıdır. Kimlik bilgileri, eğitim katılımı, sınav ve sertifika kayıtları gibi veriler farklı sistemlerle eşleşebilir. Bu yüzden satın alma kararı; gizlilik, bütünlük, erişilebilirlik, mevzuat ve tedarikçi riskinin aynı çerçevede ele alınmasını gerektirir.
KVKK'nın 12. maddesi kapsamında veri sorumlusu; kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak için uygun teknik ve idari tedbirleri almakla yükümlüdür. Veri başka bir hizmet sağlayıcı tarafından işleniyorsa, veri sorumlusu ile veri işleyenin sorumlulukları sözleşme ve uygulama düzeyinde ayrıştırılmalıdır. [KVKK veri güvenliği yükümlülükleri]
Bu çerçevede, satın alma ekibi “sertifika var mı?” sorusundan önce kapsamı tanımlamalıdır. Bir güvenlik sertifikası veya denetim raporu, kurumunuzun tüm kullanım senaryolarını otomatik olarak kapsamayabilir. Hangi ortamın, hangi hizmetin, hangi tarihte ve hangi kontrol kapsamıyla değerlendirildiği mutlaka sorulmalıdır.
Kurumsal LMS bilgi güvenliği için temel kontrol listesi
Aşağıdaki kontrol listesi, RFP veya teknik şartnameye doğrudan uyarlanabilir. Her madde için yalnızca “evet” yanıtı değil, kanıt türü, sorumlu taraf ve gözden geçirme sıklığı de kayda alınmalıdır.
- Veri envanteri ve sınıflandırma: Kullanıcı hesabı, eğitim geçmişi, sınav sonucu, sertifika ve rapor verilerinin hangi kategoride olduğu; kişisel veya özel nitelikli veri içerip içermediği belirleniyor mu?
- Amaç, saklama ve imha: Her veri alanı için işleme amacı, saklama süresi, arşivleme koşulu ve silme veya anonimleştirme yöntemi tanımlı mı? Pasif hesaplar ve eski kayıtlar için yaşam döngüsü var mı?
- Kimlik ve erişim: SSO, çok faktörlü kimlik doğrulama, rol tabanlı yetki, en az ayrıcalık ilkesi ve yönetici erişimlerinin periyodik gözden geçirilmesi destekleniyor mu? Bu ifadeler ürün iddiası değil, tedarikçiden doğrulanması gereken kriterlerdir.
- Gizlilik ve aktarım: Veri aktarımında ve saklamada kullanılan şifreleme yaklaşımı, anahtar yönetimi, yedeklerin korunması ve olası yurt dışı aktarım senaryoları belgeleniyor mu?
- Loglama ve izlenebilirlik: Oturum açma, başarısız giriş, yetki değişikliği, veri dışa aktarma, silme ve yönetici işlemleri için değiştirilemezlik ve saklama politikası bulunuyor mu?
- Dayanıklılık ve geri dönüş: Yedekleme sıklığı, geri yükleme testi, kurtarma hedefleri, hizmet kesintisi iletişimi ve felaket kurtarma sorumlulukları sözleşmede açık mı?
- İhlal ve olay yönetimi: Şüpheli erişim, veri sızıntısı veya hizmet güvenliği olayı kime, hangi sürede ve hangi kanaldan bildirilecek? Tedarikçinin olay müdahale planı ve delil koruma yaklaşımı var mı?
- Alt işleyen ve çıkış planı: Barındırma, e-posta, analitik veya AI sağlayıcıları gibi alt işleyenler listeleniyor mu? Sözleşme bitiminde verinin makul bir formatta iadesi, silinmesi ve silme kanıtı nasıl sağlanacak?
“Kurumsal seviyede güvenlik” veya “KVKK uyumlu” gibi ifadeleri teknik şartnameye kabul kriteri olarak yazmayın. Bunun yerine mimari şema, kontrol matrisi, politika özeti, bağımsız denetim kapsamı, örnek sözleşme maddeleri ve pilot test çıktıları isteyin.
KVKK uyumunu satın alma kararına nasıl bağlamalı?
KVKK uyumu bir ürün etiketi değil, kurumun veri işleme faaliyetleriyle birlikte değerlendirilen bir yönetim sürecidir. LMS tedarikçisi teknik altyapıyı sağlayabilir; ancak işleme amacı, aydınlatma, hukuki sebep, ilgili kişi süreçleri, saklama politikası ve kurum içi yetkilendirme kararlarının sahibi çoğu senaryoda kurumun kendisidir.
Veri akışını görünür kılın
İK veya kimlik sağlayıcısından LMS'e, LMS'ten raporlara ve varsa üçüncü taraf hizmetlere giden akışı tek bir diyagramda gösterin. Her akışın amacı ve veri sahibi belirtilsin.
Yetkiyi görevle eşleyin
Çalışan, yönetici, eğitmen, İK ve sistem yöneticisi için hangi verinin görülebileceğini ayrı ayrı yazın. “Yönetici” rolünün tüm çalışan verilerine sınırsız erişmemesi temel bir kontrol noktasıdır.
Saklama süresini test edin
Bir hesabın kapatılması, çalışanın ayrılması veya bir kursun arşivlenmesi durumunda verilerin nasıl ele alındığını pilotta gözlemleyin. Silme, anonimleştirme ve yedeklerden çıkarma ayrımını netleştirin.
Sözleşmeyi teknik gerçekle eşleştirin
Veri işleyen, alt işleyen, ihlal bildirimi, denetim hakkı, destek erişimi, iade ve silme maddeleri ürünün gerçek operasyonuyla çelişmemeli. Hukuk ve güvenlik ekipleri birlikte incelemelidir.
NIST CSF 2.0, kuruluşların siber güvenlik risklerini anlamasına, önceliklendirmesine ve iletişim kurmasına yardımcı olan, ancak sonuçlara nasıl ulaşılacağını tek bir yöntemle zorunlu kılmayan bir çerçeve sunar. Bu nedenle LMS değerlendirmesinde “NIST uyumlu” ifadesini tek başına yeterli saymak yerine, kurumun kendi Govern, Identify, Protect, Detect, Respond, Recover hedefleriyle tedarikçi kontrollerini eşleyin. [NIST CSF 2.0]
LMS içinde yapay zekâ kullanımı: üç yönetişim sınırı
Yapay zekâ; içerik önerisi, soru taslağı, özetleme veya öğrenme analitiği gibi kullanım senaryolarında gündeme gelebilir. Ancak AI kullanımı, bilgi güvenliği ve KVKK kontrollerinin yerine geçmez. Özellikle çalışan davranışı veya performansı hakkında sonuç üreten akışlarda insan denetimi ve açıklanabilirlik ihtiyacı artar.
| Yönetişim ilkesi | Satın alma sırasında sorulacak soru | Minimum kanıt |
|---|---|---|
| Veri minimizasyonu | AI işlevi için gerçekten gerekli veri alanları hangileri? Eğitim amacıyla toplanan veri model eğitimi veya farklı amaçlarla yeniden kullanılıyor mu? | Veri alanı listesi, kullanım amacı, saklama ve silme politikası |
| İnsan denetimi | AI çıktısı bir çalışanın eğitim atamasını, değerlendirmesini veya kariyer kararını etkiliyorsa son onay kimde? | Onay akışı, itiraz mekanizması ve sorumlu rol tanımı |
| Kurumsal yönetişim | Hangi modeller ve alt sağlayıcılar kullanılıyor? Veriler nerede işleniyor? Model değişiklikleri ve hatalar nasıl izleniyor? | Sağlayıcı envanteri, değişiklik yönetimi, risk ve olay kayıtları |
Qulak değerlendirmesinde de aynı sınırlar geçerlidir: AI özelliği olduğu varsayılmamalı, varsa kapsamı ve veri işleme koşulları yazılı olarak doğrulanmalıdır. Kişisel verileri anonimleştirmek veya takma adlandırmak riski azaltabilir; fakat bu yöntemler her durumda veriyi kişisel veri olmaktan çıkarmaz. Hukuk ve bilgi güvenliği ekiplerinin görüşü, özellikle çalışan değerlendirmesine temas eden senaryolarda, sürecin zorunlu parçasıdır.
Tarafsız LMS satın alma karar tablosu
BoFU aşamasında amaç, “en çok özellik” listesini değil, kurum için kabul edilebilir risk ve işletim modelini bulmaktır. Aşağıdaki tablo Qulak dahil her tedarikçi için aynı sorularla kullanılabilir.
| Karar alanı | İstenecek kanıt | Kısa listeye alma ölçütü |
|---|---|---|
| Kimlik ve erişim | SSO/MFA kapsamı, rol matrisi, yönetici erişimi, erişim gözden geçirme yöntemi | Kurum politikalarıyla eşleşen, test edilebilir ve sorumlusu belirli kontrol |
| Veri ve barındırma | Veri konumu, alt işleyenler, aktarım senaryoları, yedek ve silme yaklaşımı | Veri akışı sözleşmeyle uyumlu; istisnalar ve riskler açıkça belgeli |
| Operasyonel güvenlik | Loglama, zafiyet yönetimi, olay bildirimi, süreklilik ve geri dönüş planı | Kanıt örneği sunulabiliyor; sorular yalnızca genel beyanla geçiştirilmiyor |
| Uyum ve denetim | Politikalar, denetim/sertifika kapsamı, veri işleyen maddeleri, denetim hakkı | Kurumun risk iştahı ve denetim gereksinimleriyle uyumlu sözleşme |
| Çıkış ve taşınabilirlik | Veri dışa aktarma formatı, geçiş desteği, silme teyidi ve sözleşme sonu prosedürü | Vendor lock-in riski ölçülebilir ve kabul edilebilir seviyede |
Qulak ne zaman değerlendirilebilir? Qulak; mimari, erişim, veri işleme, olay yönetimi, alt işleyenler, çıkış planı ve varsa AI kullanımına ilişkin sorularınıza kurumunuzun gerektirdiği ayrıntıda yanıt verebiliyor; bu yanıtları teklif ve sözleşme dokümanlarına taşıyabiliyor; ayrıca pilotta kabul kriterlerini gösterebiliyorsa değerlendirme kapsamına alınabilir. Bu, otomatik bir uyum veya güvenlik garantisi değildir. Nihai karar bağımsız teknik, hukuki ve operasyonel inceleme ile verilmelidir.
Pilot sonunda en az bir kullanıcı yaşam döngüsü, rol değişimi, başarısız giriş, yönetici raporu, dışa aktarma, hesap kapatma, silme talebi ve olay bildirimi senaryosunu test edin. Sonuçları “geçti/kaldı”, kanıt bağlantısı, sorumlu ve istisna notuyla kayıt altına alın.
Sıkça Sorulan Sorular
Bir LMS'in KVKK uyumlu olduğu nasıl değerlendirilir?
CIO ve CISO bir LMS tedarikçisinden hangi güvenlik kanıtlarını istemeli?
LMS içinde yapay zekâ kullanırken hangi sınırlar konulmalı?
Qulak hangi koşullarda kısa listeye alınabilir?
Kaynaklar ve uygulama çerçeveleri
Bu rehber, hukuki görüş veya sertifikasyon beyanı değildir. Güncel kurum politikaları, veri işleme faaliyetleri ve sözleşme koşulları ayrıca incelenmelidir.
- Kişisel Verileri Koruma Kurumu — Veri Güvenliğine İlişkin Yükümlülükler
- NIST — Cybersecurity Framework (CSF) 2.0
- ISO — ISO/IEC 27001:2022 Bilgi Güvenliği Yönetim Sistemleri
CIO/CISO değerlendirmesini kanıtlarla başlatın
LMS satın alma listenizde bilgi güvenliği, KVKK, veri taşınabilirliği ve AI yönetişimi başlıkları varsa, beklentilerinizi Qulak ekibiyle paylaşın. Hangi maddelerin doküman, demo, pilot veya sözleşme üzerinden doğrulanacağını birlikte netleştirin.
Güvenlik değerlendirmesi isteyin