AI SaaS Güvenliği: Verileriniz Nasıl Korunuyor? KVKK Uyumluluğu ve Best Practices

Aralık 24, 2025 MUSA ÜTEBAY

AI SaaS Güvenliği: Verileriniz Nasıl Korunuyor? KVKK Uyumluluğu ve İyi Uygulamalar

AI SaaS Güvenliği ve Veri Koruma Rehberi 🔒🛡️

AI SaaS, sınırsız veri güvenliği ve gizlilik kritik kullanıcılarına sahiptir. Bu ayrıntılı rehberde, bilgilerin nasıl korunduğunu, KVKK uyumluluğunu ve güvenlik açısından en iyi uygulamaları ayrıntılı olarak inceliyoruz.

🎯 Bu Rehberde Öğrenecekleriniz

Veri şifreleme ve güvenlik protokolleri
KVKK ve GDPR
Kullanıcı verileri
Güvenlik sertifikaları
İki faktörlü kimlik doğrulama
Veri koşu ve kurtar
Güvenlik alanındaki en iyi uygulamalar

🔐Veri Şifreleme ve Güvenlik

1. Aktarım Sırasında Şifreleme (Transitte)

TLS/SSL Protokolü:

✅ TLS 1.3 standardında kullanılır
✅ 256 bit
✅ Mükemmel İleri Gizlilik (PFS)
✅ HTTPS zorunluluğu (HTTP desteklenmez)

Sertifikalar:

Let's Encrypt SSL sertifikaları
Otomatik Yenileme
Joker karakter sertifikası desteği
A+ SSL Labs skoru

2. Depolama Sırasında Şifreleme (Durma Durumunda)

Veritabanı Şifreleme:

AES-256 şifreleme programları
Şifrelenmiş veri yedekleri
Anahtar rotau (her 90 günde)
Donanım Güvenlik Modülü (HSM) kullanımı

Dosya Depolama:

AWS S3 sunucu tarafı şifrelemesi
Şifrelenmiş dosya sistemleri
Güvenli dosya silme
Versiyonlama ve denetim izi

3. Uygulama Seviyesi Güvenliği

Kimlik Doğrulama:

Bcrypt parola karma işlemi
En az 12 karakterli şifre
İki faktörlü kimlik doğrulaması (2FA)
OAuth 2.0 ve OpenID Connect
Oturum zaman aşımı (30 dakika)

Yetkilendirme:

Rol tabanlı erişim kontrolü (RBAC)
Ayrıntılı izinler
API anahtarı yönetimi
IP beyaz liste desteği

📜 KVKK uyumluluğu

1. KVKK Nedir?

Kişisel Verilerin Korunması Kanunu (KVKK), Türkiye'de kişisel verilerin işlenmesini düzenleyen kanundur. 7 Nisan 2016'da kabul edilmiş, 24 Mart 2016'da ise evlenmişti.

2. Toplanan Veriler

Kişisel Veriler:

Reklam, soyad
E-posta adresi
Telefon numarası ( )
Şirket bilgileri (kurumsal hesaplar)
IP adresi ve cihaz bilgileri

Kullanım Verileri:

Giriş zamanları
Özellikleri
Üretilen içerik
API kullanım istatistikleri

Ödeme Bilgileri:

Kredi kartı bilgileri (PCI-DSS uyumlu 3. parti)
Fatura Bilgileri
İşlemler

3. Veri İşleme Amaçları

✅ Hizmet Sunumu
✅ Müşteri desteği
✅ Faturalama
✅ Ürün geliştirme
✅ Güvenlik ve dolandırıcılığın önlenmesi
✅ Yasal severler

4. Veri Saklama Süreleri

Veri Türü	Zaman	Sebep
Hesaplar	Hesap aktif olduğu sürece	Hizmet Sunumu
İçerik	Hesap aktif + 30 gün	Veri Koruma
Fatura Bilgileri	10 yıl	Yaşal
Günlükler	1 yıl	Güvenlik ve denetim
Pazarlama izinleri	O iptal edilene kadar	Pazarlama

5. Kullanıcı Hakları

KVKK Kapsamında Haklarınız:

1. Bilgi Talep Etme Hakkı:

Hangi gerçekleştiğinin işlendiğini öğrenme
sinsity amacını öğrenme
Verilerin aktarıldığı 3. tarafları öğrenme

2. Yan Hakkı:

Yanlış kesilmeyi talep etme
Eksik verilerin kesilmesini isteme

3. Silme Hakkı:

Verilerinizin silinmesini talep etme
İşleme amacının ortadan kalkması
Rızs geri dönüyor

4. İtiraz Hakkı:

Veri üretimine geçme
Otomatik karar alma seçeneklerine itiraz

5. Yetiştirmelik Hakkı:

Verilerinizi okuyabileceğiniz formatta alma
Başka bir hizmet sağlayıcıya transfer

6. Veri Talebi Nasıl Yapılır?

Başvuru Yöntemleri:

E-posta: kvkk@utebaylargrup.com
Hesap ayarları → Veri hakları
Yazılı başvuru (noter uygulaması)

Yanıt Süresi: En geç 30 gün içinde

Gerekli Bilgiler:

Reklam, soyad
TC kimlik numarası
İletişim Bilgileri
Talep konusu

🌍 GDPR uyumluluğu

1. GDPR Nedir?

Genel Veri Koruma Yönetmeliği (GDPR), AB'de kişisel verilerin korunmasını düzenleyenliktir. 25 Mayıs 2018'de kiminle oynadı.

2. GDPR Gereksinimleri

Yasal Dayanak:

Açık rıza (Rıza)
sözleşme gerekliliği
Yaşallar
Meşru Taraf

Veri Minimmak:

Sadece gerekli veriler kayıtlı
amaç dışı kullanım yapılmaz
Düzenli veri

Tasarımda Gizlilik:

Tasarımdan itibaren gizlilik
Varsayılan Gizlilik ayarları
Veri koruma etkisi değerlendirmesi

3. Veri İhlali'si

Süreç:

İhlal tespit edilir (anında)
Kişisel Verileri Koruma Kurulu'na Bildirim (72 saat)
Etkilenen hikayeler (gerekirse)
Düzeltici mutfak alınır

🏆 Güvenlik Sertifikaları

1. ISO 27001

Bilgi Güvenliği Yönetim Sistemi:

✅ Sertifikalı (2024)
✅ Yıllık denetim
✅ Risk yönetimi
✅ Sürekli iyileştirme

2. SOC 2 Tip II

Güvenlik, Kullanılabilirlik, Gizlilik:

Bağımsız denetim
Kontrol etkinliği
Operasyonel güvenlik
Yıllık rapor

3. PCI-DSS

Ödeme Kartı Güvenliği:

Seviye 1
Stripe ve iyzico
Kart bilgileri saklanmaz
Tokenizasyon Kullanımı

🔑 İki Faktörlü Kimlik Doğrulama (2FA)

1. 2FA Nedir?

İki faktörlü kimlik doğrulaması, hesap artışı artışı ek bir güvenlik korumasıdır.

2. Desteklenen Yöntemler

1. Kimlik Doğrulayıcı Uygulamaları:

Google Authenticator
Microsoft Kimlik Doğrulayıcı
Authy
1Password

2. SMS Doğrulama:

Türkiye operatörleri desteklenir
6 haneli kod
5 dakika geçerlilik

3. E-posta Doğrulama:

Yedek yöntem
Güvenlik kodu

4. Yedek Kodlar:

10 adet tek kullanımlık kod
Cihaz kaybında kullanım
Güvenli

3. 2FA Nasıl Aktif Edilir?

Hesap Ayarları → Güvenlik'e geçiş
"İki Faktörlü Kimlik Doğrulama" bölümü bulun
"Aktif Et" butonuna tıklayın
Yöntemi seçin (Kimlik Doğrulayıcı önerilir)
QR kodu tarayıcının veya kodu girin
Doğrulama kodunu girin
Yedek kodlar

💾 Veri Yedekleme ve Kurtarma

1. Stratejisi

Otomatik:

Günlük tam
Saatlik-smlı
Gerçek zamanlı replikasyon
Coğrafi olarak dağıtılmış

Yedek Lokasyonlar:

Birincil: İstanbul (AWS)
İkinci: Frankfurt (AWS)
Üçüncü: İrlanda (AWS)

2. Veri Ağrı

Hedeflenen İyileşme Süresi (RTO): 4 saat

Kurtarma Noktası Hedefi (RPO): 1 saat

Senaryoları:

Yanlışlıkla silme: 30 gün içinde kilitlenme
Hesap kapatma: 30 gün ödemesiz süre
Sistem arızası: Otomatik yük devretme
Felaket kurtarılıyor: 4 saat içinde

3. Manuel

Kullanıcı Yedekleme Seçenekleri:

Tüm verileri aktarın (JSON, CSV)
Seçili içerikleri indir
API ile otomatik rota
Zamanlanmış ihracat

🛡️ Güvenlik En İyi Uygulamaları

1. Güçlü Şifre Kazanma

Önericiler:

✅ En az 12 karakter
✅ Büyük ve küçük harf
✅ Rakam ve özel karakter
✅ Sözlük değiştirmek
✅ Hizmet için farklı şifre
✅ Şifre yöneticisi kullanın

Kötü Şifre Örnekleri:

❌ 123456
❌ şifre
❌ qwerty
❌ Doğum tarihi
❌ İsim + yıl

İyi Şifre Örneği:

✅ K7$mP9@xL2#nQ5
✅ Doğru-At-Pil-Zımba-42!

2. Hesap Güvenliği

Yapılması Gerekenler:

✅ 2FA'yı aktif edin
✅ Düzenli şifre değiştirildi (90 gün)
✅ Giriş aktivitelerini kontrol edin
✅ Şüpheli olayların ortaya çıkması
✅ Güvenli ağlar kullanın
✅ Cihazlarınızı güncel tutun

Yapıl gücü Gerekenler:

❌ Şifrenizi paylaşmayın
❌ Halka açık WiFi'de giriş yapılmayacak
❌ Phishing e-postalarına tıklamayın
❌ API anahtarlarını paylaşmayın
❌Tarayıcıda şifre kaydetmeyin

3. API'leriniz

En İyi Uygulamalar:

API anahtarlarını ortam değişkenlerindeki değişkenlerde
Ed'i düzenli olarak döndürün.
IP beyaz liste kullanıcıları
Hız sınırlama
HTTPS zorunlu tutun
Webhook'ları düzeltin

4. Ekip Güvenliği

Çoklu Kullanıcı Yönetimi:

En az yetki ilkesi
Rol tabanlı erişim kontrolü
Düzenli yetkilendirmeyi gözden geçirme
Çalışanın ayrılmasında erişim iptali
Denetim günlüğü

🚨 Güvenlik İhlal Durumunda

1. Şüpheli Aktivite Tespit Ettiyseniz

Hemen şifrenizi verin
2FA'yı aktif edin (değilse)
Tüm aktif oturumları sonlandırın
API anahtarlarını yenileyin
Destek ekibine bildirin

2. Kimlik Avı Saldırısı

Bila Bile:

Şaşklı gönderici adresi
Acil eylem talepleri
Yazım Grift
Şüpheli linkler
Beklenmeyenler