Sitenizin güvenliği GDPR kapsamında mı? HTTPS, güvenlik başlıkları ve 32. madde

Veri koruma denince çoğu site sahibinin aklına metinler gelir: aydınlatma metni, çerez politikası, rıza. GDPR, topladığınız veriyi nasıl koruduğunuza da bakar. İletişim formunuz şifresiz bir bağlantı üzerinden çalışıyorsa, özenle yazılmış metinler bu eksiği kapatmaz.

Bu yazı sitenizin dışarıdan görülebilen güvenlik katmanını ele alır: HTTPS ve sertifika, güvenlik başlıkları ve harici script'ler. Sunucu içi konular, yedekleme ve erişim yetkileri bu yazının kapsamı dışında.

Kaynaklar GDPR metni ile Fransa veri koruma otoritesi CNIL'in ve Fransa siber güvenlik ajansı ANSSI'nin yayımladığı rehberlerdir. GDPR'ın ölçütü, önlemin riske uygun olması ve düzenli olarak sınanmasıdır. Rehberler bu ölçütün bir internet sitesinde neye karşılık geldiğini gösterir.

Güvenlik neden bir veri koruma konusu

GDPR'ın 5. maddesi kişisel verilerin işlenmesine ilişkin ilkeleri sayar. Bunlardan biri bütünlük ve gizliliktir: veri, yetkisiz veya hukuka aykırı işlemeye ve kazara kayba, yok olmaya veya zarara karşı uygun teknik veya idari önlemlerle korunarak işlenmelidir.

Aynı madde hesap verebilirlik ilkesini de getirir: veri sorumlusu bu ilkelere uyduğunu gösterebilmelidir. Bu da hangi önlemi aldığınızı ve onu nasıl kontrol ettiğinizi ortaya koyabilmeniz anlamına gelir.

GDPR 32. madde ne istiyor

32. madde bir ölçüt koyar. Veri sorumlusu ve veri işleyen; teknolojinin geldiği düzeyi, uygulama maliyetini, işlemenin niteliğini, kapsamını, bağlamını ve amaçlarını, ayrıca kişilerin hak ve özgürlükleri bakımından riski dikkate alarak riske uygun bir güvenlik düzeyi sağlayan teknik ve idari önlemleri alır.

Madde örnek olarak dört başlık sayar: kişisel verilerin şifrelenmesi ve ek bilgi olmadan kime ait olduğu anlaşılmayacak biçimde tutulması (takma adlandırma), sistemlerin gizliliğini, bütünlüğünü, erişilebilirliğini ve dayanıklılığını sürekli sağlayabilmek, bir olay sonrasında veriye erişimi zamanında geri getirebilmek ve önlemlerin etkinliğini düzenli olarak test edip değerlendirmek.

Bir güvenlik olayı kişisel veri ihlaline yol açarsa ayrı bir yükümlülük devreye girer. 33. maddeye göre veri sorumlusu kişisel veri ihlalini gecikmeksizin ve mümkünse öğrendikten sonra en geç 72 saat içinde denetim otoritesine bildirir. İhlalin kişilerin hak ve özgürlükleri bakımından risk doğurması muhtemel değilse bu bildirim aranmaz.

Sitenizde kişisel veri nerelerde taşınıyor

GDPR kişisel veriyi, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar. Ad, konum verisi ve çevrimiçi tanımlayıcılar maddede örnek olarak geçer. Küçük bir tanıtım sitesi bile çoğu zaman bu tanıma giren veri taşır:

• İletişim ve teklif formları: ad, e-posta adresi, telefon, mesaj içeriği.
• Üyelik ve giriş sayfaları: kullanıcı adı, parola, oturum bilgisi.
• Sipariş ve ödeme adımları: adres ve ödeme bilgileri.
• Bülten kayıtları ve başvuru formları.

İlk adım bu noktaların listesini çıkarmaktır. Hangi sayfada form olduğunu ve o sayfada hangi harici servislerin çalıştığını bilmeden, aldığınız önlemin riske uygun olup olmadığını değerlendiremezsiniz. Sitenizi tarayarak sayfalarınızda çalışan üçüncü taraf servisleri görebilirsiniz.

HTTPS: aktarım sırasında şifreleme

HTTPS, ziyaretçinin tarayıcısı ile siteniz arasındaki bağlantıyı şifreler. CNIL, TLS'in tüm sitelerde yalnızca güncel sürümleriyle uygulanmasını temel önlemler arasında sayıyor. Rehbere göre TLS, kimlik doğrulama sayfalarında ve kişisel verinin gösterildiği veya iletildiği tüm sayfalarda zorunlu tutulmalı.

Gündelik dilde hâlâ SSL sertifikası denir, ancak TLS, SSL'in yerini almış protokoldür. ANSSI'nin TLS rehberi SSLv2, SSLv3, TLS 1.0 ve TLS 1.1 sürümlerinin kullanılmamasını, TLS 1.3'ün tercih edilmesini, TLS 1.2'nin de rehberdeki koşullarla kabul edilmesini öneriyor. ANSSI bu önerilerin, hassas bilgi işlemeyen siteler dahil, her sitede uygulanmasını gerekli görüyor.

ANSSI'nin belirttiği gibi siteler çoğu zaman HTTP bağlantılarını kabul edip HTTPS'e yönlendirir ve bu, saldırgana o bağlantıyı yakalama fırsatı bırakır. ANSSI bunun için HSTS başlığını gerekli görüyor: tarayıcıya siteye her erişimde HTTPS kullanmasını söyler. Tarayıcı bu kuralı siteyi ilk ziyaretinde öğrenir. ANSSI, ilk ziyareti de kapsamak için sitenin tarayıcıların önceden bildiği listeye kaydedilebileceğini belirtiyor.

Sertifika geçersiz olduğunda ne olur

Her sertifikanın bir geçerlilik süresi vardır. ANSSI'nin anlattığı gibi tarayıcılar geçersiz bir sertifikayla karşılaştığında güvenlik uyarısı gösterir. HSTS tanımlıysa ziyaretçi bu uyarıyı geçip siteye devam edemez.

ANSSI bu yüzden HTTPS erişiminin sürekliliğini HSTS'in vazgeçilmez ön koşulu sayıyor. CNIL de sertifikaların uygun düzeyde alınmasını ve gerektiği gibi yönetilmesini temel önlemler arasında sayar. ANSSI ayrıca alan adınız için düzenlenmiş gayrimeşru sertifikaları fark edebilmek amacıyla sertifika şeffaflık kayıtlarının izlenmesini öneriyor.

Güvenlik başlıkları ne işe yarar

Güvenlik başlıkları, sunucunuzun yanıtla birlikte tarayıcıya gönderdiği talimatlardır. Ziyaretçi bunları görmez, ama tarayıcının sayfayı nasıl işleyeceğini belirlerler. ANSSI'nin tarayıcı tarafı güvenlik standartları rehberi başlıca şunları öneriyor:

• Strict-Transport-Security (HSTS): tarayıcının siteye HTTPS ile bağlanmasını sağlar.
• Content-Security-Policy (CSP): sayfanın hangi kaynaklardan içerik yükleyebileceğini bir izin listesiyle sınırlar.
• Çerçeve koruması: CSP içindeki frame-ancestors ayarı sayfanızın başka bir sitenin içinde çerçeve olarak gösterilmesini kısıtlar ve tıklama tuzağına karşı korur. ANSSI ek koruma olarak X-Frame-Options başlığını da öneriyor.
• Referrer-Policy: tarayıcının başka bir siteye gönderdiği adres bilgisini sınırlar. ANSSI varsayılan davranışın korunmamasını öneriyor.

CNIL ayrıca kullanılan tüm çerezlerde Secure ve HttpOnly seçeneklerinin uygulanmasını temel önlemler arasında sayıyor.

Harici script'lerin güvenlik yönü

Bir analitik aracının veya içerik dağıtım ağından yüklenen bir kütüphanenin kodu sizin sunucunuzda durmaz. ANSSI, HTTPS kullanan sitelerde özellikle içerik dağıtım ağlarından gelen kaynaklar için bütünlük denetiminin (Subresource Integrity) sistematik olarak uygulanmasını öneriyor. Tarayıcı, dosya beklenen özetle eşleşmiyorsa onu engeller. Rehbere göre bu denetim yalnızca CSS ve JavaScript dosyalarında çalışır ve genellikle adresinde sürüm numarası bulunan kaynaklar gerektirir.

ANSSI ayrıca parola veya banka bilgisi gibi hassas verilerin girildiği sayfalarda reklam ve trafik analizi script'lerinin bulunmadığından emin olmak için içerik güvenlik politikasının kullanılabileceğini belirtiyor. CNIL'in temel önlemi de aynı yöndedir: kullanılan bileşen sayısını sınırlayın, izleyin ve güncel tutun.

Düzenli test

32. madde, önlemlerin etkinliğini düzenli olarak test etme ve değerlendirme sürecini de sayar. CNIL, sunucuda çalışan yazılımlarda en kritik işlemeler için zafiyet tespit araçlarının kullanılmasını tavsiye ediyor. Rehbere göre bu testler düzenli olarak ve her yeni sürüm yayına alınmadan önce yapılmalı.

Siteye yeni bir eklenti kurulduğunda veya barındırma taşındığında ayarlar da değişebilir. Kontrolü belirli aralıklarla tekrarlamak ve sonucu saklamak, hangi önlemi ne zaman kontrol ettiğinizi gösterebilmenizi de kolaylaştırır. Özellikler sayfasında zamanlanmış taramanın nasıl çalıştığını görebilirsiniz.

Sık yapılan beş hata

• HTTPS'i yalnızca giriş veya ödeme sayfasında açıp diğer sayfaları şifresiz bırakmak.
• HTTP bağlantılarını kabul etmeye devam edip HSTS tanımlamamak.
• HSTS tanımlı bir sitede sertifikanın geçersiz kalmasına izin vermek.
• Harici script'leri bütünlük denetimi olmadan, form bulunan sayfalar dahil her sayfaya yüklemek.
• Güvenlik ayarlarını site yayına alınırken bir kez yapıp bir daha kontrol etmemek.

Kontrol listesi

• Sitenizde kişisel veri toplanan sayfaların listesi var mı?
• Tüm sayfalar HTTPS ile mi açılıyor?
• Sunucunuz SSLv2, SSLv3, TLS 1.0 ve TLS 1.1 bağlantılarını reddediyor mu?
• Sertifikanızın bitiş tarihini kim, nasıl takip ediyor?
• HSTS, Content-Security-Policy, çerçeve koruması ve Referrer-Policy başlıkları tanımlı mı?
• Çerezlerde Secure ve HttpOnly seçenekleri açık mı?
• Harici script listeniz güncel mi, form sayfalarında gerekli olmayanlar kaldırıldı mı?
• Bu kontroller düzenli aralıklarla tekrarlanıyor ve sonuçları saklanıyor mu?

Bu listedeki maddelerin çoğu sitenize dışarıdan bakılarak kontrol edilebilir. DILAYS sitenizi tarar ve SSL, DNS, güvenlik başlıkları ile çerezler için bulguları ayrı ayrı gösterir. Hangi önlemin riskinize uygun olduğuna siz karar verirsiniz.