ISO/IEC 27018, bir bulut sağlayıcısının başkalarına ait kişisel verileri müşterisi adına işlerken uyması gereken davranış kurallarını tarif eder. Buluttaki genel güvenlik çerçevesinin üzerine, özellikle mahremiyet boyutunu ekler; verinin sahibi müşteri, işleyeni ise sağlayıcı olduğunda bu ayrımın getirdiği yükümlülükleri somutlaştırır.

ISO/IEC 27018, bulut sağlayıcısına “emanet edilen kişisel veriyi kendi malın gibi kullanamazsın” ilkesini kontrol düzeyinde yazan standarttır.

Sağlayıcının Emanetçi Konumu

Standardın çıkış noktası, bulut sağlayıcısının işlediği kişisel verinin sahibi olmadığıdır. Sağlayıcı bu veriyi yalnızca müşterinin talimatıyla işleyebilir; kendi pazarlaması ya da başka bir amacı için kullanamaz. Bu ilke, verinin reklam ya da profil çıkarma amacıyla ikincil kullanımını açıkça yasaklayan maddelerle güvenceye alınır ve müşteriye “verim benim kontrolümde kalıyor” güvencesi verir.

Getirdiği Somut Yükümlülükler

27018, soyut ilkeleri işleyen kurallara çevirir. Sağlayıcı, verinin hangi ülkelerdeki sunucularda tutulacağını müşteriye bildirmek, veriye erişen personelini gizlilik taahhüdüne bağlamak ve alt yüklenici kullanacaksa bunu şeffaf biçimde açıklamakla yükümlü olur. Bir yetkili makam veri talep ettiğinde ise sağlayıcının bunu mümkün olduğunca müşteriye haber vermesi beklenir.

• Kişisel verinin yalnızca müşteri talimatıyla işlenmesi
• Verinin bulunduğu coğrafyanın ve alt yüklenicilerin şeffaf bildirimi
• Veriye erişen personel için gizlilik taahhüdü ve erişim kaydı
• Sözleşme bitiminde verinin iadesi ve kalıntıların silinmesi

Mevzuatla İlişkisi

Bu standart bir yasa değildir, ama yasal yükümlülükleri karşılamayı kolaylaştıran teknik zemini kurar. GDPR ve KVKK 6698 sayılı kanun veri işleyene belirli sorumluluklar yükler; 27018’e uygunluk, sağlayıcının bu sorumlulukları karşıladığını gösteren güçlü bir kanıt sunar. Yine de standart tek başına yasal uyumu garanti etmez, onu tamamlar.

Hesap Verebilirlik ve Bildirim

Standardın öngördüğü kayıt ve şeffaflık düzeni, bir sorun çıktığında hesap verebilmeyi mümkün kılar. Kuruluşun mahremiyet süreçlerini yöneten veri koruma görevlisi için sağlayıcının tuttuğu erişim ve işleme kayıtları paha biçilmez bir kaynaktır; bir ihlal anında veri ihlali bildirimi KVKK süreçlerinin gerektirdiği “ne oldu, kim etkilendi” sorusuna hızlı yanıt vermeyi sağlar.

Kurumsal Değer

27018 uyumlu bir sağlayıcıyı tercih eden kuruluş, kişisel veriyi buluta taşımanın getirdiği belirsizliği azaltır ve denetimlerde gösterebileceği somut bir dayanak kazanır. Privia Security’nin altyapı ve mimari gözden geçirme hizmeti, bulut mimarisindeki kişisel veri akışlarını bu standardın kontrolleriyle karşılaştırarak zayıf noktaları erkenden ortaya çıkarır.