GDPR (Genel Veri Koruma Tüzüğü), kişisel verinin güvenliği için "uygun teknik ve organizasyonel önlemler" ister ve şifrelemeyi bu önlemlere örnek olarak anar. Avrupa'dan kullanıcıya hizmet veren Türk siteleri de bu kapsama girebilir. Tüzüğün uygulanması hukuki bir konudur; bu yazı yalnızca teknik tarafı özetler.
Şifrelemenin iki katmanı
- Aktarımda (in transit): Tarayıcı-sunucu ve sunucu-sunucu trafiği TLS ile korunur. Sertifika burada devreye girer.
- Saklamada (at rest): Veritabanı, disk ve yedekler AES-256 gibi güçlü algoritmalarla şifrelenir; anahtarlar veriden ayrı yönetilir.
Pratik uygulama
- Kişisel veri işlenen tüm sistemleri ve veri akışlarını listeleyin.
- Tüm web trafiğini HTTPS'e zorlayın; TLS 1.2/1.3 kullanın.
- Sunucular arası bağlantıları da (veritabanı, API, e-posta) TLS ile koruyun. Örneğin MySQL istemcisinde
--ssl-mode=REQUIREDkullanılabilir. - Disk veya veritabanı düzeyinde şifrelemeyi etkinleştirin ve yedekleri de şifreleyin.
- Parolaları düz metin değil, bcrypt/Argon2 gibi yavaş özetleme algoritmalarıyla saklayın.
- Anahtar ve sertifika yönetimi için sorumluluk ve yenileme takvimi belirleyin.
Sık yapılan hatalar
- Sadece ön yüzü HTTPS yapıp arka uçta düz metin trafik bırakmak.
- Şifreleme anahtarını veritabanıyla aynı yerde tutmak.
- Şifrelemeyi tek başına uyumluluk saymak; erişim kontrolü, silme hakkı ve ihlal bildirimi ayrıca gerekir.
Sertifika ve anahtar yönetimi
Şifrelemenin gücü anahtarın korunmasına bağlıdır. Özel anahtarları sınırlı kullanıcıların erişebildiği dizinlerde tutun, dosya izinlerini kısıtlayın (ör. Linux'ta chmod 600) ve yedeklerini ayrı, şifreli ortamlarda saklayın. Sertifikaların bitiş tarihlerini izleyin; süresi dolan bir sertifika kullanıcıya uyarı gösterir ve güveni zedeler.
Şifreleme, bir ihlal yaşansa bile verinin okunamaz kalmasını sağlayarak riski azaltır. Doğru sertifika türünü SSL seçim sayfasından belirleyebilir, güncel seçenekleri SSL sertifikaları bölümünde görebilirsiniz. Ayrıntılı yükümlülükler için mutlaka hukuk danışmanınıza başvurun.