VMware KVKK Teknik Tedbirler Rehberi (2026)

VMware KVKK teknik tedbirler rehberi hazırlarken en kritik hata, sanallaştırma katmanını yalnız altyapı verimliliği konusu olarak görmek ve kişisel veri güvenliği yükümlülüklerini işletim sistemi seviyesine bırakmaktır. Oysa vCenter, ESXi, sanal ağlar, sanal diskler ve yönetim hesapları doğrudan kişisel veri işleme zincirinin parçası olabilir. Kısa cevap şudur: KVKK açısından güvenli bir VMware ortamı kurmak için erişim kontrolü, loglama, şifreleme, ağ izolasyonu, yedekleme ve denetlenebilir yönetim modeli birlikte tasarlanmalıdır.

Bu rehber özellikle şu ekipler içindir:

• VMware ve vSphere yöneticileri
• KVKK uyumundan sorumlu BT ve bilgi güvenliği ekipleri
• sanallaştırma altyapısında teknik tedbir seti kurmak isteyen kurumlar
• denetimde savunulabilir kontrol modeli arayan yöneticiler

Hızlı Özet

• KVKK, veri sorumlularının uygun güvenlik düzeyini sağlamak için teknik ve idari tedbirleri birlikte uygulamasını bekler.
• KVKK rehberi; yetki matrisi, log kayıtları, güncel yazılım, şifreleme, ağ güvenliği ve erişim kontrolü gibi başlıkları açıkça teknik tedbir setinin parçası olarak konumlandırır.
• Broadcom KB 425190, Lockdown Mode açıkken ESXi hosta doğrudan erişimin tüm kullanıcılar için kapandığını ve yalnız Exception Users listesiyle istisna tanımlanabildiğini açıkça belirtir.
• Broadcom KB 426739, SSH servis durumunu değiştirebilmek için rol içinde Security profile and firewall ayrıcalığının gerekli olduğunu gösterir; bu da least-privilege modelini destekler.
• Broadcom KB 396471, vSphere Native Key Provider olmadan sanal makine şifreleme işlevlerinin başlatılamayacağını belirtir; bu, KVKK açısından şifreleme kontrolünün merkezi planlanması gerektiğini gösterir.
• ESXi parola politikası rehberinde güçlü parola örneği için 14 karakter ve dört karakter sınıfı yaklaşımı verilir.

İçindekiler

• KVKK Açısından VMware Teknik Tedbirler Neleri Kapsar?
• Erişim Kontrolü ve Yetkilendirme Nasıl Kurulmalı?
• Loglama ve İzleme Neden Kritik?
• Şifreleme, Yedekleme ve Ağ İzolasyonu Nasıl Ele Alınmalı?
• Kontrol Listesi
• Sık Sorulan Sorular

Görsel: Wikimedia Commons - Rear of rack at NERSC data center.

KVKK Açısından VMware Teknik Tedbirler Neleri Kapsar?

KVKK'nın veri güvenliği yükümlülükleri sayfası ile Kişisel Veri Güvenliği Rehberi birlikte okunduğunda teknik tedbir mantığı nettir: kişisel verinin işlendiği veya erişildiği her teknoloji katmanı risk bazlı korunmalıdır. VMware ortamlarında bu katmanlar şunlardır:

• vCenter yönetim erişimi
• ESXi host güvenliği
• sanal makine diskleri ve snapshot zinciri
• sanal ağ segmentleri
• log ve alarm sistemi
• yedekleme ve geri yükleme akışı

Bu nedenle “uygulama güvenli, VMware tarafı yalnız taşıyıcı” yaklaşımı KVKK açısından zayıftır. Sanallaştırma katmanında zayıf erişim kontrolü veya yetersiz loglama varsa kişisel veri güvenliği zinciri kırılmış olur.

Erişim Kontrolü ve Yetkilendirme Nasıl Kurulmalı?

KVKK rehberi teknik tedbirler arasında yetki matrisi, kullanıcı hesap yönetimi ve erişim loglarının önemini açıkça vurgular. VMware tarafında bunun karşılığı yalnız admin hesabı sayısını azaltmak değildir.

1. Lockdown Mode ve doğrudan host erişimi

Broadcom KB 425190, Lockdown Mode etkinleştirildiğinde ESXi hosta doğrudan kimlik doğrulamanın kapandığını, yalnız Exception Users ile sınırlı istisna tanımlanabildiğini belirtir. KVKK açısından bunun değeri şudur:

• doğrudan host erişimi daralır
• merkezi yönetim vCenter üzerinden izlenir
• servis hesabı istisnaları açıkça listelenebilir

2. Rol bazlı yetki verme

Broadcom KB 426739, SSH servisini açıp kapatmak için her admin hesabının değil, yalnız uygun role sahip kullanıcıların yetkili olması gerektiğini gösterir. Bu detay önemlidir çünkü KVKK tarafında “herkes her şeyi yapabiliyor” modeli savunulamaz.

Pratikte şu kurallar faydalıdır:

• named account kullan
• root veya full-admin kullanımını istisnaya indir
• role göre privilege ver
• shell ve servis yönetimi yetkisini ayrı değerlendir

3. Permission inheritance çatışmalarını izle

Broadcom KB 427552, alt seviyede verilen daha kısıtlayıcı explicit permission'ın üst seviyeden gelen global yetkileri ezebildiğini anlatır. Bu, erişim modelinin yalnız tanımlanması değil, düzenli gözden geçirilmesi gerektiğini gösterir.

4. Güçlü parola politikası

Broadcom KB 412881, ESXi tarafında güçlü parola örneği olarak 14 karakter ve dört karakter sınıfını kullanan örnek yapılandırmayı açıklar. KVKK açısından parola disiplini, erişim kontrolünün temel parçasıdır.

Loglama ve İzleme Neden Kritik?

KVKK karar özetleri ve rehberleri, erişim kontrolü kayıtlarının ve güvenlik yazılımı mesajlarının düzenli takip edilmemesini açık risk göstergesi olarak ele alır. VMware ortamında loglama şu katmanlarda ele alınmalıdır:

• vCenter görev ve olay kayıtları
• ESXi host logları
• kimlik doğrulama ve yetki hataları
• ağ ve güvenlik alarm korelasyonu

Yalnız log üretmek yeterli değildir. Güçlü model şu sorulara cevap verir:

• kim hangi objeye erişti
• hangi ayrıcalıkla işlem yaptı
• hangi olay alarm üretti
• bu alarm kim tarafından incelendi

Bu nedenle VMware logları SIEM veya merkezi log platformuna aktarıldığında, yalnız saklama değil review disiplini de kurulmalıdır.

Şifreleme, Yedekleme ve Ağ İzolasyonu Nasıl Ele Alınmalı?

Şifreleme

Broadcom KB 396471, vSphere Native Key Provider yapılandırılmadan şifreleme görevlerinin başlatılamayacağını açıkça belirtir. Yani sanal makine veya vTPM tabanlı güvenlik modeli için anahtar yönetimi merkezi olarak planlanmalıdır.

KVKK açısından bu şu anlama gelir:

• yalnız disk şifreleme değil, anahtar yaşam döngüsü de kontrol altına alınmalı
• anahtar sağlayıcı yedekleri tutulmalı
• kimlerin şifreleme politikası değiştirebildiği sınırlandırılmalı

Yedekleme

Kişisel veriler için yedek, yalnız operasyonel kurtarma değil; veri güvenliği ve süreklilik tedbiridir. Ancak yedekler şifrelenmemiş, test edilmemiş veya fazla geniş erişime açıksa yeni risk üretir.

Ağ izolasyonu

KVKK rehberi ağ güvenliği tedbirlerini teknik kontrol setinin parçası sayar. VMware tarafında bu, üretim ağı ile:

• yönetim ağı
• yedekleme ağı
• replikasyon ağı
• test/lab segmentleri

arasında net sınırlar kurulması anlamına gelir. Yönetim ağı ile kullanıcı trafiğinin aynı broadcast alanında kalması veya kritik VM'lerin gereksiz aynı segmentte tutulması KVKK için zayıf pratik sayılır.

İlgili İçerikler

• VMware ESXi Hardening Guide ISO 27001 Uyumu
• ISO 27001 VMware Backup Gereksinimleri
• VMware Datastore Encryption ISO 27001 Uyumu

Kontrol Listesi

• vCenter ve ESXi için named account temelli rol matrisi tanımlandı
• Lockdown Mode ve Exception Users listesi gözden geçirildi
• SSH ve shell erişimi yalnız gerekli roller için sınırlandı
• ESXi parola politikası ve hesap kilitleme davranışı değerlendirildi
• Merkezi log toplama ve düzenli review akışı kuruldu
• Native Key Provider ve şifreleme politikası dokümante edildi
• Yönetim, üretim, yedekleme ve replikasyon ağları ayrıştırıldı
• Yedekleme ve geri yükleme testleri düzenli plana bağlandı

LeonX ile Sonraki Adım

VMware KVKK teknik tedbirler rehberi, yalnız birkaç güvenlik ayarını listelemekten ibaret değildir; erişim, log, şifreleme, ağ ve yedekleme katmanlarını aynı kontrol modeline bağlamak gerekir. LeonX, VMware ortamlarınız için hem teknik tedbir mimarisini hem de denetimde savunulabilir kanıt setini birlikte tasarlamanıza yardımcı olur.

İlgili sayfalar:

• Business Management Hizmetleri
• Siber Güvenlik Değerlendirme Hizmeti
• Kurumsal Sanallaştırma Platformları Satış ve Lisanslama
• İletişim

Sık Sorulan Sorular

KVKK için yalnız sanal makine içindeki güvenlik önlemleri yeterli mi?

Hayır. KVKK açısından vCenter, ESXi, ağ segmentleri, log sistemi ve yedekleme zinciri de korunması gereken teknik katmanlardır.

Lockdown Mode KVKK için neden önemlidir?

Doğrudan host erişimini azaltır ve yönetim faaliyetlerini daha merkezi, izlenebilir ve sınırlı hale getirir.

VMware tarafında loglama neden bu kadar kritik?

Çünkü erişim kontrolü kayıtları ve olay geçmişi olmadan teknik tedbirlerin gerçekten uygulanıp uygulanmadığı savunulamaz.

Şifreleme için yalnız disk encryption yeterli midir?

Hayır. Anahtar yönetimi, key provider sürekliliği ve yetki modeli de şifreleme kontrolünün parçasıdır.

KVKK teknik tedbirleri neden VMware seviyesinde ayrıca ele almak gerekir?

Çünkü kişisel veri çoğu zaman uygulama katmanında işlense de o veriye erişim, taşıma, kopyalama ve yedekleme altyapı katmanından geçer.

Kaynaklar

• KVKK - Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler)
• KVKK - Veri Güvenliğine İlişkin Yükümlülükler
• KVKK - Kullanıcı Güvenliğine İlişkin Tavsiye Edilen Teknik ve İdari Tedbirler
• Broadcom KB 425190 - Managing Exception Users in ESXi Lockdown Mode
• Broadcom KB 426739 - Privilege required to enable SSH on hosts
• Broadcom KB 412881 - ESXi Password Policy & Account Lockout
• Broadcom KB 396471 - Configure vSphere Native Key Provider
• Broadcom KB 427552 - Explicit child permissions can override higher-level access
• Wikimedia Commons - Rear of rack at NERSC data center