Azure SQL KVKK Uyumluluk Rehberi: Şifreleme, Audit, Yetkilendirme ve Veri Konumu

Azure SQL’de KVKK uyumu iki ayrı soruyu yanıtlamayı gerektirir: Veri nerede duruyor (yurt dışına aktarım), ve veri nasıl korunuyor (teknik ve idari tedbirler)? Azure SQL; şifreleme, erişim kontrolü, maskeleme ve denetim kayıtları için güçlü yerleşik özellikler sunar. Ancak bu özelliklerin açılması ve doğru yapılandırılması, verinin hangi bölgede tutulacağına karar verilmesi ve yurt dışına aktarım şartlarının yerine getirilmesi kurumun sorumluluğundadır.

Bu rehber, kişisel veri içeren veritabanlarını Azure SQL Database veya Azure SQL Managed Instance’a taşımayı değerlendiren ya da hâlihazırda kullanan kurumların BT yöneticileri ve KVKK sorumluları için hazırlandı. Teknik bir kontrol listesidir; hukuki görüş yerine geçmez. Kurumunuza özgü değerlendirmeyi hukuk danışmanınızla birlikte yapın.

Kısaca: KVKK İçin Azure SQL Kontrol Listesi

1. Veri Nerede Duruyor?

KVKK’nın 9. maddesi, kişisel verilerin yurt dışına aktarılmasını belirli şartlara bağlar. Madde, 7499 sayılı Kanun ile değiştirilmiş ve yeni düzenleme 1 Haziran 2024’te yürürlüğe girmiştir. Yeni düzenlemede aktarım; yeterlilik kararı, uygun güvencelerden biri (örneğin Kurul’un yayımladığı standart sözleşmeler) veya istisnai hallerden birine dayanabilir. Standart sözleşme kullanılması halinde sözleşmenin imzadan itibaren beş iş günü içinde Kurum’a bildirilmesi gerekir.

Azure SQL tarafında verinin konumunu belirleyen kararlar şunlardır:

Bankacılık gibi düzenlemeye tabi sektörlerde ek kurallar vardır: Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik, birincil ve ikincil sistemlerin yurt içinde bulunmasını şart koşar. Bu sektörlerde yurt dışı bölgelerdeki bulut veritabanları, birincil ve ikincil sistemler için uygun değildir.

2. Şifreleme

Durağan veri: TDE

Azure SQL Database’de yeni oluşturulan veritabanlarında TDE varsayılan olarak açıktır ve anahtarları Microsoft yönetir. Anahtarların kurumun kontrolünde olması gerekiyorsa, Azure Key Vault’ta tutulan müşteri yönetimli anahtar (BYOK) kullanılabilir. Mevcut veritabanlarınızın şifreleme durumunu şöyle kontrol edebilirsiniz:

SELECT d.name, d.is_encrypted, k.encryption_state_desc, k.encryptor_type
FROM sys.databases AS d
LEFT JOIN sys.dm_database_encryption_keys AS k ON k.database_id = d.database_id;

Hassas kolonlar: Always Encrypted

TDE, diskteki dosyaları korur; veritabanına bağlanan yetkili bir kullanıcı veriyi düz metin olarak görür. Always Encrypted ise belirli kolonları istemci tarafında şifreler; anahtarlar veritabanı motoruna hiç ulaşmaz. Böylece veritabanı yöneticileri ve bulut sağlayıcısı bile şifreli kolonların içeriğini göremez. Bu güçlü korumanın bedeli, şifreli kolonlarda yapılabilecek sorgu işlemlerinin sınırlı olmasıdır.

3. Kimlik Doğrulama ve Ağ Erişimi

• Microsoft Entra ID kimlik doğrulaması: Kullanıcıları merkezi kimlik yönetimine bağlar, çok faktörlü kimlik doğrulama ve koşullu erişim politikalarının uygulanmasını sağlar. Mümkünse yalnızca Entra kimlik doğrulamasına izin verin.
• Private Endpoint: Veritabanını genel internet uç noktası yerine sanal ağınız içindeki özel bir IP adresinden erişilebilir kılar.
• Güvenlik duvarı kuralları: Genel uç nokta kullanılıyorsa yalnızca gerekli IP aralıklarına izin verin; “tüm Azure servislerine izin ver” ayarının kapsamını değerlendirin.
• En az yetki: Uygulamalar ve kullanıcılar için görev bazlı roller tanımlayın; yüksek yetkili hesapları düzenli olarak gözden geçirin.

4. Maskeleme

Dynamic Data Masking, hassas kolonların yetkisi olmayan kullanıcılara maskeli gösterilmesini sağlar. Veri değişmez; maskeleme sorgu sonucunda uygulanır:

CREATE TABLE dbo.Customers (
    Id int IDENTITY PRIMARY KEY,
    FullName nvarchar(100),
    Tckn char(11) MASKED WITH (FUNCTION = 'partial(0, "*******", 4)'),
    Email nvarchar(200) MASKED WITH (FUNCTION = 'email()')
);
INSERT INTO dbo.Customers (FullName, Tckn, Email) VALUES (N'Ayşe Yılmaz', '12345678901', N'[email protected]');

CREATE USER SupportUser WITHOUT LOGIN;
GRANT SELECT ON dbo.Customers TO SupportUser;

EXECUTE AS USER = 'SupportUser';
SELECT FullName, Tckn, Email FROM dbo.Customers;
-- Ayşe Yılmaz | *******8901 | [email protected]
REVERT;

Dynamic Data Masking bir güvenlik sınırı değil, bir görünürlük kontrolüdür: sorgu yazabilen bir kullanıcı, filtreleme yoluyla maskeli değerleri tahmin edebilir. Maskelemeyi en az yetki ve denetim kayıtlarıyla birlikte kullanın. Test ortamları için kalıcı (statik) maskeleme gerekir; yöntemleri veri maskeleme rehberimizde anlattık.

5. Denetim Kayıtları

Azure SQL Auditing, veritabanı olaylarını bir depolama hesabına, Log Analytics çalışma alanına veya Event Hubs’a yazar. KVKK açısından denetim kayıtları, kişisel verilere kimin, ne zaman ve hangi işlemle eriştiğini gösteren temel kanıttır.

Azure SQL Database mi, Managed Instance mı?

Her iki servis de bu yazıdaki güvenlik özelliklerinin büyük bölümünü destekler; ancak ağ yapısı, özellik uyumluluğu ve yönetim sorumluluğu farklıdır. Seçim için Azure SQL Database, Managed Instance ve Azure VM karşılaştırmamıza göz atabilirsiniz.

KVKK Teknik Tedbirler Kontrol Listesi

Aryasoft ile Azure SQL

Aryasoft; Azure SQL Database, Managed Instance ve Azure VM üzerindeki SQL Server ortamlarınızı şifreleme, erişim kontrolü, maskeleme ve denetim kayıtları açısından inceler, eksikleri öncelik sırasıyla raporlar ve teknik yapılandırmayı uygular. Azure’a taşıma sürecinde veri konumu kararlarını ilk günden mimariye dahil ederiz. Ayrıntılar Azure hizmetleri sayfamızda. Gerçek bir örnek için ulusal bir sağlık ağının Azure’a taşınması hikâyemize göz atabilirsiniz.

Sıkça Sorulan Sorular

Kaynaklar

Bu rehberdeki teknik bilgiler Kasım 2026’da aşağıdaki kaynaklarla karşılaştırıldı. Mevzuat ve bulut hizmet özellikleri değişebilir; güncel durumu resmi kaynaklardan teyit edin.

1. Kişisel Verileri Koruma Kurumu
2. KVKK: Standart Sözleşme Bildirim Modülü Hakkında Kamuoyu Duyurusu
3. Microsoft Learn: Transparent data encryption for Azure SQL
4. Microsoft Learn: Always Encrypted
5. Microsoft Learn: Dynamic data masking
6. Microsoft Learn: Auditing for Azure SQL Database
7. Microsoft Learn: Automated backups (backup storage redundancy)
8. Microsoft Learn: Azure Private Link for Azure SQL Database
9. Microsoft Learn: Microsoft Entra authentication for Azure SQL