Mobil Uygulama Güvenliği: KVKK ve GDPR Uyumlu Geliştirme

Mobil uygulama güvenliği; kullanıcı verisinin cihazda, ağda ve sunucuda korunmasını, kimlik doğrulamanın güvenli kurulmasını ve uygulamanın kötüye kullanıma dayanıklı olmasını kapsar. KVKK uyumlu bir uygulama ise yalnızca gereken veriyi toplar, kullanıcıyı aydınlatır, gerektiğinde açık rıza alır ve bu kararları kodda uygular. İkisi de tasarımın ilk gününden planlanmalıdır.

Bu rehber teknik riskleri OWASP'a, yasal yükümlülükleri KVKK ve Avrupa Komisyonu belgelerine, mağaza şartlarını Apple ve Google belgelerine dayandırıyor. Genel bilgi niteliğindedir, hukuki tavsiye değildir.

Mobil uygulamalarda en sık görülen güvenlik riskleri nelerdir?

Mobil uygulamalardaki yaygın risk grupları OWASP Mobile Top 10 listesinde toplanır. OWASP'ın proje sayfasına göre listenin güncel sürümü 2024 final sürümüdür. Liste, kimlik bilgilerinin yanlış kullanımından tedarik zinciri, iletişim, veri depolama ve şifreleme zayıflıklarına kadar geliştirme ekiplerinin kontrol etmesi gereken on başlığı sıralar.

Güncel sürümü OWASP'ın proje sayfası duyuruyor; başlıklar ise projenin resmî deposunda şöyle sıralanıyor:

• M1: Hatalı kimlik bilgisi kullanımı (Improper Credential Usage)
• M2: Yetersiz tedarik zinciri güvenliği (Inadequate Supply Chain Security)
• M3: Güvensiz kimlik doğrulama ve yetkilendirme (Insecure Authentication/Authorization)
• M4: Yetersiz girdi ve çıktı doğrulama (Insufficient Input/Output Validation)
• M5: Güvensiz iletişim (Insecure Communication)
• M6: Yetersiz gizlilik kontrolleri (Inadequate Privacy Controls)
• M7: Yetersiz ikili kod koruması (Insufficient Binary Protections)
• M8: Güvenlik yapılandırma hataları (Security Misconfiguration)
• M9: Güvensiz veri depolama (Insecure Data Storage)
• M10: Yetersiz kriptografi (Insufficient Cryptography)

Veriler cihazda nasıl güvenle saklanır?

Veriyi cihazda güvenle saklamanın ilk kuralı, gerekmeyen veriyi hiç saklamamaktır. Saklanması gereken oturum belirteçleri ve anahtarlar iOS'ta Keychain, Android'de Keystore gibi platformun güvenli depolama alanlarında tutulmalı; hassas veriler şifrelenmeli, günlük kayıtlarına, ekran görüntülerine ve yedeklere sızmaması sağlanmalıdır. OWASP bu riski M9, güvensiz veri depolama başlığında ele alır.

• Sırları koda gömmeyin: Uygulama paketine konan API anahtarı ya da şifre, paketi inceleyen biri tarafından bulunabilir. Gizli anahtarlar sunucuda kalmalıdır.
• Yerel veritabanını şifreleyin: Kişisel veri çevrimdışı kullanım için cihazda tutuluyorsa şifreli saklayın ve ne kadar süre tutulacağını belirleyin.
• Oturum kapanınca temizleyin: Çıkış yapıldığında belirteçleri, önbelleği ve geçici dosyaları silin.
• Hassas ekranları koruyun: Kart ya da sağlık bilgisi gösteren ekranların, uygulama arka plana alındığında görev değiştirici önizlemesinde görünmemesini sağlayın.

API ve kimlik doğrulama nasıl güvenli hale getirilir?

API güvenliğinin temel ilkesi, uygulamaya değil sunucuya güvenmektir. Mobil uygulama kullanıcının cihazında çalıştığı için incelenebilir ve değiştirilebilir; bu yüzden her istek sunucuda kimlik ve yetki kontrolünden geçmelidir. Tüm trafik TLS ile şifrelenmeli, girdiler sunucuda doğrulanmalı, oturum belirteçleri kısa ömürlü tutulmalı ve belirteç yenileme akışı da aynı özenle kurulmalıdır.

• Nesne düzeyinde yetki: Kullanıcı yalnızca kendi kayıtlarına erişebilmeli; bir kimlik numarasını değiştirerek başkasının verisini çağırabildiği uç nokta kalmamalıdır.
• Güçlü kimlik doğrulama: Ödeme, şifre ya da e-posta değişikliği gibi hassas işlemlerde ek doğrulama isteyin; başarısız deneme sayısını sınırlayın.
• İzleme ve hız sınırlama: Olağan dışı istek yoğunluğunu tespit edip sınırlayın, güvenlik olaylarını kayıt altına alın.

İş kurallarınıza özel bir backend gerekiyorsa bu kontrolleri özel yazılım geliştirme sürecinin en başında mimariye yerleştirin; sonradan eklenen yetki kontrolleri çoğu zaman bir uç noktayı atlar.

KVKK uyumlu mobil uygulama için ne gerekir?

KVKK uyumlu bir mobil uygulama; kişisel veriyi elde ederken kullanıcıyı aydınlatır, rızaya dayanan işlemler için ayrı ve geri alınabilir onay alır, yalnızca amaca gereken veriyi toplar, uygun güvenlik tedbirlerini uygular ve gerekiyorsa VERBİS kaydı ile yurt dışına aktarım kurallarını yerine getirir. Bu yükümlülükler uygulama sahibine, yani veri sorumlusuna aittir.

• Aydınlatma: KVKK'ya göre veri elde edilirken veri sorumlusunun kimliği, işleme amacı, verinin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi, hukuki sebebi ve kullanıcının hakları bildirilir; işleme açık rızaya ya da başka bir hukuki sebebe dayansa da aydınlatma yapılır.
• Açık rıza: Kurum'un açıklamasına göre rıza belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilir; genel ifadeli “battaniye rıza” geçersizdir ve rıza geri alınabilir. Onay kutularını önceden işaretlemeyin, rızayı kullanım koşullarıyla birleştirmeyin, geri alma seçeneğini ayarlarda sunun.
• Veri güvenliği: Veri sorumlusu uygun güvenlik düzeyi için gerekli teknik ve idari tedbirleri almak zorundadır ve veriyi onun adına işleyenlerle birlikte müştereken sorumludur.
• VERBİS: Kural olarak veri sorumluları veri işlemeye başlamadan önce sicile kaydolur; Kanun bazı halleri kapsam dışında tutar, Kurul da objektif kriterlere göre istisna getirebilir.
• Yurt dışına aktarım: Sunucu, analiz ya da bildirim servisleriniz yurt dışındaysa KVKK'nın 9. maddesi devreye girer. Kurum'un sayfasına göre 1 Haziran 2024'ten beri yeterlilik kararı, standart sözleşme gibi uygun güvenceler ve sınırlı istisnalardan oluşan aşamalı bir rejim uygulanıyor; Kurul henüz yeterli korumanın bulunduğu bir ülke belirlemedi.

Web sitenizdeki çerez ve aydınlatma düzeni için KVKK ve çerez politikası rehberimize bakabilirsiniz. Hangi işlemin hangi hukuki sebebe dayandığını bir KVKK uzmanıyla belirleyin.

GDPR Türkiye'deki bir uygulama için ne zaman geçerlidir?

GDPR, Avrupa Birliği'nde bir şubeniz olmasa bile AB'deki kişilere ücretli ya da ücretsiz mal veya hizmet sunuyor ya da onların davranışını izliyorsanız uygulamanız için geçerlidir. AB pazarına açılan bir uygulamada KVKK ile GDPR aynı anda uygulanabilir; bu yüzden iki düzenlemenin ortak ilkeleri tasarıma baştan yerleştirilmelidir.

Avrupa Komisyonu, AB'deki kişileri özellikle hedeflemeyen ve yalnızca seyahat eden müşterilerin AB'de de kullanabildiği bir hizmetin kapsam dışında kalabileceğini örnekler. Komisyon'un yükümlülükler sayfası ise veri korumanın tasarımla ve varsayılan olarak sağlanmasını ister: önlemler işleme faaliyetinin tasarımının en erken aşamasında alınmalı, varsayılan ayarlarda yalnızca amaç için gerekli veri işlenmeli, en kısa süre saklanmalı ve yalnızca gereken kişilere açılmalıdır. Takma adlandırma ve şifreleme bu yaklaşımın örnekleridir. Kişilerin hak ve özgürlükleri için risk taşıyan bir ihlal, farkına varıldıktan sonra en geç 72 saat içinde denetim otoritesine bildirilir.

App Store gizlilik ayrıntıları ve Google Play Veri güvenliği nasıl hazırlanır?

App Store'daki gizlilik ayrıntıları ile Google Play'deki Veri güvenliği bölümü, uygulamanın hangi verileri topladığını ve paylaştığını kullanıcıya indirmeden önce gösterir. İki beyan da yalnızca uygulamanın kendi koduna göre değil, eklediğiniz analiz, reklam ve hata izleme SDK'larının davranışına göre de doldurulmalı ve her sürümde güncel tutulmalıdır.

Apple'a göre bu bilgiler, uygulamaya entegre ettiğiniz üçüncü taraf ortakların uygulamaları dahil App Store Connect'te verilir ve yeni uygulama ile güncelleme göndermek için zorunludur; yanıtların doğru ve güncel tutulmasından geliştirici sorumludur. Android geliştirici belgeleri de Play Console'daki Veri güvenliği formunun uygulamanın topladığı ve paylaştığı kullanıcı verilerini açıkladığını, uygulamaya eklenen kütüphanelerin erişiminin de hesaba katılması gerektiğini ve beyanların eksiksiz ve doğru olmasından yalnızca geliştiricinin sorumlu olduğunu belirtir.

Güvenli mobil uygulama hangi adımlarla geliştirilir?

Güvenli mobil uygulama; veri envanteri ve tehdit modeliyle başlayan, güvenli mimari ve kodlama kurallarıyla süren, bağımsız testlerle doğrulanan ve yayından sonra düzenli güncellemeyle korunan bir süreçle geliştirilir. Güvenliği son haftaya bırakmak, mimari kararlar geri alınamaz hale geldiği için hem daha pahalı hem daha zayıf sonuç verir.

1. Veri envanteri çıkarın: Hangi veriyi, hangi amaçla, nerede ve ne kadar süre işlediğinizi yazın.
2. Tehdit modeli yapın: Kimin, neyi, nasıl kötüye kullanabileceğini OWASP Mobile Top 10 başlıklarıyla eşleştirin.
3. Veriyi en aza indirin: Amaca gerekmeyen alanları ve izinleri kaldırın, saklama sürelerini belirleyin.
4. Sunucuyu güvenceye alın: Her istekte yetki kontrolü, TLS, girdi doğrulama ve hız sınırlaması uygulayın.
5. Cihazda güvenli saklayın: Belirteç ve anahtarları platformun güvenli depolama alanında tutun, sırları koda gömmeyin.
6. Bağımlılıkları denetleyin: SDK ve kütüphaneleri güncel tutun, her birinin hangi veriyi topladığını bilin.
7. Test edin: Statik kod analizi ve bağımlılık taramasını sürekli, bağımsız sızma testini yayından önce yapın.
8. Metinleri ve beyanları hazırlayın: Aydınlatma metni, rıza ekranları ve iki mağazadaki gizlilik beyanlarını birbiriyle tutarlı hale getirin.
9. Olay müdahale planı yazın: Bir ihlalde kimin neyi ne sürede yapacağını ve kime bildireceğini önceden belirleyin.

Bu adımların genel takvime nasıl yerleştiğini mobil uygulama geliştirme süreci yazımızda anlattık.

Yayın öncesi kontrol listesi nasıl kullanılır?

Yayın öncesi kontrol listesi, teknik güvenliği ve yasal uyumu tek tabloda sınamanızı sağlar. Aşağıdaki tabloda her kontrolün neyi kapsadığını ve dayandığı kaynağı gösterdik: OWASP maddeleri teknik riskleri, KVKK ve GDPR yasal yükümlülükleri, mağaza satırları ise yayın şartlarını temsil eder. Her sürümden önce tabloyu yeniden gözden geçirin.

Uni Digital Group bu konuda ne yapıyor? Mobil projelerde veri envanterini ve güvenlik gereksinimlerini kapsam aşamasında sizinle birlikte çıkarıyor, yukarıdaki kontrolleri geliştirme ve test boyunca uyguluyoruz. Aydınlatma metni ve rıza gibi hukuki içeriklerin hukuk danışmanınızca onaylanmasını öneriyor, yazılım tarafında bu kararları uygulamaya dönüştürüyoruz. Ayrıntılar için mobil uygulama geliştirme hizmetimizi inceleyebilirsiniz.