177 sayılı Cumhurbaşkanlığı Kararnamesi, Siber Güvenlik Başkanlığı'na ilişkin düzenlemeyi içerir. Merkezi bir siber güvenlik otoritesinin bulunması, kurumlar ve şirketler bakımından üç somut sonuç doğurur: tek bir muhatap oluşur, olay bildirimi ve denetim beklentisi netleşir, uyumsuzluğun idari sonuçları görünür hale gelir.
Merkezi Otoritenin Kurumsal Etkisi
Siber güvenlik yükümlülükleri uzun süre sektör düzenleyicileri arasında dağınık biçimde yürütüldü. Merkezi bir başkanlık, kritik altyapı sayılan alanlarda asgari güvenlik beklentilerinin ve olay yönetimi usullerinin tek elden şekillenmesi anlamına gelir. Bu nedenle şirket içi politikaların yalnızca sektörel mevzuata değil, bu merkezi çerçeveye de bakılarak güncellenmesi gerekir.
Kesişen Yükümlülükleri Ayırmak
- Kişisel veri boyutu: 6698 sayılı Kanun kapsamında veri ihlalinin ilgili kişilere ve Kurul'a bildirilmesi ile teknik ve idari tedbir yükümlülüğü.
- İçerik ve erişim boyutu: 5651 sayılı Kanun kapsamındaki yükümlülükler ve trafik bilgisi tutma esasları.
- Sektörel boyut: bankacılık, enerji, elektronik haberleşme gibi alanlarda kendi düzenleyicisinin ek şartları.
- Sözleşmesel boyut: müşteri ve tedarikçi sözleşmelerindeki bildirim ve sorumluluk hükümleri.
Bir siber olay, bu başlıkların birkaçını aynı anda tetikleyebilir; her biri farklı süre ve farklı muhatap içerir.
Olay Anında İlk Adımlar
- Kanıtı koru: sistemi acele silmek veya yeniden kurmak yerine imaj ve log kaydını güvenli biçimde saklayın.
- Kapsamı belirle: hangi sistem, hangi veri kategorisi ve kaç kişi etkilendi sorularını yazılı olarak cevaplayın.
- Bildirim haritası çıkar: hangi otoriteye, hangi sözleşme tarafına ve hangi ilgili kişiye bildirim gerektiğini listeleyin.
- Tek bir olay kronolojisi tut: tespit saati, müdahale adımları ve karar alanlar kayda geçsin.
Denetim ve Yaptırım Riskini Azaltmak
Denetimlerde en çok sorulan şey, olayın yaşanıp yaşanmadığı değil, öncesinde makul tedbirlerin alınıp alınmadığıdır. Yazılı güvenlik politikası, yetki matrisi, yama ve yedek yönetimi kayıtları, personel eğitim kayıtları ve tedarikçi denetim belgeleri bu savunmanın iskeletini kurar. Belgelenmemiş bir tedbir, uygulamada alınmamış sayılma riski taşır.
Adli Boyutun İhmal Edilmemesi
Saldırı aynı zamanda suç oluşturabilir. Türk Ceza Kanunu'nda bilişim sistemlerine yönelik fiiller ayrıca cezalandırılmıştır. Suç duyurusunda bulunurken, sistem kayıtlarının bütünlüğünü bozmadan sunulması ve zaman damgalarının tutarlılığı belirleyici olur.
Aktarılanlar genel çerçevedir. Yaşanan olayın niteliği ve sektörünüz farklı bildirim yükümlülükleri doğurabileceğinden, ihlal şüphesinde teknik ekiple birlikte hukuki desteği aynı anda devreye almanız daha güvenlidir.