Siber Olaylara Müdahale Ekiplerinin Kuruluş, Görev ve Çalışmalarına Dair Usul ve Esaslar Hakkında Tebliğ, kurumsal ve sektörel müdahale ekiplerinin nasıl kurulacağını, hangi olayları bildireceğini ve koordinasyonun nasıl sağlanacağını düzenler. Elektronik haberleşme ve bilgi güvenliği mevzuatının kesişiminde yer alan bu düzenleme, bir siber olayın teknik yönetimi kadar hukuki sonuçlarını da şekillendirir.
Ekip Kurma Yükümlülüğü Kimi Kapsar
Yükümlülük, kritik altyapı işleten kuruluşlar ile ilgili sektör düzenlemelerine tabi kurumlar bakımından öne çıkar. Ekibin yalnızca kâğıt üzerinde tanımlanması yeterli değildir; sorumlu personelin adının, iletişim bilgisinin ve yedeğinin güncel tutulması, mesai dışı ulaşılabilirliğin sağlanması beklenir.
Olay Bildiriminde Zamanlama ve İçerik
Bildirimin geciktirilmesi, olayın kendisinden daha ağır sonuçlar doğurabilir. Bildirim yazısında bulunması gereken asgari unsurlar şunlardır:
- Olayın ilk tespit edildiği an ile başlangıç tahmini arasındaki fark
- Etkilenen sistemler, servisler ve etki alanının büyüklüğü
- Yayılmayı durdurmak için alınan ilk tedbirler
- Kişisel veri sızıntısı olasılığına ilişkin ilk değerlendirme
Kişisel Verilerin Korunması Mevzuatıyla Kesişim
Bir siber olayın kişisel veri ihlali boyutu varsa, teknik bildirim yükümlülüğünün yanında Kişisel Verilerin Korunması Kanunu kapsamındaki ihlal bildirimi de ayrıca gündeme gelir. Bu iki hattın birbirinin yerine geçmediğinin farkında olmak gerekir. Aynı olayda ilgili kişilere yapılacak bilgilendirmenin içeriği de ayrı bir sorumluluk doğurur.
Delil Bütünlüğü ve Kayıtların Saklanması
Müdahale sırasında sistemlerin aceleyle yeniden kurulması, saldırının izlerini de silebilir. Adli sürece intikal edebilecek olaylarda kayıt bütünlüğü belirleyicidir. İnternet ortamındaki yayınlara ilişkin mevzuatta öngörülen trafik kayıtlarının tutulması ve doğruluğunun korunması yükümlülüğü ile müdahale pratiği çelişmemelidir. Uygulamada şu sıralama önerilir: imaj alma, zaman damgalı kayıt, ardından temizlik ve yeniden yapılandırma.
Olay Sonrası Hukuki Değerlendirme
- Olayın Türk Ceza Kanunu kapsamındaki bilişim suçları yönünden şikâyete konu edilip edilmeyeceğini kararlaştırın.
- Tedarikçi kaynaklı bir zafiyet varsa sözleşmedeki bildirim ve sorumluluk hükümlerini süresi içinde işletin.
- Müşteri ve iş ortaklarına yapılacak duyuruların metnini hukuk ve iletişim birimleriyle birlikte hazırlayın.
- Olay sonrası raporu, alınan derslerle birlikte yazılı hâle getirip saklayın.
Bu metin genel bilgilendirme amaçlıdır. Siber olaylarda teknik müdahale ile bildirim yükümlülükleri eşzamanlı yürüdüğünden, olayın ilk saatlerinde hukuki desteğin de sürece dâhil edilmesi yerinde olur.