Elektronik haberleşme sektöründe şebeke ve bilgi güvenliğine ilişkin düzenleme, işletmecileri kendi altyapılarının güvenliğini kurumsal bir sistem hâline getirmekle yükümlü kılar. Buradaki asıl mesele tek tek teknik tedbirler değil, tedbirlerin belgelenebilir ve denetlenebilir bir yönetim düzeni içinde yürütülmesidir. Bir olay yaşandığında sorulan ilk soru, ne olduğu kadar bunun önceden hangi süreçle öngörülüp öngörülmediğidir.
Güvenliğin kurumsal bir yükümlülük olarak kurgulanması
Düzenleme, işletmeciden varlık envanteri çıkarmasını, risk analizi yapmasını, sorumluluk alanlarını tanımlamasını ve bunları düzenli aralıklarla gözden geçirmesini bekler. Uygulamada eksiklik çoğunlukla teknik altyapıda değil, kayıt tutma disiplininde ortaya çıkar: tedbir alınmış ama alındığı gün, alan kişi ve gerekçesi yazılı hâle getirilmemiştir. Denetim sırasında ispat yükü işletmecide olduğundan, belgelenmemiş tedbir alınmamış tedbirle aynı sonucu doğurur.
İhlal anında zaman baskısı
Şebeke güvenliğini veya hizmet sürekliliğini etkileyen olaylarda bildirim yükümlülüğü, olayın tam olarak çözüldüğü ana kadar ertelenemez. Sık yapılan hata, teknik ekiplerin sorunu kapatmayı önceliklendirip bildirimi sonraya bırakmasıdır. Oysa bildirimin gecikmesi, olayın kendisinden bağımsız ikinci bir aykırılık oluşturur. Bu nedenle olay müdahale planında teknik hat ile bildirim hattının paralel yürümesi, bildirimi yapacak kişinin ve yedeğinin isimle tanımlanması gerekir.
Kişisel veri boyutuyla kesişme
Bir güvenlik olayı abone verilerine erişimi de kapsıyorsa, sektörel bildirimin yanında 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki ayrı bir bildirim yükümlülüğü gündeme gelir. İki rejim birbirinin yerine geçmez; birine yapılan bildirim diğerini karşılamaz. Trafik ve konum verisi gibi kategoriler bakımından ise saklama ve erişim kuralları ayrıca değerlendirilmelidir.
Denetim ve idari yaptırım aşaması
- Denetimde talep edilen belgenin sonradan üretilmiş görünmesi, esastan savunmayı zayıflatır.
- Yaptırım kararına karşı yazılı savunma aşaması, dosyayı şekillendiren asıl aşamadır; bu aşamada verilmeyen bilgi sonradan güçlükle telafi edilir.
- İdari para cezasına karşı başvuru yolu ve süresi, tebliğ evrakının üzerindeki bilgiye göre hesaplanmalı, tebliğ tarihi kurum içinde kaybolmamalıdır.
Sözleşmesel zincirin unutulan halkası
İşletmeciler altyapının önemli bir kısmını dış tedarikçiyle yürütür. Düzenleyici sorumluluk devredilemez; ancak tedarikçiyle yapılan sözleşmede güvenlik taahhüdü, olay bildirimi süresi, denetim hakkı ve rücu kaydı bulunmuyorsa, işletmeci hem idari yaptırıma hem de karşılayamadığı bir zarara aynı anda maruz kalır.
Bu metin genel bir çerçeve sunar. Her işletmecinin şebeke mimarisi, hizmet türü ve tedarik zinciri farklı olduğundan, uyum programının kendi yapınıza göre kurgulanması ve olay anında hukuki desteğin ilk saatlerde devreye girmesi yerinde olur.