Siber güvenlik alanında kurulan üniversite merkezleri, akademik araştırma ile teknik test faaliyetlerini bir arada yürütür. İstanbul Aydın Üniversitesi Siber Güvenlik Uygulama ve Araştırma Merkezi Yönetmeliği de merkezin amacını, organlarını ve faaliyet alanlarını belirler. Bu rehber, böyle bir merkezin faaliyetlerinde hangi hukuki sınırların gözetilmesi gerektiğine odaklanır.
Akademik Faaliyet ile Yetkisiz Erişim Arasındaki İnce Çizgi
Güvenlik açığı araştırması, sızma testi ve zafiyet analizi teknik olarak meşru çalışmalardır; ancak sistem sahibinin açık ve yazılı izni olmadan yapıldığında ceza hukuku alanına girer. Türk Ceza Kanunu'nun bilişim sistemine hukuka aykırı erişim, sistemi engelleme, verileri bozma ve yok etme fiillerini cezalandıran hükümleri, akademik amaç iddiasıyla ortadan kalkmaz. Bu nedenle her test öncesinde kapsam ve izin belgesinin imzalanması esastır.
Test Öncesi Hazırlanması Gereken Belge Seti
- Test edilecek sistemlerin IP, alan adı ve uygulama düzeyinde tek tek listelendiği kapsam belgesi.
- Sistem sahibinin yetkili temsilcisi tarafından imzalanmış yazılı izin.
- Test penceresi, yani hangi tarih ve saat aralığında çalışılacağını gösteren takvim.
- Kritik bir bulguya rastlanması hâlinde derhal bildirimi düzenleyen iletişim protokolü.
- Elde edilen verilerin saklanma, anonimleştirilme ve imha usulünü gösteren metin.
Kişisel Veri ve Gizlilik Boyutu
Test sırasında gerçek kullanıcı verilerine erişilmesi kaçınılmaz olabilir. 6698 sayılı Kanun kapsamında merkez, çoğu zaman veri işleyen sıfatıyla hareket eder ve veri sorumlusunun talimatı dışına çıkamaz. Ele geçirilen örnek verilerin araştırma çıktısında yayımlanması, maskeleme yapılmadığı takdirde ayrı bir ihlal oluşturur. Ayrıca 5651 sayılı Kanun kapsamındaki yer sağlayıcı ve erişim sağlayıcı yükümlülükleri, üniversite ağı üzerinde yürütülen çalışmalarda ihmal edilmemelidir.
Bulguların Açıklanmasında İzlenecek Yol
- Bulgu önce yalnızca sistem sahibine bildirilir.
- Düzeltme için makul bir süre tanınır ve bu süre yazılı olarak kayda geçer.
- Yayın aşamasında sistemin kimliğini açık edecek ayrıntılar ayıklanır.
- İstismar kodunun yayımlanıp yayımlanmayacağı, taraflar arasında önceden kararlaştırılır.
Merkezin Dışarıya Hizmet Vermesi Hâlinde
Merkez üçüncü kişilere test ya da danışmanlık hizmeti veriyorsa, sözleşmede sorumluluk sınırı, sigorta durumu ve hizmet sırasında oluşabilecek kesintiden doğan zararın kime ait olacağı düzenlenmelidir. Bu hükümlerin eksikliği, teknik olarak başarılı bir çalışmayı hukuki bir ihtilafa dönüştürebilir.
Bu metin bilgilendirme amacıyla hazırlanmıştır; yürütülecek çalışmanın niteliğine göre izin belgeleri ve sözleşme hükümlerinin ayrıca hukuki denetimden geçirilmesi tavsiye edilir.