Kayseri Üniversitesi Siber Güvenlik Uygulama ve Araştırma Merkezi Yönetmeliği, üniversite bünyesinde siber güvenlik alanında araştırma, eğitim ve uygulama faaliyeti yürütecek bir merkezin kuruluş ve işleyişini düzenler. Bu merkezin diğerlerinden farkı, faaliyet konusunun doğrudan ceza hukuku sınırına temas etmesidir.
Teknik Faaliyet ile Suç Sınırı
Sızma testi, zafiyet analizi veya güvenlik araştırması gibi çalışmalar, izin olmaksızın yürütüldüğünde 5237 sayılı Türk Ceza Kanununun bilişim sistemine hukuka aykırı girme ve verilere ilişkin suçlarını düzenleyen hükümleri kapsamına girebilir. Bu nedenle merkezin her test faaliyeti için yazılı ve kapsamı belirli bir yetkilendirme alması esastır.
Yetkilendirme Belgesinde Bulunması Gerekenler
- Test edilecek sistemlerin ve IP aralıklarının açık listesi.
- Testin başlangıç ve bitiş zamanı.
- Hangi tekniklerin kullanılabileceği ve hangilerinin yasak olduğu.
- Bulguların kime, hangi biçimde raporlanacağı ve gizlilik yükümlülüğü.
- Test sırasında karşılaşılan kişisel veriye nasıl davranılacağı.
Veri ve Kayıt Boyutu
Güvenlik çalışmaları sırasında ele geçen log kayıtları ve kullanıcı verileri, 6698 sayılı KVKK anlamında işleme faaliyeti doğurur. Ayrıca internet ortamındaki yayın ve erişim kayıtlarına ilişkin yükümlülükler bakımından 5651 sayılı Kanunun getirdiği çerçeve de göz önünde bulundurulmalıdır. Araştırma amacı, verinin sınırsız biçimde saklanmasını meşrulaştırmaz.
Merkez Yönetimi İçin Öneriler
- Öğrenci ve araştırmacıların katıldığı laboratuvar çalışmalarını izole ortamlarla sınırlandırın.
- Dış kurumlara verilen hizmetlerde sorumluluk ve gizlilik hükümlerini sözleşmeye bağlayın.
- Bulunan zafiyetlerin açıklanma usulünü (sorumlu bildirim) yazılı politikaya dönüştürün.
- Olay müdahalesi sırasında delil bütünlüğünü koruyacak kayıt düzeni kurun.
Bu içerik genel bilgi amaçlıdır. Bilişim alanındaki bir soruşturma ya da veri ihlali iddiasında, teknik kayıtlar ve yetkilendirme belgeleri birlikte incelenmeden sonuç çıkarılmamalıdır.