Üniversitelerin bilişim teknolojileri merkezleri, ağ altyapısının işletilmesinden akademik yazılım geliştirmeye, kurumsal veri tabanlarının yönetilmesinden siber güvenlik uygulamalarına kadar geniş bir alanda çalışır. Bu faaliyetler yönetmelikle çizilen görev alanı içinde yürütülür; ancak doğurdukları hukuki sonuçlar yalnızca akademik mevzuatla sınırlı kalmaz.
Merkezin Görev Alanı ve Yetki Sınırı
Merkez yönetmelikleri 2547 sayılı Yükseköğretim Kanunu'na dayanır ve müdür ile yönetim kurulunun yetkilerini sayar. Sistem yöneticilerinin kullanıcı hesaplarına, e-posta trafiğine veya log kayıtlarına erişimi, teknik olarak mümkün olsa da hukuken sınırlıdır. Erişim yetkisinin kapsamı yazılı bir politikayla belirlenmeli, olağan bakım ile inceleme amaçlı erişim birbirinden ayrılmalıdır.
Kişisel Veri İşleme Sorumluluğu
- Öğrenci ve personel verilerinin işlenmesinde veri sorumlusu kural olarak üniversitedir; merkez teknik yürütücü konumundadır.
- 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca veri güvenliğine ilişkin teknik ve idari tedbirlerin alınması zorunludur.
- Veri ihlali tespit edildiğinde yetkili kuruma ve ilgili kişilere bildirim yükümlülüğü doğar; bu nedenle bir olay müdahale planı önceden hazırlanmalıdır.
- Bulut hizmeti alınıyorsa verinin nerede barındırıldığı ve alt işleyenlerin kimler olduğu sözleşmede gösterilmelidir.
Log Kayıtları ve İnternet Hizmeti
Kampüs ağı üzerinden internet erişimi sunulması, 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun kapsamında yükümlülükler doğurabilir. Trafik kayıtlarının bütünlüğü doğrulanabilir biçimde tutulması, hem kurumu korur hem de adli taleplere doğru yanıt verilmesini sağlar. Kayıtların içeriğine erişim ise ayrı bir hukuki dayanak gerektirir.
Siber Olay Sonrası İzlenecek Adımlar
- Etkilenen sistemleri izole edin; imaj alınmadan sistem üzerinde değişiklik yapmayın.
- Olay zaman çizelgesini, saat bilgisi ve kaynağıyla birlikte tutanağa bağlayın.
- Kişisel veri etkilenmişse bildirim sürelerini hesaplayın ve karar alma sürecini belgeleyin.
- Yetkisiz erişim 5237 sayılı Türk Ceza Kanunu'nun bilişim suçlarına ilişkin hükümleri kapsamında olabileceğinden, şikâyet yolunu değerlendirin.
Yazılım ve Lisans Yönetimi
Merkez tarafından geliştirilen yazılımlar üzerindeki haklar ile üçüncü kişilerden alınan lisansların kapsamı ayrı ayrı yönetilmelidir. Geliştirici öğrenci veya araştırmacıların katkısının hangi hukuki statüde olduğu, 5846 sayılı Fikir ve Sanat Eserleri Kanunu çerçevesinde baştan yazılı olarak düzenlenmezse, ileride hak sahipliği tartışması doğar. Açık kaynak bileşenlerin lisans koşullarına uyum da denetlenmelidir.
Bu rehber genel bir çerçeve çizer. Veri ihlali, log talebi veya yazılım hak sahipliğine ilişkin somut bir durumda, teknik kayıtlar ve sözleşmeler birlikte incelenerek hukuki görüş alınması yerinde olur.