7545 sayılı Siber Güvenlik Kanunu, bilgi sistemleri üzerinden yürüyen faaliyetleri artık yalnızca teknik bir konu olmaktan çıkarıp doğrudan hukuki sorumluluk alanına taşımıştır. Şirketler için asıl mesele, bir saldırı gerçekleştikten sonra ne yapılacağı değil; saldırı öncesinde hangi kayıtların, hangi iç prosedürlerin ve hangi yetkilendirme belgelerinin hazır bulunduğudur.
Kanun Sizin İçin Bağlayıcı mı?
Uygulamada ilk tartışma, işletmenin kanunun muhatap çevresine girip girmediği noktasında çıkar. Kamu kurumları ile kritik altyapı niteliğindeki hizmet sağlayıcılar açısından tablo nispeten nettir; ancak bunlara hizmet veren tedarikçiler, yazılım firmaları ve veri merkezleri bakımından değerlendirme somut faaliyete göre yapılır. Bu nedenle sözleşmelerdeki hizmet tanımı, kapsam analizinin ilk belgesidir.
Siber Olay Anında İlk 72 Saatin Yönetimi
Bir sızma ya da fidye yazılımı olayında en sık yapılan hata, sistemin acele biçimde temizlenerek delillerin yok edilmesidir. Doğru sıralama şöyledir:
- Etkilenen sistemlerin imajı alınmadan biçimlendirme yapılmaması
- Log kayıtlarının zaman damgasıyla ayrı bir ortamda saklanması
- Yetkili birime bildirimin, iç soruşturma tamamlanmasını beklemeden yapılması
- Kişisel veri sızıntısı varsa 6698 sayılı Kanun kapsamındaki ayrı bildirim yükümlülüğünün gözden kaçırılmaması
KVKK ve 5651 ile Kesişen Alanlar
Aynı olay, birden fazla mevzuatın konusu olabilir. Kişisel veri içeren bir sızıntıda 6698 sayılı Kanun, içerik ve erişim kayıtları yönünden 5651 sayılı Kanun, saldırının failine yönelik olarak ise Türk Ceza Kanunu bakımından bilişim sistemine girme ve verileri hukuka aykırı ele geçirme hükümleri gündeme gelir. Bu üç hattın ayrı ayrı yürütülmesi gerekir; tek bir dilekçeyle hepsinin karşılanacağı varsayımı hak kaybı doğurur.
İdari Yaptırıma Karşı İtiraz Hattı
Denetim sonucunda uygulanan idari para cezalarına karşı başvuru yolu ve süresi, cezayı veren idarenin niteliğine göre değişir. Kararın tebliğ tarihi ile tebellüğ belgesindeki imzanın kime ait olduğu çoğu dosyada belirleyici olur; şirket santraline yapılan tebligatın usulüne uygun sayılıp sayılmadığı ayrıca tartışılabilir. İtiraz dilekçesinde teknik savunmanın hukuki karşılığı kurulmadan yalnızca sistem raporu sunulması, çoğu zaman sonucu değiştirmez.
Şirket İçi Hazırlık Kontrolü
- Bilgi sistemleri envanterini yazılı hale getirin ve sorumlu personeli isim bazında belirleyin.
- Tedarikçi sözleşmelerine siber olay bildirim ve rücu maddeleri ekleyin.
- Log saklama sürelerini mevzuata göre ayarlayın; erken silme, savunmasız kalma anlamına gelir.
- Olay müdahale planını yılda en az bir kez tatbikatla test edin ve tutanağa bağlayın.
Buradaki açıklamalar genel çerçeveyi tanıtmak içindir. Sistem yapınıza ve maruz kaldığınız olayın teknik detayına göre yükümlülükler farklılaşacağından, bildirim öncesinde hukuki değerlendirme almanız yerinde olur.