Bir sistem ihlali fark edildiğinde alınacak ilk kararlar, hem KVKK kapsamındaki idari sürecin hem de TCK 243-245 kapsamında yürütülecek soruşturmanın sonucunu belirler. Aceleyle yapılan müdahale, saldırının izlerini de siler; bekleyen kurum ise bildirim yükümlülüğünü geciktirir. Bu rehber, delil bütünlüğü ile bildirim takvimi arasındaki dengeyi kurmaya odaklanır.
Müdahale ile Delil Koruma Arasındaki Gerilim
Etkilenen sunucunun kapatılması veya yeniden kurulması, uçucu verilerin kaybına yol açar. Sistemi hattan ayırmak ile kapatmak farklı sonuçlar doğurur. İmaj alınmadan yapılan her işlem, sonradan bilirkişi incelemesinde veri bütünlüğü bozuldu itirazına açık hale gelir. Bu nedenle müdahale ekibinin attığı her adımın saat ve kullanıcı bilgisiyle kayda geçirilmesi gerekir.
Korunması Gereken Kayıt Türleri
- Sunucu ve uygulama günlükleri ile kimlik doğrulama kayıtları
- Güvenlik duvarı ve ağ trafiği kayıtları
- 5651 kapsamında tutulan erişim kayıtları ve bunların doğrulama verileri
- Yedekleme sistemlerinin ihlal öncesi ve sonrası durumları
- Fidye veya tehdit içerikli iletişimin özgün hali
Bildirim Takvimi ve Gecikmenin Bedeli
Kişisel veri ihlallerinde veri sorumlusunun Kurula bildirim yapması gerekir; Kurul kararlarıyla bu bildirimin makul sürede, kural olarak öğrenilmesinden itibaren yetmiş iki saat içinde yapılması aranmaktadır. İlgili kişilere yapılacak bildirim ise ayrı bir yükümlülüktür. Gecikmenin gerekçesi bildirimde açıklanmalı, gerekçe ise iç yazışmalarla desteklenebilir olmalıdır. Bildirimin geç yapılması, ihlalin kendisinden bağımsız bir sorumluluk kalemi doğurur.
Ceza Soruşturması İçin Dosya Hazırlığı
- Olay zaman çizelgesi, ilk anormal kayıttan tespite kadar dakika bazında çıkarılır.
- Erişilen veya sızdırılan veri kümesi, kişi sayısı ve veri kategorisi bakımından tanımlanır.
- Şüpheli erişim kaynakları, IP ve hesap bazında listelenir; abone bilgisi talebi şikâyet dilekçesine yazılır.
- Sistem yöneticilerinin ve dış hizmet sağlayıcıların yetki matrisi eklenir.
- İmaj ve kayıtların özet değerleri tutanağa geçirilerek teslim zinciri belgelenir.
Sözleşmesel Sorumluluğun İhmal Edilen Yüzü
İhlal bir tedarikçi ortamında gerçekleşmişse, veri işleyenle yapılan sözleşmedeki güvenlik ve bildirim maddeleri devreye girer. Tedarikçiden kayıt talep etme hakkının sözleşmede yer almaması, delil toplamayı fiilen imkânsız hale getirebilir. Bu nedenle olay sonrası incelemede sözleşme ekleri de dosyaya alınmalıdır.
Burada anlatılanlar genel çerçeveyi tarif eder. Her ihlalin teknik yapısı ve etkilenen veri türü farklı yükümlülükler doğurabileceğinden, olayın hemen başında hukuki ve teknik desteğin birlikte alınması yerinde olur.