Bir sistem sızıntısı veya yetkisiz erişim olayında hukuki sonucu belirleyen şey, çoğu zaman olayın kendisi değil, ilk saatlerde delilin nasıl korunduğu ve bildirimlerin zamanında yapılıp yapılmadığıdır. Türk Ceza Kanunu bilişim suçlarına ilişkin hükümleri, 5651 sayılı Kanun ve KVKK farklı yükümlülükler öngörür; bu yükümlülüklerin süreleri de birbirinden bağımsız işler. Bu rehber, veri ihlalinde delil zinciri ile süre planının birlikte kurulmasını konu alır.
Olayın İlk Saati: Delilin Bozulmasını Önlemek
Dijital delilin en büyük düşmanı, iyi niyetli müdahaledir. Sunucunun yeniden başlatılması, log döngüsünün dönmesi veya etkilenen hesabın silinmesi, sonradan telafisi olmayan kayıplar doğurur. İlk aşamada yapılması gereken:
- Etkilenen sistemin imajının alınması ve özet (hash) değerinin kayda geçirilmesi
- Erişim, güvenlik duvarı ve uygulama loglarının saklama süresi dolmadan ayrı bir ortama kopyalanması
- Kim, ne zaman, hangi kopyayı aldı sorusunu yanıtlayan bir teslim-tesellüm kaydı tutulması
- Sistemi kapatma veya temizleme kararının tek elden ve yazılı verilmesi
Üç Ayrı Takvim, Tek Tablo
Veri ihlalinde birbirinden bağımsız üç süre akışı vardır ve bunların tek tabloda izlenmesi gerekir. Birincisi, Kişisel Verileri Koruma Kurulu düzenlemeleri uyarınca veri sorumlusunun ihlali öğrendiği andan itibaren gecikmeksizin yapması gereken bildirim yükümlülüğüdür. İkincisi, ilgili kişilere yapılacak bildirimdir. Üçüncüsü ise ceza şikâyeti ve erişim engelleme gibi adli süreçlerin kendi süreleridir. Bu üç akış karıştırıldığında, idari yükümlülük yerine getirilirken ceza yolu için gerekli delil elde edilemeden kaybolabilir.
Delil Zincirinin Kırıldığı Tipik Noktalar
- Log kaydı alınmış fakat alındığı ana ilişkin tarih ve sorumlu kişi belirtilmemiş olması
- Ekran görüntüsünün URL, tarih ve saat bilgisi görünmeden alınması
- Kopyanın orijinal ortam üzerinde çalışılarak elde edilmesi ve kaynak verinin değişmesi
- Çalışan cihazlarının hukuka uygun bir çerçeve kurulmadan incelenmesi
- İçerik kaldırıldıktan sonra tespit yapılması ve kanıtın yalnızca beyana dayanması
İdari ve Adli Yolun Birbirini Beslemesi
Aynı olay hem idari yaptırım hem cezai sorumluluk hem de tazminat talebi doğurabilir. Kurula yapılan bildirimde kullanılan teknik anlatım ile ceza şikâyetindeki anlatımın çelişmemesi önemlidir; çelişki, sonraki aşamada aleyhe yorumlanabilir. Bu nedenle olay kronolojisi tek bir metin olarak hazırlanmalı, her başvuruda aynı kronolojiden türetilmelidir. Erişim engelleme talebi gerekiyorsa, içeriğin adresi ve tespit tarihi ayrıca belgelenmelidir.
Kapanış
Bu metin, veri ihlali sonrasındaki ilk günlerin planlanmasına yönelik genel bir çerçeve sunar. Sistem mimarisi, veri kategorileri ve olayın kapsamı yükümlülükleri değiştirebileceğinden, teknik inceleme ile hukuki değerlendirmenin eş zamanlı yürütülmesinde yarar vardır.