Bir veri ihlali fark edildiğinde ilk refleks genellikle sistemi kapatmak, şifreleri değiştirmek ve olayı içeride çözmeye çalışmaktır. Oysa bu refleks çoğu zaman en değerli delili yok eder. Bilişim uyuşmazlıklarında sonucu belirleyen şey, olayın yaşandığının kabul edilmesi değil, nasıl yaşandığının teknik olarak gösterilebilmesidir. Delil zinciri kırıldığında, gerçekten yaşanmış bir ihlal bile ispat edilemez hâle gelir.
İlk Saatlerde Yapılması Gerekenler
Olayın tespit edildiği an, sistem üzerinde değişiklik yapmadan önce imaj alınması ve mevcut kayıtların dondurulması gerekir. Sunucu ve uygulama logları, erişim kayıtları, yetkilendirme değişiklikleri ve varsa güvenlik ürünlerinin uyarı çıktıları ayrı bir ortama kopyalanmalıdır. 5651 sayılı Kanun kapsamında yer sağlayıcı ve erişim sağlayıcıların trafik kayıtlarını belirli süreyle saklama yükümlülüğü bulunduğundan, üçüncü taraflardan kayıt talebinin de gecikmeden yapılması gerekir; bu kayıtlar saklama süresi dolduğunda geri getirilemez.
Delil Zincirinin Kırıldığı Noktalar
- İnceleme öncesi sistemin yeniden kurulması veya güncellenmesi.
- Kayıtların kim tarafından, ne zaman ve hangi araçla alındığının belgelenmemesi.
- Alınan kopyaların bütünlük değeri hesaplanmadan saklanması.
- Ekran görüntüsüne dayanan tespitlerin ham kayıtla desteklenmemesi.
- Şirket içi yazışmaların, olayın kronolojisini gösterecek biçimde derlenmemesi.
İki Süreç Aynı Anda Yürür
Veri ihlali tek bir hukuki başlıkla sınırlı kalmaz. Bir yanda 6698 sayılı Kanun kapsamında veri sorumlusunun Kurula ve ilgili kişilere bildirim yükümlülüğü ile idari yaptırım süreci işler; diğer yanda fiil, Türk Ceza Kanununun bilişim sistemine girme, sistemi engelleme ve verileri hukuka aykırı olarak ele geçirme suçlarına ilişkin hükümleri kapsamında ceza soruşturmasının konusu olur. Bildirim yükümlülüğü, Kurul tarafından belirlenmiş kısa bir süre içinde yerine getirilmelidir; bu sürenin geçirilmesi başlı başına bir yaptırım sebebidir. İki sürecin farklı hız ve mantıkla ilerlediği, birinde sunulan beyanın diğerinde de değerlendirilebileceği unutulmamalıdır.
Bildirim Metnini Kurarken
Bildirim ve şikâyet metinleri, teknik raporun özetinden ibaret olmamalıdır. Etkilenen veri kategorileri, etkilenen kişi sayısı, olası sonuçlar ve alınan tedbirler ayrı başlıklarda somutlaştırılmalıdır. Aynı zamanda ihlalin kaynağının içeriden mi yoksa dışarıdan mı olduğu konusunda erken ve kesin ifade kullanmaktan kaçınmak yerinde olur; inceleme derinleştikçe ilk değerlendirmenin değişmesi olağandır.
Buradaki açıklamalar genel çerçeve sunar. Sistem mimarisi, veri kategorileri ve olayın kapsamı yükümlülükleri değiştirdiğinden, olayın hemen ardından teknik ve hukuki desteği birlikte almanız yerinde olacaktır.