Bir veri ihlali fark edildiğinde ilk saatlerde alınan teknik kararlar, aylar sonra hukuki sürecin sonucunu belirler. Sistem üzerinde aceleyle yapılan temizlik, saldırının izlerini de siler; bu da hem TCK 243-245 kapsamındaki bilişim suçları soruşturmasını hem KVKK yönünden yürütülecek inceleme sürecini zayıflatır. 5651 sayılı Kanun çerçevesinde tutulan kayıtlar ise çoğu zaman elde kalan tek bağımsız delildir.
Delil zinciri neden bu kadar kritik
Dijital delilin değeri, elde ediliş biçimine sıkı biçimde bağlıdır. Bir kayıt dosyasının kopyalanma anı, kimin eliyle alındığı ve sonrasında değiştirilmediğinin gösterilmesi gerekir. Bu nedenle sistem üzerinde çalışmadan önce imaj alınması, alınan imajın özet değerinin kaydedilmesi ve her aktarımın tutanağa bağlanması beklenir. Zincirde kopan tek bir halka, dosyanın esasında güçlü olan iddiayı ispat edilemez hâle getirebilir.
Bildirim yükümlülüğü ve zaman baskısı
Kişisel verilerin hukuka aykırı olarak ele geçirilmesi hâlinde veri sorumlusu, ilgili kişilere ve Kurula bildirimde bulunmakla yükümlüdür. Bu bildirim için öngörülen süre kısa tutulmuştur ve tespit anından itibaren işler. Kurum içinde olayın yönetime geç iletilmesi, dış hizmet sağlayıcıdan gelen uyarının ilgili birime ulaşmaması ya da elektronik yazışmaların takip edilmemesi, yükümlülüğün gecikmesine yol açar. Gecikmenin kendisi, ihlalden bağımsız bir sorumluluk başlığı hâline gelebilir.
İlk yirmi dört saatte yapılacaklar
- Etkilenen sistemler ağdan ayrılır ancak kapatılmadan önce uçucu veriler kaydedilir.
- Sunucu, güvenlik duvarı ve uygulama kayıtları ayrı bir ortama kopyalanır.
- Erişim yetkileri gözden geçirilir, sıfırlanan parolalar tutanaklanır.
- Olayın kapsamı, etkilenen veri kategorileri ve kişi sayısı belirlenir.
- Bildirim ve şikâyet takvimi yazılı hâle getirilerek sorumlu kişiye bağlanır.
Suç duyurusu hazırlanırken
- Erişim kayıtlarının tarih ve saat dilimi bilgisiyle birlikte sunulması
- Ele geçirilen verinin niteliğinin, sızdırılan örnekler üzerinden somutlaştırılması
- Zarara ilişkin kalemlerin teknik ve ticari yönleriyle ayrıştırılması
- Yer sağlayıcı ve barındırma hizmeti sağlayıcısından kayıt talebinin erken yapılması
- Fidye talebi varsa iletişim içeriğinin bütün hâlinde saklanması
Kapanış notu
Veri ihlali süreçlerinde teknik müdahale ile hukuki strateji aynı anda yürütülmelidir; birini önceleyip diğerini ertelemek çoğu zaman geri dönüşü olmayan kayıp doğurur. Bu metin genel bilgilendirme amaçlıdır. Olayın kapsamı ve sistem mimarisi yükümlülükleri değiştirebileceğinden, ihlalin ilk saatlerinde hukuki destek almanız uygun olur.