Bir sistemin ele geçirildiği anlaşıldığında ilk saatler teknik müdahaleye ayrılır; hukuki tarafta ise aynı anda başlaması gereken ayrı bir süreç vardır. TCK 243-245, 5651 sayılı Kanun ve KVKK çerçevesinde, veri ihlalinde hem bildirim yükümlülüğü hem de ceza boyutu birlikte yürür. Bu rehber, ihlalin ardından delilin nasıl korunacağına ve sorumluluğun nasıl tespit edileceğine odaklanır.
Müdahale ile delil koruma çatışır
Teknik ekibin refleksi sistemi hızla temizlemek ve yeniden kurmaktır; oysa bu, saldırının izlerini de silebilir. Bu nedenle sistem geri yüklenmeden önce disk ve bellek imajlarının alınması, log kayıtlarının ayrı ve değiştirilemez bir ortama kopyalanması gerekir. Log tutma sürelerinin dolması hâlinde sorumlunun kim olduğu artık gösterilemez hâle gelir; bu, dosyaların en sık takıldığı noktadır.
İki ayrı yükümlülük hattı
- Veri sorumlusu sıfatıyla ihlalin Kurula ve ilgili kişilere bildirilmesi, KVKK kapsamında bağımsız bir yükümlülüktür.
- Failin cezalandırılması için bilişim sistemine girme ve verileri hukuka aykırı ele geçirme fiilleri bakımından ayrıca şikâyet gerekir.
- Ele geçirilen veriler internette yayımlanmışsa, içeriğin kaldırılması için 5651 kapsamındaki yollar işletilir.
- İhlale uğrayan kişiler bakımından tazminat talepleri ayrı bir hat oluşturur.
Bu hatların birbirini beklemesi gerekmez; biri gecikirse diğerinde hak kaybı doğabilir.
Sorumluluk kimde: içeriden mi, dışarıdan mı
İhlallerin önemli bölümü dışarıdan bir saldırı değil, yetki yönetimindeki eksiklikten kaynaklanır. Bu nedenle inceleme, yetki matrisinin son hâli, ayrılan personelin erişimlerinin ne zaman kapatıldığı ve paylaşılan hesap kullanımı üzerinden yürütülmelidir. Hizmet alınan bir tedarikçi varsa, sözleşmedeki veri işleyen yükümlülükleri ve denetim kayıtları dosyaya eklenmelidir; sorumluluğun paylaşımı büyük ölçüde bu metinlere göre belirlenir.
Zararın belgelenmesi
Tazminat talebinde bulunulacaksa zarar kalemleri soyut bırakılmamalıdır: müdahale ve inceleme giderleri, iş sürekliliğinde yaşanan kayıp, itibar zararı iddiasını destekleyen somut veriler ve ilgili kişilere yapılan bildirimin maliyeti ayrı ayrı gösterilmelidir.
Sulh mü, yargılama mı
Tedarikçi ya da hizmet sağlayıcı ile aradaki uyuşmazlıkta anlaşma yolu açıktır. Karar verirken teknik raporun tamamlanıp tamamlanmadığına bakılmalıdır; kusur dağılımı netleşmeden imzalanan bir protokol, sonradan ortaya çıkan ihlallerin kapsam dışında kalmasına neden olabilir. İdari yaptırım süreci ise tarafların anlaşmasından bağımsız yürür.
Bu içerik genel bilgilendirme amacı taşır. Etkilenen veri kategorisi, kişi sayısı ve sistemin yapısı yükümlülükleri değiştirdiğinden, olay sonrası hukuki destek alınması önerilir.