Bir sistemin yetkisiz erişime uğraması ya da verilerin sızdırılması hâlinde mağdurun önünde tek değil, birbirini tamamlayan birkaç kanal vardır: cumhuriyet başsavcılığına suç duyurusu, kişisel verilerin korunmasına ilişkin idari başvuru ve erişim engelleme talebi. TCK'nın bilişim suçlarına ilişkin 243-245. maddeleri, 5651 sayılı Kanun ve KVKK ekseninde ilerleyen bu süreçte sıralamayı yanlış kurmak hem delil hem süre kaybı doğurur.
İlk Saatler: Sistemi Kapatmadan Önce Kaydı Almak
Bilişim dosyalarında delil, fiziksel dünyadakinden çok daha hızlı kaybolur. Sunucu loglarının, erişim kayıtlarının, oturum bilgilerinin ve saldırı anına ait yedeklerin saklama süreleri dolmadan alınması gerekir. Sistemi hemen sıfırlamak ya da temiz kurulum yapmak, ihlali durdurabilir ama failin izini de silebilir. İmaj alma, hash değeri hesaplama ve kayıtların kim tarafından ne zaman alındığının tutanağa geçirilmesi, sonradan yapılacak bilirkişi incelemesinin dayanağıdır.
Suç Duyurusu Dilekçesinde Ne Anlatılmalı?
- Olayın zaman çizelgesi: ilk anormal hareket, fark ediliş anı, müdahale saatleri
- Etkilenen sistem ve veri kategorilerinin tanımı
- Elde bulunan teknik kayıtların listesi ve nerede saklandığı
- Şüpheli varsa dayanağı; yoksa faili meçhul olarak soruşturma talebi
- IP kayıtları, alan adı ve barındırma sağlayıcılarından bilgi istenmesi talebi
Dilekçede teknik anlatımın sadeleştirilmesi, soruşturmanın yönünü hızlandırır. Verinin nerede tutulduğu yurt dışıysa, sağlayıcıya yazılacak müzekkerelerin zaman alacağı öngörülerek talep erkenden ileri sürülmelidir.
Şikâyete Bağlı Suç Ayrımı ve Süre
Bilişim sistemine girme ile sistemi engelleme, bozma ve veriyi yok etme fiilleri farklı hükümlere tabidir; bazı fiiller resen soruşturulurken bazıları şikâyete bağlıdır. Şikâyete bağlı hallerde fail ve fiilin öğrenilmesinden itibaren işleyen süre kaçırıldığında, teknik deliller sağlam olsa bile soruşturma yürümez. Bu nedenle nitelendirme, dilekçeden önce yapılmalıdır.
Ceza Yolu ile İdari Yol Farkı
Suç duyurusu faili hedef alır; veri sorumlusunun güvenlik tedbirlerini almamış olması ise ayrı bir sorumluluk başlığıdır ve idari başvuru yolunu ilgilendirir. İkisi birbirinin yerine geçmez. Ayrıca sızan verinin internette yayımlanması hâlinde içeriğin kaldırılması ve erişimin engellenmesi talebi 5651 sayılı Kanun kapsamında ayrıca yürütülür. Aynı olay için üç ayrı dosya açılabildiğinden, hangi belgenin hangi dosyaya sunulduğu bir kayıt tablosunda izlenmelidir.
Yanlış Makama Başvurunun Bedeli
Uygulamada sık görülen hata, teknik ihlalin yalnızca idari makama bildirilip savcılığa hiç gidilmemesi ya da tersine, yalnızca suç duyurusuyla yetinilip veri güvenliğine ilişkin başvurunun hiç yapılmamasıdır. Her iki durumda da mağdurun elindeki imkânların bir kısmı kullanılmadan kalır ve aradan geçen zaman, log saklama süreleri dolduğu için geri getirilemez.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır. Olayın teknik yapısı, etkilenen veri türü ve sistemin bulunduğu yer başvuru sırasını değiştirebilir; ihlal fark edildiğinde teknik ve hukuki desteğin eş zamanlı alınması yerinde olur.