Böyle anlarda işletmenin ilk hedefi çoğunlukla hizmeti yeniden çalışır hâle getirmektir. Ancak olayın nasıl gerçekleştiği ve hangi bilgilerin etkilenmiş olabileceği anlaşılmadan yapılan değişiklikler, sonradan cevaplanması gereken soruları artırabilir. İş sürekliliği ile olayın belgelenmesi birlikte planlanmalıdır.
Siber güvenlik olaylarının hukuki boyutu, yalnızca saldırıyı gerçekleştiren kişinin bulunmasından ibaret değildir. Müşterilerle ilişkiler, tedarikçi sözleşmeleri, çalışanların erişimleri ve kişisel verilere ilişkin yükümlülükler de gündeme gelebilir. Bu nedenle teknik ekibin yaptığı incelemeyle yöneticilerin verdiği kararlar arasında düzenli bilgi akışı kurulması gerekir. Olayın büyüklüğü henüz bilinmiyorsa, belirsizlik açıkça kaydedilmeli ve yeni bulgular geldikçe değerlendirme güncellenmelidir.
Bir güvenlik uyarısı ile doğrulanmış ihlal birbirinden ayrılmalı
Her uyarı, aynı türde bir olayın gerçekleştiğini göstermez. Başarısız bir giriş denemesi, yanlış yapılandırılmış bir paylaşım bağlantısı ve dışarı aktarıldığı belirlenen bir müşteri dosyası farklı durumlardır. İncelemenin başında hangi bilginin gözlendiği, hangisinin tahmin olduğu ve hangi soruların henüz cevaplanamadığı belirlenmelidir. “Bütün veriler çalındı” veya “hiçbir sorun yok” gibi erken açıklamalar, eldeki bulguları aşabilir.
Örneğin şirket adına gönderilen bir e-postanın görülmesi, mesajın mutlaka şirket sunucusundan çıktığını kanıtlamaz. Gönderen bilgisi taklit edilmiş veya gerçek bir hesap ele geçirilmiş olabilir. Bu iki ihtimalin araştırılmasında farklı teknik kayıtlar önem taşır. Hukuki değerlendirme açısından da hangi olayın gerçekleştiğinin doğru anlaşılması gerekir. İnceleme tamamlanmadan kesin bir fail veya yöntem ilan edilmesi, sürecin sağlıklı yürütülmesine yardımcı olmaz.
İlk müdahalede görev dağılımı net olmalı
Kriz anında bütün çalışanların aynı anda karar vermesi, birbirini etkileyen işlemler doğurabilir. Bir ekip sistemi yeniden kurarken başka bir ekip aynı sistemdeki kayıtları incelemeye çalışıyor olabilir. Bu nedenle olayın koordinasyonunu sağlayacak kişi, teknik incelemeyi yürüten ekip ve hukuki değerlendirmeden sorumlu kişiler belirlenmelidir. Kimin hangi kararı verdiği ve işlemin ne zaman uygulandığı kayıt altına alınmalıdır.
Bu düzen yalnızca büyük şirketlere özgü değildir. Küçük bir işletmede de teknik hizmet sağlayıcı, yönetici ve hukuki danışman arasında ortak bir iletişim kanalı kurulabilir. İlk görüşmede etkilenen hizmetler, devam eden risk ve elde bulunan bilgiler özetlenebilir. Bilginin tek bir kişide kalmaması, çalışma vardiyası veya tedarikçi değiştiğinde sürecin devam etmesini kolaylaştırır. Böylece aynı incelemenin tekrar tekrar yapılması da azaltılabilir.
Teknik müdahale sırasında kayıtlar korunmalı
Bir hesabın kapatılması veya sistemin yeniden kurulması gerekebilir; ancak bu işlemlerin kayıtlar üzerindeki etkisi düşünülmelidir. Olayla ilgili günlükler, uyarılar ve dosyalar uygun yöntemlerle korunmadan yapılan müdahaleler, sonradan olayın akışını anlamayı zorlaştırabilir. İşletmenin kendi başına adli inceleme yapmaya çalışması yerine, teknik ekiple hangi kayıtların nasıl alınacağı konusunda koordinasyon kurması yararlı olur.
Kişisel Verileri Koruma Kurumunun veri güvenliğine ilişkin yükümlülükler açıklaması, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önleme ile muhafazasını sağlama yönündeki sorumlulukları ele alır. Bu çerçeve, işletmelerin güvenliği tek bir ürün alımı olarak görmemesi gerektiğini gösterir. Alınacak önlemler ve olay sırasında uygulanacak işlemler, kullanılan sistemlere ve işlenen verilerin niteliğine göre değerlendirilmelidir.
Etkilenen verinin kapsamı nasıl araştırılabilir?
İnceleme yapılırken yalnızca dosyanın adına bakılmamalıdır. “Müşteri listesi” adlı bir dosya farklı dönemlere ait kayıtlar içerebilir veya aynı bilginin birden fazla kopyası bulunabilir. Dosyada hangi bilgi alanlarının bulunduğu, hangi kullanıcılarla ilişkilendirilebildiği ve güncelliği araştırılmalıdır. Etkilenen kişi sayısı tahmin ediliyorsa, tahminin hangi veriye dayandığı ayrıca belirtilmelidir.
Örneğin iki farklı sistemden alınan listelerde aynı müşteriler yer alabilir. Satır sayılarının doğrudan toplanması, kişi sayısını olduğundan yüksek gösterebilir. Buna karşılık sadece aktif müşteri listesinin incelenmesi, eski kayıtların gözden kaçmasına neden olabilir. Teknik ekip bu ayrımları yaparken işletme de verinin hangi amaçla tutulduğunu açıklamalıdır. Sistem bilgisi ile iş bilgisi bir araya geldiğinde olayın kapsamı daha doğru anlaşılır.
Bildirim değerlendirmesi teknik raporun bitmesini beklememeli
Kişisel veri ihlali bildirimi açısından hangi yükümlülüklerin doğduğu ve ilgili zamanın ne zaman başladığı ayrıca incelenmelidir. Her teknik kesinti otomatik olarak aynı bildirimi gerektirmez. Buna karşılık bildirime tabi bir olayda, bütün ayrıntılar kesinleşmeden hiçbir işlem yapmamak da uygun olmayabilir. Hukuki ekip ile teknik ekip, eldeki bilginin hangi aşamada bulunduğunu düzenli olarak paylaşmalıdır.
Kurumun kişisel veri ihlali bildirimlerine ilişkin kamuoyu duyurusu, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi durumunda veri sorumlusunun ihlali öğrenmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapılmasını açıklar. Etkilenen kişilere bildirim ise kişilerin belirlenmesini takiben makul olan en kısa sürede yapılmalıdır. Bu süreler birbirinin yerine kullanılmamalıdır. Olayın öğrenildiği zamanın ve sonradan edinilen bilgilerin kaydedilmesi, değerlendirme bakımından önem taşır.
Müşteri iletişiminde bilinenler ve bilinmeyenler ayrılmalı
Bir olayın müşterilere açıklanması gerektiğinde metnin hem anlaşılır hem de mevcut bulgularla uyumlu olması önemlidir. Teknik terimlerin sıralanması, kullanıcının kendisini neyin ilgilendirdiğini anlamasını sağlamayabilir. Hangi hizmetin etkilendiği, hangi bilgi türlerinin inceleme kapsamında bulunduğu ve kullanıcıdan bir işlem beklenip beklenmediği açıkça belirtilmelidir. Gereksiz kişisel bilgiler açıklama metnine eklenmemelidir.
Örneğin henüz bütün kullanıcıların etkilenip etkilenmediği bilinmiyorsa, kesin bir sayı açıklamak yerine incelemenin kapsamı anlatılabilir. Sonradan yeni bilgi elde edildiğinde önceki açıklama güncellenmelidir. Müşteri hizmetleri ekibinin de aynı bilgiye sahip olması gerekir. Bir kanalda “sorun yok” denilirken başka bir kanalda farklı bir açıklama yapılması, belirsizliği artırabilir. Bu nedenle iletişim sorumluluğu da müdahale planının parçası olmalıdır.
Tedarikçi kaynaklı olaylarda sorumluluklar incelenmeli
İşletmeler e-posta, barındırma, muhasebe veya müşteri yönetimi hizmetlerini dışarıdan alabilir. Sorunun tedarikçinin sisteminde ortaya çıkması, işletmenin kendi yükümlülüklerini değerlendirme ihtiyacını ortadan kaldırmaz. Tarafların gerçek rolleri, hizmetin kapsamı ve verinin nasıl işlendiği belirlenmelidir. Sözleşmede bir tarafın sorumlu olduğunun yazılması, bütün hukuki soruların tek cümleyle çözüldüğü anlamına gelmez.
Pratik olarak tedarikçiden olayın başlangıcı, etkilenen hizmetler, mevcut kayıtlar ve uygulanan önlemler hakkında düzenli bilgi istenebilir. Sözleşmedeki bildirim ve iş birliği hükümleri de bu aşamada önem kazanır. Önceden belirlenmiş irtibat kişileri bulunması, acil durumda doğru ekibe ulaşmayı kolaylaştırır. Olay sonrasında hizmet devam edecekse hangi eksikliklerin nasıl giderileceği de yazılı olarak takip edilmelidir.
Yapay zekâ araçları ve çalışanların yeni uygulamaları
Şirketler açısından veri akışı artık yalnızca bilinen kurumsal yazılımlardan ibaret değildir. Bir çalışan, uzun bir metni özetlemek veya tabloyu düzenlemek için yeni bir çevrim içi araç kullanabilir. Bu işlem sırasında müşteri veya çalışan bilgileri, işletmenin daha önce değerlendirmediği bir hizmete aktarılabilir. Kullanışlı görünen bir özelliğin hangi veriye ihtiyaç duyduğu, kullanılmadan önce sorulmalıdır.
İşletme, hangi araçların hangi işler için kullanılabileceğini belirleyen anlaşılır bir düzen oluşturabilir. Örnek veya deneme çalışmalarında gerçek müşteri dosyalarının kullanılmasının gerekli olup olmadığı ayrıca değerlendirilmelidir. Bir belgeden yalnızca ismin çıkarılması, kişinin diğer bilgilerden belirlenemeyeceğini her durumda göstermez. Bu nedenle çalışanlara verinin nasıl sadeleştirileceği ve hangi durumda yardım isteneceği konusunda pratik açıklamalar verilmesi yararlı olur.
Ankara bilişim avukatı ile teknik ekip nasıl birlikte çalışır?
Teknik ekip sistemde gerçekleşen işlemleri araştırırken hukuk çalışması, bulguların hangi yükümlülük ve başvurularla ilişkili olduğunu değerlendirir. Bu görevler birbirinin yerine geçmez. Bir güvenlik uzmanının hazırladığı kayıt, hukuki değerlendirmeye dayanak olabilir; hukuki ekibin soruları da teknik incelemede araştırılacak yeni bir noktayı gösterebilir. Ortak çalışma, tarafların aynı zaman çizelgesini ve aynı belge setini kullanmasıyla kolaylaşır.
Bu alanda genel bilgi edinmek isteyen işletmeler, Ankara bilişim avukatı Av. Burak Üçüncü’nün internet sitesindeki bilişim hukuku ve siber suç yayınlarını inceleyebilir. Hukuki desteğin kapsamı, olayın niteliğine göre değişir; sözleşme incelemesi, bildirim değerlendirmesi veya ilgili başvuruların hazırlanması gündeme gelebilir. Hiçbir genel yayın, işletmenin gerçek sistemleri ve olay kayıtları incelenmeden kesin bir sonuç açıklamaya yeterli değildir.
Olay kapandıktan sonra hangi dersler çıkarılmalı?
Sistemin yeniden çalışması, incelemenin bütün yönleriyle tamamlandığı anlamına gelmez. Hangi kontrolün eksik olduğu, hangi bildirimin geciktiği ve hangi bilginin zamanında bulunamadığı değerlendirilmelidir. Hazırlanan raporda yalnızca teknik nedenin belirtilmesiyle yetinilmeyip alınacak önlemin sorumlusu ve uygulanma zamanı da tanımlanabilir. Böylece rapor, arşive kaldırılan bir belge olmaktan çıkarak takip edilebilir bir çalışma planına dönüşür.
İşletmelerin hedefi, her olayın aynı biçimde yaşanacağını varsaymak değil, değişen durumlara karşı uygulanabilir bir hazırlık oluşturmaktır. Güncel erişim listeleri, denenmiş iletişim kanalları ve açık sorumluluklar bu hazırlığı destekler. Veri ihlaliyle ilgili süreçler olayın koşullarına göre farklılaşabileceğinden, bu yazı genel bilgilendirme niteliğindedir. Bildirim, sorumluluk ve başvuru değerlendirmeleri somut bulgular üzerinden yapılmalıdır.