Siber Saldırı Artık Yalnızca Teknik Bir Sorun Değil

Siber Saldırı Artık Yalnızca Teknik Bir Sorun Değil Dijitalleşme, işletmelerin çalışma biçimini kökten değiştirdi. Müşteri kayıtlarından çalışan bilgilerine, ödeme sistemlerinden ticari sırlara kadar pek çok değerli veri artık elektronik ortamda tutuluyor. Bu dönüşüm şirketlere hız ve verimlilik sağlarken önemli bir hukuki sorumluluğu da beraberinde getiriyor: Siber güvenliğin sağlanması. 19 Mart 2025 tarihinde yayımlanarak yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu, Türkiye’de bu alandaki temel hukuki çerçeveyi oluşturdu. Kanunun kapsamı yalnızca kamu kurumları veya büyük teknoloji şirketleriyle sınırlı değil. Siber uzayda faaliyet yürüten, hizmet sunan, veri toplayan veya işleyen gerçek ve tüzel kişiler de düzenlemenin kapsamına girebiliyor. Bu nedenle artık “Biz küçük bir işletmeyiz, siber saldırganlar bizi hedef almaz” düşüncesinin hukuken de fiilen de geçerliliği bulunmuyor. Sorumluluk bilgi işlem birimine bırakılamaz Siber güvenlik uzun yıllar boyunca şirketlerin bilgi işlem birimlerini ilgilendiren teknik bir konu olarak görüldü. Oysa yeni hukuki yaklaşım, güvenliği kurumsal yönetimin bir parçası kabul ediyor. 7545 sayılı Kanun; bilişim sistemlerini kullanarak hizmet sunan, veri toplayan veya işleyen kişilere belirli sorumluluklar yüklüyor. Bunlar arasında mevzuatın öngördüğü güvenlik tedbirlerini almak, tespit edilen zafiyetleri ve siber olayları gecikmeksizin Siber Güvenlik Başkanlığına bildirmek ve Başkanlık tarafından yayımlanan politika, strateji ve düzenlemelere uyum sağlamak bulunuyor. Dolayısıyla yöneticilerin yalnızca “Güvenlik yazılımımız var” demesi yeterli değil. Risklerin önceden belirlenmesi, görev ve yetkilerin tanımlanması, çalışanların eğitilmesi, erişim kayıtlarının tutulması ve bir saldırı durumunda uygulanacak müdahale planının hazırlanması gerekiyor. Başka bir ifadeyle siber güvenlik, satın alınan tek bir programdan değil; insan, süreç, teknoloji ve hukuk bileşenlerinin birlikte işlemesinden oluşuyor. Aynı olay birden fazla hukuki sorumluluk doğurabilir Bir siber saldırı sonucunda kişisel verilerin ele geçirilmesi hâlinde yalnızca Siber Güvenlik Kanunu gündeme gelmez. 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki yükümlülükler de devreye girer. Veri sorumluları, kişisel verilerin hukuka aykırı olarak işlenmesini ve bu verilere yetkisiz erişimi önlemek, ayrıca verilerin güvenli biçimde muhafazasını sağlamak zorundadır. Kişisel verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi durumunda ise ihlal, öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kuruluna bildirilmelidir. İhlalden etkilenen kişilerin de makul olan en kısa sürede haberdar edilmesi gerekir. Bu nedenle bir veri ihlali; idari para cezası, tazminat sorumluluğu, sözleşmeye aykırılık ve bazı durumlarda ceza sorumluluğu gibi farklı sonuçlar doğurabilir. Şirketin ticari itibarı ve müşteri güveni üzerinde oluşabilecek zarar da çoğu zaman hukuki yaptırımlar kadar ağırdır. Kişisel Verileri Koruma Kurulunun yakın tarihli kararlarından biri bu riskin boyutunu açıkça gösteriyor. Bir restoran zincirinde çalışan bilgisayarındaki tarayıcıya kaydedilen kullanıcı adı ve şifrelerin zararlı yazılım aracılığıyla ele geçirilmesi sonucunda 505 binden fazla müşterinin verilerine erişildi. Kurul; iki faktörlü doğrulama, takip ve alarm sistemleri ile çalışan eğitimlerinin saldırıdan önce yeterli şekilde uygulanmadığını belirleyerek veri sorumlusu hakkında toplam bir milyon lira idari para cezasına hükmetti. Bu kararın verdiği mesaj açıktır: Güvenlik tedbirlerini olay gerçekleştikten sonra almak, her zaman sorumluluktan kurtulmaya yetmez. Yeni Kanun ciddi yaptırımlar öngörüyor 7545 sayılı Siber Güvenlik Kanunu, yükümlülüklere aykırı davranışlar bakımından yüksek idari para cezalarının yanında hapis cezaları da öngörüyor. Örneğin yetkili mercilerin görevleri kapsamında istediği bilgi, belge, yazılım, veri veya donanımı vermeyen ya da bunların alınmasına engel olan kişiler hakkında hapis ve adli para cezası uygulanabiliyor. Gerekli onay veya izinleri almadan siber güvenlik alanında faaliyet yürütmek de cezai sorumluluk doğurabiliyor. Tespit edilen zafiyet veya siber olayları bildirmemek ve gerekli güvenlik tedbirlerini almamak ise bir milyon liradan on milyon liraya kadar idari para cezasıyla sonuçlanabiliyor. Denetim yükümlülüklerinin ticari şirketler tarafından ihlal edilmesi hâlinde uygulanacak ceza, belirli koşullarda şirketin yıllık brüt satış hasılatının yüzde beşine kadar ulaşabiliyor. Bu rakamlar siber güvenlik uyumunun ertelenebilir bir maliyet kalemi olmadığını gösteriyor. Şirketler bugün ne yapmalı? İlk adım, şirket bünyesinde tutulan verilerin ve kullanılan bilişim sistemlerinin güncel bir envanterini çıkarmaktır. Hangi veriye kimin eriştiği belirlenmeli, gereksiz erişim yetkileri kaldırılmalı ve kritik hesaplarda iki faktörlü kimlik doğrulama kullanılmalıdır. Güçlü parola politikaları oluşturulmalı; parolaların internet tarayıcılarında kontrolsüz biçimde saklanmasına izin verilmemelidir. Sistem kayıtları düzenli olarak izlenmeli, güvenlik açıkları test edilmeli ve yedeklerin saldırıdan etkilenmeyecek şekilde korunması sağlanmalıdır. Çalışanlara düzenli eğitim verilmesi de vazgeçilmezdir. Çünkü en gelişmiş güvenlik sistemi bile şüpheli bir bağlantıya tıklanması, parolanın paylaşılması veya sahte bir e-postaya cevap verilmesiyle etkisiz hâle gelebilir. Son olarak şirketlerin yazılı bir siber olay müdahale planı bulunmalıdır. Bu planda olayın kime bildirileceği, sistemlerin nasıl korunacağı, delillerin nasıl muhafaza edileceği ve ilgili kamu kurumları ile etkilenen kişilere yapılacak bildirimlerin kim tarafından yönetileceği açıkça gösterilmelidir. Güvenlik bir tercih değil, hukuki yükümlülüktür Dijital dünyada yüzde yüz güvenlikten söz etmek mümkün değildir. Hukukun işletmelerden beklediği de her saldırıyı mutlak biçimde önlemeleri değil; faaliyetlerinin niteliğine ve taşıdıkları riske uygun, güncel ve denetlenebilir tedbirleri zamanında almalarıdır. Siber saldırı gerçekleştiğinde ilk sorulacak soru yalnızca “Sisteme kim girdi?” olmayacaktır. “Şirket bu saldırıyı önlemek ve etkilerini azaltmak için daha önce hangi tedbirleri aldı?” sorusu da en az onun kadar önemli olacaktır. Bu nedenle siber güvenlik bütçesi bir gider, hukuki uyum ise yalnızca evrak işi olarak görülmemelidir. Zamanında kurulan etkili bir güvenlik ve uyum sistemi; şirketin verilerini, itibarını ve geleceğini birlikte korur. Av. Hafize Özdilek