Fikri Mülkiyet ve KVKK
Siber Olay Delil ve Bildirim Yükümlülüğü Kontrol Asistanı
Bir siber güvenlik olayında (veri sızıntısı, yetkisiz erişim, fidye yazılımı vb.) birden çok bildirim ve delil yükümlülüğü aynı anda gündeme gelebilir. Kişisel veri ihlali varsa veri sorumlusu KVKK m.12/5 uyarınca ihlali öğrenmesinden itibaren en geç 72 saat içinde KVK Kurulu'na ve etkilenen ilgili kişilere bildirim yapmalıdır. Kritik altyapı veya kamu bilişim sistemleri söz konusuysa USOM (Ulusal Siber Olaylara Müdahale Merkezi) ve ilgili SOME kanalına bildirim gerekir. Adli sürecin sağlıklı yürümesi için log ve imaj gibi delillerin bütünlüğü (hash/zaman damgası) korunmalıdır. Bu asistan, beş soruya verdiğiniz yanıtlara göre yükümlülükleri ve eksikleri kontrol listesi hâlinde çıkarır.
Sorular
Sık sorulanlar
Kişisel veri ihlali bildirimi ile USOM bildirimi aynı şey mi?
Hayır, farklı yükümlülüklerdir ve aynı olayda ikisi birden gerekebilir. Kişisel veri ihlali bildirimi, KVKK m.12/5 uyarınca KVK Kurulu'na (ve etkilenen ilgili kişilere) yapılır; süresi ihlali öğrenmeden itibaren 72 saattir. USOM bildirimi ise kritik altyapı ve kamu bilişim sistemlerini ilgilendiren siber olaylarda, BTK/USOM düzeni çerçevesinde ilgili SOME aracılığıyla yapılan teknik olay bildirimidir. Bir olay hem kişisel veri ihlali hem de kritik altyapı olayı ise her iki bildirim de yapılmalıdır.
Delil bütünlüğü neden ve nasıl korunur?
Siber olayda sistem logları, ağ kayıtları ve disk/bellek imajları, hem olayın aydınlatılması hem de olası adli/idari süreçlerde delil değeri taşır. Delilin sonradan değiştirilmediğinin gösterilebilmesi için imaj ve logların özet (hash) değerleri alınmalı, zaman damgasıyla ve erişim kaydıyla (chain of custody) muhafaza edilmelidir. Delil, üzerine yazılma veya sistemin yeniden başlatılması gibi işlemlerle kaybolabileceğinden, müdahale sırasında öncelikle uçucu verilerin (bellek, aktif bağlantılar) toplanması önerilir.
72 saatlik KVKK bildirimini kaçırırsam ne olur?
Süre içinde bildirim yapılamazsa, bildirimle birlikte gecikmenin gerekçesi de Kurul'a açıklanmalıdır (2019/10 sayılı karar). Veri güvenliği yükümlülüklerine aykırılık ve geç/eksik bildirim, KVKK m.18 uyarınca idari para cezası riskini artırır ve Kurul'un ceza takdirinde aleyhe değerlendirilebilir. Süre hesabı için ilgili KVKK 72 saat bildirim aracımızı kullanabilirsiniz.
Bu araç yalnızca bilgilendirme amaçlıdır; hukuki tavsiye veya taahhüt niteliği taşımaz. Kesin sonuç için bir avukata danışınız.