Fikri Mülkiyet ve KVKK
Siber Olay Delil ve Bildirim Yükümlülüğü Kontrol Asistanı
Bir siber güvenlik olayında (veri sızıntısı, yetkisiz erişim, fidye yazılımı vb.) birden çok bildirim ve delil yükümlülüğü aynı anda gündeme gelebilir. Kişisel veri ihlali varsa veri sorumlusu KVKK m.12/5 uyarınca ihlali öğrenmesinden itibaren en geç 72 saat içinde KVK Kurulu'na ve etkilenen ilgili kişilere bildirim yapmalıdır. Kritik altyapı veya kamu bilişim sistemleri söz konusuysa USOM (Ulusal Siber Olaylara Müdahale Merkezi) ve ilgili SOME kanalına bildirim gerekir. Adli sürecin sağlıklı yürümesi için log ve imaj gibi delillerin bütünlüğü (hash/zaman damgası) korunmalıdır. Bu asistan, beş soruya verdiğiniz yanıtlara göre yükümlülükleri ve eksikleri kontrol listesi hâlinde çıkarır.
Sorular
Sık sorulanlar
Kişisel veri ihlali bildirimi ile USOM bildirimi aynı şey mi?
Hayır, farklı yükümlülüklerdir ve aynı olayda ikisi birden gerekebilir. Kişisel veri ihlali bildirimi, KVKK m.12/5 uyarınca KVK Kurulu'na (ve etkilenen ilgili kişilere) yapılır; süresi ihlali öğrenmeden itibaren 72 saattir. USOM bildirimi ise kritik altyapı ve kamu bilişim sistemlerini ilgilendiren siber olaylarda, BTK/USOM düzeni çerçevesinde ilgili SOME aracılığıyla yapılan teknik olay bildirimidir. Bir olay hem kişisel veri ihlali hem de kritik altyapı olayı ise her iki bildirim de yapılmalıdır.
Delil bütünlüğü neden ve nasıl korunur?
Siber olayda sistem logları, ağ kayıtları ve disk/bellek imajları, hem olayın aydınlatılması hem de olası adli/idari süreçlerde delil değeri taşır. Delilin sonradan değiştirilmediğinin gösterilebilmesi için imaj ve logların özet (hash) değerleri alınmalı, zaman damgasıyla ve erişim kaydıyla (chain of custody) muhafaza edilmelidir. Delil, üzerine yazılma veya sistemin yeniden başlatılması gibi işlemlerle kaybolabileceğinden, müdahale sırasında öncelikle uçucu verilerin (bellek, aktif bağlantılar) toplanması önerilir.
72 saatlik KVKK bildirimini kaçırırsam ne olur?
Süre içinde bildirim yapılamazsa, bildirimle birlikte gecikmenin gerekçesi de Kurul'a açıklanmalıdır (2019/10 sayılı karar). Veri güvenliği yükümlülüklerine aykırılık ve geç/eksik bildirim, KVKK m.18 uyarınca idari para cezası riskini artırır ve Kurul'un ceza takdirinde aleyhe değerlendirilebilir. Süre hesabı için ilgili KVKK 72 saat bildirim aracımızı kullanabilirsiniz.
Siber Olay: Delil ve Bildirim Yükümlülüğü Kontrol Asistanı
Bir siber güvenlik olayı yaşandığında işletmeler hem hukuki bildirim yükümlülüklerini hem de adli delil güvencesi süreçlerini eş zamanlı olarak yönetmek zorundadır. Bildirim yükümlülükleri; KVKK kapsamındaki veri ihlali bildirimi, kritik altyapılar için BTK bildirimi ve sektörüne göre SPK veya BDDK bildirimleri içerebilmektedir. Bu araç, olayın niteliğine göre yerine getirilmesi gereken bildirim ve delil koruma adımlarını kontrol listesi biçiminde sunmaktadır.
Siber Olay Müdahalesinde Öncelikler
- Delil güvencesi: Sistem logları ve ağ trafiği kayıtları kopyalanarak değiştirilemez ortama aktarılır.
- Kapsam analizi: Hangi sistemlerin ve kişisel verilerin etkilendiği belirlenir.
- Bildirimler: 72 saatlik KVKK bildirimi; BTK, BDDK veya ilgili diğer otoritelere bildirim.
- Kurtarma: Etkilenen sistemlerin yeniden yapılandırılması ve güvenlik açığının kapatılması.
Sık Sorulan Sorular
Adli inceleme başlatılmadan sistemler temizlenebilir mi? Hayır; sistemlerin temizlenmesi adli delilleri yok edebilir. Önce yetkili bir siber güvenlik uzmanı tarafından adli görüntü (forensic image) alınmalıdır.
Bu araç yalnızca bilgilendirme amaçlıdır; hukuki tavsiye veya taahhüt niteliği taşımaz. Kesin sonuç için bir avukata danışınız.
Bu Hesaplama Araçları Muhlet.com.tr altyapısı kullanılarak geliştirilmiştir.