Şirketlerde Siber Güvenlik İhlalleri ve Hukuki Sorumluluk

Giriş

Şirketlerde siber güvenlik ihlalleri, artık yalnızca teknik ekiplerin veya bilgi işlem departmanlarının sorunu değildir. Müşteri verilerinin çalınması, çalışan bilgilerinin sızdırılması, ödeme sistemlerine yetkisiz erişim, fidye yazılımı saldırısı, şirket e-posta hesaplarının ele geçirilmesi, tedarikçi sistemleri üzerinden veri sızıntısı, web sitesinin hacklenmesi, verilerin silinmesi veya erişilemez hâle getirilmesi; doğrudan hukuki, mali ve itibari sonuçlar doğurur.

Bir siber saldırı sonucunda şirketin yalnızca sistemi zarar görmez. Aynı zamanda müşteriler, çalışanlar, iş ortakları, tedarikçiler, kamu kurumları ve pay sahipleri de etkilenebilir. Özellikle kişisel verilerin ihlal edildiği olaylarda 6698 sayılı Kişisel Verilerin Korunması Kanunu, Türk Ceza Kanunu, Türk Borçlar Kanunu, Türk Ticaret Kanunu, iş hukuku, tüketici hukuku ve sözleşme hukuku birlikte değerlendirilmelidir.

Kişisel Verileri Koruma Kurumu’na göre veri sorumlusu; kişisel verilerin hukuka aykırı işlenmesini önlemek, kişisel verilere hukuka aykırı erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak zorundadır. Ayrıca kişisel verilerin veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, gerekli tedbirlerin alınması konusunda veri sorumlusu bu kişilerle birlikte müştereken sorumludur.

Bu nedenle şirketlerde siber güvenlik ihlali yaşandığında ilk soru yalnızca “saldırıyı kim yaptı?” değildir. Asıl kritik sorular şunlardır: Şirket gerekli teknik ve idari tedbirleri aldı mı? İhlal kişisel verileri etkiledi mi? Kurul’a bildirim yapılması gerekir mi? İlgili kişilere haber verilmeli mi? Olayın delilleri korundu mu? Savcılığa suç duyurusu yapılmalı mı? Tedarikçi veya çalışan kusurlu mu? Şirket tazminat veya idari para cezası riskiyle karşı karşıya mı?

Siber Güvenlik İhlali Nedir?

Siber güvenlik ihlali, şirketin bilgi sistemlerine, ağlarına, verilerine, yazılımlarına, kullanıcı hesaplarına veya dijital varlıklarına hukuka aykırı, yetkisiz ya da güvenliği bozucu şekilde müdahale edilmesidir. Bu ihlal dışarıdan bir hacker saldırısıyla gerçekleşebileceği gibi içeriden bir çalışan, eski çalışan, tedarikçi, hizmet sağlayıcı veya yetkisini kötüye kullanan kişi tarafından da gerçekleştirilebilir.

Siber güvenlik ihlalleri farklı şekillerde ortaya çıkabilir. Fidye yazılımı saldırısında şirket dosyaları şifrelenebilir ve erişilemez hâle gelebilir. Phishing saldırısında çalışanların e-posta şifreleri ele geçirilebilir. İş e-postası dolandırıcılığında sahte ödeme talimatlarıyla şirketten para çıkarılabilir. Veri sızıntısında müşteri, hasta, çalışan, öğrenci veya üyelik bilgileri üçüncü kişilerin eline geçebilir. Web uygulaması açığı nedeniyle şirket veri tabanına erişilebilir. Bulut hizmeti yanlış yapılandırıldığı için dosyalar herkese açık hâle gelebilir.

Her siber olay veri ihlali değildir; fakat her veri ihlali şirket açısından ciddi hukuki sonuç doğurabilir. Örneğin şirketin web sitesi kısa süreli erişilemez hâle geldiyse ve kişisel veri etkilenmediyse, bu daha çok hizmet kesintisi ve sözleşmesel sorumluluk bakımından değerlendirilir. Ancak müşteri verileri, çalışan bordroları, sağlık bilgileri, ödeme bilgileri veya kimlik verileri yetkisiz kişilerce elde edildiyse KVKK kapsamında kişisel veri ihlali gündeme gelir.

Şirketlerin Veri Güvenliği Yükümlülüğü

Şirketler, işledikleri kişisel verileri korumak zorundadır. Bu yükümlülük yalnızca büyük ölçekli teknoloji şirketleri için değil; e-ticaret siteleri, klinikler, hukuk büroları, eğitim kurumları, oteller, lojistik şirketleri, üreticiler, yazılım firmaları, çağrı merkezleri, danışmanlık şirketleri ve insan kaynakları verisi işleyen tüm işletmeler için önemlidir.

KVKK m.12 çerçevesinde şirket, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önleyecek; ayrıca verilerin güvenli şekilde muhafazasını sağlayacak teknik ve idari tedbirleri almakla yükümlüdür. Kurum, veri güvenliğine ilişkin tek bir standart model öngörülemeyeceğini; uygun önlemlerin şirketin büyüklüğü, faaliyeti, işlenen verinin niteliği ve risk düzeyine göre belirlenmesi gerektiğini açıklamaktadır.

Bu kapsamda alınabilecek teknik tedbirler arasında güçlü parola politikası, çok faktörlü kimlik doğrulama, erişim yetkilendirmesi, log kayıtları, ağ güvenliği, güncel antivirüs ve EDR çözümleri, güvenlik duvarı, veri tabanı güvenliği, yedekleme, şifreleme, sızma testi, zafiyet taraması, güvenli yazılım geliştirme, yama yönetimi ve bulut güvenliği sayılabilir.

İdari tedbirler ise en az teknik tedbirler kadar önemlidir. Şirketin bilgi güvenliği politikası, veri işleme envanteri, çalışan eğitimleri, gizlilik sözleşmeleri, tedarikçi sözleşmeleri, veri ihlali müdahale planı, yetki matrisi, disiplin prosedürü, işten ayrılan çalışanların erişimlerinin kapatılması, veri saklama-imha politikası ve düzenli denetim mekanizması bulunmalıdır.

Veri İhlali Ne Zaman Kurul’a Bildirilmelidir?

Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu Kurul’a ve ilgili kişilere bildirmek zorundadır. KVKK’nın güncel kamuoyu duyurularında da, veri sorumlularının 24.01.2019 tarihli ve 2019/10 sayılı Kurul kararı gereğince ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul’a bildirim yapması gerektiği açıkça belirtilmektedir.

Buradaki “öğrenme” anı önemlidir. Şirket bir siber saldırı şüphesi aldığında hemen teknik inceleme başlatmalıdır. Ancak kişisel verilerin hukuka aykırı şekilde elde edildiği, sızdırıldığı, erişime açıldığı, silindiği veya yetkisiz kişilerin eline geçtiği yönünde makul tespit oluştuğunda 72 saatlik bildirim süresi gündeme gelir.

Şirketin “henüz tüm detayları bilmiyoruz” gerekçesiyle bildirimi uzun süre ertelemesi risklidir. Uygulamada önce ilk bildirim yapılabilir, sonrasında teknik inceleme ilerledikçe ek bildirim veya güncelleme sunulabilir. Önemli olan, Kurul’un ve etkilenen kişilerin ihlalin olumsuz sonuçlarını azaltabilecek şekilde zamanında bilgilendirilmesidir.

İlgili Kişilere Bildirimde Neler Yer Almalıdır?

Veri ihlalinden etkilenen kişilere yapılacak bildirim de yalnızca şekli bir duyuru değildir. Kurul’un 18.09.2019 tarihli ve 2019/271 sayılı kararına göre ilgili kişiye yapılacak ihlal bildirimi açık ve sade bir dille hazırlanmalı; ihlalin ne zaman gerçekleştiği, hangi kişisel veri kategorilerinin etkilendiği, ihlalin olası sonuçları, olumsuz etkilerin azaltılması için alınan veya önerilen tedbirler ve bilgi alınabilecek irtibat kişileri veya iletişim kanalları gibi asgari unsurları içermelidir.

Örneğin bir e-ticaret şirketinin müşteri verileri sızmışsa, ilgili kişiye yalnızca “sistemimizde güvenlik olayı yaşanmıştır” demek yeterli olmayabilir. Hangi verilerin etkilendiği açıkça belirtilmelidir: ad-soyad, telefon, e-posta, adres, sipariş geçmişi, kart verisi, IP adresi veya parola bilgisi etkilenmiş mi? Kullanıcının parolasını değiştirmesi gerekiyor mu? Banka veya kart bilgileri risk altında mı? Kimlik avı saldırılarına karşı dikkatli olunmalı mı?

Bildirimin dili paniğe yol açmayacak şekilde sade ama dürüst olmalıdır. Şirket, olayın boyutunu gizlememeli; bilmediği hususlarda kesin ifadeler kullanmamalı; kullanıcılara somut korunma adımları önermelidir.

Siber Güvenlik İhlalinde İlk 24 Saatte Ne Yapılmalıdır?

Siber olaylarda ilk saatler, hem teknik müdahale hem de hukuki sorumluluk bakımından kritiktir. Şirketin ilk refleksi yalnızca sistemi kapatmak veya saldırganla pazarlık yapmak olmamalıdır. Olayın delilleri korunmalı, yetkili ekip kurulmalı ve hukuki bildirim ihtimali değerlendirilmelidir.

İlk aşamada olay müdahale ekibi oluşturulmalıdır. Bu ekipte bilgi işlem, siber güvenlik uzmanı, hukuk birimi, KVKK sorumlusu, üst yönetim, iletişim birimi ve gerekirse dış danışman bulunmalıdır. Olayın türü tespit edilmeli; saldırı devam ediyorsa yayılması engellenmeli; log kayıtları, sistem imajları, ağ trafiği, erişim kayıtları, e-posta başlıkları ve zararlı yazılım örnekleri korunmalıdır.

Delil korunması çok önemlidir. Panikle sunucuların formatlanması, logların silinmesi, hesapların rastgele kapatılması veya saldırganla yazışmaların kaybedilmesi hem teknik analiz hem de ceza soruşturması bakımından zarar verir. Özellikle TCK kapsamındaki bilişim suçları bakımından savcılık sürecinde IP, log, cihaz, zaman damgası, ödeme izleri ve erişim kayıtları belirleyici olabilir.

TCK Bakımından Bilişim Suçları

Şirketlere yönelik siber saldırılar, Türk Ceza Kanunu kapsamında suç oluşturabilir. TCK m.243, bilişim sisteminin bütününe veya bir kısmına hukuka aykırı olarak girme ve orada kalmaya devam etme suçunu düzenler. TCK m.244 ise sistemi engelleme, bozma, verileri yok etme veya değiştirme fiillerini cezalandırır. Madde metninde bilişim sisteminin işleyişini engelleyen veya bozan kişinin cezalandırılacağı; sistemdeki verileri bozan, yok eden, değiştiren, erişilmez kılan, sisteme veri yerleştiren veya verileri başka yere gönderen kişinin ayrıca cezalandırılacağı düzenlenmiştir.

Bu kapsamda şirket sunucusuna yetkisiz girilmesi, veri tabanının kopyalanması, müşteri bilgilerinin dışarı aktarılması, sistemin kilitlenmesi, dosyaların silinmesi, fidye yazılımıyla verilerin erişilemez hâle getirilmesi, web sitesine zararlı kod yerleştirilmesi veya şirketin işleyişinin bozulması TCK m.243 ve m.244 bakımından değerlendirilir.

Saldırı sonucunda şirketten para istenmişse, banka hesaplarına haksız erişim sağlanmışsa, ödeme talimatı değiştirilmişse veya şirket verileri şantaj amacıyla kullanılmışsa dolandırıcılık, şantaj, tehdit, kişisel verilerin hukuka aykırı verilmesi veya ele geçirilmesi gibi başka suçlar da gündeme gelebilir.

Fidye Yazılımı Saldırılarında Hukuki Süreç

Fidye yazılımı saldırılarında şirket verileri şifrelenir ve saldırgan verileri açmak için ödeme talep eder. Bazı olaylarda saldırgan yalnızca sistemi şifrelemekle kalmaz, verileri dışarı çıkarır ve ödeme yapılmazsa yayımlamakla tehdit eder. Bu durumda hem TCK m.244 anlamında sistemi engelleme/verileri erişilmez kılma hem de kişisel veri ihlali gündeme gelebilir.

Şirket fidye ödemesi yapmadan önce hukuki, mali ve teknik riskleri değerlendirmelidir. Ödeme yapılması verilerin geri geleceğini garanti etmez. Ayrıca saldırganın verileri kopyalamadığı veya yayımlamayacağı da garanti edilemez. Fidye ödeme sürecinde kara para aklama, yaptırım listeleri, şirket içi yetkilendirme ve sigorta poliçesi hükümleri de değerlendirilmelidir.

Fidye yazılımı olaylarında yedekleme politikası hayati önem taşır. Şirket düzenli, çevrim dışı ve test edilmiş yedeklemeye sahipse operasyonel zarar azalır. Ancak yedeklerin bulunması, veri ihlali bildirim yükümlülüğünü kendiliğinden ortadan kaldırmaz. Eğer kişisel veriler yetkisiz kişilerce elde edilmişse veya böyle bir risk tespit edilmişse KVKK bildirimi ayrıca değerlendirilmelidir.

Yönetim Kurulu ve Üst Yönetimin Sorumluluğu

Siber güvenlik ihlallerinde şirket yönetiminin sorumluluğu da gündeme gelebilir. Siber güvenlik yalnızca teknik bir operasyon değil, kurumsal risk yönetimi meselesidir. Yönetim organı, şirketin faaliyet alanına, veri işleme hacmine ve risk profiline uygun bilgi güvenliği yönetimi kurulmasını sağlamalıdır.

Özellikle sağlık, finans, e-ticaret, eğitim, lojistik, yazılım, insan kaynakları ve büyük müşteri veri tabanı işleyen şirketlerde veri güvenliği yönetim kurulu seviyesinde ele alınmalıdır. Bütçe ayrılmaması, temel güvenlik önlemlerinin alınmaması, sistemlerin güncellenmemesi, zafiyet testlerinin yapılmaması, çalışanların eğitilmemesi veya tedarikçi denetiminin hiç yapılmaması, ihlal sonrası “öngörülebilir ve önlenebilir risk” tartışmasını doğurabilir.

KVKK açısından idari para cezası veri sorumlusu şirkete uygulanır. Ancak şirket içinde kusurlu çalışan veya yönetici varsa, iç rücu, disiplin, iş hukuku veya tazminat sorumluluğu ayrıca değerlendirilebilir.

Çalışanların ve Eski Çalışanların Rolü

Siber güvenlik ihlallerinin önemli bir kısmı çalışan hatası veya iç tehdit kaynaklıdır. Zayıf parola kullanımı, phishing e-postasına tıklama, yetkisiz yazılım yükleme, şirket verilerini kişisel e-postaya gönderme, USB bellek kullanımı, eski çalışanın erişiminin kapatılmaması veya yetki fazlalığı veri ihlaline yol açabilir.

İşverenin çalışanlara bilgi güvenliği eğitimi vermesi, gizlilik yükümlülüklerini yazılı hâle getirmesi, erişim yetkilerini görevle sınırlaması, işten ayrılan çalışanların erişimlerini derhal kapatması ve veri sızıntısı durumunda disiplin prosedürü işletmesi gerekir.

Ancak çalışan hatası şirketi otomatik olarak sorumluluktan kurtarmaz. Şirket gerekli eğitimleri vermemiş, teknik önlem almamış, erişim loglarını tutmamış veya yetki kontrolü yapmamışsa “çalışan hata yaptı” savunması yeterli olmayabilir.

Tedarikçi ve Bulut Hizmeti Sağlayıcılarının Sorumluluğu

Şirketler çoğu zaman verilerini bulut hizmetlerinde, muhasebe programlarında, CRM sistemlerinde, e-posta sağlayıcılarında, çağrı merkezi altyapısında, ödeme kuruluşlarında veya dış yazılım firmalarında tutar. Bu durumda veri işleyen ve tedarikçi sorumluluğu önem kazanır.

Kurum’un açıklamasına göre kişisel verilerin veri sorumlusu adına başka kişiler tarafından işlenmesi hâlinde veri sorumlusu, gerekli tedbirlerin alınması konusunda bu kişilerle birlikte müştereken sorumlu olabilir. Bu nedenle şirket, tedarikçisini seçerken yalnızca fiyat ve hizmet kalitesine bakmamalı; bilgi güvenliği, veri koruma, sertifikasyon, erişim yetkileri, yurt dışı aktarım, alt yüklenici kullanımı, olay bildirimi ve denetim haklarını da sözleşmeyle düzenlemelidir.

Tedarikçi kaynaklı veri ihlalinde şirket “veri tedarikçinin sisteminden sızdı” diyerek tüm sorumluluktan kurtulamaz. Veri sorumlusu, veri işleyeni seçerken ve denetlerken makul özeni göstermelidir. Hizmet sözleşmelerinde siber olay bildirimi için kısa süreler, log paylaşımı, teknik destek, zarar tazmini ve KVKK uyum hükümleri açıkça yazılmalıdır.

İdari Para Cezası Riski

Kişisel veri ihlallerinde şirketler idari para cezası riskiyle karşılaşabilir. KVKK, veri güvenliği yükümlülüklerinin yerine getirilmemesi, Kurul kararlarına uyulmaması, aydınlatma yükümlülüğünün ihlali ve veri sorumluları siciline ilişkin yükümlülüklerin ihlali gibi konularda idari para cezaları öngörür. KVKK, 6698 sayılı Kanun’un 18. maddesindeki idari para cezalarının 2017-2026 yılları için yeniden değerleme oranlarına göre artırılmış tutarlarını gösteren resmi tablo yayımlamıştır.

Burada önemli nokta şudur: Şirketin ihlali Kurul’a bildirmesi, tek başına sorumluluğu ortadan kaldırmaz. Kurul, bildirimden sonra şirketin gerekli teknik ve idari tedbirleri alıp almadığını, ihlale neden olan zafiyetleri, ihlalin kapsamını, etkilenen kişi sayısını, verilerin niteliğini, ihlale müdahale hızını ve ilgili kişilere yapılan bilgilendirmenin yeterliliğini inceleyebilir. KVKK’nın kamuoyu duyurusunda da bildirim yükümlülüğünün yerine getirilmesinden sonra Kurul tarafından inceleme kararı alınabileceği belirtilmektedir.

Tazminat Sorumluluğu

Siber güvenlik ihlali nedeniyle kişilerin maddi veya manevi zarar görmesi hâlinde şirket aleyhine tazminat talepleri gündeme gelebilir. Örneğin kimlik bilgileri sızan kişi dolandırıcılığa uğramış olabilir; sağlık bilgileri ifşa edilen kişi manevi zarar yaşamış olabilir; kredi kartı veya hesap bilgileri kötüye kullanılmış olabilir; çalışan bilgileri yayılan kişi özel hayatının ihlal edildiğini ileri sürebilir.

KVKK idari yaptırımları kamu hukuku boyutudur. Bunun yanında ilgili kişiler, Türk Borçlar Kanunu ve kişilik hakları hükümleri çerçevesinde maddi ve manevi tazminat talep edebilir. Şirketin kusuru, alınan güvenlik önlemleri, ihlalin öngörülebilirliği, zararla ihlal arasındaki illiyet bağı ve şirketin müdahale biçimi tazminat değerlendirmesinde önem taşır.

Özellikle özel nitelikli kişisel verilerin ihlalinde tazminat riski daha yüksektir. Sağlık verileri, biyometrik veriler, ceza mahkûmiyeti bilgileri, finansal bilgiler veya çocuklara ait verilerin sızması ağır sonuç doğurabilir.

USOM ve Siber Olaylara Müdahale

Türkiye’de ulusal siber olaylara müdahale koordinasyonu bakımından USOM önemli bir kurumdur. BTK’nın açıklamasına göre Ulusal Siber Olaylara Müdahale Merkezi, Türkiye’nin siber güvenliğine karşı ortaya çıkan tehditlerin belirlenmesi, muhtemel siber saldırı ve olayların etkilerinin azaltılması veya ortadan kaldırılması amacıyla kurulmuş; siber olaylara müdahale konusunda ulusal ve uluslararası koordinasyon çalışmalarını 7/24 yürütmektedir.

Her özel şirketin her olayda USOM’a bildirim yükümlülüğü aynı şekilde doğmayabilir; ancak kritik altyapı, sektörel düzenleme, kamu hizmeti, telekomünikasyon, finans, enerji veya büyük ölçekli siber olaylarda USOM ve ilgili sektörel SOME yapılarıyla koordinasyon gündeme gelebilir. Şirketler faaliyet alanlarına göre siber olay bildirim ve müdahale yükümlülüklerini ayrıca analiz etmelidir.

Şirketler İçin Siber Güvenlik Uyum Kontrol Listesi

Şirketler siber güvenlik ihlali yaşamadan önce hazırlık yapmalıdır. İlk adım, işlenen kişisel verilerin ve kritik sistemlerin envanterinin çıkarılmasıdır. Hangi veriler işleniyor, nerede saklanıyor, kim erişiyor, hangi tedarikçilere aktarılıyor, yurt dışına veri gidiyor mu, hangi sistemler kritik, hangi yedekleme uygulanıyor gibi sorular cevaplanmalıdır.

İkinci olarak teknik tedbirler kurulmalıdır. Çok faktörlü kimlik doğrulama, düzenli yedekleme, erişim logları, yama yönetimi, şifreleme, ağ segmentasyonu, güvenlik duvarı, EDR, sızma testi ve zafiyet taraması temel güvenlik katmanlarıdır.

Üçüncü olarak idari tedbirler alınmalıdır. Bilgi güvenliği politikası, çalışan eğitimleri, veri ihlali müdahale planı, tedarikçi denetimi, gizlilik sözleşmeleri, yetki matrisi ve veri saklama-imha politikası hazırlanmalıdır.

Dördüncü olarak olay müdahale planı test edilmelidir. Veri ihlali olduğunda kim karar verecek, kim Kurul’a bildirim yapacak, kim ilgili kişilere açıklama hazırlayacak, kim teknik delilleri koruyacak, kim savcılık başvurusu yapacak, kim medya iletişimini yönetecek önceden belirlenmelidir.

Beşinci olarak şirket, siber sigorta poliçesi varsa kapsamını incelemelidir. Poliçe fidye yazılımı, iş kesintisi, veri kurtarma, hukuki danışmanlık, üçüncü kişi talepleri ve idari para cezaları bakımından neyi kapsıyor, neyi kapsamıyor önceden bilinmelidir.

Sonuç

Şirketlerde siber güvenlik ihlalleri, teknik bir arıza veya basit bir IT sorunu olarak görülmemelidir. Bir siber saldırı; KVKK bildirimi, idari para cezası, ceza soruşturması, müşteri ve çalışan tazminat talepleri, ticari itibar kaybı, sözleşme ihlali, iş kesintisi ve yönetim sorumluluğu gibi çok yönlü sonuçlar doğurabilir.

Şirketler, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak ve uygun güvenlik düzeyini temin etmek için gerekli teknik ve idari tedbirleri almak zorundadır. Bu yükümlülük, şirketin ölçeğine, faaliyet alanına ve işlenen verinin niteliğine göre somut şekilde değerlendirilir.

Kişisel veri ihlali gerçekleşirse şirketin ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul’a bildirim yapması gerekir. Ayrıca etkilenen kişiler belirlenir belirlenmez makul olan en kısa sürede ilgili kişilere açık, sade ve yol gösterici bildirim yapılmalıdır.

Siber saldırılar aynı zamanda TCK m.243 ve m.244 kapsamında bilişim sistemine girme, sistemi engelleme, bozma, verileri yok etme, değiştirme veya erişilmez kılma suçlarını gündeme getirebilir. Bu nedenle şirketler teknik delilleri korumalı, log kayıtlarını saklamalı ve gerekli hâllerde Cumhuriyet Başsavcılığı’na suç duyurusunda bulunmalıdır.

Sonuç olarak siber güvenlik, şirketler için yalnızca teknik yatırım değil, hukuki uyum ve kurumsal yönetim meselesidir. Güçlü siber güvenlik politikası, KVKK uyumu, olay müdahale planı, çalışan eğitimi, tedarikçi denetimi, düzenli sızma testleri, güvenli yedekleme ve hızlı bildirim mekanizması; şirketi hem saldırılara karşı daha dirençli hâle getirir hem de ihlal yaşandığında hukuki sorumluluğun azaltılmasına yardımcı olur.