Siber Saldırıya Uğrayan Şirketlerin Atması Gereken Hukuki Adımlar

Giriş

Siber saldırılar, şirketler için artık yalnızca teknik bir arıza veya bilgi işlem problemi değildir. Bir şirketin e-posta hesabının ele geçirilmesi, müşteri verilerinin sızdırılması, fidye yazılımı nedeniyle dosyaların şifrelenmesi, web sitesinin hacklenmesi, ödeme sistemlerine yetkisiz erişim sağlanması, çalışan bilgilerinin dışarı çıkarılması veya ticari sırların çalınması; ciddi hukuki, mali ve itibari sonuçlar doğurur.

Bu nedenle siber saldırıya uğrayan şirketin ilk refleksi yalnızca “sistemi tekrar çalıştırmak” olmamalıdır. Elbette teknik müdahale önemlidir; ancak aynı anda hukuki delillerin korunması, kişisel veri ihlali olup olmadığının belirlenmesi, Kişisel Verileri Koruma Kurumu’na bildirim yükümlülüğünün değerlendirilmesi, etkilenen kişilerin bilgilendirilmesi, savcılık suç duyurusu, tedarikçi ve çalışan sorumluluğu, sigorta bildirimi, müşteri iletişimi ve yönetim kurulu kararları gibi birçok başlık birlikte ele alınmalıdır.

Kişisel Verileri Koruma Kurumu’na göre veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve kişisel verilere hukuka aykırı erişilmesini önlemek, ayrıca kişisel verilerin muhafazasını sağlamakla yükümlüdür; bu amaçla uygun güvenlik düzeyini temin edecek teknik ve idari tedbirleri almak zorundadır. Veri sorumlusu, verilerin kendi adına başka bir kişi veya kuruluş tarafından işlenmesi hâlinde de gerekli tedbirlerin alınması bakımından bu kişilerle birlikte müştereken sorumlu olabilir.

Dolayısıyla siber saldırıya uğrayan bir şirket açısından temel mesele şudur: Şirket saldırıya uğramış olabilir; ancak saldırı öncesinde gerekli tedbirleri alıp almadığı, saldırı sonrasında hızlı ve şeffaf davranıp davranmadığı ve kanuni bildirim yükümlülüklerini yerine getirip getirmediği ayrıca incelenecektir.

Siber Saldırı Sonrası İlk Adım: Kriz Ekibi Kurulmalıdır

Siber saldırı fark edildiği anda şirket içinde hızlı bir kriz ekibi kurulmalıdır. Bu ekip yalnızca bilgi işlem personelinden oluşmamalıdır. Hukuk birimi, KVKK sorumlusu, üst yönetim, bilgi güvenliği ekibi, dış siber güvenlik uzmanı, insan kaynakları, müşteri iletişimi ve gerekirse mali müşavir veya sigorta danışmanı aynı masa etrafında hareket etmelidir.

İlk değerlendirme şu sorulara cevap aramalıdır: Saldırı ne zaman başladı? Hangi sistemler etkilendi? Kişisel veri sızıntısı var mı? Saldırı devam ediyor mu? Veriler silindi mi, şifrelendi mi, kopyalandı mı? Etkilenen kişi grupları kimler? Müşteri, çalışan, tedarikçi, hasta, öğrenci veya kullanıcı verileri var mı? Özel nitelikli kişisel veri etkilenmiş mi? Saldırı dış kaynaklı mı, çalışan veya tedarikçi kaynaklı mı?

Bu aşamada teknik ekip sistemi ayağa kaldırmaya çalışırken hukuk ekibi de bildirim sürelerini, delil niteliğini, suç duyurusu hazırlığını ve şirketin açıklama stratejisini değerlendirmelidir. Özellikle kişisel veri ihlali ihtimali varsa zaman baskısı çok önemlidir. KVKK uygulamasında veri sorumlusunun ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul’a bildirim yapması gerektiği Kurum tarafından açıkça belirtilmektedir.

Deliller Korunmadan Sistem Formatlanmamalıdır

Siber saldırıya uğrayan şirketlerin yaptığı en büyük hatalardan biri, panikle tüm sistemleri formatlamak, logları silmek veya saldırının izlerini ortadan kaldırmaktır. Bu yaklaşım teknik olarak sistemi kısa sürede çalıştırabilir; ancak hukuki ve adli bilişim açısından delil kaybına yol açabilir.

Saldırının nasıl gerçekleştiği, hangi IP adreslerinden bağlantı kurulduğu, hangi kullanıcı hesaplarının kullanıldığı, hangi dosyaların indirildiği, hangi verilerin dışarı aktarıldığı, sistemde hangi zararlı yazılımın çalıştığı, saldırganın ne kadar süre içeride kaldığı ve hangi personel hesabının ele geçirildiği ancak teknik delillerle anlaşılabilir. Bu nedenle log kayıtları, sunucu imajları, güvenlik duvarı kayıtları, VPN kayıtları, e-posta başlık bilgileri, antivirüs/EDR uyarıları, erişim kayıtları, veri tabanı logları ve yedekleme kayıtları korunmalıdır.

Delillerin korunması, yalnızca savcılık süreci için değil, KVKK bildirimi ve olası tazminat davaları için de önemlidir. Şirket Kurul’a bildirim yaptığında, ihlalin nasıl gerçekleştiğini, hangi verilerin etkilendiğini, ne zaman tespit edildiğini ve hangi önlemlerin alındığını açıklamak zorunda kalabilir. Delil yoksa şirketin ihlali sağlıklı değerlendirmesi de mümkün olmaz.

Bu nedenle siber saldırı sonrası adli bilişim uzmanı desteği alınmalı, sistemlerin imajı usulüne uygun çıkarılmalı, loglar zaman damgalı şekilde saklanmalı ve teknik raporlama yapılmalıdır. Şirket, delil koruma sürecini yazılı karar ve tutanaklarla kayıt altına almalıdır.

Kişisel Veri İhlali Olup Olmadığı Hemen Değerlendirilmelidir

Her siber saldırı kişisel veri ihlali değildir. Örneğin şirketin web sitesine kısa süreli DDoS saldırısı yapılmış ve kişisel veriye erişim olmamışsa, KVKK anlamında veri ihlali bildirimi gerekmeyebilir. Ancak müşteri listesi, çalışan bordroları, kimlik bilgileri, ödeme bilgileri, sağlık verileri, adresler, telefon numaraları, e-posta hesapları, IP kayıtları, üyelik bilgileri veya özel nitelikli veriler yetkisiz kişilerin eline geçmişse kişisel veri ihlali gündeme gelir.

Kurum’un açıklamasına göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurul’a bildirmekle yükümlüdür. Ayrıca veri güvenliği önlemleri şirketin büyüklüğüne, faaliyet alanına ve işlenen verinin niteliğine göre belirlenmelidir; tek tip bir güvenlik modeli öngörülmemektedir.

Bu nedenle şirket, ilk 24 saat içinde “veri ihlali değerlendirme tutanağı” hazırlamalıdır. Bu tutanakta ihlalin türü, etkilenen sistemler, kişisel veriye erişim olup olmadığı, hangi veri kategorilerinin etkilendiği, tahmini kişi sayısı, ihlalin devam edip etmediği ve alınan ilk tedbirler yazılmalıdır. Henüz tüm detaylar bilinmiyorsa bu durum açıkça belirtilmeli; ancak bildirim yükümlülüğünü ertelemek için belirsizlik gerekçesi kötüye kullanılmamalıdır.

KVKK 72 Saat Bildirimi Unutulmamalıdır

Siber saldırı kişisel veri ihlali niteliğindeyse, şirketin Kişisel Verileri Koruma Kurulu’na bildirim yükümlülüğü doğabilir. Kurum’un güncel duyurularında, veri sorumlularının 24.01.2019 tarihli ve 2019/10 sayılı Kurul kararı gereğince ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul’a bildirim yapmakla yükümlü olduğu açıkça belirtilmektedir.

Bu 72 saatlik süre, şirketin saldırıyı tüm ayrıntılarıyla çözmesini beklemez. Önemli olan ihlalin öğrenilmesinden sonra makul hızla bildirim yapılmasıdır. Teknik inceleme devam ediyorsa, ilk bildirimde mevcut bilgiler paylaşılabilir; sonrasında ek bilgi ve güncelleme sunulabilir. Kurum’un ihlal bildirim ekranında da 72 saatin geçirilmesi hâlinde geç bildirimin sebebinin açıklanması istenmektedir.

Bildirimde ihlalin ne zaman gerçekleştiği, ne zaman tespit edildiği, hangi veri kategorilerinin etkilendiği, kaç kişinin etkilenmiş olabileceği, ihlalin muhtemel sonuçları, alınan tedbirler, ilgili kişilere bildirim yapılıp yapılmadığı ve irtibat kişisi bilgileri yer almalıdır. Şirketin eksik, geç veya gerçeğe aykırı bildirim yapması ayrıca idari yaptırım riskini artırabilir.

Etkilenen Kişilere Açık ve Sade Bildirim Yapılmalıdır

Siber saldırı sonucunda kişisel verileri etkilenen kişilere de bildirim yapılması gerekebilir. İlgili kişiler; müşteriler, çalışanlar, eski çalışanlar, tedarikçi temsilcileri, üyeler, hastalar, öğrenciler, başvuru sahipleri veya platform kullanıcıları olabilir.

Kişisel Verileri Koruma Kurulu’nun 18.09.2019 tarihli ve 2019/271 sayılı kararına göre ilgili kişiye yapılacak ihlal bildirimi açık ve sade bir dille yapılmalı; ihlalin ne zaman gerçekleştiği, hangi kişisel veri kategorilerinin etkilendiği, ihlalin olası sonuçları, olumsuz etkilerin azaltılması için alınan veya önerilen tedbirler ve bilgi alınabilecek irtibat kişileri veya iletişim yolları gibi asgari unsurları içermelidir.

Bu bildirimde şirket ne panik yaratmalı ne de olayı olduğundan küçük göstermelidir. Örneğin “sistemimizde teknik aksaklık yaşanmıştır” şeklinde belirsiz bir açıklama yeterli olmayabilir. Eğer ad-soyad, telefon, e-posta, adres, kullanıcı adı, parola hash’i, sipariş geçmişi veya finansal bilgiler etkilenmişse bunlar kategorik olarak açıklanmalıdır. Kullanıcılara parola değiştirme, kimlik avı e-postalarına dikkat etme, banka hesaplarını izleme veya destek hattıyla iletişime geçme gibi somut öneriler sunulmalıdır.

Savcılığa Suç Duyurusu Yapılmalıdır

Siber saldırılar çoğu durumda Türk Ceza Kanunu kapsamında suç teşkil eder. Özellikle şirket sistemine yetkisiz giriş, veri tabanının kopyalanması, dosyaların silinmesi, sistemin çalışamaz hâle getirilmesi, fidye yazılımı ile verilerin şifrelenmesi veya verilerin başka yere gönderilmesi ceza soruşturmasına konu olabilir.

TCK m.243, bir bilişim sisteminin bütününe veya bir kısmına hukuka aykırı olarak girme ya da orada kalmaya devam etme fiilini düzenler. TCK m.244 ise bir bilişim sisteminin işleyişini engelleme veya bozma, sistemdeki verileri bozma, yok etme, değiştirme, erişilmez kılma, sisteme veri yerleştirme veya var olan verileri başka yere gönderme fiillerini cezalandırır.

Suç duyurusu dilekçesi teknik ve somut hazırlanmalıdır. “Şirketimiz hacklendi” demek yeterli değildir. Dilekçede saldırının tespit tarihi, etkilenen sistemler, saldırı yöntemi, IP/log kayıtları, saldırganın talepleri, fidye mesajları, zararlı yazılım örnekleri, sızdırılan veri iddiaları, etkilenen sunucular ve teknik raporlar sunulmalıdır. Savcılıktan IP adreslerinin araştırılması, ilgili servis sağlayıcılardan kayıtların istenmesi, saldırıda kullanılan alan adları ve kripto cüzdan adreslerinin incelenmesi, fail veya faillerin tespiti talep edilmelidir.

Fidye Yazılımı Saldırılarında Ödeme Kararı Hukuki Değerlendirmeye Tabi Tutulmalıdır

Fidye yazılımı saldırılarında şirketin dosyaları şifrelenir ve saldırgan belirli bir kripto para ödemesi ister. Bazı saldırılarda veriler yalnızca şifrelenmez; aynı zamanda dışarı çıkarılır ve ödeme yapılmazsa internette yayımlanmakla tehdit edilir. Bu durumda hem teknik hem de hukuki riskler ağırlaşır.

Şirket, fidye ödemesi yapmadan önce mutlaka hukuki değerlendirme yapmalıdır. Ödeme yapılması verilerin geri alınacağını garanti etmez. Saldırganın verileri kopyalamadığı, tekrar satmayacağı veya yayımlamayacağı da garanti edilemez. Ayrıca ödeme yapılması, şirketin ileride “gerekli tüm tedbirleri aldık” savunmasını tek başına güçlendirmez.

Fidye saldırılarında öncelik yedeklerden dönüş, sistem izolasyonu, zararlı yazılımın temizlenmesi, veri sızıntısı analizi, KVKK bildirimi ve savcılık başvurusudur. Saldırganla yapılan yazışmalar, kripto cüzdan adresleri, fidye notları ve ödeme talepleri delil olarak saklanmalıdır. Siber sigorta poliçesi varsa sigortacıya bildirim süresi ve kapsamı da ayrıca kontrol edilmelidir.

USOM ve Sektörel Bildirimler Değerlendirilmelidir

Her şirketin her siber olayda USOM’a bildirim yükümlülüğü aynı şekilde doğmayabilir. Ancak saldırının ölçeği, sektör, kritik altyapı niteliği, elektronik haberleşme, finans, enerji, sağlık, kamu hizmeti veya sektörel düzenleme alanına göre USOM ve ilgili sektörel SOME yapılarıyla koordinasyon gerekebilir.

BTK’nın açıklamasına göre Ulusal Siber Olaylara Müdahale Merkezi, Türkiye’nin siber güvenliğine karşı ortaya çıkan tehditlerin belirlenmesi, muhtemel siber saldırı ve olayların etkilerinin azaltılması veya ortadan kaldırılması amacıyla kurulmuş; ulusal ve uluslararası koordinasyon çalışmalarını 7/24 yürütmektedir. USOM, konusu suç teşkil eden bulgularla karşılaşıldığında adli makamlar ve kolluk kuvvetleriyle koordinasyon içinde hareket etmektedir.

Elektronik haberleşme sektörü gibi bazı alanlarda işletmecilerin siber saldırılara yönelik tedbir alma, Kurumsal SOME kurma ve Sektörel SOME koordinasyonunda çalışma yükümlülükleri ayrıca düzenlenmektedir. BTK’nın Sektörel SOME açıklamasında işletmecilerin DoS/DDoS saldırıları, zararlı yazılım yayılması ve benzeri saldırılara karşı USOM koordinasyonunda gerekli tedbirleri alması gerektiği belirtilmektedir.

Bu nedenle siber saldırıya uğrayan şirket, faaliyet alanına göre yalnızca KVKK değil, sektörel düzenleyici kurum bildirimlerini de değerlendirmelidir.

Müşteri ve İş Ortaklarına Yapılacak Açıklama Dikkatle Hazırlanmalıdır

Siber saldırı sonrası iletişim yönetimi çok önemlidir. Şirketin müşterilerine, iş ortaklarına, çalışanlarına veya kamuoyuna yapacağı açıklama hem hukuki hem itibari sonuç doğurur. Eksik açıklama güven kaybına, fazla ve kesin olmayan açıklama ise gereksiz panik veya sorumluluk kabulü algısına yol açabilir.

Açıklama yapılırken şu denge kurulmalıdır: Şirket olayı gizlememeli, ancak doğrulanmamış teknik bilgileri kesin gerçek gibi paylaşmamalıdır. “Hiçbir veri etkilenmedi” denilecekse bunun teknik raporla desteklenmesi gerekir. “Sadece sınırlı kullanıcı grubu etkilendi” deniliyorsa hangi grubun nasıl belirlendiği açıklanabilmelidir.

İlgili kişilere yapılacak KVKK bildirimi ile kamuoyu açıklaması karıştırılmamalıdır. KVKK bildirimi daha somut, kişisel veri kategorilerine dayalı ve ilgili kişiye yol gösterici olmalıdır. Kamuoyu açıklaması ise şirketin olay karşısındaki genel tutumunu, alınan önlemleri ve iletişim kanallarını ortaya koymalıdır.

Tedarikçi Kaynaklı Saldırılarda Sözleşmeler İncelenmelidir

Birçok siber saldırı doğrudan şirket sisteminden değil, tedarikçi veya dış hizmet sağlayıcı üzerinden gerçekleşir. Bulut hizmeti, e-posta sağlayıcısı, CRM firması, yazılım tedarikçisi, ödeme kuruluşu, çağrı merkezi, insan kaynakları yazılımı veya muhasebe programı saldırının kaynağı olabilir.

Kişisel Verileri Koruma Kurumu, kişisel verilerin veri sorumlusu adına başka kişiler tarafından işlenmesi hâlinde veri sorumlusunun gerekli tedbirlerin alınması bakımından bu kişilerle birlikte müştereken sorumlu olduğunu belirtmektedir. Bu nedenle şirket “veri tedarikçiden sızdı, bizi ilgilendirmez” diyerek sorumluluktan tamamen kurtulamaz.

Siber saldırı sonrası tedarikçi sözleşmeleri hemen incelenmelidir. Sözleşmede veri güvenliği yükümlülüğü, ihlal bildirimi süresi, log paylaşımı, denetim hakkı, alt yüklenici kullanımı, yurt dışına veri aktarımı, tazminat, sorumluluk sınırı ve sigorta hükümleri var mı? Tedarikçi saldırıyı zamanında bildirdi mi? Gerekli güvenlik önlemlerini aldı mı? Bu sorular hem tazminat hem de rücu süreci açısından önemlidir.

Çalışan veya Eski Çalışan Kaynaklı İhlallerde İş Hukuku Süreci Başlatılmalıdır

Siber saldırı her zaman dış hacker kaynaklı olmayabilir. Yetkisini kötüye kullanan çalışan, eski çalışan, işten ayrıldığı hâlde erişimi kapatılmamış personel, zayıf parola kullanan departman yöneticisi veya kimlik avı e-postasına tıklayan çalışan da ihlale neden olabilir.

Bu durumda şirket, olayın iş hukuku boyutunu ayrıca değerlendirmelidir. Çalışanın kastı, ihmali, eğitim alıp almadığı, şirket politikalarına uyup uymadığı, erişim yetkisinin gereğinden geniş olup olmadığı ve işverenin gerekli önlemleri alıp almadığı incelenmelidir. Çalışan kötü niyetli olarak veri çalmışsa hem suç duyurusu hem iş akdinin feshi hem de tazminat/rücu talepleri gündeme gelebilir.

Ancak çalışan hatası şirketi otomatik olarak sorumluluktan kurtarmaz. Şirket çalışanlara bilgi güvenliği eğitimi vermemişse, çok faktörlü kimlik doğrulama kullanmamışsa, yetkileri görevle sınırlamamışsa, eski çalışan erişimlerini kapatmamışsa veya log kaydı tutmamışsa, kendi kusuru da tartışılır.

Yönetim Kurulu ve Üst Yönetim Süreci Yazılı Karara Bağlamalıdır

Siber saldırı şirketin kurumsal risk yönetimi meselesidir. Bu nedenle ciddi olaylarda yönetim kurulu veya yetkili yönetim organı süreci yazılı şekilde ele almalıdır. Alınan teknik tedbirler, KVKK bildirimi kararı, dış uzman görevlendirmesi, savcılık başvurusu, müşteri bildirimi, sigorta bildirimi ve tedarikçi incelemesi yönetim kararıyla kayıt altına alınmalıdır.

Bu yaklaşım ileride şirketin özen yükümlülüğünü göstermesi açısından önemlidir. Kurul incelemesi, müşteri davası, ortaklar arası sorumluluk tartışması veya sigorta uyuşmazlığı olduğunda şirketin saldırıyı ciddiye aldığı, hızlı hareket ettiği ve hukuki yükümlülüklerini takip ettiği yazılı belgelerle gösterilebilir.

KVKK İdari Para Cezası ve Tazminat Riski Değerlendirilmelidir

Siber saldırıya uğrayan şirket, KVKK kapsamında idari para cezası riskiyle karşılaşabilir. KVKK, 6698 sayılı Kanun’un 18. maddesindeki idari para cezalarının 2017-2026 yılları için yeniden değerleme oranlarına göre artırılmış tutarlarını gösteren resmi tablo yayımlamaktadır.

Burada önemli olan şudur: Şirketin ihlale uğraması tek başına otomatik ceza sebebi değildir; ancak şirketin gerekli teknik ve idari tedbirleri alıp almadığı, ihlali zamanında bildirip bildirmediği, ilgili kişileri doğru bilgilendirip bilgilendirmediği ve ihlal sonrası düzeltici önlemler alıp almadığı incelenebilir. Kurum, veri sorumlusunun bildirim yükümlülüğünü yerine getirmesinden sonra Kurul tarafından inceleme kararı alınabileceğini açıklamaktadır.

Bunun yanında müşteriler, çalışanlar veya diğer ilgili kişiler maddi ve manevi tazminat talep edebilir. Örneğin kimlik bilgileri sızan müşteri dolandırıcılığa uğramışsa, sağlık verisi ifşa edilen kişi manevi zarar yaşamışsa veya çalışan bordroları yayımlanmışsa tazminat talepleri gündeme gelebilir. Bu nedenle şirket, ihlal sonrası yalnızca idari bildirimle yetinmemeli; olası özel hukuk sorumluluğunu da değerlendirmelidir.

Şirketin Siber Saldırı Sonrası Hazırlaması Gereken Belgeler

Siber saldırı sonrası şirketin elinde düzenli bir dosya bulunmalıdır. Bu dosyada olay tespit tutanağı, teknik ön inceleme raporu, log kayıtları, sistem imajı bilgileri, kriz ekibi kararları, KVKK değerlendirme notu, Kurul’a yapılan bildirim, ilgili kişilere gönderilen bildirim örnekleri, savcılık suç duyurusu, tedarikçi yazışmaları, müşteri iletişim metinleri, alınan teknik tedbirler ve kapanış raporu yer almalıdır.

Kapanış raporu özellikle önemlidir. Bu raporda saldırının kök nedeni, etkilenen sistemler, etkilenen veri kategorileri, alınan acil önlemler, kalıcı güvenlik iyileştirmeleri, tekrarın önlenmesi için yapılacak çalışmalar ve sorumlu birimler belirtilmelidir. Kurul veya mahkeme önünde şirketin olaydan sonra iyileştirme yaptığı gösterilmelidir.

Siber Saldırı Öncesi Alınması Gereken Önleyici Hukuki Tedbirler

Siber saldırı sonrası atılacak adımlar kadar saldırı öncesi hazırlık da önemlidir. Şirketler veri envanteri, veri güvenliği politikası, erişim yetki matrisi, çalışan gizlilik taahhütleri, tedarikçi sözleşmeleri, veri ihlali müdahale planı, düzenli eğitim, yedekleme politikası ve siber güvenlik denetimi oluşturmalıdır.

Teknik tedbirler ile hukuki metinler uyumlu olmalıdır. KVKK aydınlatma metninde verilerin güvenli işlendiği yazılıyorsa, şirketin teknik olarak bunu destekleyen tedbirleri olmalıdır. Tedarikçi sözleşmesinde 24 saat içinde ihlal bildirimi şartı varsa tedarikçi bu süreci işletmeye hazır olmalıdır. Çalışanlara bilgi güvenliği eğitimi verildiği iddia ediliyorsa eğitim kayıtları saklanmalıdır.

Sonuç

Siber saldırıya uğrayan şirketlerin atması gereken hukuki adımlar, teknik müdahaleden ibaret değildir. Şirket öncelikle kriz ekibi kurmalı, delilleri korumalı, kişisel veri ihlali olup olmadığını değerlendirmeli, gerekiyorsa 72 saat içinde Kişisel Verileri Koruma Kurulu’na bildirim yapmalı, etkilenen kişileri açık ve sade şekilde bilgilendirmeli, savcılığa suç duyurusunda bulunmalı, tedarikçi ve çalışan sorumluluğunu incelemeli, sigorta ve sözleşme süreçlerini işletmeli ve tüm süreci yazılı belgelerle kayıt altına almalıdır.

KVKK bakımından veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak ve uygun güvenlik düzeyini temin etmek için gerekli teknik ve idari tedbirleri almakla yükümlüdür. Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde ise Kurul’a ve ilgili kişilere bildirim yükümlülüğü gündeme gelir.

Ceza hukuku bakımından siber saldırılar TCK m.243 kapsamında bilişim sistemine girme, TCK m.244 kapsamında sistemi engelleme, bozma, verileri yok etme, değiştirme veya erişilmez kılma suçlarını doğurabilir. Bu nedenle şirket, teknik delilleri korumadan suç duyurusunda bulunmamalı; savcılık başvurusunu IP, log, zararlı yazılım, fidye mesajı, kripto cüzdan adresi ve teknik raporlarla desteklemelidir.

Sonuç olarak siber saldırı yaşayan şirketin en doğru yaklaşımı, teknik kriz yönetimi ile hukuki kriz yönetimini aynı anda yürütmektir. Hızlı ama delile dayalı hareket eden, KVKK sürelerini kaçırmayan, ilgili kişileri doğru bilgilendiren, savcılık sürecini teknik raporla destekleyen ve saldırı sonrası kalıcı güvenlik iyileştirmesi yapan şirketler; hem idari para cezası hem tazminat hem de itibar kaybı riskini azaltabilir.