Modern iş dünyasında şirketlerin sınırları, artık ofislerinin fiziksel duvarlarıyla veya çelik kasalarının dayanıklılığıyla değil; kullandıkları yazılımların güncelliğiyle, personellerinin siber farkındalık seviyesiyle ve dışarıdan hizmet aldıkları tedarikçilerin veri güvenliği politikalarıyla çizilmektedir. Günümüzde devasa bir holdingin siber güvenlik duvarı, aslında en alt kademedeki bir stajyerin şüpheli bir e-postadaki bağlantıya tıklama ihtimali kadar zayıf veya firmanın taşeron olarak kullandığı bulut tabanlı bir muhasebe yazılımının arka kapı (backdoor) açıkları kadar kırılgandır. Bu girift dijital ekosistemde bir siber saldırı gerçekleştiğinde, yaşanan kriz sadece dışarıdaki “meçhul korsanları” yakalama çabasından ibaret kalmaz. Şirket içinde büyük bir kusur avı, yönetim kuruluna yöneltilecek tazminat talepleri ve resmi kurulların keseceği idari cezalarla örülü bir hukuki kaos başlar. İhmaller zincirinin nerede koptuğunu tespit etmek, kurumsal sorumlulukları adli bilişim standartlarıyla haritalandırmak ve şirketin iflasa sürüklenmesini önlemek, ancak kurumsal yönetim ilkeleri ile dijital delil mimarisini ustalıkla birleştiren bir bilişim suçları avukatı rehberliğinde mümkündür. Siber dünyada şirketinizin hayatta kalması, sadece iyi bir bilgi işlem (IT) ekibine değil, kriz anında doğru argümanları mahkeme salonlarına taşıyacak sarsılmaz bir hukuki stratejiye bağlıdır.
Kurumsal bir veri ihlali veya sistem çökmesi yaşandığında, geleneksel hukuk pratikleri genellikle “Kim hackledi?” sorusuna odaklanır. Oysa modern siber hukuk, “Sistemin hacklenmesine kimin ihmali zemin hazırladı?” sorusuna yanıt arar. Şirket içi siber politikaların eksikliği, personelin eğitimsizliği veya sözleşmelerdeki veri gizliliği açıklarının bedeli, doğrudan şirket yöneticilerine ve kurumun ticari itibarına kesilmektedir.
Tedarik Zinciri (Supply Chain) Siber Saldırıları ve Üçüncü Parti Kusurları
Bugün hiçbir işletme, faaliyetlerini tamamen kapalı bir devre içinde, dışarıdan hiçbir yazılım veya hizmet almadan sürdüremez. İnsan kaynakları yönetimi için kullanılan bir bulut portalı, ödeme tahsilatları için entegre edilen bir sanal POS altyapısı veya müşteri ilişkileri için kullanılan bir CRM yazılımı, şirketinizin dış dünyaya açılan pencereleridir. Siber suç örgütleri, devasa bütçelerle korunan ana şirketlere doğrudan saldırmak yerine, siber güvenliği daha zayıf olan bu üçüncü parti tedarikçileri (taşeronları) hedef alırlar. Literatürde “Tedarik Zinciri Saldırısı” olarak bilinen bu vakalarda, taşeronunuzun sunucularına yerleştirilen zararlı bir kod parçacığı (malware), resmi bir güncelleme paketi gibi sizin şirket ağınıza sızar.
Böyle bir dolaylı ihlal sonucunda sizin müşterilerinize ait hassas veriler veya şirketinizin ticari sırları Karanlık Ağ’da (Dark Web) ifşa olduğunda, müşterileriniz veya KVKK (Kişisel Verileri Koruma Kurumu) sizin taşeronunuzu tanımaz; doğrudan sizin şirketinizi (Veri Sorumlusunu) muhatap alır. Bu noktada şirketinizi milyonlarca liralık idari para cezalarından ve marka imajı yıkımından kurtaracak yegane güç, tedarikçi firma ile en baştan yapılmış olan ve siber zafiyet hallerinde tüm zararı onlara rücu etmenizi sağlayan Veri İşleyen Sözleşmeleridir. Bir veri sızıntısı anında, sızıntının kaynağının sizin sunucularınız değil, API üzerinden bağlandığınız taşeron firma olduğunun log analizleriyle kanıtlanması süreci, tecrübeli bir Bilişim avukatı aracılığıyla bağımsız denetçilere yaptırılmalı ve hukuki rücu davaları derhal başlatılmalıdır. Ticari partnerinizin zafiyeti, sizin yasal felaketiniz olmamalıdır.
Gölge Bilişim (Shadow IT), BYOD Politikaları ve İç Tehditler
Şirketlerin karşı karşıya kaldığı en büyük siber kör noktalardan biri, personelin şirketin bilgisi ve onayı dışında kullandığı yazılım ve donanımları ifade eden “Gölge Bilişim” (Shadow IT) kavramıdır. Bir personelin, büyük boyutlu bir dosyayı müşteriye göndermek için resmi kurum e-postasını değil de ücretsiz bir bulut transfer sitesini kullanması, şirket yazışmalarını kişisel WhatsApp gruplarına taşıması veya evden çalışırken (Remote) kendi güvenli olmayan bilgisayarından şirket ağına (VPN) bağlanması (BYOD ihlalleri), devasa güvenlik açıklarına neden olur.
Kişisel bilgisayarında zararlı bir yazılım (Truva Atı veya Keylogger) bulunan personelin şirket ağına bağlandığı an tüm kurumsal veritabanının kilitlenmesi (Fidye Yazılımı – Ransomware), hukuken çok tartışmalı bir zemin yaratır. Çalışanın bu eylemi basit bir ihmal midir, yoksa işverenin veri güvenliği politikalarını ihlal eden ağır bir kusur mudur? Bu tür bir felakette, İş Kanunu uyarınca çalışanın iş akdinin haklı nedenle tazminatsız feshedilebilmesi ve şirketin uğradığı zararın çalışana rücu edilebilmesi için, personelin cihazındaki trafik kayıtlarının (Network Traffic Logs) adli olarak incelenmesi gerekir. Şirketin iç yönergelerinde siber güvenlik tedbirlerinin çalışana yazılı olarak tebliğ edildiğinin ispatlanması, iş mahkemelerindeki davaların kaderini belirler. Kurum içi disiplin ile siber güvenliğin kesiştiği bu noktada yasal sınırları çok iyi belirlemek zorundasınız.
Yönetim Kurulunun ve CEO’nun “Siber Özen” Yükümlülüğü
Geleneksel olarak bir şirketin siber saldırıya uğraması bilgi işlem (IT) departmanının sorunu olarak görülürdü. Ancak modern hukuk sisteminde, özellikle Türk Ticaret Kanunu’nun (TTK) 369. maddesi kapsamında yönetim kurulu üyelerinin ve üst düzey yöneticilerin “Özen Yükümlülüğü” bulunmaktadır. Eğer şirket yönetimi, sektörün gerektirdiği asgari siber güvenlik yatırımlarını yapmamışsa, çalışanlara periyodik siber farkındalık eğitimleri aldırmamışsa ve olası krizler için bir felaket kurtarma (Disaster Recovery) planı oluşturmamışsa, yaşanan bir veri sızıntısında bizzat yöneticiler şahsen sorumlu tutulabilirler.
Şirket hissedarlarının (pay sahiplerinin), bir siber saldırı sonucu şirketin borsadaki hisse değerinin düşmesi veya milyonlarca liralık KVKK cezaları ödenmesi sebebiyle şirket yöneticilerine karşı açacakları şahsi tazminat davaları (Sorumluluk Davaları), son yılların en kritik şirketler hukuku konularından biridir. Yöneticilerin şahsi mal varlıklarını koruyabilmesi için, siber güvenlik politikalarının uluslararası standartlarda (örneğin ISO 27001) uygulandığını, bağımsız sızma testlerinin (Pentest) düzenli yaptırıldığını mahkemeye delil olarak sunmaları şarttır. Siber risk yönetimi, artık teknik bir detay değil, en üst düzey kurumsal yönetişim (Governance) ve hukuk meselesidir.
Siber Sigorta Poliçelerindeki Hukuki Tuzaklar ve İspat Krizleri
Kurumların siber riskleri bertaraf etmek amacıyla son yıllarda sıklıkla başvurdukları “Siber Güvenlik Sigortaları”, kağıt üzerinde harika bir güvence gibi görünse de pratikte ciddi hukuki uyuşmazlıklara sahne olmaktadır. Şirket hacklendiğinde veya bir fidye yazılımı nedeniyle ticari faaliyetleri durduğunda, sigorta şirketleri genellikle zararı ödemekten kaçınmak için poliçedeki “İstisnalar” (Exclusions) maddelerini öne sürerler.
Sigorta eksperleri, sistemin hacklenmesinin nedeninin şirketin sunucularındaki bir yamanın (Patch) zamanında yapılmaması, personelin zayıf bir şifre (örneğin 123456) kullanması veya çok faktörlü doğrulamanın (MFA) açık olmaması olduğunu iddia ederek, hasarın “Ağır İhmal” kaynaklı olduğunu savunurlar. Sigorta şirketinin bu reddini çürütmek, standart bir avukatlık hizmetiyle mümkün olmaz. Sisteme sızan virüsün “Sıfırıncı Gün” (Zero-Day) açığı olduğunu, yani bilinen hiçbir güncelleme ile engellenemeyecek yepyeni bir saldırı türü olduğunu bağımsız adli bilişim raporlarıyla kanıtlamanız gerekir. Şirketinizin siber sigorta tazminatını alabilmesi için, teknik analizleri ticaret hukuku diliyle sigorta tahkim komisyonlarına sunacak bir uzmanlık şarttır.
KVKK, BTK ve Merkezi Kurumlarda Ankara Bürokrasisinin Hızı
Şirketiniz ciddi bir siber saldırı atlattığında, teknik hasarı onarmak işin sadece ilk kısmıdır. Kanun koyucu, böylesi krizlerde şirketin kamuoyuna ve devlet kurumlarına şeffaf hesap vermesini emreder. Bir veri sızıntısı yaşandığında, durumu öğrendiğiniz andan itibaren en geç 72 saat içerisinde Kişisel Verileri Koruma Kurumu’na (KVKK) resmi ihlal bildirimi yapmak zorundasınız. Bu bildirimin eksik, çelişkili veya hatalı yapılması, sızıntının kendisinden daha büyük cezalara yol açabilir.
Bununla birlikte, eğer saldırganlar şirketinizin web sitesinin birebir aynısını (oltalama) kopyalayıp müşterilerinizi dolandırıyorsa, bu sahte sitelerin internetten acilen silinmesi için Bilgi Teknolojileri ve İletişim Kurumu (BTK) ile Ulusal Siber Olaylara Müdahale Merkezi (USOM) nezdinde derhal harekete geçilmelidir. Söz konusu tüm bu hayati idari denetim mekanizmalarının ve düzenleyici kurulların karargahı başkenttedir. Milyonlarca liralık idari para cezalarının iptali için açılacak davalar, kurullar nezdindeki sözlü savunmalar ve acil erişim engelleme talepleri, bürokrasinin merkezinden koordine edilmelidir. Kurumların iç dinamiklerine, kurul kararlarının emsal niteliklerine ve teknik raporlama standartlarına tam hakim tecrübeli bir Ankara bilişim avukatı ile işbirliği yapmak, şirketinizin resmi makamlar karşısında kusursuz bir kriz yönetimi sergilemesini ve zaman kayıplarından doğacak ağır hasarları sıfıra indirmesini sağlar.
Kurumsal Bir Siber Sızıntı Fark Edildiğinde Yönetimin Atması Gereken Adımlar
Şirket sunucularınızın kilitlendiği, müşteri verilerinin Dark Web’e düştüğü veya şüpheli bir personelin veri indirdiği tespit edildiğinde yönetim kurulunun soğukkanlılığı koruması hayati önem taşır. Av.Burak Üçüncü, kriz masasının derhal toplanarak şu protokolleri uygulamasını tavsiye etmektedir:
- Olay Yeri İncelemesi İçin Sistemi Dondurun (Format Atmayın): Virüs bulaşan sunuculara veya şüpheli personelin bilgisayarına IT departmanınızın anında format (wipe) atmasını kesinlikle yasaklayın. Sistemi internet dışı (offline) bırakın ancak adli imajları alınana kadar cihazları olduğu gibi kapalı tutun.
- Personel Yetkilerini Kademeli Olarak Sınırlandırın: İçeriden bir saldırı veya sızıntı şüphesi varsa, paniğe yol açıp suçlunun delilleri yok etmesine izin vermeden, kritik veri tabanlarına olan erişimleri arka planda sessizce (Read-Only) okuma moduna alın veya şifreleri tek merkezden sıfırlayın.
- Sözleşmelerdeki Bildirim Sürelerini İşletin: Eğer sorun bulut hizmeti aldığınız bir taşeronunuzdan kaynaklanıyorsa, Hizmet Seviyesi Sözleşmesi’ndeki (SLA) “Güvenlik İhlali Bildirim” sürelerini kaçırmamak için derhal noter kanalıyla teknik hasar ihbarı (ihtarname) çekin.
- Kamuoyu ve Kurum Bildirimlerini Uzmanlarla Tasarlayın: Müşterilerinize veya medyaya “Hacklendik” şeklinde alelacele yapılacak yanlış bir duyuru, borsadaki değerinizi çökertir. KVKK bildirimini ve kamuoyu açıklamasını, hukuki kelimelerle özenle seçecek uzmanlara hazırlatın.
- Çok Yönlü Hukuki ve Teknik Müdahaleyi Başlatın: Olayı gizlemeye çalışmak suçtur. Durumu tespit ettiğiniz an, adli bilişim firmalarıyla koordineli çalışacak, hem şirketler hukuku hem ceza yargılaması alanında uzman bir bilişim suçları avukatı ile yasal soruşturma ve tespit sürecini resmi mercilerde başlatın.
Sıkça Sorulan Sorular
Tedarikçimiz (muhasebe yazılımı firması) hacklendi, bizim müşterilerimizin verisi sızdı. KVKK cezası kime kesilir?
KVKK mevzuatına göre sizin şirketiniz “Veri Sorumlusu”, taşeron yazılım firması ise “Veri İşleyen” konumundadır. Kurul, ana sorumluluğu her zaman Veri Sorumlusunda bulur ve cezayı sizin şirketinize keser. Çünkü taşeron seçerken “yeterli güvenlik önlemlerine sahip olup olmadığını” denetleme yükümlülüğünüz vardır. Ancak, idari para cezasını ödedikten sonra, aranızdaki ticari sözleşmeye dayanarak kusurlu olan tedarikçi firmaya Asliye Ticaret Mahkemelerinde rücu davası açarak ödediğiniz tüm cezayı ve ticari itibar kaybınızı onlardan tahsil etme hakkınız bulunmaktadır.
Bir çalışanımız istifa etmeden bir gün önce müşteri listemizi kişisel e-postasına (Wetransfer/Drive) göndermiş. Nasıl bir hukuki yol izlemeliyiz?
Bu durum, personelin sadakat yükümlülüğüne açıkça aykırıdır ve TCK madde 244 (Verileri ele geçirme) ile TCK madde 239 (Ticari sırrın ifşası) suçlarını oluşturur. Öncelikle personelin kullandığı bilgisayardaki ağ logları ve internet geçmişi adli bilişim uzmanlarınca raporlanır. Rapor sonucuna göre İş Kanunu madde 25/II uyarınca derhal haklı nedenle tazminatsız fesih işlemi yapılır. Eş zamanlı olarak savcılığa suç duyurusunda bulunulur ve personelin yeni çalışmaya başladığı rakip firmaya verilerin kullanılmaması yönünde hukuki ihtarnameler gönderilerek haksız rekabet davaları açılır.
Şirket sunucularımıza fidye yazılımı (Ransomware) bulaştı. Siber sigorta poliçemiz hasarı ödemeyi reddediyor, ne yapabiliriz?
Sigorta şirketlerinin, kurumun yeterli antivirüs veya güvenlik duvarı önlemi almadığı bahanesiyle ödemeyi reddetmesi sık karşılaşılan bir durumdur. Poliçedeki teknik şartnamelerin, mahkemeye sunulacak bağımsız sızma testi (Penetration Test) geçmişi raporları ve olay yeri inceleme analizleriyle çürütülmesi gerekir. Eğer saldırının bilinen standart yamalarla durdurulamayacak kadar gelişmiş, “Devlet Destekli” (APT) veya “Zero-Day” açığı olduğu ispatlanırsa, Sigorta Tahkim Komisyonu veya Ticaret Mahkemelerinde açılacak dava ile sigortanın ödeme yapması yasal olarak sağlanır.
Uzaktan çalışan (Remote) ekibimiz var. Kendi evlerindeki internet ağı üzerinden hacklenirlerse şirket yönetimi sorumlu tutulur mu?
Şirket, uzaktan çalışan personelin kurumsal ağa güvenli bağlanmasını sağlayacak VPN altyapısını, şirket içi şifreleme yazılımlarını ve iki aşamalı doğrulama (2FA) sistemlerini sağlamak zorundadır. Eğer şirket bu altyapıyı sağladıysa ancak personel kendi ihmaliyle (örneğin çocuğunun bilgisayara virüslü oyun indirmesiyle) veri sızıntısına neden olduysa, şirketin kusuru minimize olur. Ancak hiçbir güvenlik tedbiri almadan personelin evindeki şifresiz ağlardan müşteri verilerine ulaşmasına izin verildiğinde, Yönetim Kurulu hukuken ağır kusurlu sayılacaktır.
Sonuç: Kurumsal Geleceğinizi Siber Hukukun Güvencesine Alın
Şirketler için dijital dönüşüm, ticari büyümenin kaçınılmaz bir parçası olduğu kadar, varlıklarını bir saniyede sıfırlayabilecek devasa risklerin de merkezidir. Gölge bilişim uygulamaları kullanan personeller, siber zafiyet barındıran taşeron firmalar ve kurumsal ağınıza sızmayı bekleyen organize suç şebekeleri, ticaretinizin arka planındaki görünmez tehditlerdir. Yaşanacak olası bir siber felakette; sorumluluğu birbirine atan departmanlar, tazminat ödememek için bahaneler üreten sigorta firmaları ve şirket yöneticilerini şahsen hedef alan davalar karşısında savunmasız kalmamalısınız. Kurumsal veri güvenliği artık sadece bir yazılım meselesi değil, Yönetim Kurulu düzeyinde kurgulanması gereken bir “Dijital Hukuk Savunması” meselesidir. Şirketinizin ticari sırlarını, müşteri verilerini ve en önemlisi kurumsal itibarınızı siber saldırıların ve hukuki boşlukların kurbanı olmaktan kurtarmak için sürecin çok öncesinde veya krizin ilk anında Av.Burak Üçüncü ile masaya oturmalısınız. İhmallerin faturasının milyonlarca lira ve hapis cezaları olarak karşınıza çıkmaması için, ticari vizyonunuzu siber hukukun tavizsiz zırhıyla koruma altına almak adına bugün harekete geçin.
