Siber İhlal Sonrası İlk 72 Saat: Hukuki Kontrol Listesi

Bir siber ihlal çoğunlukla teknik bir olay olarak başlar; ancak ilk saatlerde alınan kararlar hukuki sonuçları belirler. Aşağıdaki kontrol listesi, kurumların ilk günlerde dikkat etmesi gereken başlıkları özetler.

1. Olayı sınırlandırın, delili bozmayın

Sistemlerin hızla kapatılması veya yeniden kurulması, adli bilişim açısından kritik logların kaybına yol açabilir. Teknik ekip ile hukuk danışmanı arasında eş güdüm kurulmalı; log, imaj ve ağ kayıtları değiştirilmeden saklanmalıdır.

2. Bildirim yükümlülüklerini haritalayın

Kişisel veriler etkilenmişse, ihlalin öğrenilmesinden itibaren Kişisel Verileri Koruma Kurulu’na en kısa sürede ve en geç 72 saat içinde bildirim yapılması gerekir. Ayrıca;

• USOM bildirimi: Kurumsal Siber Olaylara Müdahale Ekipleri (SOME) ve kritik altyapı işleticileri açısından siber olayların Ulusal Siber Olaylara Müdahale Merkezi’ne (USOM) bildirilmesinde “gecikmeksizin / derhal” ilkesi esastır; olayın kritiklik seviyesine göre ilk bildirim veya erken uyarılar ilk 24 saat içinde yapılır,
• etkilenen ilgili kişilere bildirim,
• sektörel düzenleyicilere (ör. finans veya sağlık) bildirim,
• yurt dışı faaliyet varsa ilgili ülke mevzuatındaki bildirim süreleri

ayrı ayrı değerlendirilmelidir.

3. Gizlilik ayrıcalığını koruyun

Adli bilişim incelemesinin avukat yönlendirmesiyle yürütülmesi, çalışma ürünlerinin korunması bakımından önemlidir. Olay yazışmalarının geniş dağıtımlı e-postalarla yapılmasından kaçının.

4. İletişim stratejisini tek elden yönetin

Çalışanlara, müşterilere, basına ve düzenleyicilere verilecek mesajların tutarlı olması gerekir. Gerçekleşmeyen veya doğrulanmamış bilgilerin paylaşılması sonraki davalarda aleyhe delil olabilir.

5. Sözleşmesel ve sigorta bildirimleri

Siber sigorta poliçeleri ve tedarikçi sözleşmeleri çoğunlukla kısa bildirim süreleri içerir. Süre kaçırmak teminatı riske atabilir.

6. Fidye ödemesi kararı

Fidye ödemesi; yaptırım, kara para aklama ve cezai sorumluluk risklerini birlikte değerlendirmeyi gerektiren ayrı bir hukuki karardır ve üst yönetim düzeyinde, kayıt altına alınarak verilmelidir.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz.