Siber Saldırıya Uğrayan Şirket Ne Yapmalı? Hukuki Haklar
Giriş
Dijitalleşmenin artmasıyla birlikte şirketler, siber saldırılar karşısında ciddi tehditlerle karşı karşıya kalmaktadır. Veri hırsızlığı, fidye yazılımı, hizmet engelleme gibi saldırılar şirketlerin operasyonel, finansal ve itibar kayıplarına yol açabilir. Bu nedenle, siber saldırıya uğrayan bir şirketin hızlı ve doğru adımlar atması, hukuki haklarını bilerek hareket etmesi hayati önemdedir.
Bu makalede, siber saldırıya uğrayan şirketlerin izlemesi gereken süreçler ve Türkiye’deki hukuki haklar ayrıntılı şekilde incelenecektir.
Siber Saldırı Sonrası Yapılması Gerekenler
1. Olayın Tespiti ve İzolasyonu
- Saldırının türü ve etkisi belirlenmeli.
- Saldırıya uğrayan sistemler mümkünse ağdan izole edilmeli.
- Kritik verilerin zarar görmesi engellenmeli.
2. Delillerin Korunması
- Olay anına ait log dosyaları, sistem kayıtları, trafik verileri ve diğer dijital kanıtlar korunmalı.
- Bu deliller, hukuki süreçlerde kullanılmak üzere değiştirilmeden muhafaza edilmeli.
3. Uzman Kuruluşlardan Destek Almak
- Siber güvenlik uzmanları, olay müdahale ekipleri ve adli bilişim uzmanları devreye sokulmalı.
- Saldırının kaynağı, yöntemi ve zararının tespiti için teknik analizler yapılmalı.
4. Olayın Bildirilmesi
- KVKK kapsamında, kişisel veri ihlali varsa ilgili Kişisel Verileri Koruma Kurumu’na bildirim yapılmalıdır.
- Türkiye’de siber suçlar için Cumhuriyet Savcılığına veya Siber Suçlarla Mücadele birimlerine ihbarda bulunulmalıdır.
5. İç ve Dış İletişim Yönetimi
- Şirket içi bilgilendirme yapılmalı, çalışanlar saldırıya karşı uyarılmalıdır.
- Gerekirse müşterilere ve kamuoyuna şeffaf bir açıklama yapılmalıdır.
6. Saldırı Sonrası Önlemler
- Güvenlik zaafiyetlerinin giderilmesi.
- Güncelleme, yama ve sistem iyileştirmeleri yapılmalı.
- Eğitim ve farkındalık artırılmalıdır.
Hukuki Haklar ve Yükümlülükler
1. Kişisel Veri İhlali Durumu
- Kişisel verilerin sızdırılması halinde KVKK’nın ilgili maddeleri devreye girer.
- Veri sorumlusu olarak şirket, veri sahiplerine ve Kuruma bildirim yapmakla yükümlüdür.
- İhlal nedeniyle zarara uğrayan kişiler tazminat talep edebilir.
2. Ceza Hukuku Boyutu
- 5237 sayılı Türk Ceza Kanunu’nda (TCK) bilişim suçları düzenlenmiştir.
- İzinsiz erişim, sistemlere zarar verme, verileri yok etme veya değiştirme suç teşkil eder.
- Şirketler, suç duyurusunda bulunarak failin cezalandırılmasını talep edebilir.
3. Sözleşmesel Haklar
- Şirketin hizmet aldığı tedarikçi veya bulut sağlayıcı ile sözleşmesinde güvenlik yükümlülükleri bulunabilir.
- Saldırı sonucunda zarar varsa sözleşmeye dayanarak tazminat talebi gündeme gelir.
4. Sigorta Hakları
- Siber risk sigortası yaptırılmışsa, poliçe kapsamında zararın karşılanması talep edilebilir.
- Sigorta şirketleri zarar tespiti ve ödeme süreçlerinde delil sunumu ister.
Hukuki Süreçte Dikkat Edilmesi Gerekenler
- Delillerin usulüne uygun şekilde toplanması ve korunması, hukuki süreçte başarı için kritik öneme sahiptir.
- Hukuki danışmanlık alınmalı, hem teknik hem hukuki boyutları kapsayan bir yol haritası çıkarılmalıdır.
- Olay sonrası yapılacak işlemler geciktirilmeden ve koordineli şekilde yürütülmelidir.
Siber saldırıya uğrayan şirketler, öncelikle saldırının boyutunu doğru tespit etmeli, delilleri korumalı ve uzman desteği almalıdır. Kişisel veri ihlali varsa KVKK bildirimi yapmak yasal zorunluluktur. Ayrıca TCK kapsamında suç duyurusunda bulunabilir, sözleşmesel haklarını kullanabilir ve varsa siber sigortadan faydalanabilirler. Etkin ve hızlı hukuki süreç yönetimi, zararların minimize edilmesi ve şirket itibarının korunması açısından kritik önemdedir.