Siber saldırıya uğrayan kurumun denetim karnesi nasıl yazılır?

Giriyor ve en ağır örneği 2024'te büyük bir belediye şirketinde yazılmıştır: gerekli güvenlik tedbirleri alınmadığı için ticari sırların ve kişisel verilerin SİBER SALDIRIYA uğraması, şirketin zarara uğraması ve üstelik yapılması gereken bildirimlerin de yapılmaması. Bulgunun ayrıntıları, sizin 'el yordamı' diye tarif ettiğiniz düzenin birebir dökümüdür: (a) şirketin kendi prosedürüyle bütün personelin kullanıcı şifrelerinin merkezi olarak toplanması ('büyük bir veri güvenliği zafiyeti' ifadesiyle); (b) erişim yetkili hesap ve şifre dokümanlarının, aralarında gizlilik sözleşmesi yapılmamış firmaların da olduğu geniş bir çevreyle fiziksel-dijital paylaşılması; (c) 2022'de bir firmanın, 2024 başında büyükşehir belediyesinin yaptığı sızma testlerinde raporlanan zafiyetlere rağmen hiçbir iyileştirme yapılmaması; (d) saldırı sonrası bildirim yükümlülüklerinin işletilmemesi.

Denetimin okuduğu hukuk: (1) KVKK m.12: veri sorumlusu, kişisel verilerin hukuka aykırı erişimini önlemek için uygun güvenlik düzeyini sağlamak zorundadır; ihlal halinde en kısa sürede Kişisel Verileri Koruma Kuruluna ve ilgililere bildirim yapılır (Kurul pratiği 72 saati esas alır), bildirmemek, ihlalin üstüne ikinci bir ihlaldir ve idari para cezası riskini büyütür (o ceza da ödendiğinde 'önlenebilir külfet' ailesine yazılır). (2) Şirket cephesinde TTK m.369 özen borcu (İZELMAN dosyasındaki çizgi): bildirilen riske karşı tedbirsizlik, yönetim kurulunun şahsi sorumluluk alanıdır, sızma testi raporu, yönetimin 'bilmiyordum' savunmasını yok eden yazılı ihbardır. (3) Kamu tarafında iç kontrol standartları (bilgi-iletişim ve kontrol faaliyetleri bileşenleri) ile Cumhurbaşkanlığı 2019/12 Bilgi ve İletişim Güvenliği Tedbirleri Genelgesi/Rehberi çerçevesi: kritik veri barındıran kamu sistemlerinde asgari tedbirler tanımlıdır; 'küçük idareyiz' muafiyet üretmez.

Sizin tarifinizdeki üç kırmızı alarm: Merkezi şifre listesi (tek nokta ele geçince her şey düşer, parola yönetimi bireysel ve şifreli kasayla olur); sözleşmesiz tedarikçi erişimi (veri işleyenle gizlilik + veri işleme sözleşmesi KVKK'nın asgarisidir); rapor gereği yapılmayan sızma testi (testin amacı rapor değil, kapatılan açıktır).

Yapılacaklar: (1) Şifre rejimini derhal değiştirin: merkezi düz-metin listeleri imha; her kullanıcıya bireysel kimlik, yöneticiler için çok faktörlü doğrulama, ayrıcalıklı hesapların envanteri ve asgari yetki ilkesi. (2) Tedarikçi hijyeni: bilişim desteği veren tüm firmalarla gizlilik-veri işleme sözleşmesi; erişimlerin kayıt altına alınması (log), iş bitince yetki iptali. (3) Sızma testi döngüsü: test → bulgu → kapatma takvimi → doğrulama testi; raporların gereğinin yapıldığını yönetim kuruluna/üst yöneticiye dönemsel raporlayın, bu belge zinciri, olası bir saldırı sonrasında 'tedbirli yönetim' savunmanızın kendisidir. (4) İhlal müdahale planı yazın: kim tespit eder, kim Kurula-ilgililere bildirir (süre: gecikmeksizin/72 saat), kim adli-idari makamlarla yazışır, yedekten dönüş nasıl işler; yılda bir tatbikat yapın. (5) VERBİS kaydı, veri envanteri, saklama-imha politikası ve aydınlatma metinlerinizi (KİPTAŞ bulgusundaki 'güncellenmeyen yönetmelik' eleştirisini hatırlayarak) güncel tutun.

Uygulama önerisi: bilgi güvenliğini 'bilgi işlemin dosyası' olmaktan çıkarıp yönetim gündemine tek satırla bağlayın: 'son sızma testinin kapatılmamış bulgusu kaç?' Bu sayıyı her ay soran yönetim, saldırıya uğrasa bile raporda 'tedbirli' yazılır; sormayan yönetim ise bu dosyadaki gibi, saldırının değil tedbirsizliğin faili olarak adlandırılır.