Fidye Yazılımı Dosyaları Şifreledi Ama Veri Sızdığı Bilinmiyor: Şirket Ne Yapmalı?

Fidye yazılımı saldırısında veri sızıntısının henüz doğrulanamaması, şirketin kişisel veri güvenliği ve bildirim yükümlülüklerini değerlendirmesini ertelemez. Önce hangi sistemlerin ve kişisel verilerin etkilendiği, saldırganın erişimi ve mevcut kayıtların neyi gösterebildiği araştırılmalıdır. Saldırıyı sınırlama, delilleri koruma ve hukuki değerlendirme birlikte yürütülmelidir.

Dosyaların şifrelenmesi, kişisel verilere yetkisiz erişim ve verilerin şirket dışına çıkarılması aynı olgu değildir. Ancak dışarıya aktarım kanıtı bulunmaması da kişisel verilerin başkaları tarafından elde edilmediğini tek başına göstermez. Bildirim şartları oluşmuşsa nihai adli bilişim raporu beklenmeden mevcut bilgilerle bildirim yapılmalı; henüz belirlenemeyen hususlar açıkça belirtilerek sonradan tamamlanmalıdır.

Dosyaların şifrelenmesi ile veri sızıntısı arasındaki fark nedir?

Fidye yazılımı, dosyaları şirketin kullanamayacağı hâle getirebilir. Saldırgan ayrıca dosyaları görüntülemiş, kopyalamış veya başka bir ortama aktarmış olabilir. Bu ihtimallerin her biri teknik bulgularla ayrı incelenmelidir.

Hukuki değerlendirme yalnızca “dosya internetten dışarı çıktı mı?” sorusuna indirgenmemelidir. Kişisel verilerin saldırgan tarafından elde edilip edilmediği, erişimin niteliği ve kapsamıyla birlikte ele alınır. Buna karşılık her sistem kesintisini, kişisel veri bağlantısı araştırılmadan aynı bildirim sonucuna bağlamak da doğru değildir.

KVKK’nın güncel duyurusu bu belirsizliği nasıl ele alıyor?

Kişisel Verileri Koruma Kurumunun D Elektronik Şans Oyunları ve Yayıncılık A.Ş. hakkındaki kamuoyu duyurusu, konuyla doğrudan örtüşen bir örnek içerir. Veri sorumlusunun bildirimine göre çağrı merkezi hizmeti alınan veri işleyenin sistemleri saldırıya uğramış, veriler şifrelenerek erişilemez hâle gelmiştir.

Duyuruda aktarılan ilk inceleme sonuçlarında dışarıya veri aktarımı bulgusu olmadığı; buna karşılık saldırganın sistemlerde kaldığı süre ve paylaşımlı altyapı nedeniyle yetkisiz erişimin dışlanamadığı belirtilmiştir. Kişisel verilerin üçüncü kişilerce elde edilip edilmediğinin henüz kesinleştirilemediği de açıklanmıştır.

Bu metin, veri sorumlusunun bildirimindeki bilgilerin kamuoyuna duyurulmasıdır. Duyuruda incelemenin sürdüğü belirtilmektedir. Buradan şirket hakkında nihai yaptırım uygulandığı, bütün verilerin sızdığı veya her benzer saldırıda aynı hukuki sonucun doğacağı çıkarılamaz. Örnek, teknik kapsam netleşmeden de bildirim sürecinin yürütülebildiğini gösterir.

Veri sızdığı kesinleşmeden KVKK bildirimi gerekir mi?

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12. maddesinin birinci fıkrası, kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişimi önleme, ayrıca verilerin muhafazasını sağlama yükümlülüğü getirir. Beşinci fıkradaki bildirim yükümlülüğü ise işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesine bağlanmıştır.

Bu nedenle şirket iki değerlendirmeyi ayırmalıdır: Olay karşısında hangi koruma ve inceleme tedbirleri alınmalıdır; eldeki bulgular bildirim yükümlülüğünü doğuran durumu ortaya koymakta mıdır? Teknik raporda yalnız “veri çıkışı görülmedi” yazması ikinci soruyu tek başına cevaplamaz.

Örneğin kişisel veri içeren dosyalara saldırgan erişiminin saptanması ile yalnız kişisel veri içermeyen bir uygulamanın çalışmaması aynı değildir. Erişilen içeriğin niteliği, saldırganın yetkileri ve gerçekleştirdiği işlemler birlikte değerlendirilmelidir. Dışarıya kopyalama kanıtı bulunmasını tek ve zorunlu ölçüt kabul etmek, bildirim kararını hatalı biçimde geciktirebilir.

72 saat hangi andan itibaren değerlendirilir?

Kurulun 24.01.2019 tarihli ve 2019/10 sayılı kararına ilişkin duyurusuna göre veri sorumlusu, bildirime konu durumu öğrenmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapmalıdır. Bu, 72 saat bekleme hakkı değildir.

İlk alarm, kişisel verilerin etkilenmesine ilişkin bulgu ve şirketin durumu öğrendiği an ayrı kaydedilmelidir. Başlangıç, yalnızca yönetimin toplantı yaptığı veya nihai raporun imzalandığı ana taşınamaz; önceki bilgilerin ne gösterdiği incelenir. Süre aşılmışsa gecikme nedenleri bildirimle açıklanmalıdır.

Bilgiler eksikse bildirim nasıl yapılır?

Aynı karar, bilgilerin birlikte sağlanamadığı durumlarda bunların gecikmeden aşamalı sunulmasına imkân tanır. Bu nedenle bildirim şartları oluşmuşken kişi sayısı veya saldırı yöntemi netleşmedi diye süreç bekletilmemelidir. Bilinenler, belirsizlikler ve devam eden inceleme ayrılmalı; yeni bulgular ek bildirimle tamamlanmalıdır.

KVKK bildirimi dışında siber olay bildirimi gerekir mi?

Kişisel veri ihlali bildirimi ile siber olay bildirimi ayrı yükümlülüklerdir. 7545 sayılı Siber Güvenlik Kanunu’nun 7. maddesinin birinci fıkrasının (b) bendi, Kanun kapsamındaki bilişim sistemleriyle hizmet sunan, veri toplayan veya işleyenlerin hizmet alanlarında tespit ettikleri zafiyet ve siber olayları gecikmeksizin Siber Güvenlik Başkanlığına bildirmesini düzenler.

Kanundaki siber olay tanımı erişilebilirliğin ihlalini de kapsar. Bu nedenle kişisel veri sızıntısı henüz belirlenemese bile fidye yazılımı olayı bu bildirim yönünden ayrıca ele alınmalıdır. Başkanlığın resmî siber olay bildirim kanalı ile şirket için geçerli sektörel ve kurumsal usuller kontrol edilmelidir. KVKK için açıklanan 72 saat bu ayrı yükümlülüğe taşınamaz; bir mercie bildirim diğerini kendiliğinden karşılamaz.

Şirket ilk müdahalede hangi işleri birlikte yürütmeli?

İlk müdahale yalnız sunucuları yeniden çalıştırma hedefiyle planlanırsa olayın kapsamını açıklayacak kayıtlar kaybolabilir. Aşağıdaki işler bir teknik kurtarma reçetesi değil, yönetim, bilgi işlem ve hukuk birimlerinin birlikte kullanabileceği koordinasyon çerçevesidir:

1. Yayılmayı sınırlayın: Etkilenen sistemlerin izolasyonu ve riskli erişimlerin durdurulması yetkin teknik ekipçe yönetilmelidir. Delil toplamak için devam eden saldırının sürmesine izin verilmemelidir.
2. Olay kaydını açın: İlk uyarıyı, gözlemi yapan kişiyi, tarih-saat bilgisini ve alınan kararları kaydedin. Sistemlerin saat dilimi farklılıklarını belirtin.
3. Kişisel veri kapsamını çıkarın: Etkilenen sunuculardaki veri türlerini, ilgili kişi gruplarını ve erişim yetkilerini karşılaştırın.
4. Bildirim kararını değerlendirin: Teknik bulguları hukuki eşikle ilişkilendirin; kararı ve dayanaklarını yazılı tutun.
5. Kurtarma ve iletişimi koordine edin: Sistemleri geri yükleme çalışmasıyla delil koruma ve ilgililere açıklama süreçlerinin çelişmesini önleyin.

Dosyalar yedekten döndürülebilse bile saldırganın daha önce ne yaptığı sorusu açık kalabilir. Operasyonun yeniden başlaması, veri güvenliği incelemesinin tamamlandığı anlamına gelmez.

Hangi deliller korunmalı, teknik rapor neyi cevaplamalı?

Somut olaya göre kimlik doğrulama ve uzaktan erişim kayıtları, sunucu günlükleri, güvenlik ürünü uyarıları, ağ trafiği kayıtları, fidye mesajı, hizmet sağlayıcı yazışmaları ve yedekleme kayıtları korunmalıdır. Silme, yeniden kurulum ve geri yükleme kararlarında bunların incelemeye etkisi teknik ekipçe değerlendirilmelidir.

Korunan kopyaların kaynağı, alınma zamanı, kullanılan yöntem, teslim eden ve teslim alan kişiler kaydedilebilir; bütünlüğü izlemek için özet değerlerinden yararlanılabilir. Bu kayıtlar olayın açıklanmasını destekler; tek başına sızıntı olmadığını veya her delilin hukuken yeterli olduğunu kanıtlamaz.

Teknik incelemede özellikle şu soruların cevaplanması istenmelidir:

• Saldırgan hangi hesaplara, cihazlara ve dosya alanlarına erişebildi?
• İlk erişim, şifreleme ve müdahale zamanları hangi bulgulara dayanıyor?
• Dosya açma, toplu kopyalama, arşiv oluşturma veya dış bağlantı izleri var mı?
• İncelenen kayıtlar hangi dönemi kapsıyor; silinmiş veya hiç tutulmamış kayıtlar var mı?
• Hangi kişisel veri türleri ve kişi grupları etkilenmiş olabilir?
• Ulaşılan sonuç hangi sınırlamalarla geçerli; hangi hususlar henüz cevaplanamıyor?

Kurumun Kişisel Veri Güvenliği Rehberi, işlem hareketlerinin kaydı ve güvenlik uyarılarının takibi bakımından yol gösterir. Yukarıdaki delil listesi ise olayın özelliklerine göre daraltılıp genişletilecek uygulama önerisidir.

“Bulgu yok” ifadesinin hangi incelemeye dayandığı açıklanmalıdır. Örneğin ilgili dönemin ağ kayıtları bulunmuyorsa raporun bunu söylemesi gerekir. Kayıt eksikliğini, sızıntının gerçekleşmediğine ilişkin kesin sonuç gibi sunmak doğru olmaz.

Saldırı hizmet sağlayıcıda yaşandıysa sorumluluk kimde?

Çağrı merkezi, bordro veya barındırma hizmeti alınması, şirketin veri sorumlusu sıfatıyla yükümlülüklerini kendiliğinden kaldırmaz. Kanun’un 12. maddesinin ikinci fıkrası, şirket adına kişisel veri işlendiğinde güvenlik tedbirleri bakımından veri işleyenle müşterek sorumluluk öngörür. Ancak sağlayıcının hangi işlemde veri işleyen olduğu, sözleşmedeki unvanla değil fiilî rolüyle belirlenmelidir.

Şirket; sağlayıcıdan olay kronolojisini, kendi verilerinin bulunduğu alanları, ortak altyapının etkisini ve korunmuş kayıtları istemelidir. Sözleşmedeki olay bildirim, denetim ve iş birliği hükümleri incelenmelidir. Sağlayıcının incelemesi sürüyor diye şirket kendi değerlendirmesini tümüyle askıya almamalıdır.

2019/10 sayılı karar, veri işleyen nezdinde kişisel verilerin hukuka aykırı elde edilmesi durumunda veri sorumlusuna gecikmeden bilgi verilmesini de düzenler. Sağlayıcının kendi açıklaması, şirketin Kurula ve ilgili kişilere yönelik yükümlülüklerinin yerine otomatik olarak geçmez.

Çalışanlar ve müşteriler nasıl bilgilendirilmeli?

İnsan kaynakları birimi, etkilenen alanlarda çalışanların kimlik, ücret, banka hesabı veya sağlık bilgilerinin bulunup bulunmadığını belirlemeye katkı sağlamalıdır. Sağlık verileri gibi özel nitelikli veriler ayrıca ayrılmalıdır. İlgili kişi listesi çıkarılırken gereksiz dosya kopyaları oluşturulmamalı ve olay belgelerine erişim sınırlandırılmalıdır.

İhlalden etkilenen kişiler belirlendiğinde bildirim, makul olan en kısa sürede yapılır. Kurula bildirim için belirlenen 72 saat ile ilgili kişilere bildirim ölçütü karıştırılmamalıdır. İletişim adresine ulaşılabiliyorsa doğrudan bildirim; ulaşılamıyorsa uygun alternatif yöntemler değerlendirilir.

Kurulun 18.09.2019 tarihli ve 2019/271 sayılı kararı, ilgili kişiye yapılacak açıklamanın sade olmasını; olay zamanı, etkilenen veri kategorileri, olası sonuçlar, alınan veya önerilen tedbirler ve bilgi alınabilecek iletişim yolunu içermesini öngörür. Bilinmeyen hususlarda kesin güvence verilmemelidir.

“Bütün verileriniz güvende” gibi incelemeyle desteklenmeyen açıklamalar yerine, bilginin hangi tarih itibarıyla ve hangi kapsamda geçerli olduğu belirtilmelidir. Belirsizliklerin açıklanması, doğrulanmış bilgilerin ve gerekli koruyucu önerilerin verilmesini engellememelidir.

Varsayımsal örnek: Özlük dosyaları şifrelendi, çıkış kayıtları eksik

Bir üretim şirketinde özlük dosyalarının tutulduğu sunucunun şifrelendiğini, yedeklerin sağlam olduğunu ve saldırı dönemine ait bazı ağ kayıtlarının bulunmadığını varsayalım. Dosyalar geri getirildiğinde faaliyet devam edebilir; ancak personel verilerinin saldırgan tarafından elde edilip edilmediği ayrıca incelenmelidir.

Bu olayda önce sunucuya erişen hesaplar, dosya yetkileri ve mevcut işlem izleri karşılaştırılır. Kayıt bulunmayan dönem raporda gösterilir. Bildirim şartları oluşmuşsa kesin kişi sayısının veya nihai raporun beklenmesi yerine mevcut bulgularla süreç yürütülür. Aksi yöndeki değerlendirme de hangi verilere dayandığı belirtilerek kaydedilir ve yeni bulgularla yeniden ele alınır.

Şirketin kaçınması gereken başlıca hatalar

• Şifrelenen dosyaların tamamını, inceleme yapmadan sızmış veya güvenli kabul etmek.
• Öğrenme zamanını yalnız nihai rapor tarihine bağlamak.
• İncelemeye etkisini değerlendirmeden sistemleri silmek veya yeniden kurmak.
• Saldırganın verileri sildiği yönündeki beyanını teknik doğrulama saymak.
• Kişisel veri içeren olay belgelerini kontrolsüz paylaşım kanallarına yüklemek.
• Hizmet sağlayıcının açıklamasını şirketin bütün yükümlülüklerinin yerine geçtiği şeklinde yorumlamak.

Şirketin açıklayabilmesi gereken yalnız hangi dosyaların kurtarıldığı değildir; olay boyunca hangi bulgulara ne zaman ulaşıldığı ve bunlara karşı hangi kararların alındığı da ortaya konulabilmelidir. Teknik rapor, bildirimler ve yönetim kayıtları bu nedenle aynı olay kronolojisine dayanmalıdır.

Bu makale genel bilgilendirme amacıyla hazırlanmış olup hukuki danışmanlık niteliği taşımaz. Somut hukuki sorunlarınız için bir avukata danışmanız gerekir.