Yönetici Özeti (Executive Summary)
Günümüz iş dünyasında veriler, bir şirketin en stratejik ve ikame edilemez varlığıdır. Müşteri portföyleri, finansal tablolar, ticari sırlar ve kritik yazışmaların tamamı bulut sistemlerinde veya şirket panellerinde muhafaza edilmektedir. Bir CEO veya şirket yöneticisi için en büyük operasyonel kabuslardan biri, bu hassas sistemlere yetkisiz kişilerin erişim sağlamasıdır. Sadece kurumsal yapılar değil, bireylerin sosyal medya hesapları ve kişisel e-posta adresleri de dijital kimliklerinin merkezinde yer almaktadır. Başkasına ait bir kurumsal hesaba izinsiz girmek, şifreyi hukuka aykırı kullanmak veya eski bir çalışanın şirketin muhasebe paneline yetkisi bittikten sonra erişim sağlaması, günümüzde sıkça karşılaşılan yasal krizlerin başında gelmektedir. Türk hukuk sistemi, dijital dünyadaki bu ihlalleri 5237 sayılı Türk Ceza Kanunu’nun (TCK) 243. maddesinde düzenlenen “Bilişim Sistemine Hukuka Aykırı Girme Suçu” ile tavizsiz bir şekilde cezalandırmaktadır. Bu rehberde, şirket yöneticileri ve veri güvenliğine önem veren profesyoneller için, başkasına ait sosyal medya, e-posta veya şirket paneli şifresini izinsiz kullanmanın hukuki boyutlarını ve risk yönetim stratejilerini inceleyeceğiz.
1. Hukuki Teşhis: Şifreye Sahip Olmak Giriş Yapma Hakkı Tanır mı?
Türk Ceza Kanunu’nun “Bilişim Alanında Suçlar” bölümünde yer alan 243. madde, bilişim sistemlerinin güvenliğini, bütünlüğünü ve gizliliğini mutlak bir koruma altına almaktadır. Kanun maddesine göre, bir bilişim sisteminin bütününe veya bir kısmına, hukuka aykırı olarak giren veya orada kalmaya devam eden kimseye net ceza yaptırımları öngörülmüştür. İş dünyasındaki en büyük yanılgı, bir şifreye fiziksel veya dijital olarak erişebilen ya da o şifreyi önceden bilen herkesin o sisteme her an girme hakkı olduğunu düşünmesidir. Oysa suçun oluşabilmesi için failin sisteme girmeye o an itibarıyla yasal bir hakkının olmaması veya başlangıçta hakkı olsa bile bu yetkinin sona ermiş olması yeterlidir. Sisteme girişin “hukuka aykırı” olması temel şarttır; dolayısıyla şifrenin siber saldırıyla kırılması, tahmin edilmesi, bir yere yazılmış şifrenin gizlice alınıp kullanılması veya yetkisi biten bir personelin eski şifresiyle sisteme giriş yapması arasında suçun oluşumu açısından hiçbir fark bulunmamaktadır. Kanun koyucu, sisteme giriş anını suçun tamamlanması için yeterli görmekte, sistemdeki verilere zarar verilip verilmediğine bakmaksızın sırf o dijital eşiğin izinsiz aşılmasını cezalandırmaktadır.
2. Sosyal Medya ve Panel İhlallerinde Suçun Anatomisi ve Yargıtay Ayrımı
Başkasına ait bir sosyal medya veya kurumsal e-posta hesabına izinsiz girilmesi durumunda, Yargıtay failin eyleminin boyutuna göre çok kritik bir ayrım yapmaktadır. Bu ayrım, eylemin basit bir bilişim ihlali mi yoksa şirketi felç edebilecek ağır bir siber suç mu olduğunu belirler. Bir kişinin e-posta veya sosyal medya hesabının şifresini izinsiz kullanarak hesaba girmek, mesajları veya verileri okumak ancak hesapta hiçbir değişiklik yapmadan çıkmak TCK 243/1 maddesi kapsamında “bilişim sistemine girme” suçunu oluşturur. Yargıtay 8. Ceza Dairesi’nin yerleşik içtihatlarında vurgulandığı üzere, dosya içerisinde hesaba ait şifrenin değiştirildiğine dair somut bir tespit bulunmaması halinde eylem bu sınırda kalmaktadır. Ancak fail, hesaba izinsiz girdikten sonra hesap sahibinin şifresini değiştirir ve gerçek sahibinin kendi sistemine erişimini engellerse suçun rengi tamamen değişmektedir. Yüksek Mahkeme, sistemdeki verileri değiştirmek suretiyle sahibinin girişini engelleme eylemini, TCK 244/2 maddesinde düzenlenen ve çok daha ağır yaptırımları olan “bilişim sistemindeki verileri bozma, yok etme, erişilmez kılma” suçu kapsamında cezalandırmaktadır. Bu nedenle, hesap sahibinin kendi sistemine giriş yapıp yapamadığı, suçun hukuki vasfının tayininde en önemli kırılma noktasıdır.
3. Eski Çalışan Riski: Basit Bir İhlalden Veri Hırsızlığına Uzanan Çizgi
Bir CEO veya şirket yöneticisi için en büyük siber güvenlik risklerinden biri, işten ayrılan veya işine son verilen personelin şirket sistemlerine olan erişim yönetimidir. Eski çalışanın şirket paneline izinsiz girmesi kural olarak TCK 243 kapsamında değerlendirilse de, kurumsal hayatta bu girişler genellikle masum bir meraktan ziyade şirkete ait müşteri listelerini, ticari sırları veya finansal verileri çalmak amacıyla gerçekleştirilir. Eski çalışan, sisteme girdikten sonra buradaki stratejik verileri kopyalar, kendi kişisel e-postasına gönderir oradan da bir harici belleğe aktarırsa, olay basit bir “sisteme girme” boyutunu tamamen aşar. Yargıtay 8. Ceza Dairesi’nin önüne gelen emsal bir olayda; ayrıldığı şirketin sistemine rızası dışında girip bilgisayarda mevcut ticari bilgileri kendi şahsi mail adresine gönderen sanığın eylemi, doğrudan TCK 136. maddesinde öngörülen “Kişisel verileri hukuka aykırı olarak verme veya ele geçirme” suçu kapsamında değerlendirilmiştir. Bu durum şirketler için, eski çalışanın sistem sızıntısının hem bilişim suçları hem de kişisel verilerin korunması mevzuatı (KVKK) kapsamında zincirleme ve çok ağır yaptırımlara tabi olduğu anlamına gelmektedir. Şirket verilerinin bulut sistemlerinde tutulmasına ilişkin KVKK boyutunu ise KVKK Uyarınca Kullanıcı Verilerini Yurt Dışı Sunucularda (Cloud) Saklamanın Hukuki Riskleri yazımızda ayrıntılı olarak incelemiştik.
4. Ceza ve Yaptırım Boyutu: Şirketleri Bekleyen Kurumsal Tehditler
Bilişim sistemine hukuka aykırı olarak girme eyleminin cezası, eylemin niteliğine ve sistemde yaratılan tahribata göre kademelendirilmiştir. Herhangi bir veriye zarar vermeden yapılan basit bir yetkisiz giriş (TCK 243/1) durumunda fail 1 yıla kadar hapis veya adlî para cezası ile cezalandırılırken, bu ihlalin bedeli karşılığı yararlanılabilen lisanslı şirket yazılımları veya ücretli veritabanları üzerinde işlenmesi durumunda cezada belirli indirimler uygulanabilmektedir. Ancak, sisteme izinsiz girme eylemi nedeniyle sistemin içerdiği veriler failin özel bir kastı olmaksızın yok olur veya değişirse, ceza 6 aydan 2 yıla kadar hapis seviyesine yükselmektedir. Liderlerin asıl dikkat etmesi gereken tehlike ise kasten gerçekleştirilen sistem engellemeleridir. Fail sisteme girdikten sonra şifreyi değiştirir, sistemi kilitler veya kurumsal kayıtları silerse TCK 244/2 uyarınca 6 aydan 3 yıla kadar hapis cezası uygulanır. Tüm bunlara ek olarak, eğer bu siber ihlal ve veri hırsızlığı eylemleri bir şirket faaliyeti çerçevesinde rakibe karşı haksız menfaat sağlamak amacıyla işlenirse, TCK 246 uyarınca şirket tüzel kişiliği hakkında “şirket faaliyet izninin iptali” veya “müsadere” gibi kurumsal imha mekanizmaları devreye girebilmekte, ayrıca KVKK kapsamında milyonlarca liralık idari para cezaları doğabilmektedir.
5. Yargıtay’ın İspat Standardı: Şirket Hukuk ve IT Ekiplerinin Ev Ödevi
Bilişim suçlarında en büyük zorluk, eylemin kim tarafından ve nasıl gerçekleştirildiğinin somut delillerle ispatlanmasıdır. Yargıtay, “hesabıma girildi, şifrem değiştirildi” şeklindeki soyut beyanları mahkumiyet için asla yeterli görmemekte, çok sıkı bir teknik inceleme süreci şart koşmaktadır. Yargıtay 8. Ceza Dairesi’nin bozma kararlarında istikrarlı olarak aradığı teknik araştırma kriterlerinin başında IP (İnternet Protokolü) numarasının tespiti gelmektedir; suç tarihinden itibaren ilgili panele hangi IP numaralarından, hangi cihazlarla (MAC adresi) erişim sağlandığı resmi log (erişim kaydı) analizleriyle listelenmelidir. Sanıkların sıklıkla başvurduğu “Benim IP adresimden girilmiş olabilir ama kablosuz ağ şifremi başkaları kırmış” savunmasına karşı Yargıtay, kullanılan modemin şifreli olup olmadığının ve o modemden başka hangi kullanıcıların internete bağlandığının teknik olarak araştırılmasını emretmektedir. Uzman bilirkişiler marifetiyle sanığa ait bilgisayar ve telefonlardaki log kayıtlarının geriye dönük incelenmesi ve dijital delillerin sıcağı sıcağına adli koruma altına alınması, ceza davasının seyrini belirleyen en kritik operasyonel adımdır.
6. CEO’lar İçin Proaktif Koruma ve Siber Uyum Reçetesi
Kriz yaşandıktan sonra adliye koridorlarında ve bilirkişi raporlarında ispat peşinde koşmak şirketler için hem finansal hem de zamansal olarak büyük bir kayıptır; bu nedenle liderlerin kurumsal savunma duvarlarını bugünden inşa etmesi gerekir. İlk hamle olarak şirket genelinde “Sıfır Güven” (Zero Trust) ve “En Az Yetki” (Least Privilege) prensipleri benimsenmeli; hiçbir çalışan, kendi iş tanımının gerektirdiğinden daha geniş bir panel veya e-posta yetkisine sahip olmamalı ve kurumsal ortak şifre kullanımından kesinlikle kaçınılmalıdır. İkinci olarak, kurumsal hesaplarda Çok Faktörlü Kimlik Doğrulama (MFA/2FA) zorunlu kılınmalı, böylece şifre sızsa bile yetkisiz giriş fiziksel olarak engellenmelidir. Son ve en önemli adım ise insan kaynakları süreçleridir; istifa veya işten çıkarma bildiriminin yapıldığı tam o saniyede (real-time), ilgili personelin kurumsal e-posta, CRM, ERP ve sair tüm şirket panellerindeki yetkileri tek bir merkezden dondurulmalı, şifre teslim-tesellüm tutanakları ve log kayıtları (5651 sayılı Kanun’a uygun olarak) hukuk departmanı koordinasyonunda kayıt altına alınmalıdır.
Sonuç
Nihai bir projeksiyon yapmak gerekirse; başkasına ait bir dijital hesaba veya şirket paneline izinsiz girmek, fiziksel bir fabrikaya gece yarısı kapıyı kırarak girmekle ceza hukuku açısından tamamen eşdeğerdir. Türk Ceza Kanunu, şirketlerin dijital sınırlarını korumak için tavizsiz hapis cezaları ve ağır kurumsal yaptırımlar öngörmektedir. CEO’ların ve üst düzey yöneticilerin bu siber-hukuki zırhı etkin bir şekilde kullanabilmesi, siber güvenlik yazılımlarına yatırım yaparken aynı zamanda ceza hukuku uyum (compliance) süreçlerini ve personel çıkış protokollerini eksiksiz işletmesinden geçmektedir.
İlgili Yazılarımız
- KVKK Uyarınca Kullanıcı Verilerini Yurt Dışı Sunucularda (Cloud) Saklamanın Hukuki Riskleri
- Limited Şirket Ortaklığından Haklı Sebeple Çıkma ve Ayrılma Akçesi
Kaynakça
Mevzuat
- 5237 sayılı Türk Ceza Kanunu (özellikle m. 136, 243, 244 ve 246)
- 6698 sayılı Kişisel Verilerin Korunması Kanunu
- 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun
Yargı Kararları
- Yargıtay 8. Ceza Dairesi, E. 2015/14287, K. 2016/4903
- Yargıtay 8. Ceza Dairesi, E. 2015/3445, K. 2015/22717
- Yargıtay 8. Ceza Dairesi, E. 2015/14054, K. 2016/5891
- Yargıtay 8. Ceza Dairesi, E. 2015/5483, K. 2015/24440
- Yargıtay 8. Ceza Dairesi, E. 2015/3111, K. 2015/23402