Siber Güvenlik Araştırmalarında Yetkisiz Erişim ve Hukuka Uygunluk Sınırları

Siber güvenlik araştırmaları, bilişim sistemlerindeki zafiyetlerin tespit edilmesi, olası saldırıların önlenmesi ve bilgi güvenliğinin güçlendirilmesi amacıyla gerçekleştirilen teknik faaliyetlerdir. Sızma testleri, kaynak kodu incelemeleri, ağ güvenliği analizleri ve güvenlik açığı araştırmaları bu faaliyetler arasında yer almaktadır. Ancak araştırmanın güvenlik amacı taşıması, kullanılan bütün yöntemlerin hukuka uygun olduğu anlamına gelmez.

Bir araştırmacının başkasına ait bilişim sistemine izinsiz erişmesi, erişim yetkisinin sınırlarını aşması veya güvenlik açığını kanıtlamak amacıyla kişisel verileri kopyalaması ceza sorumluluğu doğurabilir. Özellikle 5237 sayılı Türk Ceza Kanunu'nun (TCK) 243 ve 244. maddeleri, güvenlik araştırmalarında gerçekleştirilen teknik işlemlerin hukuki niteliğinin belirlenmesinde önem taşımaktadır.

19 Mart 2025 tarihinde yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu ise siber güvenlik hizmetleri, yetkilendirme süreçleri, zafiyet bildirimleri ve belirli siber saldırılar bakımından yeni düzenlemeler getirmiştir.

Siber güvenlik araştırmalarında hukuka uygunluğun belirlenmesinde araştırmacının iyi niyeti tek başına yeterli değildir. Sisteme erişim yetkisinin bulunması, verilen iznin kapsamı, gerçekleştirilen teknik işlemler ve elde edilen verilerin kullanım biçimi birlikte değerlendirilmelidir.

Siber Güvenlik Araştırması ve Yetkisiz Erişimin Hukuki Niteliği

Etik Hackerlık ve Sızma Testleri

Etik hackerlık, bilişim sistemlerindeki güvenlik açıklarının tespit edilmesi amacıyla teknik testler gerçekleştirilmesini ifade eder. Sızma testi ise belirlenen sistemlerin güvenlik seviyesini, saldırganların kullanabileceği yöntemlere benzer tekniklerle ölçmeye yönelik kontrollü incelemedir.

Bu faaliyetlerin hukuka uygunluğu, araştırmacının kendisini etik hacker olarak tanımlamasından bağımsızdır. Güvenlik testinin yetkili kişi tarafından onaylanması ve belirtilen sınırlar içinde gerçekleştirilmesi gerekir.

Güvenlik Açığının Bulunması ve İstismar Edilmesi

Bir internet sitesinde güvenlik açığı bulunabileceğinin fark edilmesiyle bu açıktan yararlanılarak sisteme izinsiz erişilmesi farklı hukuki niteliktedir.

Örneğin kamuya açık sayfanın kaynak kodunda güvenlik bakımından sakıncalı bir yapılandırmanın görülmesi, tek başına sisteme hukuka aykırı giriş yapıldığını göstermez. Buna karşılık erişim kontrolü atlatılarak yönetim paneline girilmesi, sistemde herhangi bir değişiklik yapılmasa bile TCK 243 kapsamında değerlendirilebilir.

Güvenlik Açığı Araştırması Ne Zaman Suç Oluşturur?

TCK 243 Kapsamında Bilişim Sistemine Girme

TCK m. 243/1 uyarınca bir bilişim sisteminin bütününe veya bir kısmına hukuka aykırı olarak giren veya orada kalmaya devam eden kişi hakkında bir yıla kadar hapis veya adli para cezası öngörülmektedir.

Suçun oluşması için sistemin zarar görmesi, verilerin kopyalanması veya ekonomik menfaat elde edilmesi zorunlu değildir. Hukuka aykırı erişimin gerçekleşmesi, diğer unsurların da bulunması halinde ceza sorumluluğu için yeterli olabilir.

Bu nedenle bir araştırmacının yalnızca güvenlik açığını göstermek amacıyla yetkisiz yönetici hesabına erişmesi, bilişim sistemine hukuka aykırı girme suçu bakımından incelenmelidir.

TCK 243/4 Kapsamında Veri Nakillerinin İzlenmesi

TCK m. 243/4, bilişim sisteminin kendi içinde veya bilişim sistemleri arasında gerçekleşen veri nakillerinin, sisteme girilmeksizin teknik araçlarla hukuka aykırı biçimde izlenmesini ayrıca cezalandırmaktadır.

Bu fiil için bir yıldan üç yıla kadar hapis cezası öngörülmüştür.

Örneğin güvenlik araştırması adı altında üçüncü kişilere ait ağ trafiğinin izlenmesi ve iletişim verilerinin elde edilmesi, sisteme doğrudan giriş yapılmasa dahi bu hüküm kapsamında değerlendirilebilir.

TCK 244 Kapsamında Sisteme ve Verilere Müdahale

TCK m. 244/1 uyarınca bilişim sisteminin işleyişini engelleyen veya bozan kişi bir yıldan beş yıla kadar hapis cezasıyla cezalandırılır.

Aynı maddenin ikinci fıkrası; verileri bozma, yok etme, değiştirme, erişilmez kılma, sisteme veri yerleştirme veya mevcut verileri başka yere gönderme fiilleri için altı aydan üç yıla kadar hapis cezası öngörmektedir.

Güvenlik testi sırasında sistemdeki verilerin bilerek değiştirilmesi, dosyaların silinmesi veya hizmetin kesintiye uğratılması, bilişim sisteminin işleyişini bozma ve verilere müdahale suçları açısından ayrı değerlendirme gerektirir.

Sisteme Zarar Verilmemesinin Ceza Sorumluluğuna Etkisi

Araştırma sonunda sistemde herhangi bir zarar oluşmaması, TCK 243 kapsamındaki hukuka aykırı erişimi kendiliğinden ortadan kaldırmaz.

Buna karşılık sistemin işleyişini bozma veya verilere müdahale suçlarında hangi teknik işlemin gerçekleştirildiği ve ortaya çıkan sonucun kanuni suç tanımına uygunluğu belirlenmelidir.

Bir güvenlik testinin başarısız olması, kesintiye yol açması veya beklenmedik veri değişikliği oluşturması halinde kast ve taksir hükümlerinin uygulanma koşulları da ayrıca incelenmelidir.

Siber Güvenlik Testlerinde Rıza ve Yetkilendirme

TCK 26 Kapsamında İlgilinin Rızası

TCK m. 26/2, kişinin üzerinde mutlak surette tasarruf edebileceği bir hakka ilişkin olarak açıkladığı rızayı hukuka uygunluk nedeni olarak düzenlemektedir.

Siber güvenlik testleri bakımından sistem üzerinde yetkili kişinin erişime izin vermesi önemlidir. Bununla birlikte verilen iznin hukuken geçerli olması ve rıza gösteren kişinin ilgili hak üzerinde tasarruf yetkisinin bulunması gerekir.

Sistem sahibinin izni, üçüncü kişilerin kişisel verilerinin sınırsız biçimde işlenmesine veya başka kuruluşlara ait bilişim sistemlerine müdahale edilmesine genel bir yetki sağlamaz.

Yazılı Sızma Testi Sözleşmesi

Sızma testlerinde yazılı yetkilendirme, araştırmanın hukuki sınırlarının belirlenmesi bakımından güçlü bir güvencedir. Bununla birlikte yazılı sözleşme her koşulda suçun oluşmayacağını garanti etmez.

Sözleşmede test edilecek alan adları, IP adresleri, uygulamalar, teknik yöntemler, çalışma süresi ve veri erişim sınırları belirlenmelidir.

Örneğin yalnızca şirketin internet sitesinin test edilmesine izin verilmişse şirketin müşterilerine ait bağımsız sunucuların veya bulut hizmet sağlayıcısının altyapısının test edilmesi bu yetki kapsamında kabul edilemez.

Yetkili Kişiden İzin Alınması

Test iznini veren kişinin sistem üzerinde gerekli temsil ve tasarruf yetkisine sahip olması gerekir. Her çalışanın şirket adına dışarıdan araştırmacıya sistem erişimi sağlama yetkisi bulunduğu varsayılamaz.

Özellikle dış kaynak hizmetlerle işletilen bilişim sistemlerinde sözleşme ilişkileri incelenmelidir. Sistemden yararlanan şirketin verdiği izin, altyapının sahibi olan üçüncü kişinin bütün sistemlerine erişimi hukuka uygun hale getirmez.

Yetki Sınırının Aşılması

Araştırmacının belirli kullanıcı hesabıyla test yapmasına izin verilmiş olması, yönetici yetkisi kazanabileceği veya diğer kullanıcıların verilerini inceleyebileceği anlamına gelmez.

Başlangıçta hukuka uygun olan erişim, verilen yetkinin sınırlarının aşılmasıyla hukuka aykırı hale gelebilir. Yetkinin geri alınmasından sonra erişimin sürdürülmesi de aynı şekilde değerlendirilmelidir.

Şirket Çalışanlarının Erişim Yetkileri

Çalışanın görevi nedeniyle sisteme erişebilmesi, bu yetkiyi kişisel güvenlik araştırmaları için kullanabileceğini göstermez. Görev tanımı, kurum içi güvenlik politikaları ve verilen talimatların kapsamı önemlidir.

İş ilişkisinin sona ermesinden sonra eski erişim bilgilerinin kullanılması ise önceden mevcut yetkinin devam ettiği varsayımıyla hukuka uygun kabul edilemez.

Güvenlik Araştırmalarında Teknik İşlemlerin Hukuki Sınırları

Kamuya Açık Bilgi Toplama ve Port Tarama

OSINT olarak adlandırılan açık kaynak araştırmaları, kamuya sunulmuş bilgilerden yararlanılmasına dayanır. İnternet sitesinde herkesin erişebildiği verilerin incelenmesi, tek başına hukuka aykırı sistem erişimi oluşturmaz.

Port tarama ve servis tespiti bakımından ise kullanılan yöntemin niteliği değerlendirilmelidir. Her port taraması doğrudan TCK 243 kapsamında suç oluşturmadığı gibi bütün tarama işlemlerinin koşulsuz hukuka uygun olduğu da söylenemez.

Taramanın yetkisiz bir erişime, hizmet kesintisine veya verilere müdahaleye dönüşüp dönüşmediği belirleyicidir.

Otomatik Zafiyet Tarayıcıları

Otomatik tarama yazılımları kısa sürede çok sayıda istek gönderebilir. Bu nedenle yetkili testlerde dahi sistemin kapasitesi ve hizmet sürekliliği dikkate alınmalıdır.

Yetki olmadan gerçekleştirilen yoğun taramalar nedeniyle sistemin işleyişi bozulursa TCK 244 bakımından değerlendirme yapılabilir. Bununla birlikte her performans düşüşünün kasten işlenen bilişim suçu sayılması mümkün değildir.

API ve Kimlik Doğrulama Açıkları

Uygulama programlama arayüzlerinde ortaya çıkan yetki kontrolü eksiklikleri, araştırmacının kendisine ait olmayan hesaplara veya verilere erişmesine imkan tanıyabilir.

Örneğin kendi hesabıyla yaptığı sorguda başka bir kullanıcının verilerinin görüntülenebildiğini fark eden araştırmacının sonraki işlemleri önem taşır.

İlk teknik bulgunun ortaya çıkması ile aynı yöntemin kullanılarak çok sayıda kullanıcı kaydının alınması aynı hukuki nitelikte değildir. Araştırmanın hangi aşamada durdurulduğu ve verilerin ne şekilde kullanıldığı incelenmelidir.

Sunucuya Dosya Yükleme ve Komut Çalıştırma

Güvenlik açığını doğrulamak amacıyla hedef sunucuya dosya yüklenmesi veya komut çalıştırılması, sistemin çalışma biçimine ve verilerine müdahale oluşturabilir.

Bu işlemlerin test izninde açıkça kapsanıp kapsanmadığı değerlendirilmelidir. Yetkisiz erişimle elde edilen yüksek seviyeli sistem yetkilerinin kullanılması, araştırmacının güvenlik amacı taşıdığı gerekçesiyle otomatik olarak meşru kabul edilemez.

Bug Bounty Programlarının Hukuki Niteliği

Program Kapsamındaki Test İzni

Bug bounty programları, belirli sistemlerdeki güvenlik açıklarının araştırmacılar tarafından tespit edilmesini ve bildirilmesini teşvik eden organizasyonlardır. Program kapsamında ödül verilmesi mümkün olmakla birlikte her programın hukuki koşulları farklıdır.

Programı düzenleyen kuruluşun açıkça izin verdiği sistemlerde, belirtilen kurallara uygun test yapılması hukuka uygunluk değerlendirmesinde önem taşır.

Ancak yalnızca bir şirketin güvenlik araştırmacılarına ödül verdiğinin bilinmesi, şirketin bütün bilişim altyapısının serbestçe test edilebileceği anlamına gelmez.

Kapsam Dışındaki Sistemler

Bug bounty programlarında bazı alan adları, uygulamalar veya üçüncü taraf hizmetleri kapsam dışında bırakılabilir.

Araştırmacının bu sınırları aşması halinde program kapsamında verilmiş izin, yetkisiz işlemleri karşılamayabilir. Programın yürütüldüğü platformun genel kullanım koşulları ile hedef sistem sahibinin verdiği erişim yetkisi ayrı değerlendirilmelidir.

Safe Harbor Hükümlerinin Etkisi

Bazı güvenlik araştırması programlarında, belirlenen kurallara uygun hareket eden araştırmacılara karşı hukuki süreç başlatılmayacağı yönünde güvence verilmektedir. Bu tür hükümler genellikle safe harbor olarak adlandırılır.

Bu güvenceler, izin veren kuruluşun kendi hakları bakımından önem taşıyabilir. Bununla birlikte özel hukuk sözleşmesindeki bir hüküm, Türk ceza hukukunda bağımsız ve sınırsız bir kovuşturma bağışıklığı oluşturmaz.

Üçüncü kişilerin hakları ve kamu düzenine ilişkin hükümler ayrıca uygulanabilir.

7545 Sayılı Siber Güvenlik Kanunu ve Araştırmacıların Sorumluluğu

Siber Güvenlik Başkanlığının Yetkileri

19 Mart 2025 tarihinde yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu, siber güvenlik faaliyetleri bakımından kapsamlı düzenlemeler içermektedir.

Kanunun 5. maddesi, Siber Güvenlik Başkanlığına zafiyet ve sızma testleri yapmak veya yaptırmak, risk analizleri gerçekleştirmek, siber güvenlik standartları belirlemek ve belirli hizmetlerde yetkilendirme süreçlerini yürütmek gibi görevler vermektedir.

Başkanlığın kanuni yetkileri, bağımsız araştırmacıların herhangi bir bilişim sistemine izin almadan erişebileceği anlamına gelmez.

Sertifikasyon ve Yetkilendirme Gereklilikleri

7545 sayılı Kanun'un 7. maddesi, belirli siber güvenlik hizmetlerinin yetkilendirme ve belgelendirme süreçlerine tabi tutulmasına ilişkin yükümlülükler içermektedir.

Özellikle kamu kurumları ve kritik altyapılarda kullanılacak ürün ve hizmetlerin temininde yetkilendirilmiş kişi ve kuruluşlara ilişkin koşullar önem taşımaktadır.

Kanunun 16/2. maddesinde, alınması gerekli onay, yetki veya izinler bulunmadan faaliyet yürütülmesi için iki yıldan dört yıla kadar hapis ve bin günden iki bin güne kadar adli para cezası öngörülmektedir.

Ancak bu hüküm, internetteki her güvenlik araştırmasının devlet iznine tabi olduğu şeklinde yorumlanamaz. Öncelikle somut faaliyetin hangi kanuni düzenleme uyarınca izin veya yetkilendirme gerektirdiği belirlenmelidir.

2026 Yılındaki Mevzuat Değişiklikleri

31 Temmuz 2026 tarihinde yürürlüğe giren 7590 sayılı Kanunla 7545 sayılı Kanun'da değişiklikler yapılmıştır.

Bu değişikliklerle Siber Güvenlik Başkanlığının bazı yetkileri genişletilmiş, belirli idari yükümlülükler yeniden düzenlenmiş ve devredilen görevlerle ilgili geçiş hükümleri getirilmiştir.

Özellikle 7545 sayılı Kanun'un 6. maddesine kanunlarla yetkilendirilen kurumların yasal dinleme ve müdahale işlemlerine teknik imkan sağlanmasına ilişkin yetki eklenmiştir.

Bu değişiklikler, özel kişilere bağımsız biçimde sistemlere erişme yetkisi tanımadığı gibi mevcut test sözleşmelerinin kapsamını da genişletmez.

Sızdırılmış Verilerin Paylaşılması

7545 sayılı Kanun'un 16/4. maddesi, siber uzayda veri sızıntısı nedeniyle daha önce yer alan kişisel veya kritik kamu hizmeti kapsamındaki kurumsal verilerin izinsiz biçimde erişime açılmasını, paylaşılmasını veya satışa çıkarılmasını cezalandırmaktadır.

Bu fiiller için üç yıldan beş yıla kadar hapis cezası öngörülmüştür.

Güvenlik araştırmacısının daha önce internete sızdırılmış verileri elde etmesi ve yeniden yayımlaması, yalnızca verilerin zaten erişilebilir olduğu gerekçesiyle hukuka uygun kabul edilemez.

Kritik Altyapılara Yönelik Siber Saldırılar

7545 sayılı Kanun'un 16/6. maddesi, Türkiye Cumhuriyeti'nin siber uzaydaki milli gücünü oluşturan unsurlara yönelik belirli saldırıları ağır yaptırımlarla düzenlemektedir.

Bu hükümdeki suç tanımı, her sıradan internet sitesi üzerinde gerçekleştirilen yetkisiz güvenlik testine otomatik olarak uygulanamaz. Hedefin niteliği, gerçekleştirilen hareket ve kanunda belirtilen unsurlar ayrıca belirlenmelidir.

Güvenlik Araştırmalarında Kişisel Verilere Erişim

KVKK ve TCK Kapsamındaki Sorumluluk

Güvenlik açığı araştırması sırasında müşteri kayıtlarına, sağlık bilgilerine veya kimlik verilerine erişilmesi, yalnızca bilişim sistemine giriş hükümleriyle sınırlı bir mesele değildir.

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun işleme şartları ile TCK m. 135 ve 136 hükümleri de değerlendirilmelidir.

Özellikle kişisel verilerin hukuka aykırı biçimde kaydedilmesi, kişisel verilerin hukuka aykırı kaydedilmesi suçu bakımından önem taşımaktadır.

Verilerin üçüncü kişilere aktarılması veya ele geçirilmesi ise TCK 136 kapsamındaki suçun unsurlarını oluşturabilir.

Güvenlik Açığını Kanıtlamak İçin Veri Kopyalanması

Bir araştırmacının sistemdeki yetki kontrolü zafiyetini göstermek amacıyla tek bir kayıt üzerinde sınırlı inceleme yapmasıyla binlerce kişinin verisini bilgisayarına indirmesi aynı değildir.

Her iki işlemde de geçerli yetki ve hukuki dayanak araştırılmalıdır. Veri miktarı, erişimin amacı ve sonraki kullanım biçimi suçun maddi ve manevi unsurlarının değerlendirilmesinde önemlidir.

Güvenlik açığını kanıtlamak için veri indirilmesinin teknik olarak kolay olması, işlemin hukuken serbest olduğu anlamına gelmez.

Veri Minimizasyonu ve Gereksiz Kayıtların Silinmesi

Yetkili güvenlik testlerinde mümkün olduğunca gerçek kişisel verilere erişim gerektirmeyen yöntemlerin tercih edilmesi önemlidir.

Test amacıyla kişisel verilere erişilmesi zorunluysa işleme şartları, veri güvenliği, saklama süresi ve erişim yetkileri belirlenmelidir. Gereksiz kopyaların oluşturulması veya verilerin kişisel cihazlarda korunmasız bırakılması ayrıca hukuki sorumluluk doğurabilir.

Veri İhlali Bildirimi

KVKK m. 12/5 kapsamında kişisel verilerin kanuni olmayan yollarla elde edilmesi halinde veri sorumlusunun bildirim yükümlülüğü bulunmaktadır.

Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı kararı uyarınca veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirimde bulunmalıdır.

Bağımsız güvenlik araştırmacısı, yalnızca bir güvenlik açığını tespit ettiği için otomatik olarak veri sorumlusu sıfatını kazanmaz. Ancak araştırmacının gerçekleştirdiği veri işleme faaliyetleri ve somut olayda üstlendiği rol ayrıca değerlendirilmelidir.

Güvenlik Açığının Bildirilmesi ve Sorumlu Açıklama

Responsible Disclosure ve Coordinated Disclosure

Sorumlu zafiyet bildirimi, güvenlik açığının yetkili kişi veya kuruluşa iletilmesini ve açığın giderilmesi sürecinin koordinasyon içinde yürütülmesini amaçlar.

Araştırmacının bulgularını sistem sahibine bildirmesi, güvenlik açısından yararlı bir davranıştır. Ancak bildirim yapılması, önceden gerçekleştirilen hukuka aykırı erişimi geçmişe dönük olarak hukuka uygun hale getirmez.

Siber Güvenlik Başkanlığına Bildirim

Siber Güvenlik Başkanlığı, yerli ürün zafiyetleri için CVE başvuru mekanizması ve diğer güvenlik açıkları için ihbar kanalı sunmaktadır.

Bu kanallar araştırma bulgularının yetkili mercilere iletilmesini sağlayabilir. Ancak zafiyet bildiriminde bulunulması, sistem sahibinin vermediği erişim izninin yerine geçmez.

Zafiyetin Kamuoyuna Açıklanması

Güvenlik açığının kamuoyuyla paylaşılması sırasında teknik ayrıntıların niteliği, kişisel veri içerip içermediği ve ilgili sistemin güvenliğine etkisi önemlidir.

Genel nitelikte bir güvenlik bulgusunun açıklanmasıyla gerçek kullanıcıların verilerinin yayımlanması veya sistemlere yetkisiz erişimi kolaylaştıran hassas bilgilerin paylaşılması aynı hukuki nitelikte değildir.

Sistem sahibinin açığı gidermemiş olması, araştırmacıya sınırsız veri açıklama yetkisi vermez.

Güvenlik Açığı Karşılığında Para Talebi

Araştırmacının bug bounty programında öngörülen ödülü talep etmesi, tek başına hukuka aykırı değildir.

Buna karşılık açığın açıklanacağı veya verilerin yayımlanacağı tehdidiyle para istenmesi halinde tehdidin içeriğine göre şantaj suçunun oluşup oluşmadığı araştırılabilir.

Ödül talebinin hukuki niteliği, araştırmacının kullandığı ifadeler, taraflar arasındaki anlaşma ve açıklanacağı belirtilen bilgilerin niteliği üzerinden belirlenmelidir.

Sızma Testlerinde Kullanılan Yazılımların Hukuki Durumu

TCK 245/A Kapsamında Yasak Cihaz veya Programlar

TCK m. 245/A, belirli bilişim suçlarının veya bilişim sistemleri araç olarak kullanılarak işlenebilen diğer suçların işlenmesi için münhasıran oluşturulan cihaz, program, şifre ve güvenlik kodlarına ilişkin fiilleri düzenlemektedir.

Kanunda belirtilen koşulların gerçekleşmesi halinde bu araçların imal edilmesi, satılması, başkalarına verilmesi veya bulundurulması bir yıldan üç yıla kadar hapis ve beş bin güne kadar adli para cezasıyla yaptırıma bağlanmıştır.

Çift Kullanımlı Siber Güvenlik Araçları

Birçok güvenlik testi aracı hem hukuka uygun sistem analizlerinde hem de suç teşkil eden faaliyetlerde kullanılabilmektedir.

Bu nedenle yaygın bir sızma testi yazılımının bilgisayarda bulunması, doğrudan TCK 245/A kapsamında suç işlendiğini göstermez. Aracın hangi amaçla oluşturulduğu ve kanundaki münhasırlık koşulunun bulunup bulunmadığı araştırılmalıdır.

Öte yandan yazılımın genel amaçlı olması, bu yazılımla gerçekleştirilen izinsiz sistem erişimini hukuka uygun hale getirmez.

Yargıtay Kararlarında Yetkisiz Erişim ve Rıza

Yargıtay 8. Ceza Dairesi 2014/19342 E., 2015/2322 K.

Yargıtay 8. Ceza Dairesinin 03.02.2015 tarihli kararında, bilişim sistemine girişin güvenlik önlemlerindeki boşluklardan yararlanılarak da gerçekleştirilebileceği açıklanmıştır.

Karara konu olayda e-posta hesabına ve bağlantılı Facebook hesabına yetkisiz erişim iddiası bulunmaktadır. Daire, IP kayıtları, şifre değişikliği ve ilgili hesapların kullanımına ilişkin teknik deliller yeterince araştırılmadan mahkumiyet kurulmasını hukuka aykırı bularak hükmü bozmuştur.

Karar, güvenlik açığı bulunmasının erişimi kendiliğinden meşrulaştırmadığını ve failiyetin teknik delillerle araştırılması gerektiğini göstermektedir.

Yargıtay 8. Ceza Dairesi 2014/3984 E., 2014/13848 K.

Yargıtay 8. Ceza Dairesinin 04.06.2014 tarihli kararında, işten ayrılan kişinin eski işyerine ait bilgisayar programına sonradan erişmesi değerlendirilmiştir.

Sanığın işten ayrıldıktan sonra şirket sistemine girdiğini kabul etmesi karşısında, bilişim sistemine hukuka aykırı girme suçu bakımından mahkumiyet yerine beraat kararı verilmesi hukuka aykırı bulunmuştur.

Bu karar, önceki çalışma ilişkisinin sağladığı erişim yetkisinin iş ilişkisinin sona ermesinden sonra devam etmeyebileceği bakımından önemlidir.

Yargıtay Ceza Genel Kurulu 2019/239 E., 2021/325 K.

Yargıtay Ceza Genel Kurulunun 01.07.2021 tarihli kararında, bilişim sistemine hukuka aykırı giriş ve sistemde kalma fiillerinin suç tarihinde yürürlükte bulunan düzenlemeye göre değerlendirilmesi gerektiği açıklanmıştır.

2016 yılındaki değişiklikten önce TCK 243/1 kapsamında sisteme girme ve orada kalmaya devam etme hareketleri birlikte aranıyordu.

6698 sayılı Kanunla yapılan değişiklik sonucunda bu hareketler seçimlik hale getirilmiştir. Güncel düzenleme bakımından hukuka aykırı girişin gerçekleşmesi veya sistemde hukuka aykırı olarak kalmaya devam edilmesi yeterli olabilir.

Bu nedenle eski tarihli Yargıtay kararlarının yeni suç tarihleri bakımından doğrudan uygulanması doğru değildir.

Siber Güvenlik Araştırmacısının Ceza Sorumluluğunun İspatı

Test İzni ve Teknik Kayıtların Karşılaştırılması

Soruşturma sırasında öncelikle araştırmacıya verilmiş erişim izninin bulunup bulunmadığı, kapsamı ve süresi belirlenmelidir.

Sözleşmeler, elektronik yazışmalar, bug bounty programı kuralları, IP kayıtları ve sistem logları birlikte incelenebilir. Teknik kayıtlarda erişimin gerçekleştiğinin görülmesi, işlemin yetkisiz olduğu veya belirli kişi tarafından gerçekleştirildiği konusunda tek başına kesin sonuca ulaşılmasını sağlamaz.

Araştırmacının Kastı ve Hukuka Uygunluk Bilinci

TCK 243 ve 244 kapsamındaki fiillerin manevi unsurları değerlendirilirken araştırmacının gerçekleştirdiği işlemleri bilerek ve isteyerek yapıp yapmadığı araştırılmalıdır.

Güvenlik araştırması amacı, kanuni suçun oluşumunu otomatik olarak engellemez. Bununla birlikte izin kapsamına ilişkin yanılgı, teknik işlemin öngörülemeyen sonuçları veya araştırmacının hukuki durumu hakkındaki hatası, TCK'nın kast ve hata hükümleri kapsamında önem taşıyabilir.

Örneğin sözleşmede açıkça yetkilendirildiğini düşündüğü sistemin gerçekte başka bir şirkete ait olması halinde, yanılgının niteliği ve kaçınılabilirliği somut olay üzerinden değerlendirilmelidir.

Teknik Bilirkişi İncelemesi

Bir güvenlik araştırması nedeniyle ceza soruşturması yürütülmesi halinde yalnızca IP adresi veya otomatik güvenlik alarmına dayanılarak failiyet belirlenmemelidir.

İnceleme sırasında araştırmacının hangi sisteme eriştiği, hangi işlemleri gerçekleştirdiği, verilerin değişip değişmediği ve hizmet kesintisi oluşup oluşmadığı araştırılmalıdır.

Teknik kayıtların ortaya koyduğu olgular ile hukuki suçun unsurları arasındaki ayrım, dijital delillerde teknik bulgular ile hukuki ispat arasındaki ilişki bakımından önem taşımaktadır.

Hukuka Uygun Siber Güvenlik Araştırmasının Sınırları

Yetki, Kapsam ve Veri Güvenliği

Hukuka uygun sızma testi yürütülmesinde yetkili kişiden izin alınması, test kapsamının belirlenmesi ve gerçekleştirilecek işlemlerin öngörülebilir olması önemlidir.

Gerçek kullanıcı verilerine gereksiz biçimde erişilmemesi, sistemin çalışmasını bozabilecek işlemlerin sınırlandırılması ve elde edilen teknik bulguların güvenli biçimde korunması gerekir.

Araştırmacının sistemi test etme yetkisi, test sonrasında elde edilen verileri kişisel kullanımına ayırma veya başka kişilere aktarma yetkisini içermez.

Test Bulgularının Bildirilmesi ve Araştırmanın Sona Erdirilmesi

Test sırasında tespit edilen güvenlik açıklarının yetkili kişilere iletilmesi, teknik bulguların doğrulanabilir biçimde belgelenmesi ve araştırmanın belirlenen süre sonunda sonlandırılması gerekir.

Test kapsamında kullanılan hesapların, oluşturulan kayıtların ve alınan veri kopyalarının akıbeti sözleşmeye ve ilgili mevzuata uygun biçimde belirlenmelidir.

İzin kapsamının belirsiz olduğu veya üçüncü kişilerin verilerine erişildiği durumlarda araştırmanın genişletilmesi yerine yetkilendirme durumunun açıklığa kavuşturulması hukuki risklerin azaltılması bakımından önem taşır.

Siber Güvenlik Araştırmalarında Yetkisiz Erişim ve Hukuka Uygunluk Sınırlarına İlişkin Hukuki Değerlendirme

Siber güvenlik araştırmalarının toplumsal ve ekonomik açıdan yararlı olması, araştırmacılara başkasına ait bilişim sistemlerinde sınırsız işlem yapma yetkisi sağlamaz. Hukuka uygunluk, araştırmanın amacı kadar erişim yetkisi, kullanılan yöntem ve gerçekleştirilen teknik işlemlerle ilişkilidir.

TCK 243 kapsamında hukuka aykırı giriş, sistemin zarar görmesini gerektirmeden suç oluşturabilir. TCK 244 bakımından sistemin işleyişine veya verilere yönelik müdahaleler ayrıca değerlendirilir. Kişisel verilere erişim ve bu verilerin aktarılması ise farklı suç tiplerinin oluşmasına neden olabilir.

7545 sayılı Siber Güvenlik Kanunu'nun yetkilendirme hükümleriyle sistem sahibinin verdiği test izni birbirinden ayrılmalıdır. Bir kuruluşun sızma testi yaptırmak için verdiği izin, ilgili faaliyet bakımından kanunen aranan resmi yetkilendirmelerin yerine geçmez.

Güvenlik açığının bulunması, sistem sahibine bildirilmesi veya araştırmacının ekonomik menfaat elde etmemesi, daha önce gerçekleştirilen hukuka aykırı işlemleri kendiliğinden meşrulaştırmaz. Bununla birlikte bütün güvenlik taramalarının veya teknik araştırmaların suç oluşturduğu yönünde genel bir kabul de hukuken isabetli değildir.

Ceza sorumluluğunun belirlenmesinde teknik işlemin gerçek niteliği, erişim yetkisinin sınırları, kast ve hukuka uygunluk nedenleri birlikte araştırılmalıdır. Böylece meşru güvenlik araştırmalarıyla ceza hukuku kapsamında yaptırıma bağlanan müdahaleler arasında somut ve denetlenebilir bir ayrım yapılabilir.

Kaynaklar: 5237 sayılı Türk Ceza Kanunu (m. 21, 26, 30, 135, 136, 243, 244 ve 245/A), 5271 sayılı Ceza Muhakemesi Kanunu (m. 134, 206 ve 217), 6698 sayılı Kişisel Verilerin Korunması Kanunu (m. 4, 5, 6 ve 12), 7545 sayılı Siber Güvenlik Kanunu (m. 5, 6, 7, 8 ve 16), 7590 sayılı Kanun, Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı kararı, Yargıtay 8. Ceza Dairesinin 03.02.2015 tarihli 2014/19342 E. ve 2015/2322 K. ile 04.06.2014 tarihli 2014/3984 E. ve 2014/13848 K. sayılı kararları, Yargıtay Ceza Genel Kurulunun 01.07.2021 tarihli 2019/239 E. ve 2021/325 K. sayılı kararı, Siber Güvenlik Başkanlığının zafiyet bildirimlerine ilişkin resmi açıklamaları.

Yazar

Av. Ramazan Sertan Safsöz

Kurucu Avukat

Teknik mahiyeti güçlü uyuşmazlıklarda ceza hukuku ile bilişim hukuku kesişiminde yürüttüğü çalışmalarıyla tanınmaktadır. Özellikle dijital delillerin belirleyici olduğu soruşturma ve kovuşturmalarda, elektronik cihaz incelemeleri, iletişim verileri ve sayısal / mali kayıtlar etrafında şekillenen hukuki uyuşmazlıklar üzerinde yoğunlaşmaktadır. Bu çerçevede, teknik inceleme ile hukuki değerlendirmeyi aynı düzlemde ele alan ve yerleşik kabullerin ötesine geçen savunma yaklaşımları geliştirmektedir.

İletişim

Yasal Uyarı

Bu makaledeki açıklamalar genel bilgilendirme amacı taşımaktadır. Her somut olay kendi koşulları içinde değerlendirilmelidir. Bu nedenle, hukuki durumunuza uygun değerlendirme için profesyonel destek alınması gerekir.