Veri ihlali bildirimi yükümlülüğünü bilen çok kurum var. O yükümlülüğü yerine getirebilecek durumda olan kurum sayısı çok daha az.
Aradaki fark tek bir şeye bağlı: süre, ihlali öğrendiğiniz anda başlar ve o an geldiğinde hazırlık yapacak vaktiniz yoktur.
Saatler nereye gidiyor
Hazırlıksız bir kurumda tipik akış şöyle işler:
| Saat | Gerçekte olan |
|---|---|
| 0–6 | “Bu gerçekten bir ihlal mi?” tartışması. Kimin karar vereceği belli değil. |
| 6–18 | Logların nerede olduğu aranıyor. Bir kısmının hiç tutulmadığı fark ediliyor. |
| 18–36 | Kapsam belirlenmeye çalışılıyor: hangi veri, kaç kişi, hangi tarih aralığı. |
| 36–60 | Hukuk ve yönetim devreye giriyor, bildirim metni tartışılıyor. |
| 60–72 | Eksik bilgiyle, aceleyle bildirim hazırlanıyor. |
Bu akışta teknik inceleme için ayrılan gerçek süre birkaç saattir. Geri kalanı organizasyonel gecikmedir — ve tamamı önceden ortadan kaldırılabilir.
Süreden önce belirlenmesi gereken dört şey
1. Kim karar verir
Bir olayın “ihlal” sayılıp sayılmayacağına kimin karar verdiği önceden yazılı olmalı. Bu kişi ulaşılamıyorsa yerine kimin geçeceği de. Karar merci belirsizse ilk saatler tartışmayla geçer.
2. Kanıt nereden gelecek
İnceleme yapabilmek için gereken kaynakların ihlal anında zaten var olması gerekir:
- Kimlik doğrulama ve yetkilendirme logları
- Veritabanı erişim logları
- Web sunucusu erişim logları
- Uç nokta telemetrisi
- Ağ akış kayıtları
Bunların ne kadar geriye gittiği de belirleyicidir. Saldırgan üç ay önce girdiyse ve loglarınız iki hafta saklanıyorsa, kapsamı belirleyemezsiniz — ve kapsamı belirleyemediğinizde en kötü senaryoyu varsaymak zorunda kalırsınız.
3. Bildirimde ne anlatılacak
Bildirimin taşıması gereken bilgiler bellidir: ihlalin niteliği, etkilenen kişi ve kayıt sayısı yaklaşık olarak, olası sonuçları, alınan ve alınması planlanan tedbirler.
Bu başlıkların şablonu önceden hazırlanabilir. İhlal anında yazılmaya başlanan bir metin, iyi bir metin olmaz.
4. Kim inceleyecek
Kurum içinde adli inceleme yapabilecek yetkinlik yoksa, dışarıdan destek alınacak firma önceden belirlenmiş ve sözleşmesi hazır olmalı. İhlal günü tedarikçi arayıp sözleşme müzakere etmek, sürenin yarısını yer.
En pahalı hata: kanıtı yok etmek
Hazırlıksız kurumlarda ilk refleks genellikle sistemi hızla ayağa kaldırmak olur: etkilenen sunucu yeniden kurulur, diskler temizlenir, servis yeniden başlatılır.
Bunun sonucu şudur: ne olduğunu bir daha asla öğrenemezsiniz. Bellekteki kanıtlar kaybolur, silinen dosyalar üzerine yazılır, saldırganın izleri kaybolur. Kapsamı belirleyemediğiniz için bildirimde “etkilenen kişi sayısı belirlenememiştir” demek zorunda kalırsınız — ve bu, tedbirlerin yetersizliğine dair ayrı bir gösterge olarak değerlendirilir.
Doğru sıra: önce imaj al, sonra müdahale et. Disk ve bellek imajı alınmadan hiçbir sistem yeniden kurulmamalıdır. Bu, olay müdahale planının ilk maddesi olmalıdır.
Fidye yazılımı özel durumu
Fidye yazılımı saldırılarının büyük bölümü artık şifrelemeden önce veri sızdırıyor. Yani olay yalnızca bir erişilebilirlik sorunu değil, aynı zamanda muhtemel bir gizlilik ihlalidir.
Pratik sonuç: sızıntı olmadığı kanıtlanana kadar sızıntı varsayımıyla hareket edin. “Sadece şifrelendi, veri çıkmadı” değerlendirmesi, ağ çıkış trafiği incelenmeden yapılamaz.
Planı test etmek
Yazılmış ama hiç denenmemiş bir müdahale planı, olmayan plandan yalnızca biraz iyidir. Masa başı tatbikat (table-top exercise) bu boşluğu kapatır: bir senaryo verilir, ekip adım adım ne yapacağını anlatır, eksikler ortaya çıkar.
Tipik tatbikat çıktıları şunlar oluyor: karar mercii aslında belirsizmiş, kritik bir sistemde log hiç tutulmuyormuş, yedekten geri dönüş süresi tahmin edilenin üç katıymış, iletişim listesindeki iki kişi işten ayrılmış.
Bunları ihlal günü öğrenmek pahalıdır.
Bu yeteneği kurmak
Olay müdahalesi, doğaçlamayla yürütülebilecek bir iş değil. Ekip, süreç ve araçların önceden kurulmuş olması gerekir.
normSight’ın SOME Eğitimi programı tam bu yeteneği hedefler: olay müdahale sürecinin kurulması, tespit, kontrol altına alma ve sistemlerin güvenle geri getirilmesi. Delil toplama ve inceleme tarafı için Dijital Adli Bilişim, tespit edilmemiş saldırganları proaktif aramak için Siber Tehdit Avcılığı programlarına bakabilirsiniz.
Uyum tarafındaki yükümlülüklerin bütününü KVKK uyum süreci yazısında ele alıyoruz.
Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş niteliği taşımaz. Bildirim süreleri, içeriği ve muhatapları konusunda kurumunuza özgü değerlendirme için hukuk danışmanınıza başvurun.
- veri ihlali
- olay müdahalesi
- KVKK
- SOME
- incident response