Kurumsal Casusluk ve İç Tehdit: Hukuka Uygun Soruşturma Rehberi

Bir şirkette veri sızıntısından şüphelenildiğinde ilk cümle neredeyse her zaman aynı oluyor: "cihaz zaten bizim". Bu cümle doğru ve tam olarak bu yüzden tehlikeli. Mülkiyet, içeriği inceleme yetkisi vermiyor; verdiğini düşünüp inceleme yapıldığında ise iki şey birden kaybediliyor: çalışanın özel hayatının gizliliği ve elinizdeki delilin mahkemedeki geçerliliği. Yargıtay, işverenin tahsis ettiği cihazdaki kişisel yazışmaların izinsiz incelenmesiyle elde edilen verilerin delil olarak kullanılamayacağına hükmetmiş durumda; yani yanlış yöntemle bulunan kanıt, kanıt olmaktan çıkıyor.

Bu rehber, kurumsal casusluk ve iç tehdit soruşturmasının teknik ve hukuki iskeletini kuruyor: hangi sinyal gerçekten sinyal, hangi dijital iz hangi soruyu cevaplıyor, cihaza dokunmadan önce hangi üç sorunun cevabı yazılı olmalı, delil zinciri nasıl kurulur, saklama süreleri incelemenizi nasıl sabote ediyor, ve hangi noktada kendi başınıza ilerlemek yerine adli makama başvurmak zorunlu hâle geliyor.

Kapsam dışı olanı baştan söyleyelim: bu sayfa bir çalışanı izlemek için araç, yöntem ya da yazılım önermiyor. Gizli anahtar kaydedici kurmak, kişisel mesajları okumak, özel cihaza sessizce erişmek hukuka aykırı ve soruşturmayı bitiren hamle. Anlatılan yöntem, kayıtların zaten var olduğu yerden başlıyor: kurumsal sistemlerin ürettiği loglar, kurumsal cihazların bıraktığı artıklar ve bu ikisinin hukuka uygun biçimde toplanması.

Üç soru: cihaz kimin, veri kimin, yetki kimin

Bir inceleme, cihaza dokunulmadan önce üç sorunun yazılı cevabıyla başlar. Bu üç cevap yoksa yapılan her işlem, sonradan tartışılacak bir işlem. Aşağıdaki tablo, en sık karşılaşılan dört cihaz/veri kombinasyonu için cevabı ve sonucu veriyor.

Senaryo	Cihaz kimin	Veri kimin	Ne yapılabilir
Şirket dizüstü, kurumsal e-posta	Şirket	İş verisi + kişisel izler	Önceden duyurulmuş politika kapsamında inceleme; kişisel içerik kapsam dışı
Şirket dizüstü, kişisel bulut senkronu	Şirket	Karışık	Yalnızca kurumsal verinin çıkışı incelenir; kişisel hesabın içeriği incelenmez
Kişisel telefon, kurumsal e-posta istemcisi	Çalışan	Karışık	Cihaz incelemesi için rıza ya da adli karar; sunucu tarafı kayıtlar tercih edilir
Kişisel cihaz, MDM ile yönetilen profil	Çalışan	İş profili ayrık	Yalnızca iş profili kapsamında; cihazın tamamı değil

Yetki sorusu bunun üstünde: incelemeyi kimin yürüttüğü ve hangi belgeye dayandığı. Dört ayrı yetki kaynağı var ve birbirinin yerine geçmiyor. Şirket içi politika ve bilgilendirme, çalışanın iş sözleşmesi ve kabul ettiği kurumsal kurallar, çalışanın o anki rızası, ve adli makam kararı. Bir iç soruşturmada ilk ikisi tipik olarak yeterli; kişisel cihazda üçüncüsü ya da dördüncüsü şart. Bu ayrımı atlayan soruşturmalar, teknik olarak kusursuz rapor üretse bile sonuçta delili kaybediyor.

Politikanın kendisi de bir belge olmak zorunda: hangi sistemlerin izlendiği, hangi logların tutulduğu, hangi durumda incelendiği ve kimin onay verdiği yazılı olmalı. Aydınlatma metni ve işyeri bilgi güvenliği politikası, sonradan "haberim yoktu" tartışmasını bitiren iki belge. Bu belgeler yoksa, inceleme başlamadan önce yazılmaları gerekiyor; sonradan yazılan politika geriye dönük yetki vermiyor.

Sinyal: hangi davranış gerçekten sinyal

İç tehdit soruşturmalarının çoğu yanlış sinyalle başlıyor. Bir çalışanın geç saatte çalışması, büyük dosya indirmesi ya da USB takması tek başına bir şey kanıtlamıyor; bu davranışların çoğu işin normal parçası. Sinyali anlamlı kılan şey, birden fazla kaynağın aynı zaman aralığında aynı şeyi göstermesi. Aşağıdaki tablo, sinyali üreten davranışı, onu kaydeden dijital izi ve yanlış pozitif olasılığını birlikte veriyor.

Sinyal	Dijital iz	Tek başına yeterli mi
Mesai dışı erişim	VPN ve kimlik sağlayıcı oturum kayıtları	Hayır - nöbet, seyahat, farklı saat dilimi
Büyük hacimli indirme	Bulut denetim kaydı (indirme ve senkron olayları)	Hayır - raporlama, yedekleme, arşiv görevi
Harici disk bağlantısı	Cihaz bağlantı kayıtları, dosya sistemi artıkları	Hayır - yasal yedekleme, sunum aktarımı
Kişisel bulut yüklemesi	Tarayıcı geçmişi, ağ akış kayıtları, yükleme izleri	Hayır - kişisel fotoğraf, izinli kullanım
E-posta yönlendirme kuralı	Posta kutusu kural denetim kaydı	Yakın - nadiren meşru, gerekçesi sorulmalı
Yazdırma artışı	Yazdırma sunucusu kayıtları	Hayır - sözleşme, ihale dosyası
İstifa sonrası toplu erişim	Dosya erişim ve kopyalama kayıtları	Yakın - çıkış sürecinde normal olabilir
Rakip firmayla temas	Kurumsal iletişim kayıtları, OSINT	Hayır - sektör ağı, eski iş ilişkisi

Tablodaki "yakın" işaretli iki satır, inceleme başlatmayı haklı kılan sinyaller: e-posta yönlendirme kuralı ve istifa sonrası toplu erişim. İkisi de nadiren masum bir açıklamaya sahip ve ikisi de kayıt altında. Buna karşılık "büyük dosya indirdi" tek başına bir soruşturma gerekçesi değil; gerekçe hâline gelmesi için aynı hesabın aynı gün kişisel bir bulut hesabına yükleme yapması gibi ikinci bir izle birleşmesi gerekiyor.

Üç aşama: erişim, kopyalama, sızdırma

Soruşturmayı yürütürken sorulacak soru "veri çalındı mı" değil, üç ayrı soru. Dosya açıldı mı? Başka bir yere yazıldı mı? Şirketin kontrolünden çıktı mı? Bu üç soru birbirinden farklı kanıt türleri istiyor ve üçüncüsü kanıtlanmadan "veri sızdırıldı" demek, raporu tartışmalı hâle getiriyor. Aynı ayrım savunma tarafında da işe yarıyor: erişim kanıtlanmış ama sızdırma kanıtlanmamışsa, iddia "yetkisiz erişim" olarak kalır ve ceza hukuku karşılığı da buna göre değişir.

Aşama	Cevapladığı soru	Hangi izler	Ne kanıtlar
Erişim	Dosya açıldı mı	Dosya erişim denetim kaydı, kısayol dosyaları, son kullanılanlar listesi, oturum kaydı	Hesabın dosyayı gördüğünü
Kopyalama	Başka yere yazıldı mı	Harici disk kayıtları, dosya sistemi günlükleri, senkron istemci kayıtları	Verinin cihazdan çıktığını
Sızdırma	Şirket dışına çıktı mı	Bulut yükleme kayıtları, e-posta ek ve başlık kayıtları, ağ akış verisi, alıcı taraf	Verinin üçüncü kişide olduğunu

Üç aşamanın her biri kendi zaman damgasını üretiyor ve bu damgaların birbirini tutması gerekiyor. Pratikte en sık görülen hata, tek bir kaynağa bakıp sonuca varmak: örneğin bulut denetim kaydında bir indirme görmek ve "veri sızdırıldı" demek. İndirme aşama birdir; dosyanın nereye gittiğini göstermiyor. Zincir, üç aşamanın izleri birleştirildiğinde kuruluyor ve raporun en güçlü kısmı bu birleştirme.

Sızdırma aşamasında zamanlama hesabı, doğrulanabilir bir kontrol sağlıyor. 40 GB'lık bir veri kümesinin kişisel bir bulut hesabına 20 Mbps yükleme hızıyla çıkması 327.680 Mb / 20 Mbps = 16.384 saniye, yani 4,5 saat sürüyor. Bu, tek bir dosya kopyalama hareketiyle açıklanamayacak kadar uzun bir pencere: ağ akış kayıtlarında sürekli bir yükleme görülmeli, kesintili bir trafik değil. Aynı hesap, küçük hacimli sızıntılarda tersine çalışıyor; 200 MB'lık bir dosya bu hızda 80 saniyede çıkıyor ve ağ katmanında neredeyse görünmez oluyor. Hacim, hangi katmanda iz arayacağınızı belirliyor.

Delil zinciri: sekiz adım

Delil zinciri, dijital bir nesnenin bulunduğu andan rapora girdiği ana kadar kimin elinden geçtiğinin, hangi işleme tabi tutulduğunun ve bütünlüğünün korunduğunun belgelenmesi. Türkçe soruşturma pratiğinde en sık atlanan kısım bu; çünkü teknik ekip incelemeye odaklanıyor, belgeleme sonraya kalıyor. Sonra kalan belgeleme, raporun en zayıf halkası oluyor.

Adım	İşlem	Belge
1	Cihazı olduğu durumda korumaya al (açıksa açık, kapalıysa kapalı)	El koyma tutanağı, fotoğraf, saat
2	Seri numarası ve donanım kimliğini kaydet	Envanter formu
3	Kapalı cihazda yazma engelleyici ile adli imaj al	İmaj formu, cihaz bilgisi
4	Açık cihazda önce bellek dökümü, sonra disk imajı	Sıra kaydı, zaman damgası
5	Hash değerlerini hesapla ve iki kez doğrula	Hash formu (MD5 + SHA-256)
6	İmajı şifreli ortamda, erişim kaydıyla sakla	Erişim günlüğü, saklama yeri
7	Analizi yalnızca imaj üzerinde yürüt	Çalışma notları, araç sürümleri
8	Bulguları zaman çizelgesiyle rapora bağla	Uzman raporu, ekler

Üçüncü ve dördüncü adım arasındaki sıra, tekniğin en kritik kararı. Cihaz kapalıysa disk imajı yeterli; cihaz açıksa ve disk şifreliyse, kapatmak veriyi tamamen erişilemez hâle getirebiliyor. Bu yüzden açık cihazda önce bellek dökümü alınıyor, sonra disk imajı. Cihazı "bir bakalım" diye kapatıp açmak, hem bellekteki izleri hem de şifreleme anahtarını kaybettirebiliyor.

Beşinci adım, bütünlük kanıtı: imaj alınırken hesaplanan hash, analiz sonunda yeniden hesaplanıp karşılaştırılıyor. İki değerin aynı olması, incelenen imajın orijinalle bit düzeyinde aynı olduğunu gösteriyor. Bu tek adım, rapordaki her bulgunun dayanağı; hash formu olmayan bir rapor, savunma tarafının ilk itirazında çöküyor.

Yedinci adım, orijinalin hiç açılmaması kuralı. Adli imaj alındıktan sonra inceleme yalnızca imaj üzerinde yürütülüyor; orijinal cihaz mühürleniyor. Bu kural hem bütünlüğü koruyor hem de savunmaya "veriyi değiştirdiniz" itirazının kapısını kapatıyor. Kripto varlık izlerinde delil zincirinin nasıl kurulduğu ayrı bir sayfada: kripto iz sürme raporu ve delil zinciri.

İlk 24 saat: ne yapılmaz

Soruşturmanın kaderi çoğu zaman ilk 24 saatte belirleniyor ve belirleyen şey yapılanlar değil, yapılmayanlar. Aşağıdaki liste, teknik ekiplerin iyi niyetle yaptığı ve delili bozan altı hamle.

• Cihazı IT'ye "kontrol ettirmek". Açmak, araç çalıştırmak, dosya kopyalamak zaman damgalarını değiştiriyor. İnceleme başlamadan önce cihaz mühürlenmeli.
• Çalışanı önce uyarmak. Uyarı, kanıtın imha edilmesi için verilen süre demek. İş hukuku tarafında savunma hakkı ayrı bir konu; ama teknik olarak cihaz, uyarıdan önce korunmalı.
• Hesabı hemen kapatmak. Hesap kapatıldığında bulut oturumları sona eriyor ve bazı kayıtlar erişilemez hâle geliyor. Önce denetim kayıtlarını dışa aktar, sonra hesabı kapat.
• Yalnızca log'a güvenmek. Log bir sistemin kendi anlatısı; dosya sistemi artıkları ve tarayıcı izleri farklı bir hikâye anlatabiliyor. İkisi karşılaştırılmadan sonuç yazılmamalı.
• Saat farkını yok saymak. Sunucular UTC, cihazlar yerel saat, uygulamalar kendi saat diliminde yazıyor. Üç kaynağın zaman damgası hizalanmadan kurulan zaman çizelgesi yanlış sıralama üretiyor.
• Raporu iddia ile başlatmak. "Veri sızdırdı" cümlesiyle başlayan rapor, kanıtı bu cümleye uyduruyor. Rapor gözlemle başlar, yorum sonda gelir.

Saklama penceresi yarışı: inceleme, kayıtların ömründen uzun sürmemeli

İç tehdit soruşturmalarında en sık yapılan hata, olayın fark edilmesini beklemek. Fark edilme anı ile incelemenin başladığı an arasındaki gün sayısı, hangi kaydın hâlâ var olduğunu belirliyor. Kayıtların saklama süreleri birbirinden farklı ve en kısa olanlar genellikle en çok işe yarayanlar: proxy, DLP ve kimlik doğrulama kayıtları.

Kayıt türü	Tipik varsayılan saklama	Neyi cevaplıyor
Bulut denetim kaydı (posta, dosya, oturum)	90-180 gün (lisansa göre)	İndirme, paylaşım, senkron olayları
DLP uyarı ve engel kayıtları	30-90 gün	Hassas veri kuralına takılan hareketler
Proxy ve güvenlik duvarı	30-90 gün	Hangi adrese, ne zaman, ne kadar trafik
VPN ve kimlik sağlayıcı	30-180 gün	Nereden, hangi saatte, hangi cihazla oturum
E-posta sunucu izleri (başlık, teslim)	30-90 gün	Kime, ne zaman, hangi ek
Uç nokta güvenlik telemetrisi	30-90 gün	Süreç, bağlantı, dosya hareketi
Windows olay günlüğü (varsayılan boyut)	Günler	Oturum açma, cihaz bağlantısı
Dosya sistemi artıkları (MFT, günlük, kısayol)	Aylar-yıllar	Dosyanın varlığı, açıldığı, kopyalandığı
Kayıt defteri cihaz geçmişi	Cihaz ömrü	Hangi harici disk, hangi tarihte takıldı

Tabloyu bir zaman çizgisine oturttuğunuzda sorun görünür hâle geliyor. Olay 1 Ocak'ta olsun. 1 Mart'ta fark ederseniz (60 gün) bulut kaydı, proxy ve uç nokta telemetrisi duruyor. 1 Mayıs'ta fark ederseniz (120 gün) proxy ve DLP kayıtları süresini doldurmuş, bulut kaydı sınırda. 20 Temmuz'da fark ederseniz (200 gün) bulut kaydı da gitmiş; elinizde yalnızca cihazın kendi artıkları kalıyor. Bu üç senaryoda aynı olay, üç farklı kanıt gücü üretiyor.

Bu yüzden saklama süreleri bir BT ayarı değil, bir soruşturma kapasitesi. Kurumsal denetim kaydının saklama süresini 180 günden bir yıla çıkarmak, olay müdahale kapasitesini artırıyor; SIEM tarafındaki saklama ve lisans boyutlandırması ayrı bir hesap: SIEM kurulumu, EPS ve saklama boyutlandırma. Buradaki tek kural: bir soruşturma açıldığında ilk iş, ilgili tüm kaynakların kayıtlarını dışa aktarıp dondurmak. İnceleme ilerledikçe kayıtlar kendiliğinden silinmeye devam ediyor.

Hacim: neden her dosyaya bakamıyorsunuz

Adli imaj almak zaman alıyor ve bu süre planlanmadan başlayan soruşturmalar, ilk günün tamamını kopyalama ile geçiriyor. 512 GB'lık bir disk, yazma engelleyici üzerinden ortalama 1,8 GB/dk hızla 284 dakikada, yani yaklaşık 4,7 saatte kopyalanıyor. Üç cihazda bu süre 14,2 saate çıkıyor; her imajın bir de doğrulama okuması olduğu için toplam süre 28 saati aşıyor. Bu, tek bir kişinin bir buçuk günü demek.

İş	Hacim	Süre
Tek disk imajı (512 GB, 1,8 GB/dk)	512 GB	284 dk (4,7 saat)
Üç cihaz imajı	1.536 GB	852 dk (14,2 saat)
Üç cihaz imaj + doğrulama okuması	3.072 GB okuma	1.704 dk (28,4 saat)
Uç nokta telemetrisi (300 cihaz, 90 gün, günde 1.500 olay)	40.500.000 olay	Filtreleme olmadan taranamaz
Bulut denetim kaydı (2.000 kullanıcı, 180 gün)	Milyonlarca satır	Sorgu ile daraltılmalı

40.500.000 olayı tek tek okumak mümkün değil; bu yüzden inceleme bir filtreleme işi. Doğru sıra şu: önce zaman penceresini daralt (olayın olduğu gün ve öncesindeki 14 gün), sonra kullanıcı ve cihaz kümesini daralt, sonra dosya türü ve hacim eşiği koy. Bu üç filtre uygulandığında milyonlarca olay on binlerce satıra, oradan yüzlerce adaya iniyor. Filtre uygulanmadan başlayan inceleme, süresini doldurup sonuç üretmiyor.

Hacim hesabının ikinci faydası, sızıntının büyüklüğünü test etmek. Bir iddia "tüm müşteri veritabanı kopyalandı" ise, o veritabanının boyutu ile iddia edilen aktarım süresi karşılaştırılabilir. 200 GB'lık bir veritabanının 20 Mbps ile çıkması 22,2 saat sürer; iddia edilen zaman aralığı bundan kısaysa ya aktarım farklı bir kanaldan yapılmıştır ya da iddia edilen hacim yanlıştır. Bu tür bir çelişki, raporun en değerli bulgusu olabiliyor.

Hukuk tarafı: iki yönlü sınır

İşverenin kurumsal cihazı inceleme hakkı var, ama sınırsız değil. Bu iki cümleyi birlikte söylemek gerekiyor, çünkü pratikte her iki yöne de savruluyor: "cihaz bizim, her şeyi inceleriz" diyen kurumlar delili kaybediyor, "çalışanın cihazına hiç dokunamayız" diyen kurumlar ise soruşturmayı hiç yapamıyor. Sınırı çizen üç şey var: önceden yapılmış bilgilendirme, amaçla sınırlılık ve ölçülülük.

Yargıtay'ın yerleşik yaklaşımı, işverenin tahsis ettiği bilgisayar ve sistemlerde denetim yapabileceği, ancak çalışanın kişisel yazışmalarının izinsiz incelenmesiyle elde edilen verilerin hukuka aykırı delil niteliğinde olduğu yönünde. Anayasa Mahkemesi kararlarında da özel hayata saygı hakkı, işyeri bağlamında ortadan kalkmıyor; sınırlanabilmesi için öngörülebilirlik ve ölçülülük aranıyor. Pratik çevirisi şu: kurumsal cihazda iş verisini aramak meşru, kişisel mesajları okumak değil; ve ikisini ayırmanın tek yolu, incelemenin kapsamını önceden yazmak.

Konu	Kurumun yapabileceği	Yapamayacağı
Kurumsal e-posta	İş iletişimini, ekleri ve yönlendirme kurallarını incelemek	Kişisel amaçlı yazışmaları okumak
Kurumsal dosya paylaşımı	Erişim ve paylaşım kayıtlarını incelemek	Kişisel klasör içeriğini dışa aktarmak
Şirket dizüstü	Adli imaj almak, dosya sistemi artıklarını incelemek	Özel hayat kapsamındaki içeriği rapora koymak
Kişisel telefon	Yalnızca yazılı rıza ya da adli karar ile	Rıza olmadan incelemek, MDM ile kişisel içeriği çekmek
Kişisel bulut hesabı	Kurumsal verinin oraya yüklendiğini ağ kayıtlarıyla göstermek	Hesaba giriş yapmak, içeriği indirmek
Konum ve hareket	Araç takip sistemi gibi önceden duyurulmuş sistemler	Çalışanın telefonundan gizli konum toplamak

KVKK tarafında iki yükümlülük öne çıkıyor. Birincisi aydınlatma: çalışanın hangi verisinin, hangi amaçla, hangi yöntemle işlendiğini bilmesi. İkincisi 12. maddede sayılan teknik ve idari tedbirler. Bir iç soruşturma, veri işleme faaliyeti olduğu için bu iki yükümlülükten muaf değil; tersine, soruşturma sırasında işlenen veri hacmi arttığı için daha dikkatli olmayı gerektiriyor. İnceleme dosyasındaki her ekran görüntüsü, kişisel veri içerebilir; dosyanın erişim listesi, saklama süresi ve imha planı olmalı.

Ceza hukuku tarafında iki ayrı suç devreye giriyor. Ticari sır niteliğindeki bilginin ifşası TCK'nın 239. maddesinde düzenleniyor ve bir yıldan üç yıla kadar hapis ile adli para cezası öngörüyor. Kişisel verilerin hukuka aykırı olarak verme veya ele geçirme fiili ise TCK'nın 136. maddesinde ve iki yıldan dört yıla kadar hapis cezası ile karşılanıyor. Bu iki suç, aynı olayda birlikte oluşabiliyor: müşteri listesinin rakibe geçmesi hem ticari sır hem kişisel veri ihlali.

Soruşturmanın kendi yöntemi de bu suçların kapsamına girebiliyor. Çalışanın kişisel telefonuna gizli yazılım kurmak, kişisel bulut hesabına onun bilgisi dışında girmek, kişisel mesajları okumak - bunların hiçbiri "şirket verisini arıyorduk" savunmasıyla hukuka uygun hâle gelmiyor. TCK'nın 243. maddesindeki bilişim sistemine hukuka aykırı giriş suçu burada da geçerli; izin, sistem sahibinden alınır ve kişisel cihazın sahibi çalışandır. Bu yüzden bir soruşturmanın en kritik sorusu "ne bulduk" değil, "nasıl bulduk".

Ne zaman adli makama gitmek zorunlu

Bazı durumlarda kurum içi inceleme yeterli değil ve ısrar etmek zarar veriyor. Kriter, verinin kimin elinde olduğu ve hangi işlemin yapılması gerektiği. Aşağıdaki tablo, karar noktalarını veriyor.

Durum	Kurum içi inceleme	Adli makam
Kurumsal cihazda dosya kopyalama izi	Yeterli	Gerekmiyor
Kurumsal hesaptan dış paylaşım	Yeterli	Gerekmiyor
Kişisel cihazda kurumsal veri	Rıza varsa sınırlı	Rıza yoksa zorunlu
Veri üçüncü kişide, iadesi gerekiyor	Yetersiz	Arama ve el koyma kararı
Çalışan ayrıldı, cihaz teslim edilmedi	Yetersiz	Ceza soruşturması
Rakip firmada çalışan eski personel	Yalnızca tespit	Delil toplama
Fidye yazılımı ya da aktif saldırı	Müdahale	Olay bildirimi ayrı yürür

Bu tablodaki dördüncü ve beşinci satır, en sık yanlış yönetilen iki durum. Veri üçüncü kişideyse, kurumun kendi başına o kişiden veri istemesi ya da cihazına erişmeye çalışması hukuka aykırı; burada yapılacak şey ceza soruşturması başlatmak ve arama-el koyma kararı talep etmek. Cihaz teslim edilmediyse aynı durum: iade talebi, ardından hukuki yol. Kurumun kendi başına "cihazı uzaktan silelim" kararı, delili yok etmek anlamına gelebiliyor.

Bir de tersi var: adli makama gitmek her zaman doğru cevap değil. Kurumsal cihazda dosya kopyalama izi gibi bir durumda ceza soruşturması başlatmak, aylar süren bir süreç ve çoğu zaman iş hukuku tarafındaki çözümden daha yavaş. Kararı verirken sorulacak soru şu: amacım veriyi geri almak mı, sorumluyu tespit etmek mi, yoksa cezalandırmak mı. Üçünün yolu farklı ve ilk ikisi çoğu zaman kurum içinde çözülüyor.

Soruşturma raporu: kanıt ile iddia ayrımı

Soruşturmanın çıktısı bir rapor ve o rapor üç okuyucu tarafından okunacak: yönetim, hukuk ve -dava açılırsa- mahkeme. Üçünün de beklentisi farklı, ama hepsinin ortak beklentisi aynı: her cümlenin arkasında bir kayıt olması. Aşağıdaki tablo, raporun bölümlerini ve her bölümde ne aranması gerektiğini veriyor.

Bölüm	İçeriği	Zayıf hâli
Kapsam ve yetki	Hangi cihaz, hangi veri, hangi dayanak	Dayanak yazılmamış
Yöntem	Alınan imaj, kullanılan araç, sürüm, hash	Araç sürümü ve hash yok
Zaman çizelgesi	Olayların saat dilimi belirtilmiş sırası	Saat dilimi karışık
Bulgular	Her bulgu için kaynak, tarih, ekran çıktısı	"Tespit edilmiştir" cümlesi, kaynak yok
Sınırlar	İncelenemeyen, silinmiş ya da erişilemeyen veri	Belirsizlik gizlenmiş
Sonuç	Kanıtlanan, kanıtlanmayan, açık kalan	İddia, bulgu gibi yazılmış
Ekler	Hash formu, imaj formu, log dökümleri	Ek yok

"Sınırlar" bölümü, raporun en çok atlanan ve en çok güven kazandıran bölümü. İncelenemeyen bir cihaz, silinmiş bir log, süresi dolmuş bir kayıt - bunların açıkça yazılması raporu zayıflatmıyor, güçlendiriyor. Çünkü karşı tarafın avukatı bu boşlukları zaten bulacak; sizin yazdığınız boşluk, bulunmuş boşluk değil, yönetilmiş boşluk oluyor. Buna karşılık "tüm kayıtlar incelendi" cümlesi, tek bir eksik log ile çürütülebiliyor ve raporun tamamını tartışmalı hâle getiriyor.

Doksan günlük müdahale takvimi

Aşağıdaki takvim, bir iç tehdit olayının ilk üç ayını üç aşamaya bölüyor. Süreler tek bir olay için, orta ölçekli bir kurumda, dışarıdan destek alınmadan yürütülebilecek eforu gösteriyor; toplam 90 saat, yani yarım zamanlı bir kişinin yaklaşık altı haftası.

Aşama	Gün	İş	Saat
Koruma	0-1	Cihazı mühürle, kayıtları dondur, hesap kapatma sırasını planla	6
Koruma	1-3	Adli imaj, hash, saklama ortamı	12
Analiz	3-10	Bulut ve kimlik kayıtlarının incelenmesi	18
Analiz	10-20	Uç nokta artıkları, dosya sistemi, zaman çizelgesi	16
Analiz	20-30	Bulguların birleştirilmesi ve ilk rapor	10
Karar	30-60	Hukuk koordinasyonu, işlem kararı, karşı taraf iletişimi	12
Kapanış	60-90	Kontrol iyileştirme, doğrulama testi, dosya kapatma	16
Toplam			90

Takvimin en kritik kısmı ilk gün, çünkü orada yapılan hata geri alınamıyor. Cihaz mühürlenmeden geçen her saat, zaman damgalarının değişme olasılığını artırıyor; kayıtlar dondurulmadan geçen her gün, saklama süresi dolan bir kaynağı kaybetme riskini. İlk 24 saatte yapılacak iş teknik değil, idari: kimin onayıyla, hangi kapsamda, kimi bilgilendirerek. Bu üç cevap yazılı olduğunda teknik inceleme saatler değil günler kazanıyor.

İncelemeyi ucuzlatan altı kontrol

Bir soruşturmanın maliyeti, soruşturma anında değil önceki yıl alınan kararlarla belirleniyor. Aşağıdaki altı kontrol, bir olay çıktığında incelemenin süresini kısaltan ve kanıt gücünü artıran yatırımlar; hiçbiri yeni bir ürün satın almayı gerektirmiyor.

• Denetim kaydını 365 güne çıkarmak. Varsayılan 90-180 gün, geç fark edilen olaylarda kanıt bırakmıyor.
• Çıkış kontrol listesi ve sıra. Ayrılan çalışanın hesabı kapatılmadan önce kayıtları dışa aktarılır; ters sıra kayıt kaybettiriyor.
• E-posta yönlendirme kuralı uyarısı. Dış adrese kural tanımlandığında yöneticiye bildirim; en sık kullanılan sızdırma yöntemlerinden biri.
• USB politikası ve cihaz kaydı. Hangi harici diskin takıldığı kayıt altında; cihaz ömrü boyunca kalıyor.
• DLP kural setinin gözden geçirilmesi. Müşteri listesi, fiyat dosyası ve sözleşme şablonları için ayrı kurallar.
• Aydınlatma ve politika güncelliği. İnceleme yetkisinin dayanağı bu iki belge; güncel değilse delil tartışmalı.

Bu kontrollerin ortak özelliği, inceleme anında değil olaydan önce işe yaramaları. Bir kurum bu altı maddeyi uygulamışsa, aynı olayın incelemesi 90 saat yerine 30 saatte bitebiliyor; çünkü kanıtın aranması değil, yorumlanması gerekiyor. Tersine, hiçbiri yoksa inceleme bir arşiv taramasına dönüşüyor ve süresi öngörülemiyor.

Soruşturma ile gözetim arasındaki çizgi

Son bir ayrım, bu işin en kolay aşılan sınırı. Soruşturma, belirli bir olay ve belirli bir kapsam için yapılan, başlangıcı ve bitişi olan bir faaliyet. Gözetim, sürekli ve kapsamsız. İkisi arasındaki fark niyette değil, belgede: soruşturmanın bir kapsamı, bir süresi, bir onayı ve bir kapanışı var.

Çizgi aşıldığında iki şey oluyor. Birincisi, toplanan veri hukuka aykırı hâle geliyor ve delil değerini kaybediyor. İkincisi, kurum kendi çalışanına karşı bir gözetim pratiği kurmuş oluyor; bu, çalışan devir hızından işe alım itibarına kadar ölçülebilir zarar üretiyor. Bu yüzden iyi bir soruşturma, kapsamı dar olan soruşturmadır: ne kadar az veriye dokunursanız, o kadar savunulabilir bir rapor çıkar.

Bu çerçeveyi kurumsal olarak yerleştirmek, olay anında hız kazandırıyor; olay müdahale planının hazırlanması ayrı bir rehberde: siber olay müdahale planı hazırlama rehberi. Soruşturmanın dış kaynaklardan beslenmesi gerektiğinde açık kaynak incelemesinin yasal sınırları da ayrı bir sayfada: OSINT nedir ve yasal sınırları. Teknik tarafın yetkilendirme iskeleti için: etik hacker nasıl tutulur ve pentest sözleşmesi. Kanıt tarafındaki KVKK tedbirleri: KVKK teknik tedbirler ve kanıt rehberi.