Şirket İçi Veri Sızıntısı Belirtileri — Erken Uyarı Rehberi

Şirket İçi Veri Sızıntısı Belirtileri — Erken Uyarı Rehberi

Veri sızıntılarının önemli bir bölümü dış saldırıdan değil, içeriden kaynaklanır. Müşteri listesi, fiyat politikası, teknik çizim veya tedarikçi bilgisi gibi rekabete duyarlı veriler, çoğu zaman yetkili bir çalışan tarafından dışarı taşınır. Bu rehber, sızıntının erken işaretlerini, hukuka uygun inceleme yöntemini ve yasal yükümlülükleri açıklar.

Erken Uyarı İşaretleri

• Ticari işaretler: Rakibin teklifinin sizinkine şaşırtıcı ölçüde yakın çıkması; uzun süreli müşterilerin kısa aralıklarla ve toplu hâlde kaybedilmesi; bir rakibin daha önce girmediği müşteri segmentine aniden yönelmesi.
• Davranışsal işaretler: Görev tanımı dışındaki dosyalara ilgi; mesai dışı saatlerde olağan dışı sistem erişimi; kişisel e-posta veya bulut hesaplarına dosya aktarımı; izin öncesi yoğun veri indirme.
• Teknik işaretler: Büyük hacimli dosya kopyalama; USB ve harici disk kullanımında artış; yazıcı kayıtlarında olağan dışı hacim; VPN erişiminde anormal saat ve konum.
• İnsan kaynakları işaretleri: İstifa öncesi son haftalarda artan veri erişimi; rekabet yasağı sözleşmesi imzalamaktan kaçınma; rakiple bilinen yakın ilişki.

İnceleme Nasıl Yapılmalı? — Hukuki Sınır

Bu noktada işverenlerin en sık düştüğü yanılgı, şirkete ait cihazların sınırsız incelenebileceği varsayımıdır. Cihazın mülkiyeti, içindeki kişisel haberleşmeye erişim hakkı vermez. Şirket bilgisayarındaki özel yazışmalara erişim, TCK madde 132 ve KVKK açısından ciddi risk taşır.

Hukuka uygun inceleme üç koşulu birlikte sağlamalıdır:

1. Önceden duyurulmuş politika: Bilişim kaynaklarının kullanımına ve denetimine ilişkin yazılı politika, çalışana imza karşılığı tebliğ edilmiş olmalıdır.
2. Somut şüphe: Genel amaçlı, sürekli izleme değil; belirli bir olaya bağlı, tanımlı bir inceleme.
3. Ölçülülük: İnceleme, şüpheyle sınırlı veriye odaklanmalı; kişisel içerik kapsam dışında tutulmalıdır.

İncelenebilecek Kayıtlar

• Sistem erişim ve oturum kayıtları (log)
• Dosya sunucusu erişim geçmişi
• Yazıcı ve fotokopi kayıtları
• Fiziksel giriş-çıkış kayıtları
• E-posta trafiğinin üstverisi (gönderen, alıcı, zaman, boyut) — içeriği değil
• Harici cihaz bağlantı kayıtları

Üstveri incelemesi, içeriğe girmeden örüntü çıkarmayı sağladığı için hem hukuken daha güvenli hem de pratikte çoğu zaman yeterlidir.

Delil Bütünlüğü

İnceleme sırasında en kritik hata, şüphelenilen cihaz üzerinde doğrudan çalışmaktır. Bu, delili değiştirir ve mahkemede itiraza açık hâle getirir. Doğru yöntem, cihazın birebir kopyasının (imaj) alınması ve hash değeriyle bütünlüğünün kayıt altına alınmasıdır. İnceleme kopya üzerinde yürütülür; orijinal cihaz mühürlenerek saklanır.

Hukuki Yollar

• İş hukuku: Sadakat borcunun ihlali, haklı nedenle fesih sebebi oluşturabilir.
• Ticari sır ihlali: Türk Ticaret Kanunu'nun haksız rekabet hükümleri kapsamında dava açılabilir.
• Ceza hukuku: Ticari sır niteliğindeki bilginin açıklanması ve bilişim sistemlerine ilişkin suçlar gündeme gelebilir.
• Tespit davası: Delillerin kaybolma ihtimaline karşı mahkemeden delil tespiti istenebilir.

KVKK Bildirim Yükümlülüğü

Sızan veri kişisel veri içeriyorsa — müşteri listesi, çalışan bilgileri gibi — şirketin veri sorumlusu sıfatıyla yükümlülüğü doğar. İhlalin öğrenilmesinden itibaren en kısa sürede ve 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirimde bulunulması, ayrıca ilgili kişilerin bilgilendirilmesi gerekir. Bu yükümlülüğün ihmali, sızıntının kendisinden bağımsız bir yaptırım doğurur.

Önleyici Tedbirler

1. Yazılı bilişim kullanım politikası ve düzenli tebliğ
2. Yetki matrisi: her çalışan yalnızca görevi için gerekli veriye erişsin
3. Kritik dosyalarda erişim kaydı ve indirme sınırı
4. İşten ayrılma sürecinde yetki kapatma kontrol listesi
5. Rekabet yasağı ve gizlilik sözleşmelerinin geçerli biçimde düzenlenmesi
6. Düzenli erişim denetimi ve olağan dışılık raporlaması

Sık Sorulan Sorular

Çalışanın kişisel e-postasını inceleyebilir miyim? Hayır. Kişisel hesaplara erişim her hâlde hukuka aykırıdır.

İnceleme çalışana bildirilmeli mi? İnceleme yetkisi önceden duyurulmuş olmalıdır; somut incelemenin kendisi ise soruşturma bütünlüğü açısından eş zamanlı bildirilmeyebilir.

Rapor iş mahkemesinde kullanılabilir mi? Hukuka uygun yöntemle ve delil bütünlüğü korunarak hazırlandıysa evet.