English
العربية
Marka-Patent vekili bir avukatın not defterinden
JANSET HANIM KİŞİSEL VERİLERİN KORUNMASININ
NE DEMEK OLDUĞUNU ANLIYOR
Janset Hanım, arabasını açık oto parka özenle park ettikten sonra, Çalıştığı şirketin binasına doğru yürümeye başladı. Dizlerini açıkta bırakan, dar, pembe bir etek ve üzerine ipeksi bir kumaştan dikilmiş, dökümlü bir bluz giymişti. Bluzundaki pembe figürler eteği ile uyum içerisindeydi. Uzun ve kâküllü kesilmiş sarı saçları adım attıkça dalgalanıyordu. Janset Hanım çok mutlu görünüyordu. Bu gün, ilk defa, aralıksız dört hafta olarak kullandığı yıllık izinden sonra, ilk iş günüydü.
Tatil, Janset Hanıma çok iyi gelmişti. Bir yıllık, yoğun mu, yoğun iş hayatının stresini ve stresli günlerin ruhunda bıraktığı kalıntıları egenin berrak sularında yıkamış, neşelenmiş, canlanmış adeta kendisini genç kızlık günlerindeki gibi canlı, delişmen, hissetmeye başlamıştı. Bu uzun tatil, kocasıyla ilişkilerine de çok iyi gelmişti. Uzun zamandır doğru dürüst bir şey paylaşmadıkları, aylardır, doğru dürüst sohbet dahi edemedikleri kocasıyla- ki kocasıyla sohbet etmeyi çok severdi- saatler boyu konuşmuşlar, bol bol değişik şaraplar içmişler, kumsala uzanıp, sarılıp yatmışlar, ay ışığı altında öpüşüp durmuşlardı. Neredeyse, her gece, içkiyi fazla kaçırdıktan sonra, denize girmişler-gece, karanlıkta denize girmeyi çok severlerdi- konuşarak, şakalar yaparak açılmışlar, sonra, tekrar, sığ kıyıya dönmüşler, ılık ve sığ sularda birbirlerine sarılıp kendilerini sakin dalgaların ritmine bırakmışlardı.
Ana kapıdan girerken hala çok canlı olan tatil anılarının etkisiyle hiç nedensiz gülümsüyordu. Dinamikti. Neşeliydi. Kapıdaki güvenlik görevlilerini “Hi!! Çocuklar” diye selamladı. Bir üstte odasının da olduğu yönetici katına bu defa asansörü kullanmadan merdivenlerden çıktı. Her şey çok güzeldi.
Fakat odasının bulunduğu katta neşe ile selam verdiği arkadaşlarının yüzlerinde beklediği karşılığı bulamadı. Sanki ortamda bir gariplik vardı. Odasına girdi. Çantasını masasına koydu. Henüz koltuğuna oturmuştu ki kat sekreteri kapıdan içeri önce başını uzattı, sonra konuşarak içeri girdi. “Hoş geldiniz Janset Hanım, umarım tatiliniz iyi geçmiştir”.
“Çok iyiydi, ruhumun topladığı bütün ağır metal kalıntılarını Ege’de bırakıp geldim” dedi, Janset Hanım.
Sekreter, telaşlı bir ifade ile Janset Hanımın sözünü kesti “Olanlardan haberiniz var mı?”
“Hangi olanlardan, neden haberim var mı?” diye sorudu, Janset Hanım. Bunları söylerken neler olabileceğine dair ihtimaller zihninden yıldırım hızıyla geçiyordu. Ülkemiz bir çatışmaya mı girdi? Dövizde anormal artışlar mı var? Hükümet istifa etmiş olabilir mi? Bir sıcak çatışma?
Sekreter hanım zaman geçirmeden söze girdi.
“Ayy!! Sormayın!! Janset Hanım ortalık çok karıştı. Şirkette bugüne kadar görmediğimiz bir felaket, inanmayacaksınız yönetim kurulu başkanı dün gece beni aradı. Sizin gelip gelmediğinizi sordu. İlk defa başkanı böyle tedirgin gördüm.”
“Başkan aradığında ben evdeydim. Kızımın arkadaşları bize gelmişti. Kızımın yaş gününü kutluyorduk. Fakat o kadar da yorgundum ki size anlatamam. Bütün gün işte çalıştıktan sonra koştur koştur yaş günü için yiyecek bir şeyler almaya gitmiştim. Alışverişten sonra taksiyle eve döndüm ve yiyecek bir şeyler hazırladım.
Düşünebiliyor musunuz? Janset Hanım, kızım üniversite son sınıf öğrencisi ama sorumluluk duygusu hiç gelişmemiş. Ben ona bir haftadır kızım arkadaşların gelecek bir şeyler hazırla diyorum, o tam son gün…”
Janset Hanım patladı; yüksek sesle “Yeter!!! Leyla Hanım yeter !!! Lütfen kesin kendi hayatınızı anlatmayı… Hemen, kısaca ve çabucak ne olduğunu söyler misiniz?”,
“AA sormayın Janset Hanım, siz tatilin son günlerindeyken, tam olarak 2 gün önce şirketimizin veri yetkilisi işten ayrıldı. Başka bir şirkette iş bulmuş. Ayrılmadan önce Yönetim Kurulu Başkanı ile konuşmuş, istifa ettiği halde, kendisine kıdem tazminatı ve ekstra boşta kalacağı günler için 10 brüt maaş tazminat istemiş. Başkan da bu talebi reddedince, ‘yanlış yapıyorsunuz sayın başkan, bu tavrınızın size geri dönüşü ağır olur. Ben bu şirkete yıllarımı verdim. Çok önemli bir görev yaptım. Size sadakatle çalıştım. Karşılığı bu mu olmalıydı. Ben mutlu ayrılmıyorum bunu böyle bilin’ …filan diye konuşmuş.”
“Başkanı biliyorsunuz. Bu tehditkâr sözlere çok sinirlenmiş. “Defol karşımdan utanmaz” diye bağırmış. ‘Bunca yıl hizmet ettiysen karşılığını fazlasıyla aldın. Üstelik birden bire karşıma çıkmış istifa ettiğin söylüyorsun. İşini teslim etme sorumluluğunu bile göstermemişken, utanmadan benden tazminat istiyorsun. Defol!! Mahkemeye git varsa bir hakkın, benden mahkeme ile al, defoooll ‘ diyerek odasından kovmuş. Ardından sekretarya odasına geldi. Yüzü bembeyazdı. Onu ilk defa bu kadar sinirli gördüm. Çok da kaygılıydı. ‘Ne günlere kaldık… Aklı sıra bana şantaj yaparak para sızdıracak, hayret, cürete bakın’ diye homurdanıyordu.
‘Leyla Hanım, acilen güvenliği arayın veri odasına gitsinler ve odanın güvenliğini sağlasınlar. Veri yetkilisi işten ayrıldı. Şirketteki bütün yetkileri ve erişimleri kaldırılsın… En kısa sürede şirket dışına çıkarılsın’ dedi.
Dün gece de, başkana bir e-mail gelmiş. Başkanın kaynağını bilmediği e-mail de, şirketin veri tabanına saldırdıklarını, veri tabanında bulunan, 45.973 kişinin kişisel verileri, 2.337 sözleşme ve 825 adet başvuru dosyası ve bunlardan başka 27.000 kişiye ait kredi kartı bilgisinin ellerinde olduğunu, bu kadar kıymetli şeye karşılık sadece küçücük bir para, yalnızca 1.000.000-USD istediklerini, istedikleri para ödenmezse, sonucundan, başkanın sorumlu olacağı yazılıymış .”
“İşte böyle Janset Hanım. Başkan, Janset Hanım gelir gelmez odama gelsin.” Dedi. “Çok gergindi.”
Janset Hanım, duyduklarından sonra şok olmuş, adeta dona kalmıştı. Üstelik veri yetkilisi Janset Hanıma bağlı bir personeldi… Verilerin ortalığa yayılmasının ciddi bir suç olduğunu biliyordu. Acaba bu suçun ucu kendisine de dokunur muydu?
Janset Hanım, içinden “Nasıl oldu da onun öyle bir ihanet içerisinde olduğunu hissetmedim… Kahretsin tatile gitmeseydim bütün bunlar olmayacaktı. Kahretsin!!! Kahretsin!!!” Suçluluk duygusu bir mızrak gibi Janset Hanımın beynine saplandı. Yüzünde birkaç dakika önce orada olmayan kırışıklıklar gelip yerleşti, birden bire bir başağrısı başladı, tansiyonu aniden yükselmişti. Odasında amaçsızca dolaştı. Aynaya baktı. Yüzü kıpkırmızı olmuştu. İçinden, “Allah’ım… Nasıl böyle bir şey olabilir. O çocuk, Nasıl böyle bir şey yapabildi. İş hayatı böyleydi. Her şey çok iyi gidiyor dediğiniz bir anda hiç ummadığınız bir yerden bir sıkıntı, bir karabulut gelir ve tepenize çöreklenirdi.” Janset Hanımın tatil anıları da bir balon gibi patlamıştı. Ege’de serin tuzlu sulara bıraktığı tüm sıkıntılar biranda geri gelmişti.
Başkanın odasına gitti. Gerçekten de başkanı ilk defa bu kadar endişeli görüyordu. Adamın yüzü kararmıştı. Avurtları çökmüştü…
“Buyurun Janset Hanım oturun” dedi.
“Tatiliniz nasıldı ?”
Janset Hanım başkanın laf olsun diye bu soruyu sorduğunu anlamıştı. Yoksa başkan kinaye mi yapmıştı. Kinaye olabilir mi? Janset Hanım suçluluk duygusunun ezikliği içerisinde ne söyleyeceğini düşünürken başkan Janset Hanımın cevabını beklemeden tekrar sordu, “Olanları duydunuz mu?”
“Evet, başkanım duydum” dedi Janset Hanım fısıltı ile “Çok özür dilerim başkanım, nasıl fark edemedim ben bu çocuğun niyetini, bu kadar uzun tatil nasıl yaptım, büyük hata ettim” diye peş peşe adeta günah çıkarır gibi, kendince hatalarını sıralarken, başkan, Janset Hanımın sözünü kesti.
“Hayır! Hayır! Janset Hanım, sizin bu olayda hiçbir sorumluluğunuz yok, olamaz da sizin uzun bir tatil yapmanızı da ben istemiştim hatırlarsanız. Lütfen kendinizi suçlamayın. Sakin olalım. Soğukkanlılıkla ne yapacağımıza karar verelim. Öncelikle Veri yetkilisinin bu işi yaptığına dair bir bilgiye sahip değiliz. Dolayısıyla direkt onu suçlamamız doğru olmaz. Ancak şüpheli listemizin başlarında yer aldığı muhakkak. Sistemlerimiz veri yetkilisi ya da herhangi birinin sisteme fiziki olarak girip verileri bir cihaza yüklemesine izin vermiyor. Dolayısıyla veri yetkilisi burada çalıştığı dönem içinde hiçbir kişisel veriyi kopyalayamamıştır. Bu imkânsız. Yazılımcı arkadaşları, dün akşam şirkete çağırdım, sabaha kadar çok yoğun bir şekilde çalıştılar. Verilerin dışarıdan yapılan bir saldırıyla ele geçirilmiş olabileceğini söylüyorlar. Yani dışarıdan bir saldırıya uğradığımız kesin… Ancak hasar ne kadar. Ne kadar veri kaybettik, onu öğrenmeye çalışıyoruz.”
“Leyla Hanım söylemiştir. Verilere karşılık 1.000.000-USD istiyorlar. Parayı verirsek, çaldıkları tüm veriyi geri iade edeceklermiş.”
Janset Hanım söze girdi, “başkanım bence bu parayı verip verileri geri alalım. Çünkü, bu işin bize maliyeti kat be kat fazla olur. Zararın neresinden dönersek kardır, demek lazım. Sonuçta 1.000.000-USD bizim için vazgeçilebilir bir miktar. Daha sonra da güvenlik önlemlerimizi arttırırız.”
“Bunu ben de düşündüm Janset Hanım “ dedi başkan.
“Ancak, birincisi verilerin bir kopyasını ellerinde tutup tutmayacaklarını bilemeyiz.
İkincisi, şantaja boyu eğdiğimiz mutlaka bir şekilde duyulur ve bütün dünyanın hackerleri peşimize düşer. Saldırılardan kurtulamayız.
Üçüncüsü, bizim gibi güvenlik üzerine yazılım üreten bir firma hackerlere yenilirse piyasanın gözünde ‘düşmüş demektir’. Janset Hanım iş hayatı bir kurtlar sofrasıdır. “Kurtluk ta düşeni yemek kanundur.” Eğer bir düşersek rakiplerimiz bizi parçalamakta hiç tereddüt etmezler. Dün gece o e-maili okuduktan sonra, sabaha kadar uyumadım ve düşündüm, Janset Hanım, vardığım sonuç; bu şantajcılara haraç vermek alternatiflerden biri değil. Başka ne yapabiliriz? Onu düşünelim.”
Bir süre sessizlik oldu… Ortama kaygı hakimdi, ancak Janset Hanım suçluluğu üzerinden attıktan sonra çok hızlı düşünmeye başlamıştı. “Ne yapılabilir, ne yapılabilir”, aklına hiçbir çözüm yolu gelmiyordu. Biz çözemiyoruz ama acaba yardım alacağımız birileri var mı? Diye düşünürken, başkana döndü. “Başkanım Ankara’daki şirket hukuk müşavirimiz avukat hanımı aradınız mı? Belki o bize yardım edebilir.”
Başkan, umutsuzca gülümsedi. “Janset hanım biz büyük bir hata yaptık malum verilerimiz kaptırdık. Bu bir yazılım konusu avukat hanım ne yapabilir bu konuda?”
“Öyle demeyin Başkanım, ben tatile gitmeden hemen önce, avukat hanım İstanbul’a gelmişti. Şirkette aylık toplantımızı yaptıktan sonra akşam birlikte, yemeğe gittik. Yemekte, laf döndü dolaştı kişisel verilerin korunması konusuna geldi. Bir arkadaşımın kişisel verileri boşandığı eşi tarafından İnternet’te yayınlanmış. Beni de çok üzen o konuyu sormuştum avukat hanıma, epeyce ayrıntılı bilgiler verdi bana konuya hakimdi. Hatta ben de, Avukat hanımın Ankara’daki büro telefonunu arkadaşıma verdim. Arkadaşım tatilde iken beni aradı. Çok memnundu. Defalarca teşekkür etti bana…”
Başkanın yüzüne renk geldi, umutlanmıştı. Hakikaten yahu! Avukat hanımı neden aramamıştı. Derhal, cep telefonunu masadan aldı. Avukat hanımın telefonunu buldu. Aradı. Kısa bir hal hatır konuşmasından sonra başkan sabırsızlıkla konuya girdi. Hikayeyi başından sonuna kadar bir bir anlattı.
“Bu iş bizi çok zor duruma düşürür avukat hanım. Bu konuyu mutlaka çözmemiz lazım. Gerekirse bu uğurda şantajcıların istediği paranın 10 katını harcamaya hazırız”, dedi.
Avukat hanım her zamanki gibi soğukkanlılıkla başkanı dinledi sonra, “Merak etmeyin ve çaresiz olduğunuzu düşünmeyin. Çünkü çaresiz değiliz. Öncelikle şirketin sistemlerine saldırı yapan sanık ya da sanıkları tespit etmeye çalışacağız.
İlk olarak; Yasa gereği; veri ihlalinin tespit edildiği tarih ve saatten başlamak üzere 72 saat içinde Kişisel Verileri Koruma Kuruluna bilgi vermek zorundayız.
İkinci olarak size saldırganlar tarafından gönderilen e-maili bana iletin lütfen. Mailin gönderildiği IP numarasını ve IP numarasının bulunduğu adresi tespit etmeye çalışacağım. İlk uçakla İstanbul’a geliyorum, Cumhuriyet savcılığına suç duyurusunda bulunacağım.”
“Üçüncü olarak şirket yazılımcıları, saldırının hangi yöntemle yapıldığını hangi verilerin çalındığını ve veri çalmanın boyutlarını tespit etsinler lütfen”.
Avukat Hanımın, olaya el koyma biçimi, kendine güveni, hem başkanı hem de Janset Hanımı etkilemişti. Janset Hanım başkanın yüzüne renk geldiğini ve başkanın canlandığını fark etti. Onları anlayan bir güç, olaya el koymuştu. Hukukun gücü.
Başkan, Avukat hanıma şantaj mailini gönderdi. Sonra, avukat hanımın taleplerini iletmek üzere konu üzerinde çalışan yazılımcıların yanına gitmek üzere aceleyle odadan çıktılar. Avukat hanım işlemlere başlamıştı.
Gerek başkan gerekse Janset Hanım için kaygı dolu günler bir türlü geçmek bilmiyordu. Nihayet, başkanın elinden bırakmadığı telefon çaldı. Arayan Avukat hanımdı.
Avukat hanımın “Gözünüz aydın” diyen neşeli sesini duyan başkanın gözleri sulandı. Birer damla yaş yanaklarına süzüldü. Titreyen bir sesle; “Allah’ım bu ne kadar güzel bir haber avukat hanım, sağolun… varolun…” daha fazla konuşamadı.
Olay çözülmüştü. Sanıklar yakalanmıştı. Şirketin veri yetkilisi, birkaç arkadaşı ile birlikte çete kurmuşlar ama sıkı bir takip sonucu kıskıvrak yakalanmışlardı. Başarısız çete mensupları emniyette verdikleri ifade de suçlarını itiraf etmişlerdi. Sanıklar, muhtemelen öğle saatlerinde adliyeye sevk edilirlerdi. Avukat hanım, şikâyetçi vekili olarak adliyede suçüstü duruşmasına katılacak, ardından şirkete gelip daha ayrıntılı bilgi verecekti. Daha birçok güzel haberi vardı.
Birkaç saat sonra, başkanın odasında, başkan ve Janset Hanım Avukat hanımı dinliyorlardı. Merak, mutluluk, hayranlık, minnet… Tüm olumlu duygular ile dopdolu idiler. Avukat hanım, e-maili aldıktan sonra şikâyet dilekçesini hazırlamış, İstanbul Cumhuriyet Savcılığına başvurmuştu. Olayın önemini ve acilen hareket edilmesinin çok önemli olduğu konusunda ikna olan cumhuriyet savcısı, evrakları siber suçlar şube müdürlüğüne havale etmiş, ardından göndericinin IP numaralarından adresleri tespit edilmiş, evlere yapılan ani baskınlar ve el konulan bilgisayarlarda yapılan araştırmalarda sanıkların yazışmaları suç planlarını bütün açıklığı ile ortaya çıkarmıştı. Suçun açığa çıktığını gören sanıklar, ceza indirimi alma umuduyla konuşmaya başlamışlar herkes birbirini suçlamıştı.
Esasen sanıklar, şirketteki bir yazılımcının uyanıklığı sayesinde yani bir rastlantı sayesinde amaçlarına ulaşamamışlardı.
Olay zarar verecekleri tehdidi ile yağma yapmaya teşebbüs suçunda kalmıştı. Ağır cezalık bir suçtu. Her ne kadar çete başarısız olsa, Şirkete ve verilerine herhangi bir zarar veremeseler de sanıklar tutuklanmıştı. “Veri yetkilisi, siber saldırıyı işten ayrıldıktan sonra yapmayı planlamış” dedi, avukat hanım. “Saldırı için sistemde Debugging özelliğini açmış ve açık olarak bırakmış”.
“Debugging özelliği de nedir?” dedi, Janset Hanım şaşkın gözlerle.
Başkan cevapladı; “Debugging yani hata ayıklama, bir yazılım kodunun beklenmedik şekilde davranmasına veya çökmesine neden olabilecek mevcut ve olası bug’ları algılama ve kaldırma işlemidir. Bu süreç, yazılımın düzgün çalışmamasından sonra başlar, sorunun çözülmesi ve yazılımın başarıyla test edilmesiyle sona erer. Fakat riskli de durumdur. Bu porta erişimi olan bir kullanıcı, bilgilerinizi çalabilir veya cihaza bir zararlı uygulama gönderebilir.
Her ne kadar, Debugging, geliştirmelerin yapılmasına olanak sağlamak amacıyla kullanılsa da, debugging özelliği açıksa kötü niyetli kişiler sisteme internet üzerinden erişerek, yapacakları siber saldırılarla sisteme erişebilirler. Debugging bu olanağı sağlar.
“Çok doğru” dedi avukat hanım “Kişisel Verileri Koruma Kurulu bir saldırı durumunda
Debuggingin açık olmasını firma bakımından kusur olarak kabul ediyor.
İşte bu noktada; veri yetkilisi sistemi saldırıya hazır hale getirmek için debugging’i açmış fakat durumu fark eden bir yazılımcımız kendiliğinden bu durumu sakıncalı bularak debugging özelliğini kapatmış. Bu sayede sanıklar sisteme hiç bir şekilde sızamamışlar. Gönderdikleri mailde verilerin ellerinde olduğu tamamen sahte bilgi imiş”.
Avukat hanım devam etti;
“Kişisel Verileri Koruma Kurulu yaptığı araştırmada, şirket dışından erişim için güvenlik amacıyla VPN ile Şirket IP’ sine bağlanıldığını ve kişilere özel kullanıcı adı ve VPN şifresi verildiğini, saldırganların da sisteme SFTP ve VPN aracılığı ile bağlandığını, fakat yapılan sızma testinde sistemde ve özellikle web uygulamalarında herhangi bir açıklık olmadığı tespit edilmiştir. Bu durum şirketimiz bakımından bir takdir vesilesidir”, dedi.
Tatsız olay, şirkette işleyişin çok iyi olduğunu gösteren bir test olmuştu.
Başkanın ömründen birkaç yıl eksilmesine sebep olsa da…