Gerekli Tedbirlerin Alınmaması Nedeniyle Ticari Sır ve Kişisel Verilerin Siber Saldırıya Uğraması ve Sonrasında Yapılması Gereken Bildirimlerin Yapılmaması (Sayıştay)

BULGU: Gerekli Tedbirlerin Alınmaması Nedeniyle Ticari Sır ve Kişisel Verilerin Siber Saldırıya Uğraması ve Sonrasında Yapılması Gereken Bildirimlerin Yapılmaması

2024 Yılı Sayıştay Denetim Raporları – Belediye Şirketi

Gerekli güvenlik tedbirlerinin alınmaması nedeniyle ticari sırların ve kişisel verilerin siber saldırılara uğraması sonucunda şirketin zarara uğraması neticesi yapılması gereken bildirimin yapılmadığı ve tedbirlerin alınmadığı görülmüştür.

Şirketin veri güvenliği açısından eksik ve yetersiz prosedürleri önemli bir veri ihlaline yol açmıştır. Bu kapsamda;

* Şirket tarafından 08.08.2022 tarihinde çıkarılan Şirket Ekipmanları Şifre Kullanım Prosedürünün “Şifre Koruma Standartları başlıklı” 5.3.4 nolu maddesi ile bütün personelin kullanıcı şifrelerinin toplanmasının büyük bir veri güvenliği zaafiyeti oluşturduğu,

* Bilgi işlem sorumlusu tarafından aktarılan bilgiler çerçevesinde: Siber saldırı öncesi erişim yetkili hesapların ve şifrelerin bulunduğu, dokümanların fiziksel ve dijital olarak yönetim ile paylaşıldığı, paylaşılan kişi ve tüzel kişilerin ise Yönetim Kurulu Başkanı, Genel Müdür Yardımcısı, İdari İşler Müdürü, Bilgi İşlem Sorumlusu, Bilgi İşlem Destek Uzmanı, …Teknoloji Bilişim Çözümleri Ltd. Şti. ve gizlilik sözleşmesi yapılmayan … Bilgisayar AŞ şirketlerinden oluştuğu,

2022 yılında bir firma tarafından, 2024 yılı başında ise İzmir Büyükşehir Belediyesi tarafından yapılan sızma testleri sonucu raporlanan zaafiyetler ve alınması gereken önlemlerin Şirket yönetimine bildirilmesine rağmen şirket yönetimi tarafından herhangi bir iyileştirme ve tedbirin alınmadığı,

Yönetim Kurulunun 24.09.2021 tarih ve 83 numaralı kararı ile Kişisel Verilerin Korunması Kanunu kapsamında “Veri Sorumlusu İrtibat Kişisi” olarak şirket Avukatının belirlendiği, verilen yetki çerçevesinde Avukat tarafından “Veri Sorumlusu” olarak Şirket Tüzel Kişiliğinin belirlendiği,

Ayrıca Şirket yetkilileri tarafından sunulan bilgiler kapsamında; şirket verileri saldırıya uğramadan önce bilgi işlemle ilgisi olmayan personellerin sistem odasına giriş yetkileri ve kartlarının bulunduğu, E-posta erişiminde herhangi bir bölgesel kısıtlama bulunmadığı, yetki değişikliklerinin kayıt altına alınmadığı ve görev tanımı değişen personelin eski görevine ait verilere erişebildiği gibi pek çok güvenlik açığının olduğu,

anlaşılmıştır.

Bu güvenlik açıkları nedeniyle şirket verileri siber saldırıya uğramış ve bütün verileri çalınmıştır. Konu iki kısım halinde değerlendirilecektir.

A) Bilgi İşlem Güveniliğinin Sağlanmaması Sonucu Şirketin Zarara Uğramasına Rağmen İlgililerden Tahsil Edilmemesi

Yönetim kurulunun 05.05.2022 tarih ve 39 numaralı kararında “… ‘un İZENERJİ AŞ İdari İşler Müdürlüğünde Bilgi işlem Sorumlusu olarak 06.05.2022 tarihi itibariyle kapsamdışı statüsünde işe başlatılmasına, kendileriyle hizmet sözleşmesi imzalanmasına, katılanların oybirliği ile karar verilmiştir” denilmek suretiyle Bilgi işlem sorumlusu belirlenmiştir. 08.08.2022 tarihinde ise Şirketin Bilgi İşlem Sorumlusu tarafından hazırlanan, İdari İşler Müdürü tarafından kontrol edilen ve Genel Müdür yardımcısı tarafından onaylanan “Ekipmanları Şifre Kullanım Prosedürleri” uygulamaya başlanmıştır.

Şirket Ekipmanları Şifre Kullanım Prosedürünün “Şifre Koruma Standartları başlıklı” 5.3.4 nolu maddesinde “Kullanıcılar şirket bünyesinde kullandığı bilgisayar açma şifresini, Dochuman programı şifresini, mail şifresini, Netsis şifresini vs. tüm şirket uygulamalarında kullanılan kullanıcı adı ve şifreler @ com.tr mail adresine mail olarak atacaktır. Bu mail

adresi yalnızca Bilgi İşlem sorumlusu tarafından kullanılacaktır. Bilgi İşlem sorumlusunda bulunan şifrelerin güncelliğinden kullanıcılar sorumlu olacaktır.” denilmek suretiyle bütün personelin şifreleri toplanmıştır. Şifrelere Yönetim Kurulu Başkanı, Genel Müdür Yardımcısı, İdari İşler Müdürü, Bilgi İşlem Sorumlusu, Bilgi İşlem Destek Uzmanı ve .. .Teknoloji Bilişim Çözümleri Ltd. Şti. ile gizlilik sözleşmesi yapılmayan Bilgisayar AŞ şirketleri tarafından

erişim sağlanmıştır.

Şirket yöneticileri ve bilgi işlem sorumluları ile yapılan görüşmelerde ve edinilen bilgilerden Bilgi işlemle ilgisi olmayan personellerin sistem odasına giriş yetkilerinin ve kartlarının bulunduğu, yetki değişikliklerinin kayıt altına alınmadığı, dolayısıyla kişilerin görevinin değişmesine rağmen eski görevine tanımlı erişim yetkisini devam ettirebildiği, e- posta erişiminde herhangi bir bölgesel (Yurtiçi-Yurtdışı) kısıtlama bulunmadığı, vpn ile uzaktan erişimde herhangi bir kısıtlamanın olmadığı, bu kapsamda sisteme tanımlı olsun veya olmasın bütün bilgisayarlardan şirket verilerine uzaktan erişilebildiği anlaşılmıştır. Veri güvenliği açığı nedenleriyle şirket 20.05.2024 tarihinde siber saldırıya uğramış ve şirkete daha önceden işe girip halihazırda çalışmayan personel sayısı da dahil edildiğinde toplam 16.222 kişinin kişisel verileri, şirketin ticari sırları, muhasebe kayıtları ve aynı zamanda şirkette yer alan Büyükşehir Belediyesine ilişkin bilgilerin tamamı çalınmıştır.

Söz konusu çalınma neticesinde ilk etapta sitemlerin depolama birimleri ve donanımların zarar görmesi 682.578,00 TL’lik bir zararın meydana gelmesine yol açmıştır. Çalınan ticari sırlar ve kişisel veriler, yalnızca doğrudan maddi kayıplara yol açmakla kalmayıp aynı zamanda şirketin itibarını da zedelemiştir. Söz konusu zarar sadece bilgisayar ekipmanlarına ilişkin olup ayrıca çalınan verilerin değerinin tespiti, örneğin kişisel verilerin kimlik hırsızlığına veya dolandırıcılığa yol açma riski de göz önünde bulundurularak yapılmalıdır.

Şirket cevabında, olay tarihi itibariyle Emniyet Müdürlüğü Siber Suçlar birimi tarafından inceleme başlatıldığı ancak bu aşamada saldırının kaynağı, yöntemi, sisteme sızma nedeni vb. unsurların net olarak tespit edilmediği, konu ile ilgili raporun henüz Şirkete ulaşmaması nedeniyle rücu işlemlerinin yapılamadığı, bulgu konusu rücu bedelinin Siber Suçlar görevlilerinin incelemeyi sürdürmek amacıyla var olan ekipmanları teslim almaları neticesinde, iş akış süreçlerinin devamının sağlanması amacıyla oluşan ihtiyaç doğrultusunda teknik ekipmanların satın alınmasından kaynaklandığı ifade edilmiştir.

Şirket cevabında mevcut durum özetlenmiş ve bulgu konusu rücu tutarının Siber Suçlar görevlilerinin incelemelerini sürdürmek amacıyla var olan Şirket ekipmanlarını almalarından kaynaklandığı belirtilmiş ise de siber saldırı sonucu ilk etapta Şirket tarafından 200.000,00 TL tutarında yazılım gideri, 52.188,00 TL tutarında sunucu diski 430.390,00 TL tutarında hard disk gideri olmak üzere toplam 682.578,00 TL tutarında gider yapılmıştır. Emniyet güçlerinin Şirkette kullanılan yazılım(ları)ı kendileriyle götürmesi mümkün değildir ayrıca diğer ekipmanlardan kaç tanesine el konulduğu hakkında bilgilendirme yapılmamıştır. Kaldı ki gerekçesi fark etmeksizin bireysel kusuru bulunan personel nedeniyle söz konusu giderlerin yapıldığı ve Şirketin zararı uğradığı sonucu değişmemektedir. Şirket cevabında belirtilen hususlara ilişkin yukarıda yapılan açıklamalar yeterli olup ilave açıklama yapılmasını gerektiren bir durum bulunmamaktadır.

Şirketin Büyükşehir Belediyesine ait olduğu dikkate alındığında bu siber saldırı yalnızca şirketin değil belediyenin ve dolayısıyla kamu hizmetlerinin güvenliğini de tehdit etmiştir. Belediye hizmetlerinde kullanılan verilerin kötüye kullanılması ve kamunun güveninin sarsılması, daha geniş çapta sosyal ve ekonomik zararlara yol açabilir. Bu nedenle meydana gelen veri ihlali sadece şirketin finansal kayıplarına değil, kamu düzeni ve güvenliği açısından da ciddi risklerin oluşmasına neden olmuştur.

Şirket zararının tespiti ve sorumlulardan tahsiline ilişkin herhangi bir çalışma yürütülmemiştir. Sadece siber saldırı ile ilgili emniyet güçlerine bildirimde bulunulmakla sınırlı kalınmıştır.

B) Şirketin Kişisel Verilerin Korunması Kanunu (KVKK) Kapsamındaki Yükümlülüklerini Yerine Getirmemesi

Kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemek amacıyla çıkarılan 6698 sayılı Kişisel Verilerin Korunması Kanun’un “Kapsam” başlıklı 2’nci maddesinde; “Bu Kanun hükümleri, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır.” denilmektedir. Dolayısıyla kişisel verileri toplayan ve işleyen durumunda olan Şirket Kanun hükümlerine tabi bulunmaktadır.

KVKK’ya tabi olan bir şirket olarak aşağıdaki yükümlülükleri bulunmaktadır:

Veri Güvenliğini Sağlamak (KVKK Madde 12): Şirket, kişisel verileri güvenli bir şekilde saklamak, işlemek ve aktarmak zorundadır. Bu durum uygun güvenlik önlemlerinin alınmasını ve kişisel verilere yalnızca yetkili kişilerin erişebilmesini sağlamayı içermektedir. Aydınlatma Yükümlülüğü (KVKK Madde 10): Şirket, kişisel verileri toplarken veri sahiplerini aydınlatma yükümlülüğü altındadır. Veri sahiplerine hangi verilerin toplandığı, hangi amaçlarla kullanılacağı ve hangi üçüncü şahıslara aktarılacağı hakkında açık bir bilgi sağlanmalıdır. Veri Sahiplerinin Haklarını Koruma (KVKK Madde 11): Şirket, kişisel veri sahiplerinin, verilerine erişim, düzeltme, silme ve itiraz etme haklarına saygı göstermek zorundadır. Veri sahiplerinin bu haklarını etkin bir şekilde kullanabilmesi için gerekli mekanizmaların oluşturulması gereklidir. Veri İhlali Bildirimi (KVKK Madde 18): Şirket, herhangi bir veri ihlali durumunda Kişisel Verileri Koruma Kurulu’na ve veri sahiplerine bildirimde bulunmak zorundadır.

Şirketin veri güvenliğine ilişkin zaafiyetlerinin KVKK karşındaki durumu ise şöyledir:

Şifre Güvenliği (KVKK Madde 12): Tüm personelden kullanıcı şifrelerinin toplanması, veri güvenliği konusunda ciddi bir ihlale yol açmaktadır. Kişisel verilere yetkisiz erişim sağlanması konusunda en büyük veri güvenliği ihlalini oluşturmaktadır. KVKK’nın 12’nci maddesinde belirtildiği üzere bu tür verilerin korunması için alınacak tedbirlerin yetersiz olması önemli bir ihlaldir. Erişim Yetkisi ve Bilgi Güvenliği (KVKK Madde 12): Bilgi işlemle ilgisi olmayan personellere sistem odasına erişim yetkisi ve kartı verilmesi veri güvenliği açısından ciddi bir zafiyet yaratmıştır. Bu durum kişisel verilere yetkisiz kişilerin ulaşabilmesine olanak tanımaktadır ve KVKK’nın veri güvenliği tedbirlerine aykırıdır. Yetki Değişiklikleri ve Kayıt Tutma (KVKK Madde 12): Yetki değişikliklerinin kayıt altına alınmaması, veri güvenliğinin denetlenmesini engelleyen önemli bir eksikliktir. KVKK’nın 12’nci maddesi gereğince, yetki değişikliklerinin düzgün bir şekilde kaydedilmesi, verilerin güvenli bir şekilde yönetilmesini sağlar. Veri İhlali Bildirimi (KVKK Madde 12 ve 18): Şirketin veri ihlali durumunda, Kişisel Verileri Koruma Kurulu’na ve veri sahiplerine bildirimde bulunmaması, ciddi bir ihlal teşkil etmektedir. KVKK’nın 18’inci maddesi gereğince, veri ihlali durumunda bildirimde bulunma yükümlülüğü bulunmaktadır. Bu ihmal, kişisel verilerin güvenliği konusunda yasal sorumlulukları doğurur.

6698 sayılı Kanun’un “Özel nitelikli kişisel verilerin işlenme şartları” başlıklı 6’ncı maddesinde “Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir….Özel nitelikli kişisel verilerin işlenmesi yasaktır. Ancak bu verilerin işlenmesi; belirli şartlara bağlandığı ve bu verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şart” olduğu belirtilmiştir. Bu bağlamda Büyükşehir Belediyesi ve Şirket çalışanlarının özel nitelikteki kişisel verileri de çalınmıştır.

6698 sayılı Kanun’un “Suçlar” başlıklı 17’nci maddesinde “(1) Kişisel verilere ilişkin suçlar bakımından 26/9/2004 tarihli ve 5237 sayılı Türk Ceza Kanununun 135 ila 140 ıncı madde hükümleri uygulanır. (2) Bu Kanunun 7 nci maddesi hükmüne aykırı olarak; kişisel verileri silmeyen veya anonim hâle getirmeyenler 5237 sayılı Kanunun 138 inci maddesine göre cezalandırılır.” ve “Kabahatler” başlıklı 18’inci maddesinde ise

“(1) Bu Kanunun;

10 uncu maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 Türk lirasından 100.000 Türk lirasına kadar,

12 nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar,

15 inci maddesi uyarınca Kurul tarafından verilen kararları yerine getirmeyenler hakkında 25.000 Türk lirasından 1.000.000 Türk lirasına kadar,

ç) 16 ncı maddesinde öngörülen Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında 20.000 Türk lirasından 1.000.000 Türk lirasına kadar,

(Ek:2/3/2024-7499/35 md.) 9 uncu maddenin beşinci fıkrasında öngörülen bildirim yükümlülüğünü yerine getirmeyenler hakkında 50.000 Türk lirasından 1.000.000 Türk lirasına kadar,

idari para cezası verilir.

(Değişik:2/3/2024-7499/35 md.) Birinci fıkranın (a), (b), (c) ve (ç) bentlerinde öngörülen idari para cezaları veri sorumlusu, (d) bendinde öngörülen idari para cezası veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır.

(Ek:2/3/2024-7499/35 md.) Kurulca verilen idari para cezalarına karşı, idare mahkemelerinde dava açılabilir.

Birinci fıkrada sayılan eylemlerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi hâlinde, Kurulun yapacağı bildirim üzerine, ilgili kamu kurum ve kuruluşunda görev yapan memurlar ve diğer kamu görevlileri ile kamu kurumu niteliğindeki meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir.”

denilmek suretiyle KVKK’ya aykırı iş ve işlemler neticesinde uygulanacak yaptırımlar belirtilmiştir.

Türk Ticaret Kanunun “Özen ve Bağlılık Yükümlülüğü “başlıklı 369’uncu maddesinde Şirket yöneticilerinin şirketin menfaatlerini korumak, basiretli bir iş insanı gibi hareket etmek ve gerekli tüm tedbirleri almak zorunda olduğu belirtilmiştir. Veri güvenliğinin sağlanmaması ve şirket sırlarının korunmaması, yönetimin özen ve bağlılık yükümlülüğüne aykırılık teşkil etmektedir. Yönetim Kurulunun “Devredilemez görev ve yetkiler” başlıklı 375’inci maddesinde ise Yönetim Kurulu, şirketin finansal ve operasyonel güvenliğini sağlamakla yükümlüdür. Veri güvenliği açıklarının giderilmemesi ve saldırıya uğrayan verilerin korunmaması, yönetim kurulunun gözetim ve denetim yükümlülüğünün yerine getirmediğini göstermektedir. Veri güvenliği ihmali nedeniyle doğrudan oluşan maddi zarardan yani Şirketin uğradığı zarardan 6102 sayılı Kanun’un 553’üncü maddesi gereği ihmali bulunan yöneticilerin şahsen sorumlu tutulmaları gerekmektedir.

KVKK’nın 12’inci maddesi gereğince şirket, kişisel verilerin hukuka uygun olarak işlenmesini, erişilmesini ve bu verilerin güvenli ortamlarda saklanmasını sağlamakla yükümlüdür. Şirketin gerekli güvenlik önlemlerini almaması, ilgili maddesinin ihlaline neden İZENERJİ İnsan Kaynakları Temizlik Bakım Onarım Enerji Güvenlik Hizmetleri 36

olmuştur. KVKK’nın 18’inci maddesi gereğince veri ihlalinin bildirilmemesi ve gerekli önlemlerin alınmaması nedeniyle şirkete idari para cezası uygulanmasına yol açacaktır.

Şirketin bilgi işlem güvenliğindeki kritik eksiklikler (tüm personel şifrelerinin merkezi bir e-posta adresinde toplanması, sistem odasına yetkisiz erişim imkânı, yetki değişikliklerinin kayıt altına alınmaması, VPN ve e-posta erişiminde kısıtlama uygulanmaması) ile 6698 sayılı sayılı Kanun kapsamında veri güvenliği tedbirlerinin alınmaması, 20.05.2024 tarihli siber saldırıya zemin hazırlamış; bu saldırı sonucunda 682.578,00 TL’lik maddi zarar, kişisel ve özel verilerin çalınması, ticari sırların ifşası, Büyükşehir Belediyesi’ne ait kamu güvenliğini riske sokan verilerin çalınması ve şirket itibarının ağır hasar görmesi gibi sonuçlar doğurmuştur. Siber saldırı sonrası teknik altyapı iyileştirmeleri ve erişim denetim mekanizmalarının güçlendirilmesi gibi önlemler alınmış olmakla birlikte KVKK’nın 12’nci ve 18’inci maddeleri uyarınca sızma testleri neticesinde belirtilen zafiyetlere ilişkin herhangi bir tedbir alınmayarak veri güvenliğinin sağlanamaması, çalınma sonrası veri ihlalinin Kurul’a bildirilmemesi, veri sahiplerinin bilgilendirilmemesi ve yasal uyum süreçlerinin tamamlanmaması, şirketin hukuki yükümlülüklerini yerine getirmediğini ortaya koymaktadır. 6102 sayılı Türk Ticaret Kanunu’nun 553’üncü maddesi gereğince ihmali tespit edilen yöneticilerin sorumluluğunun değerlendirilmemesi ve idari/cezai süreçlerin başlatılmaması, şirketin kurumsal sorumluluklarını göz ardı ettiğini göstermektedir. Bu durum, alınan teknik tedbirlerin yetersizliğinin yanı sıra hukuki uyum konusundaki sistematik ihmalleri de açığa çıkarmakta; şirketin operasyonel, idari ve hukuki risk yönetim politikalarının acilen revize edilmesini zorunlu kılmaktadır.

Şirket cevabında özetle siber saldırı günü yaşanan gelişmelerden bahsedilerek Siber Suçlarla Mücadele Şube Müdürlüğü’ne bildirimin yapıldığı, yürütülen tahkikatlar neticesinde nihai raporun henüz Şirkete iletilmediği, ilgili makam yetkililerinden şifahi olarak öğrenildiği üzere; sisteme kullanıcı adı ve şifre girmek suretiyle, yapılan bir eylem sonucu doğduğu bilgisinin alındığı, konu netleşmediği gibi, ilgili verilerin yayılma, kullanılma veya satılması gibi bir eylem de doğmadığı, bu sebeple sürecin en başından itibaren Siber Suçlar görevlileri ile yürütüldüğü dolayısıyla Kişisel Verileri Koruma Kurulu’na bilgi verilme gerekliliği görülmediği ifade edilmiştir. Şirket cevabı kendi içerisinde çelişmektedir. Zira hem konunun netleşmediği ifade edilmiş hem de ilgili verilerin yayılma, kullanılma veya satılması gibi bir eylemin meydana gelmediği iddia edilmiştir. Subjektif değerlendirme içeren bu ifadeye katılmak mümkün değildir. Ayrıca Şirketin mevzuat karşısındaki sorumlukları ve yapılması

gereken iş ve işlemlere yukarıda değinildiğinden başka bir değerlendirme yapılmasına gerek bulunmamaktadır.

Şirket Yönetim Kurulu’nun veri güvenliği ihlali nedeniyle doğan zararları tespit ederek, sorumlu yöneticilere karşı gerekli hukuki ve idari işlemleri başlatması gerekmektedir. KVKK ve Türk Ceza Kanunu kapsamında yetkisiz erişim ve kişisel verilerin sızdırılması nedeniyle ilgili kamu kurumlarına bildirimde bulunulmalıdır.

Şirket içinde veri güvenliğini artırıcı politikalar geliştirilmelidir. Siber güvenlik ihmalleri, hem şirketin finansal zarara uğramasına hem de hukuki yaptırımlarla karşı karşıya kalmasına neden olacağından sorumlular hakkında gerekli incelemeler yapılarak idari ve hukuki süreçlerin işletilmesi gerekmektedir.