Tolere edilen açık, ihmal sayılır mı?

Birleşik Krallık Ulusal Siber Güvenlik Merkezi'nin başkanı Richard Horne'un bugün yapacağı konuşmadan aktarılan bir cümle, hukukçunun dikkatini çekmeli: Önümüzdeki aylarda 'görülmemiş bir siber olay artışı' ihtimali var, ama bunun nedeni saldırganların yeni yöntemler icat etmesi değil, 'çok uzun süre tolere edilen açıkların' artık eskiden hayal edilemeyen ölçekte bulunup istismar edilebilmesi. Aynı konuşmaya göre büyük teknoloji sağlayıcıları tek güncellemede yüzlerce açık kapatıyor ve Linux çekirdeği projesi geçen ay bin açıktan fazlasını yamaladı.

Hukuk bu cümleye şu soruyla karşılık verir: Tolere etmek bir karar mıdır, yoksa bir ihmal mi? Türk hukukunda 6698 sayılı Kanun'un 12. maddesi, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri alma yükümlülüğü getirir. Madde 'uygun düzey' der; mutlak güvenlik istemez. Ama uygunluğun ölçüsü, uzun süredir herkesçe bilinen bir açığın yamasız bırakılması söz konusu olduğunda zayıflar.

Burada dikkat edilmesi gereken bir ayrım var: Kanun, güvenlik düzeyini 'uygun' olarak tanımlar ve uygunluk, olayın zamanındaki bilinen riskle ölçülür. Bir açığın varlığı ve yamasının yayımlanmış olması, o riski 'bilinen' hâle getirir. Kurul önünde sorulacak ilk soru çoğu zaman 'saldırgan kimdi' değil, 'alınan önlem makul müydü' olacaktır; bunu bir öngörü olarak yazıyorum, belirli bir karara atıf yapmıyorum.

Bir de bildirim yükümlülüğü var. Kurul uygulamada ihlali öğrenmeden itibaren 72 saati esas alıyor; saldırgan belli olmasa da, olayın bir tedarikçide ya da bir kontrolcüde başlamış olması, veri sorumlusunu bu süreden kurtarmaz. Bu yüzden sözleşmelerde tedarikçinin sizi ne kadar sürede haberdar edeceği, yamalama taahhüdü kadar önemlidir ve avukatların bu maddeyi BT ile birlikte okuması gerekir.

Bu hafta Avrupa'dan gelen soğutucu saldırısı da aynı sorunun bir başka yüzü. Belçika Siber Güvenlik Merkezi'nin sözcüsü, kimin yaptığının hiç bilinemeyebileceğini söyledi. Faili bilinmeyen bir saldırıda hukuki sorumluluğun kime yükleneceği sorusu, ihmalin ölçüsüne döner: Kontrolcüleri internete açan kurum mu, onları öyle satan üretici mi, yoksa kurulumu yapan servis mi? Fransa'daki ilk dalgada yetkililerin farklı markaların kontrolcülerinden söz etmesi, sorumluluğun tek bir üreticiye yıkılamayacağını gösteriyor.

Denizcilik hukukundan tanıdık bir ilke vardır: Fırtınada batan gemi için kaptan sorumlu tutulmaz, ama fırtına haberini alıp demir almayan kaptan sorumlu tutulur. Siber alanda fırtına haberi, kamuya açık bir yama bülteni, bir istismar edilen açıklar kaydı ya da ulusal bir kurumun uyarısıdır. Bugün NCSC'nin yaptığı tam olarak budur: Haberi vermektedir.

Bu nedenle bir CIO ve hukuk müşaviri için çıkarım şudur: Yama önceliklendirme ölçütlerinizi yazılı hale getirin, kararlarınızı gerekçesiyle kaydedin ve bir açığı bilerek ertelediyseniz bunu telafi edici bir tedbirle belgeleyin. Hukuk, teknolojinin arkasından koşar; ama kayıt altına alınmış bir gerekçe, koşmanın en güçlü kanıtıdır.

Bir denetçi ya da Kurul önünde tolere ettiğiniz açığı savunmak zorunda kaldığınızda elinizde tek bir cümle değil, bir karar tutanağı olmalı.