Devlet adına değil, devlet gibi saldıranlar

Hukukun en eski ilkelerinden biri, iddiayı ortaya atanın ispat yükünü taşımasıdır. Siber uzay bu ilkeyi sık sık zorlar; çünkü saldırgan konuşur, mağdur susar ya da tersini söyler. Rosstat olayı bu gerilimin tipik bir örneği: iki grup, Belaruslu Siber Partizanlar ve Ukrayna yanlısı Silent Crow, Rusya'nın federal istatistik kurumunu aylarca içeriden izleyip hafta sonu yıkıcı bir saldırı düzenlediklerini öne sürüyor. Kurum ise saldırıya hedef olduğunu doğruluyor, ama korunan bilgilerin sızdığına dair kanıt bulmadığını söylüyor.

Dikkat edilmesi gereken fark şu: saldırının varlığı ile iddia edilen kapsamı farklı olgulardır. Kurum, şüpheli etkinliğin zamanında tespit edildiğini söylüyor; gruplar ise yaklaşık 25.000 cihaza eriştiklerini, alan denetleyicilerini ve sanallaştırma platformlarını ele geçirdiklerini, ölüm kayıtları ve nüfus sayımı verisini aldıklarını öne sürüyor. Bunların hiçbiri bağımsız olarak doğrulanamadı. Bir gazete, bir hukukçu ve bir CISO için aynı kural geçerli: iddia, kanıtlanana kadar iddiadır.

Bu iki grubun Temmuz 2025'te Aeroflot'a yönelik yıkıcı saldırıyı da üstlendiği biliniyor. Burada tarihî bir benzetme yapabilirim: korsanlık, modern devletlerin ilk kez 'özel kişilerin devlet adına ya da devlete yakın biçimde' şiddet kullandığı bir alandı. Deniz hukuku yüzyıllar içinde bu faaliyeti tanımlamak için kurallar geliştirdi. Siber alan ise henüz böyle bir kural bütününe sahip değil. Devlet adına hareket eden, devlete sempati duyan ya da yalnızca siyasi bir amaç güden grupları ayırmak neredeyse imkânsız; ama sorumluluk rejimi tam da bu ayrıma dayanıyor.

Kurumsal okur için daha pratik bir soru var: bir yıkıcı saldırının hedefi bir devlet kurumuysa, o kurumun verisini kullanan özel şirketlerin yükümlülüğü ne olur? Rosstat verisine dayanan bir model kuran, bu veriyi bir sözleşmeyle alan ya da bir fiyatlama çalışmasında kullanan kurum, kaynağın güvenilirliğini yeniden değerlendirmek zorunda mıdır? Hukuk bu soruya açıkça cevap vermez; ama özen yükümlülüğü, kişinin bildiği ya da bilmesi gereken riske göre ölçülür. Kaynak verinin bütünlüğü şüpheliyse, bunu bilmek bir sorumluluk doğurur.

Kısa bir tarihî not ekleyeyim: istatistik kurumları, modern devletin ilk bilgi altyapılarıdır; nüfus sayımı, vergi ve askerlik kayıtlarının üzerine kurulur. Bu kayıtların bütünlüğü bir devletin kendi kendini tanımasının koşuludur. Bir istatistik kurumuna yönelik yıkıcı saldırının hukuki ve siyasi ağırlığı, çalınan verinin ötesinde, bu bütünlüğe duyulan güvenin sarsılmasından gelir; bu yüzden olayın nihai ölçüsü, sızan kaydın miktarından çok, güvenin ne kadar onarılabildiğidir.

Rosstat'ın 'korunan bilgi sızmadı' ifadesi de ayrıca okunmalı. Böyle bir cümlenin kapsamı, kurumun hangi bilgiyi 'korunan' saydığına bağlıdır. İstatistik kurumlarında kamuya açık veri ile kişisel veya gizli veri arasındaki sınır, hukuki olarak belirleyicidir. Aynı sınır Türkiye'de de kişisel verilerin korunması rejiminde ve kamu kurumlarının bilgi güvenliği yükümlülüklerinde belirleyicidir. Olay sonrası açıklamaların dili, kurumların hukuki konumunu doğrudan etkiler.

Hukuk teknolojinin arkasından koşar, ama koşmayı bırakmaz. Sorumluluğu atfetmek, kanıtı toplamak ve olay sonrası açıklamayı doğru kurmak zaman alır. Bu sabah okura önerim sade: yıkıcı saldırı senaryonuzu bir devlet kurumunun yaşadığı kadar ciddiye alın, kaynak verilerinizin bütünlüğünü doğrulayacak bir yönteminiz olsun ve olay sonrası iletişimde 'doğrulanan' ile 'iddia edilen'i birbirinden ayırmayı bir kurum politikası yapın.