Fidye Yazılımı Saldırısında Şirket Yönetiminin Sorumluluğu

Dijital teknolojilerin işletmelerin faaliyet süreçlerinde giderek daha merkezi bir konuma gelmesi, siber güvenlik risklerini de şirketlerin karşı karşıya kaldığı önemli hukuki ve yönetsel sorunlardan biri hâline getirmiştir. Bu risklerin başında yer alan fidye yazılımı saldırıları, şirketlerin bilgi sistemlerini erişilemez hâle getirerek ekonomik kayıplara, veri ihlallerine ve itibar zararına neden olabilmektedir. Fidye yazılımı saldırıları yalnızca teknik bir bilişim problemi olarak değerlendirilemeyecek nitelikte olup, şirket yönetiminin risk yönetimi, veri güvenliği ve gerekli önleyici tedbirleri alma yükümlülükleri bakımından hukuki sorumluluk doğurabilecek sonuçlar meydana getirmektedir.

Şirket yönetiminin siber güvenlik alanındaki sorumluluğu, yalnızca saldırının gerçekleşip gerçekleşmemesiyle değil; saldırı öncesinde gerekli güvenlik önlemlerinin alınıp alınmadığı, risklerin öngörülüp öngörülmediği, çalışan farkındalığının sağlanıp sağlanmadığı ve saldırı sonrasında gerekli müdahalenin zamanında yapılıp yapılmadığı hususlarıyla değerlendirilmektedir. Bu kapsamda yönetim organlarının sorumluluğu; şirketler hukuku, kişisel verilerin korunması hukuku, iş hukuku ve gerektiğinde ceza hukuku bakımından farklı boyutlarda ortaya çıkabilmektedir.

Fidye Yazılımı Saldırısı Kavramı ve Hukuki Niteliği

Fidye yazılımı (ransomware), bilişim sistemlerine veya dijital verilere yetkisiz erişim sağlayarak bu verileri şifreleyen ve erişimin yeniden sağlanması karşılığında ekonomik menfaat talep eden kötü amaçlı yazılımları ifade eder. Bu saldırılar sonucunda şirketlerin ticari sırları, müşteri bilgileri, finansal kayıtları ve kişisel verileri zarar görebilmekte veya üçüncü kişilerin erişimine açık hâle gelebilmektedir.

Fidye yazılımı saldırıları, teknik yönünün yanında hukuki açıdan da çeşitli sonuçlar doğurmaktadır. Şirketin gerekli güvenlik tedbirlerini almaması, veri güvenliği yükümlülüklerini yerine getirmemesi veya saldırı sonrasında kanuni bildirim yükümlülüklerini ihmal etmesi hâlinde, şirket tüzel kişiliği yanında yönetim organlarının da sorumluluğu gündeme gelebilir.

Şirket Yönetiminin Siber Güvenlik Konusundaki Yükümlülüğü

Şirket yönetiminin temel görevlerinden biri, şirket faaliyetlerinin sürdürülebilir ve güvenli şekilde yürütülmesini sağlamaktır. Bu kapsamda yönetim organları, şirketin karşı karşıya olduğu bilişim risklerini değerlendirmek, uygun güvenlik politikaları oluşturmak ve gerekli teknik-idari tedbirlerin alınmasını sağlamakla yükümlüdür.

Özellikle anonim şirketlerde yönetim kurulunun şirketin organizasyonu, risk yönetimi ve gözetimi konusundaki sorumluluğu önem taşımaktadır. Yönetim kurulu üyelerinin siber güvenliği yalnızca teknik personelin görevi olarak görmesi, gerekli denetim mekanizmalarını oluşturmaması veya riskleri değerlendirmemesi durumunda hukuki sorumluluk tartışmaları gündeme gelebilir.

Fidye yazılımı saldırıları çoğu zaman yalnızca dış kaynaklı teknik saldırılar sonucunda değil, yetersiz güvenlik politikaları, çalışan hataları ve eksik denetim mekanizmaları nedeniyle de gerçekleşmektedir. Bu nedenle şirket yönetiminin;

• Bilgi güvenliği politikaları oluşturması,
• Düzenli risk analizleri yaptırması,
• Çalışanlara yönelik farkındalık eğitimleri sağlaması,
• Veri yedekleme ve erişim kontrol sistemlerini oluşturması,
• Siber güvenlik süreçlerini düzenli olarak denetlemesi

beklenmektedir.

Fidye Yazılımı Saldırısında Yönetim Organının Hukuki Sorumluluğu

Türk Ticaret Hukuku Bakımından Sorumluluk

Şirket yönetiminin sorumluluğu, öncelikle şirketler hukukundaki özen ve bağlılık yükümlülükleri çerçevesinde değerlendirilir. Yönetim organının gerekli tedbirleri almaması, şirketin zarar görmesine neden olması ve kusurlu davranış ile zarar arasında uygun illiyet bağının bulunması hâlinde sorumluluk gündeme gelebilir.

Yönetim kurulu üyeleri, şirketin faaliyetlerini yürütürken basiretli bir yönetici gibi hareket etmek ve şirket menfaatlerini korumak zorundadır. Siber güvenlik risklerinin günümüzde ticari faaliyetlerin önemli bir unsuru hâline gelmesi nedeniyle, bu alandaki ihmaller yönetim sorumluluğu kapsamında değerlendirilebilir.

Kişisel Verilerin Korunması Hukuku Bakımından Sorumluluk

Fidye yazılımı saldırıları sonucunda kişisel verilerin ele geçirilmesi hâlinde, veri sorumlusu sıfatıyla şirketin yükümlülükleri gündeme gelir. 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri sorumlusu, kişisel verilerin hukuka uygun şekilde işlenmesi ve güvenliğinin sağlanması için gerekli teknik ve idari tedbirleri almakla yükümlüdür.

Gerekli güvenlik önlemlerinin alınmaması nedeniyle meydana gelen veri ihlallerinde, şirket hakkında idari yaptırımlar uygulanabileceği gibi, zarar gören kişilerin tazminat talepleri de söz konusu olabilir.

Ceza Hukuku Bakımından Sorumluluk

Fidye yazılımı saldırısının doğrudan faili saldırıyı gerçekleştiren kişiler olmakla birlikte, şirket yöneticilerinin sorumluluğu bazı durumlarda ihmali davranışlar bakımından değerlendirilebilir. Özellikle kanuni yükümlülüklerin açık şekilde ihlal edilmesi ve bu ihlalin hukuki sonuç doğurması hâlinde ceza hukuku bakımından değerlendirme yapılması mümkündür.

Fidye Yazılımı Saldırısı Sonrasında Yönetimin Alması Gereken Tedbirler

Saldırı meydana geldikten sonra şirket yönetiminin hızlı ve etkili şekilde hareket etmesi gerekir. Yönetimin;

• Saldırının kapsamını tespit etmesi,
• Bilişim uzmanlarıyla koordinasyon sağlaması,
• Gerekli kurumlara bildirim yapması,
• Veri ihlal süreçlerini yönetmesi,
• İş sürekliliği planlarını uygulaması,
• Gelecekteki saldırıları önlemek için güvenlik politikalarını geliştirmesi

beklenmektedir.

Saldırı sonrasında gerekli önlemlerin alınmaması, mevcut zararın artmasına ve yönetimin sorumluluğunun genişlemesine neden olabilir.

Sonuç

Fidye yazılımı saldırıları, günümüzde şirketler açısından yalnızca teknik bir güvenlik problemi değil, aynı zamanda hukuki ve yönetsel bir sorumluluk alanıdır. Şirket yönetiminin siber güvenlik konusundaki yükümlülüğü, saldırının önlenmesiyle sınırlı olmayıp risklerin belirlenmesi, gerekli tedbirlerin alınması ve saldırı sonrası etkin kriz yönetiminin sağlanmasını da kapsamaktadır.

Yönetim organlarının siber güvenliği yalnızca bilişim departmanlarının sorumluluğu olarak değerlendirmesi, günümüz şirket yönetimi anlayışıyla bağdaşmamaktadır. Şirketin faaliyetlerini güvenli ve sürdürülebilir biçimde devam ettirebilmesi için yönetimin aktif bir gözetim ve risk yönetimi rolü üstlenmesi gerekmektedir. Bu nedenle fidye yazılımı saldırılarında şirket yönetiminin sorumluluğu, kusur, özen yükümlülüğü ve alınması gereken makul güvenlik tedbirleri çerçevesinde somut olay esas alınarak değerlendirilmelidir.

Av. Ahmet EKİN & Stj. Av. Hasan Hüseyin PINARBAŞI