Makale

Günümüzde teknolojinin geldiği nokta, ceza hukuku ve bilişim hukuku uygulamalarında bilişim sistemi ile siber saldırı kavramlarının sınırlarının net bir biçimde çizilmesini gerektirmektedir. Mevzuatımızda yeknesak bir tanımı bulunmayan bilişim sistemleri, genel olarak verileri otomatik işleme tabi tutma imkânı veren manyetik sistemler olarak nitelendirilmektedir. Hukuk uygulayıcıları açısından bu sistemlerin sadece fiziksel bir donanım parçasından ibaret olmadığı, aynı zamanda yazılım ve veri bütünlüğünü de barındıran kompleks yapılar olduğu unutulmamalıdır. Öte yandan, bu sistemlere yönelik gerçekleştirilen her türlü hukuka aykırı müdahale, şemsiye bir terim olan hacking faaliyetleri kapsamında değerlendirilmektedir. Hukuki bir uyuşmazlığın çözümü, failin kullandığı teknik yöntemin ve hedeflenen bilişim sisteminin kapasitesinin doğru tespitine bağlıdır. Özellikle nesnelerin interneti (IoT), bulut teknolojileri ve M2M haberleşme gibi yeni nesil ağ yapılarının hukuken nasıl konumlandırılacağı, siber alanla ilgili mevzuatın ve adli süreçlerin temelini oluşturur.

Mevzuat ve Yargı Kararlarında Bilişim Sistemi Kavramı

Türk ceza mevzuatında doğrudan ve yeknesak bir bilişim sistemi tanımı bulunmamaktadır. Bununla birlikte, Anayasa uyarınca normlar hiyerarşisinde üst sırada yer alan Avrupa Siber Suçlar Sözleşmesi, bu kavramı otomatik veri işleyebilen cihaz veya birbiriyle bağlantılı grup cihazlar olarak tanımlamaktadır. Yüksek yargı kararlarında ve doktrindeki hâkim görüşte ise bilişim sistemi, olağan masaüstü veya dizüstü bilgisayarlara göre daha geniş bir alanı kapsayan kapsayıcı bir üst kavram olarak kabul edilir. Yargıtay uygulamalarında otomatlar, ankesörlü telefonlar ve akıllı cihazlar dahi belirli şartlar altında verileri otomatik işleme kabiliyetleri sebebiyle bilişim sistemi olarak değerlendirilebilmektedir. Hukuken bir aygıtın bu niteliği kazanabilmesi için genel amaçlı bir bilgisayar olması şart değildir; asgari düzeyde verileri işleme ve depolama yeteneğine sahip olması sistem olarak değerlendirilmesi için yeterli görülmektedir.

Bilişim Sisteminin Alt Bileşenleri ve Siber Uzay

Bir bilişim sisteminin hukuki varlığından söz edebilmek için fiziksel bir donanım ve bu donanıma ruh katan soyut bir yazılım bütünlüğüne ihtiyaç vardır. Hukuk uygulamasında karşılaşılan sorunların büyük bir kısmı, cihazların donanımsal kısmına değil, soyut verilerden oluşan siber uzay veya karmaşık ağ yapılarına yapılan hukuka aykırı müdahalelerden kaynaklanır. Veri kavramı, elektronik ortamda bilgisayar tarafından üzerinde işlem yapılabilen her türlü değeri ifade etmektedir. Sistemlerin kendi aralarında iletişim kurdukları yerel alan ağları veya internet gibi geniş alan ağları da kendi başlarına hukuken korunması gereken devasa bilişim sistemleridir. Dolayısıyla, salt fiziksel makinelere değil, bulut sunucularda barındırılan veri topluluklarına yönelik gerçekleştirilen izinsiz müdahaleler de hukuki değerlendirmelerin ve yaptırımların odak noktasında yer alır.

Hacking Eylemleri ve Siber Saldırıların Hukuki Nitelendirmesi

Literatürde ve ilgili ulusal strateji belgelerinde siber saldırı, bilişim sistemlerinin veya bu sistemlerde işlenen verilerin gizliliğini, bütünlüğünü veya erişilebilirliğini ortadan kaldırmak amacıyla kasıtlı olarak yapılan işlemler şeklinde tanımlanmaktadır. Bu saldırıları gerçekleştiren faillerin çeşitli motivasyonlarla yürüttükleri eylemler geniş anlamda hacking kavramı içinde ele alınır. Hukuki açıdan bakıldığında her hacking eylemi otomatik olarak suç teşkil etmez; zira adli bilişim incelemeleri, şirketlerce yaptırılan sızma testleri veya yasal yetki çerçevesindeki istihbari faaliyetler hukuka uygun kabul edilmektedir. Ancak yasal bir hukuka uygunluk sebebi bulunmaksızın gerçekleştirilen ve maddi ceza hukukunun tipikliğine uyan müdahaleler, genellikle kötü niyetli siyah şapkalı hackerlar tarafından işlenen tipik siber suç eylemlerini oluşturmaktadır.

Uygulamada Karşılaşılan Temel Hacking Yöntemleri

Adli süreçlerde hukuki uyuşmazlıklara en çok konu olan saldırı yöntemlerini teknik olarak anlayabilmek, fail ile oluşan zarar arasındaki illiyet bağının kurulması açısından büyük önem taşır. Saldırganlar tarafından sistemlere sızmak veya zarar vermek amacıyla kullanılan başlıca zararlı yazılımlar ve hacking yöntemleri, teknik kapasitelerine göre şu şekilde tasnif edilebilir:

• Rootkit: Bilişim sistemine yetkisiz erişildikten sonra varlığını siber güvenlik önlemlerinden gizleyerek saldırgana en üst düzeyde sistem yetkisi sağlayan gelişmiş yazılımlardır.
• Fidye Yazılımı: Hedef bilişim sistemindeki verileri kriptolayarak erişilmez kılan ve şifrenin çözülmesi karşılığında mağdurdan haksız maddi menfaat talep eden programlardır.
• Truva Atı: Masum veya işlevsel bir yazılım gibi görünerek kullanıcının rızasıyla sisteme sızan ve arka planda sisteme yetkisiz giriş kapıları açan zararlılardır.
• Kaba Kuvvet Saldırısı: Hedef bilişim sisteminin erişim şifrelerini, eldeki kelime listeleriyle deneme yanılma yoluyla otomatik olarak kırmaya çalışan sistematik saldırı tipidir.