Av. M. Gökhan Ahi,Bilişim Suçları 01/04/2010 02:13

İşverenler: Personelin işlediği bilişim suçundan siz sorumlu olabilirsiniz.

Av. M. Gökhan Ahi

Artık bir çok kurum ve şirkette, ast ve üstler dahil hemen hemen her personelin önünde internete bağlı bir bilgisayar bulunmaktadır. Hatta, mobil çalışan ekipler dahi 3G bağlantılı dizüstü bilgisayarlarla şirket işlerini rahatlıkla görebilmektedir.

İnternetin inanılmaz faydaları ve hayatımıza katkılarının yanı sıra, çok küçük bi yüzde oranında da olsa suç işlemeye müsait bir yapı arzetmektedir. İşlenen bir çok suçun takibi ise, öncelikle IP mumaralarından başlamaktadır. Her kurumun veya şirketin internete çıkış yaparken kullandığı bir kimlik bilgisi vardır. Bu kimlik bilgisi, internet erişimi sağlayan firmalar tarafından uluslararası standarda sahip bir IP numarası ile ilişkilendirilmektedir. Bir kurum ya da şirkette, ister 1 bilgisayar olsun, isterse de onlarca bilgisayar olsun, o şirketin internete çıkarken ilişkilendirildiği, genelde tek bir IP numarası vardır: 212.255.255.199 gibi bir numara dizisinden oluşan IP numarası, internet aracılığıyla işlenen bir çok suçun yasal takibinin başlangıç noktasını oluşturmaktadır.

Şirket ya da kurum personeli, şirkete ait bilgisayarlardan herhangi bir suç işlemiş olabileceği gibi, suç kastı olmadan telif haklarına konu bir içeriği arkadaşlarıyla paylaşabilir, birilerini eleştirmek isterken hakaret edebilir, ya da mail zincirleriyle gelen asparagas bir haberi arkadaşlarına ileterek haksız rekebet suçunu işleyebilir. Böyle bir durumda, personel bu eylemini anonim olarak yapmış olursa, başka bir deyişle kimliğini belirtmeksizin yapmış olursa, şirket ya da kurum yöneticileri bu tip eylemlerden sorumlu tutulabilecektir. Nitekim, tespit edilen IP numarasının kime ait olduğu araştırıldığında soruşturma makamlarının karşısına şirket veya kurum çıkacaktır.Dolayısıyla da şirketin en yetkilisi, durup dururken sanıkdurumuna düşebilecektir.

Her ne kadar, tek başına IP numarasının tespit edilmiş olması, soruşturmanın yürütülmesi için yeterli bir delil olmayacaksa da, bir çok durumda savcılıklar başka bir delile ihtiyaç duymadan sadece IP numarasından dolayı o şirketin yöneticilerine kamu davası açabilmektedir.

Bu tür bir riskle karşı karşıya kalmamak için, personelin kullandığı her bilgisayarın iç IP dağıtım loglarını tutmakta ve bu kayıtları en az 6 ay saklamakta fayda vardır. Ayrıca, personelin özel hayatının ve gizliliğinin, meraklı olabilecek 3. Kişiler ile yönetsel ve teknik personelden korunması da sağlanmalıdır. Alınması gereken tedbirler bunlarla da sınırlı değil.. Bunların dışında, tutulacak bu kayıtların gizliliğinin, bütünlüğünün, değiştirilmezliğinin ve doğruluğunun sağlanması için de elektronik mühürleme (zaman damgalı HASH) işleminin günlük olarak yapılması da çok önemlidir. Nitekim, delil niteliği taşıyan bu kayıtların her zaman için manipüle edilmesi de çok kolaydır.

Tags:

5 Comments

  • “Savcılıklar başka bir delile ihtiyaç duymadan sadece IP numarasından dolayı o şirketin yöneticilerine kamu davası açabilmektedir” demişsiniz ki ben bunu anlayamadım. Yani sadece ip numarası neden tek başına delil olsun ve ayrıca yeterince araştırma yapılıp iç ip numarasına da bakılmadan şirketin en üst yetkilisine nasıl dava açılabiliyor? Cezaların şahsiliği ilkesi nerede kaldı? Bu kadar kolay mı yani sanık durumuna düşmek bu ülkede?

    Ayrıca diğer bir idrak edemediğim husus da şudur ki:
    “personelin kullandığı her bilgisayarın iç IP dağıtım loglarını tutmakta ve bu kayıtları en az 6 ay saklamakta fayda vardır.” ve “tutulacak bu kayıtların gizliliğinin, bütünlüğünün, değiştirilmezliğinin ve doğruluğunun sağlanması için de elektronik mühürleme (zaman damgalı HASH) işleminin günlük olarak yapılması da çok önemlidir. ”
    demişsiniz ancak ben öncelikle saklama süresi olarak 6 ayı çok yetersiz görüyorum. çünkü davalar 1 yıl sonra bile açılabilmekte ve hatta mahkemenin bu iç ip numaralarını istemeyi akletmesi de bir o kadar daha sürebilmekte yani 2 yıl sonra sizden bu bilgiler istenebilmektedir çoğu durumda ki zaten bu bilgilerin geçerliliği de anlamadığım ikinci noktadır:
    öyle ki hash dediğiniz elektronik mühürleme nasıl yapılmaktadır? Bunun yargı sistemimiz tarafından kabul edilmiş bir yöntemi, kuralı, programı ya da sistemi var mıdır? Kullanılan algoritmalar yüzde yüz güvenli midir?
    Manipüle edilebilir diye nitelediğiniz bu tür loglar ve veriler genelde şirketlerde ve hosting firmalarında mesai saati bitiminde günlük olarak hashlenmektedir(o da hash işlemi yapan bir kaç işletmede) yani gün içinde pekiala değiştirilip sonra hash işlemi yapılabilmektedir.

    Hal böyleyken ben bu ülkede hashli denilen hiçbir verinin hashli olduğuna inanmıyor ve delil niteliği taşımadığını düşünüyorum. Mutlaka bu tür veriler delil başlangıcı sayılabilirler ve tabiki diğer delillerle ve tanıklarla desteklenmelidirler. Aksi halde tek başına hükme esas teşkil edilemeyeceklerini düşünmekteyim.

    Zaten loglar ve ağlarda tutulan diğer kayıtlar hakkında şirketlerin aldığı yazıcı çıktılarıyla daba açabilen savcılar ve muhakemeyi bunlarla yürüten mahkemeler olduğu sürece ben belkide gereksiz yere kafa ağrıtıyor olabilirim de.

    Ama durum gösteriyor ki: bilirkişilerin dahi hazırladığı bilişim delilleriyle ilgili raporlara bile bu mantıktan bakıldığında güvenilmez durumdayken ve bilişim sistemlerinde herşeyin her an he şekilde manüpüle edilmesi mümkünken bir de bu delillerin hiçbir kesin vasıta ile elde edilmeden yargılamalarda kullanılması….

    Açıkçası ben bu ülkede artık her türlü ceza yargılamasında ve diğer hukuk davalarının hemen hemen hepsinde bir bilişim delili olduğunu görmekteyim dosyalarda. Bu da demek oluyor ki bu verileri başarılı şekilde değiştirebilen bir hacker bulduğunuz zaman İŞİNİZ BU ÜLKEDE ÇOK KOLAY.

    bu vesileyle bana bu beyin fırtınasını yaşattığı için yazınızdan ötürü size çok teşekkür ederim.

    saygılarımla

    Serhat Koç

  • Serhat, öncelikle tartışılması gereken noktaları öne sürdüğün için teşekkür ederim.

    Aslında sormuş olduğun ve tartışmaya açtığın konuların bir çoğu, http://www.bilisimhukuk.com/2010/02/bir-kisiyi-suclamak-icin-ip-adresi-yeterli-midir/ adresinde bulunan yazıda var.

    O yazıda olmayan ve tartışmaya açtığın bazı konuları dile getirmekte fayda var:

    1- Gerçekten de halen sadece IP numarası tespit edildi diye hakkında dava açılan bir çok insan var. Açılan davanın tek delili IP numarası..

    2- İç dağıtım loglarının 6 ay tutulması kısa bir süredir. Ama daha uzun süreyle tutulması büyük de bir yüktür. Zaten savunduğumuz şey bilişim suçuna ilişkin delillerin hemen toplanması. Bırak 6 ayı, 6 gün geçse bile toplanan deliller işe yaramayabilir.

    3- HASH dediğimiz elektronik mühürleme işleminin dünyada standartları bellidir. Ayrıca 5070 sayılı Elektronik İmza Kanunu ve BTK’nın ilgili yönetmelikleri gereğince kurulan kuruluşlar bu hizmetleri resmi olarak sağlamaktadırlar.

    4- Herhangi bir inceleme yapılmadan, sadece kağıt çıktısı ile log takibi yapılabilen soruşturmalar da vardır. Bunların hepsi hukuka aykırıdır.

  • devam etmek gerekirse:

    5- çok çalışmamız lazım daha çoook……

  • İç ip dağıtım loglarının tutulması (DHCP logları) nasıl bir kanıt sağlıyor anlamadım. Yani içeride dağıtılan numaralar dışarıda tek bir numara ile temsil ediliyor. Suçu işleyen bilgisayarın tespiti için iç DAĞITIM kayıtlarının tutulması çok saçma. İç dağıtım kayıtları ile birlikte hangi bilgisayar nere ile nezaman iletişim kurmuş bilgisinin tutulması gerekmez mi? Eminmisiniz verdiğiniz bilgide?

  • tüm bu kayıtların tutulabilmesi için yasaya uygun geliştirilmiş cihazlar bulunmakta. bu cihazlar sayesinde içerik filtreleme, log tutma(iç IP ve MAC kayıtları) ve zaman damgası ile verilerin doğruluğunun kanıtlanması sağlanmaktadır

Leave a reply

required

required

optional


Trackbacks

  •  
essays for sale research paper how to write your dissertation writing helps how to write essays fast purchase argumentative essays