Delil zinciri ve raporlama sorumluluğu

Delil zinciri (chain of custody), delilin toplandığı andan mahkemeye ya da imhaya kadar kimin elinde olduğunu gösteren kesintisiz kayıttır. Savunma çoğu zaman teknik sonucu değil, delilin bu yolculuğunu sorgular. Kayıtta açıklanamayan bir boşluk varsa kusursuz bir analiz bile tartışmaya açılır. Zinciri üç katmanda kuracaksın.

Önce kâğıt formu ve her devrin nasıl yazıldığını göreceksin. Sonra mühürlü torbayı ve delil deposunu, ardından özetle kurulan dijital zinciri işleyeceksin. Son iki bölüm raporun dilini, hukuki çerçeveyi ve analistin kendi sınırını yazma sorumluluğunu ele alır.

Zincir basit bir soruyu yanıtlar: bu delil, toplandığı andan bugüne kadar kimin elindeydi? ACPO rehberinin üçüncü ilkesi bunu denetim izi olarak tanımlar. Delile uygulanan her işlem kayda geçer ve bağımsız bir uzman aynı adımları izleyebilir. Her devir dört soruyu yanıtlar: kim verdi, kim aldı, ne zaman ve neden.

Formun başında dört alan hiç eksilmez: delilin benzersiz numarası, alındığı yer ve zaman, alan kişinin adı ve özet değeri. Biri boşsa form eksiktir. Olay numarası da bütün belgelerde aynı kalır. Delil formu, rapor, fotoğraf ve arşiv klasörü tek numaraya bağlanır.

OLAY NO    : 2026-014
DELİL NO   : 2026-014-D01
TÜR        : 2.5" SATA disk, 500 GB, S/N WX41A8YH7712
KAYNAK     : fin-pc12, Finans birimi, 3. kat
ALINDI     : 14.09.2026 09:40 (+03), M. Kaya (BT), tanık: A. Demir
SHA-256    : 9f2c1a7b3d5e08c4a6b91d2f7e3c5a80b4d16f29c73e8a05b2c4d9e71f36a8b0
TORBA      : #4471
DEVİR 1    : 14.09.2026 11:15 (+03) M. Kaya -> E. Yıldız (Adli Bilişim)
             neden: imaj alma; torba #4471 bütün; imza: M. Kaya, E. Yıldız
İŞLEM 1    : 14.09.2026 13:30 (+03) E. Yıldız
             torba #4471 açıldı, dcfldd ile ham imaj ve ewfacquire ile E01 alındı, yeni torba #4488

Formu satır satır oku. OLAY ve DELİL numarası diski olaya bağlar, TÜR satırındaki seri numarası da kâğıdı fiziksel nesneye bağlar. Saatler saat dilimiyle yazılır. Ekipte UTC kullanan bir araç varsa +03 yazılmamış bir saat üç saatlik belirsizlik doğurur.

DEVİR satırı veren, alan, saat, neden ve torba numarasını birlikte taşır ve iki imza ister. İŞLEM satırı ise delilin el değiştirmediği, ama mührünün açıldığı anı yazar. Aşağıda aynı olayın ikinci delili olan bellek dökümünün kaydı var. Açıklamayı okumadan önce sorunları kendin aramayı dene.

DELİL 2026-014-D02  fin-pc12 bellek dökümü (delil diski S/N LAB0004D07)
1  14.09.2026 09:18 (+03)  Döküm alındı, SHA-256 forma yazıldı, torba #4472. Alan: M. Kaya, tanık: A. Demir
2  14.09.2026 11:15 (+03)  Devir M. Kaya -> E. Yıldız, torba #4472 bütün, iki imza
3  14.09.2026 12:05        Torba #4472 açıldı, çalışma kopyası alındı, özet tuttu. İmza: E. Yıldız
4  14.09.2026 12:20 (+03)  Yeni torba #4490 mühürlendi. İmza: E. Yıldız
5  14.09.2026 14:25 (+03)  Devir E. Yıldız -> S. Aksoy (Olay Müdahale). İmza: E. Yıldız
6  14.09.2026 14:40 (+03)  Torba #4495 kasaya kondu, kilit no 12. İmza: S. Aksoy, depo sorumlusu

Satırları sırayla oku. İlk iki satır sağlam: saat dilimi, torba numarası ve iki taraf yazılı.

Üçüncü satırda saat dilimi yok. Okur bunu yerel saat sayar, ama kaydı yazan araç UTC kullanmış olabilir. O durumda torba 15:05'te açılmıştır ve dördüncü satırdan sonraya düşer. Dördüncü ile beşinci satır arasında iki saat var ve mühürlü torbanın nerede durduğu yazılmamış.

Beşinci satırda yalnız veren imzalamış, alanın imzası olmadan devir tamamlanmaz. Altıncı satırda torba #4490'dan #4495'e geçmiş, ama arada açılış kaydı ve gerekçe yok. Dört sorunun hiçbiri özeti bozmaz. Hepsi ise delilin o saatlerde kimde olduğunu tartışmaya açar.

Mühürlü torba zincirin fiziksel yarısıdır. Delili torbaya koymadan önce fotoğraflar, seri numarasını ve özetini forma yazarsın. Özet mühürden önce alınır, yoksa torbanın içindekinin ne olduğunu kanıtlayamazsın.

Kurcalamaya dayanıklı torbanın üzerinde basılı bir numara ve açıldığında iz bırakan bir bant vardır. Numara forma yazılır, alan kişi de mührün üstüne imza atar. Mühür yalnız bir işlem için açılır.

Açan kişi, gerekçe ve yeni torbanın numarası aynı satıra girer. Delil iade ya da imha edildiğinde son satırı yazar ve formu kapatırsın. Kapanmamış form, açık kalmış bir soru demektir.

Delil deposu da denetlenir. Kimler girebiliyor, anahtar kimde, kamera kaydı ne kadar saklanıyor? Depoya her giriş ve çıkış bir defterde ya da kartlı geçiş kaydında durur.

Özgün delil ile kasa kopyası aynı dolapta tutulmaz, çünkü bir yangın ya da yetkisiz erişim ikisini birden götürür. Zincirin tek bir sorumlusu olur ve devirleri o yönetir. Sorumluluk dağıtıldığında kayıtlar da dağılır.

Saklama süresini baştan belirlersin. Dava sürerken delil imha edilmez. Kurum içi olaylarda süre politikayla yazılır ve süre sonunda imha da kayda geçer.

Kâğıt form zincirin yarısıdır, öbür yarısı dijitaldir. İmaj dosyası kopyalanabilir ve iz bırakmadan değiştirilebilir. Bu yüzden her devirde özet yeniden alınır ve forma işlenir.

Delil deposu her erişimi kullanıcı adı ve saatle kaydeder. Analistlere açılan paylaşım salt okunurdur. Doğrulamayı iki kişi yapar: biri komutu çalıştırır, öteki değeri karşılaştırır.

NIST'in delil saklama raporu (NIST IR 8387) zincirde dört zayıf nokta sayar. Delil özetlenmeden önce değiştirilebilir. Değiştirilip yeniden özetlenir ve saklı özetin üzerine yazılır.

MD5 ya da SHA-1 çakışmasıyla aynı özeti veren iki sürüm hazırlanır. Ya da delil veya özet kazayla değişir. Önlem de buradan çıkar. Delili topladığın ana en yakın anda özetle ve özeti delile erişenlerin değiştiremeyeceği bir yerde sakla.

$ cd /vaka/2026-014/D01
$ sha256sum -c fin-pc12.dd.sha256
fin-pc12.dd: OK
$ date '+%d.%m.%Y %H:%M %z'
15.09.2026 10:07 +0300

# Zincir formuna işlenen satır
DEVİR 3     : 15.09.2026 10:07 (+03) E. Yıldız -> S. Aksoy (Olay Müdahale)
DOĞRULAMA   : fin-pc12.dd, sha256sum -c sonucu OK
              çalıştıran: E. Yıldız, karşılaştıran: S. Aksoy

Çıktıyı satır satır oku. sha256sum -c özet dosyasındaki değeri okur, imajı yeniden özetler ve iki değer tutuyorsa OK yazar. date komutu doğrulamanın saatini saat dilimiyle verir. Forma işlenen satır bu iki çıktıyı birleştirir ve iki kişinin adını taşır.

Özet dosyası imajın yanında dursa da referans değer formda ve vaka kaydında da yazılıdır. Karşılaştıran kişi ekrandaki sonucu formdaki değerle de karşılaştırır. Böylece biri imajla birlikte özet dosyasını da değiştirmişse fark ortaya çıkar.

Raporun iki okuru vardır. Teknik okur komutu, araç sürümünü ve ham çıktıyı arar. Hukuki okur sonucu ve dayanağını arar. Bu yüzden rapor iki katmanlı yazılır: önce sade bir bulgu bölümü, sonra ek olarak ham çıktı.

Yazdığın her adımı başkası tekrarlayabilmeli. Aynı imaj, aynı araç sürümü ve aynı komut aynı sonucu vermeli. Ekran görüntüsünde saat bilgisini de kadraja alırsın, o satır görüntüyü zaman çizelgesine bağlar.

Rapor teslim edildikten sonra sürüm tutulur. Düzeltme yeni sürümle yapılır, eskisi saklanır. Sessizce değiştirilen rapor güven kaybettirir.

Yorum ile bulguyu ayır. Bulgu şudur: 14 Eylül 03:15'te svc_update hesabı açıldı. Yorum şudur: saldırgan kalıcılık kurdu.

İkisini aynı cümlede birleştirirsen okur neyin ölçüm, neyin çıkarım olduğunu göremez. İyi bir bulgu cümlesi üç parça taşır: ölçülen veri, kaynağı ve zamanı. Kaynak dosya adını ve olay kimliğini gösterir, zaman saat dilimiyle yazılır.

Yorum ayrı bir başlık altında durur ve dayandığı bulguları anar. Derece bildiren sözcükler, örneğin 'büyük olasılıkla', yalnız yorumda yer alır. Aşağıda aynı olaydan iki kötü ve iki iyi cümle var.

KÖTÜ  Saldırgan gece sisteme sızıp bir arka kapı hesabı açtı.
KÖTÜ  svc_update hesabı şüpheli biçimde yönetici yapıldı.

İYİ   Bulgu 1. fin-pc12, Security.evtx, olay 4720: svc_update hesabı
      14.09.2026 03:15:42 (+03) saatinde oluşturuldu.
İYİ   Bulgu 2. Aynı günlük, olay 4732: svc_update hesabı
      14.09.2026 03:15:58 (+03) saatinde yerel Administrators grubuna eklendi.

Yorum. Bulgu 1 ve 2, hesabın aynı dakika içinde açılıp yetkilendirildiğini
gösteriyor. Bu desen, elle yapılan bir yönetim işinden çok betikli bir
kalıcılık adımına benziyor.

Kötü cümleleri oku. Birincisi kaynak ve saat vermez, 'sızıp' ve 'arka kapı' sözcükleriyle yorumu olgu gibi sunar. İkincisi 'şüpheli biçimde' diyerek yargıyı ölçümün içine gizler.

İyi cümleler önce kaynağı söyler: hangi dosya, hangi olay kimliği. Sonra ölçülen şeyi ve saniyeli zamanı verir. 4720 bir kullanıcı hesabının oluşturulduğunu, 4732 güvenlik etkin bir yerel gruba üye eklendiğini kaydeder.

Yorum ayrı paragrafta durur ve dayandığı bulguların numarasını anar. Okur yoruma katılmasa bile bulguyu tartışamaz. Kısa ve sade cümle, savunması kolay cümledir.

Ceza soruşturmasında zincir tutanakla birleşir. CMK'nın 134. maddesine göre bilgisayara el koyma sırasında sistemdeki bütün verilerin yedeği alınır. Bu yedekten bir kopya şüpheliye ya da vekiline verilir ve durum tutanağa geçirilip imzalanır.

El koymadan yalnız kopya da alınabilir. O zaman kopyalanan veriler kâğıda yazdırılır, tutanağa kaydedilir ve ilgililer imzalar. Savcının verdiği karar yirmi dört saat içinde hâkim onayına sunulur.

Süre dolarsa ya da hâkim aksine karar verirse kopyalar derhâl imha edilir. Zincir formun bu tutanakla aynı numarayı taşır. Özet tutanağa da yazılırsa şüpheliye verilen kopyanın aynı yedekten geldiği tek komutla gösterilir.

Kurum içi bir olay da sonradan davaya dönüşebilir. Mahkemeye gitmeyecek diye zinciri gevşetmek, aylar sonra açılan davada elini kolunu bağlar. Dava ihtimali doğduğu anda yasal tutma (legal hold) başlar. Hukuk birimi ilgili kişilere yazılı tutma talimatı gönderir.

Otomatik silme kuralları, posta saklama politikaları ve yedek döngüsü askıya alınır. Posta sunucusundaki dava tutma ayarı, silinen iletileri ve değiştirilen öğelerin ilk hâlini saklar. Elektronik keşif (e-keşif) ise korunan veriyi arama, süzme ve karşı tarafa sunma sürecidir. Zincir kuralları bu süreçte de aynen geçerlidir.

Savunma zincire itiraz ettiğinde ilk refleks boşluğu kapatmak olur. Bunu yapmazsın. Aylar sonra doldurulan bir form satırı, boşluğun kendisinden daha ağır bir soru doğurur. Boşluk sonradan yazılmaz, bağımsız kayıtlarla açıklanır.

Kamera görüntüsü diskin nerede durduğunu, kartlı geçiş kaydı o saatlerde odaya kimin girdiğini gösterir. Deponun erişim günlüğü ve değişmeyen özet de bu açıklamayı destekler. Açıklamayı tarihiyle rapora ekler, itirazın tarihini ve içeriğini dosyada saklarsın. Sık görülen üç hata da buraya çıkar: saat dilimi yazılmamış devir, aynı kasada duran özgün ve kopya, belgeden belgeye değişen olay numarası.

Analist kendi sınırını da yazar. Hangi soruyu yanıtlayabildin, hangisini yanıtlayamadın? Veri bozuksa bozuk yazarsın.

Günlük silinmişse ya da saklama süresi dolmuşsa bu boşluğu açıkça belirtirsin. Eksik kalan yeri tahminle kapatmaya çalışan rapor, bütünüyle şüpheli görünür. Aklayıcı bulguyu da aynı titizlikle yazarsın.

RFC 3227'nin eksiksiz delil ölçütü tam olarak bunu ister: rapor olayın yalnız bir yüzünü değil, tamamını anlatır. Sınırı yazmak zayıflık değildir. Karşı tarafın uzmanı eksiği senden önce bulursa bütün raporun ağırlığı düşer.