Türkiye'de adli bilişim: TCK ve CMK çerçevesi

Teknik iş ne kadar iyi olursa olsun, yetkisiz toplanan delil tartışmalı kalır. Türkiye'de adli bilişimin çerçevesini birkaç kanun birlikte çizer. Ceza Muhakemesi Kanunu delilin nasıl toplanacağını, Türk Ceza Kanunu hangi fiillerin suç olduğunu düzenler. 5651 sayılı Kanun trafik kayıtlarının saklanmasını, KVKK kişisel veri ihlalinin bildirilmesini kapsar.

2025'te yayımlanan 7545 sayılı Siber Güvenlik Kanunu da siber olayların bildirilmesini ister. Analist bu kanunları hukukçu gibi yorumlamaz, ama hangi adımın hangisine dayandığını bilir. Mevzuat değişir; madde numarasını ezberlemek yerine resmî metinden doğrulamayı alışkanlık edinirsin.

CMK 134, bir suç dolayısıyla yapılan soruşturmada bilgisayarlarda arama yapmayı, kayıtlardan kopya çıkarmayı ve bu kayıtları çözüp metne dönüştürmeyi düzenler. Tedbirin iki koşulu var: somut delillere dayanan kuvvetli şüphe ve delili başka yolla elde etme imkânının bulunmaması. Kararı kural olarak hâkim verir.

Gecikmesinde sakınca bulunan hâllerde Cumhuriyet savcısı da karar verebilir. 2018'de 7145 sayılı Kanunla eklenen cümlelere göre savcının kararı yirmi dört saat içinde hâkim onayına sunulur, hâkim de en geç yirmi dört saat içinde karar verir. Süre dolarsa ya da hâkim aksine karar verirse çıkarılan kopyalar ve çözülen metinler derhâl imha edilir.

Maddenin diğer fıkraları uygulamayı ayrıntılandırır. Şifre çözülemediği, gizlenmiş bilgiye ulaşılamadığı ya da işlem uzun süreceği için sisteme girilemiyorsa, çözüm ve kopya için cihaza el konulabilir. Şifre çözülüp kopyalar alınınca cihaz gecikmeden iade edilir.

El koyma sırasında sistemdeki bütün verilerin yedeği alınır. Bu yedekten bir kopya şüpheliye ya da vekiline verilir, durum tutanağa geçirilip imzalanır. El koymadan da verinin tamamının ya da bir kısmının kopyası alınabilir; kopyalanan veri kâğıda yazdırılıp tutanağa bağlanır. Analist yedeği üretirken imaj ve özet düzenine uyar ve SHA-256 değeri tutanağa yazılır.

Adım                                               Dayanak
1 Olay tespit edilir, deliller korunur              kurumun olay müdahale planı
2 Hukuk ekibi değerlendirir, suç duyurusu yapılır  CMK 158 (ihbar ve şikâyet)
3 Savcılık arama ve kopyalama tedbiri ister        CMK 134/1
4 Hâkim kararı; acele hâlde savcı kararı ve        CMK 134/1
  24 saat içinde hâkim onayı
5 El koyma ve bütün verilerin yedeklenmesi         CMK 134/2-3
6 İmaj alınır, SHA-256 özeti tutanağa yazılır      CMK 134/3, delil zinciri formu
7 Yedekten bir kopya şüpheliye ya da vekiline      CMK 134/4
8 Bilirkişi atanır ve rapor verir                  CMK 63-67, 6754 sayılı Kanun

Akışı satır satır oku. İlk iki adım kurumun içinde geçer ve dayanağı kurumun kendi planıdır. Üçüncü adımdan itibaren usulü CMK belirler.

Dördüncü adımda süreleri izlersin. Savcı kararıyla başlanan bir işlemde hâkim onayı gelmeden derin analize girmek risklidir; onay gelmezse kopyalar ve çözülen metinler imha edilir, onlara dayanan bulgular da tartışmalı hâle gelir.

Beşinci ve altıncı adımlar senin teknik işindir. Yedinci adım savunma hakkının parçasıdır ve atlanırsa delile itiraz güçlenir. Somut bir olayda her kararı hukuk ekibiyle birlikte verirsin.

Süre hesabı pratikte sık karıştırılır. Savcının kararı yirmi dört saat içinde hâkime sunulur, hâkim de en geç yirmi dört saat içinde karar verir. İki süre art arda işler.

Savcı kararı pazartesi 09:00'da verildiyse, hâkim kararının en geç ne zaman geleceğini hesaplayabilmelisin. Hesabı yanlış yapan ekip, imha edilmesi gereken bir kopya üzerinde günlerce çalışabilir. Takvimi tutanağın yanına yazmak bu hatayı önler.

TCK'nın bilişim alanındaki suçları düzenleyen bölümü 243. maddeyle başlar. 243. madde bilişim sistemine hukuka aykırı girmeyi ve orada kalmaya devam etmeyi cezalandırır.

Bu fiil yüzünden veriler yok olur ya da değişirse ceza artar. 244. madde sistemin işleyişini engellemeyi ve bozmayı kapsar. Aynı madde verileri bozmayı, yok etmeyi, değiştirmeyi, erişilmez kılmayı, sisteme veri yerleştirmeyi ve verileri başka bir yere göndermeyi de sayar.

245. madde banka ve kredi kartlarının kötüye kullanılmasına bakar. Kişisel verileri hukuka aykırı olarak verme, yayma ve ele geçirme ise 136. maddededir.

İki fıkra analistin günlük işine doğrudan dokunur. 2016'da eklenen 243/4, sisteme girmeden veri nakillerini teknik araçlarla hukuka aykırı olarak izlemeyi suç sayar. Paket yakalamak teknik olarak kolaydır, ama yetkili olmadığın bir ağda trafik izlemek bu fıkraya girebilir.

Kurum ağında yakalama yaparken yazılı görev tanımına ve politikaya dayanırsın. Aynı yıl eklenen 245/A ise yasak cihaz ve programlara bakar. Yalnız bilişim suçlarında ya da bilişim sistemiyle işlenen başka suçlarda kullanılmak için yapılmış bir cihazı, programı ya da şifreyi imal etmek, satmak ya da bulundurmak suçtur.

Saldırı araçlarını yalnız izinli ortamda ve görev kapsamında tutarsın. Bir tekniği denemek istiyorsan bunu yalnız kendi lab ortamında ya da yazılı iznin olan hedefte yaparsın.

Eşleştirmede beş hüküm vardı. Şimdi bir ayrıntıya bak. Bir kişi kurumun ağına bağlı bir cihaza hiç girmeden, hattaki trafiği dinleyip içeriği kaydediyor. Bu kişi bir sisteme girmediği için eylemi 243'ün ilk fıkrasındaki girme tanımına uymaz.

2016'da eklenen dördüncü fıkra tam bu tür izlemeyi ayrıca düzenler. Analist olarak senin işin nitelemeyi yapmak değil, fiili doğru anlatan teknik olguları raporda eksiksiz vermektir.

Her inceleme bir soruşturmayla başlamaz. Altay Kargo'daki ilk günler kurum içi incelemeydi. Kurum kendi cihazını incelerken CMK 134 uygulanmaz, ama sınır yine vardır. Çalışanın kurumsal cihazının hangi koşullarda inceleneceği önceden duyurulmuş açık bir politikada yazmalıdır.

Bildirim yoksa inceleme özel hayatın gizliliğiyle çatışır. Kurumsal cihazda özel yazışmaya rastlarsan orada durursun, çünkü incelemenin kapsamı olayla sınırlıdır. Kapsam dışı veriyi okumak ve rapora koymak ayrı bir ihlal üretir. Yetki belgeni de saklarsın: hangi kararla, hangi kapsamda ve hangi tarihte çalıştığın dosyada durmalıdır.

Yetki teknik erişimle aynı şey değildir. Bilirkişi olarak bir telefonu incelediğini düşün. Cihazda yurt dışındaki bir bulut hesabına ait açık bir oturum duruyor.

Oturumu kullanıp buluttaki veriyi indirmek kararın kapsamını aşabilir. Böyle bir durumda devam etmeden önce görevi veren makama danışırsın; yurt dışındaki veri için ayrı bir karar ya da uluslararası adli yardım yolu gerekebilir. Teknik olarak erişilebilir olması, hukuken alınabilir olduğu anlamına gelmez. Aynı kural meraka da uygulanır: yetkili olmadığın bir sisteme bakmak, niyetin ne olursa olsun TCK 243 kapsamına girebilir.

Mahkemenin atadığı adli bilişim uzmanı, bilirkişilik bölge kurulunun listesinden seçilir. 6754 sayılı Kanun'a göre her bölge adliye mahkemesinin bulunduğu yerde bir bölge kurulu vardır ve bilirkişi listesini bu kurul tutar. Listeye girmek için bilirkişilik temel eğitimini tamamlamak, uzmanlık alanında en az beş yıl fiilen çalışmış olmak ve alanı gösteren diploma ya da belgeye sahip olmak gerekir. Bir kişi aynı anda yalnız bir bölge kurulunun listesinde kayıtlı olabilir.

Olayda en çok aranan delil çoğu zaman kurumun dışındadır: erişim ve barındırma sağlayıcılarının kayıtları. 5651 sayılı Kanun bu kayıtların adını koyar. Trafik bilgisi; taraflara ilişkin IP adresini, kaynak ve hedef port bilgisini, hizmetin başlama ve bitiş zamanını, hizmetin türünü, aktarılan veri miktarını ve varsa abone kimlik bilgilerini kapsar.

Yer sağlayıcı bu bilgiyi bir yıldan az, iki yıldan fazla olmamak üzere yönetmelikteki süre kadar saklar (m.5/3). Erişim sağlayıcı için aralık altı ay ile iki yıldır (m.6/1-b). Saklanan şey içerik değil, iletişimin zarfıdır.

Talep eden : Cumhuriyet başsavcılığı, soruşturma yazısıyla
Muhatap    : 198.51.100.77 adresini kullanan erişim sağlayıcı
Dayanak    : 5651 m.6/1-b, soruşturma kararı
Sorgu      : kaynak 198.51.100.77, kaynak port 51544
             hedef 192.0.2.10:443 (web01 dış adresi)
             14.09.2026 03:02:11 (UTC+3), ±2 sn
İstenen    : abone kimlik bilgisi, oturum başlangıç ve bitiş zamanı,
             atanan IP ve port aralığı, aktarılan veri miktarı
Kurum eki  : web01 access.log satırı, pcap akışı ve SHA-256 özetleri

Talebi satır satır oku. Muhatap, adresi kullanan erişim sağlayıcıdır. Kurum bu bilgiyi kendisi isteyemez; talep soruşturma kararıyla savcılıktan gider.

Sorguda kaynak port ve saniyeli zaman var, çünkü erişim sağlayıcılar çoğu zaman tek bir genel adresi çok sayıda aboneye paylaştırır. Bu durumda abone ancak adres, port ve kesin zamanla bulunur. web01 erişim günlüğü varsayılan biçimde istemci portunu yazmaz; port bilgisi pcap kaydından gelir.

Savunma tarafı için ders açıktır: web sunucusu günlüğüne istemci portunu da eklersin. Talep saklama süresi dolmadan yapılmalıdır, yoksa kayıt silinmiş olabilir.

Kurumun kendi günlükleri de aynı hızla kaybolabilir. Altay Kargo'da güvenlik duvarı günlükleri otuz, web01 erişim günlükleri on dört gün tutuluyordu. Olay iki hafta geç fark edilseydi ilk keşif isteği hiç bulunamazdı.

Saklama süresini olaydan önce, inceleme ihtiyacına göre belirlersin. KVKK'nın genel ilkelerine göre kişisel veri içeren günlük, işlendiği amaç için gereken süre kadar saklanır ve süre bitince silinir. İki ihtiyaç arasındaki dengeyi yazılı bir saklama politikası kurar.

Kişisel veri ihlali varsa KVKK devreye girer. Kanunun 12. maddesinin beşinci fıkrasına göre işlenen kişisel veriler kanuni olmayan yollarla başkalarınca elde edilirse, veri sorumlusu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, 24 Ocak 2019 tarihli ve 2019/10 sayılı kararıyla en kısa süreyi yetmiş iki saat olarak yorumladı.

Süre ihlalin öğrenildiği andan başlar. Etkilenen kişilere ise belirlendikten sonra makul en kısa sürede bildirim yapılır. Bildirim 72 saat içinde yapılamazsa, gecikmenin gerekçesi bildirimle birlikte açıklanır.

Bildirim adli analizin bitmesini beklemez. Kurul kararına göre formdaki bilgiler aynı anda sağlanamıyorsa aşamalı olarak ve gecikmeden tamamlanır. Bu yüzden olay müdahale planında hukuk ekibi ilk saatlerde masaya oturur.

Analistin katkısı, ilk bildirime girecek olguları hızla ve kesinlik düzeyleriyle vermektir: hangi sistem, hangi zaman aralığı, ne kadar veri, hangi veri türleri olası. Kesin olmayanı kesin gibi yazmazsın, çünkü bildirim sonradan güncellenebilir. Altay Kargo'da süre, sızıntı olasılığının ortaya çıktığı 14 Eylül sabahı başladı.

2025'te yayımlanan 7545 sayılı Siber Güvenlik Kanunu ikinci bir bildirim yükümlülüğü getirir. Kanun siber uzayda faaliyet gösteren kamu kurumlarını, gerçek ve tüzel kişileri kapsar. 7. maddenin birinci fıkrasının (b) bendi, kapsamdakilerin hizmet sundukları alanda tespit ettikleri zafiyet ve siber olayları gecikmeksizin Siber Güvenlik Başkanlığına bildirmesini ister.

Kanun siber olayı, bilişim sistemlerinin ya da verinin gizlilik, bütünlük veya erişilebilirliğinin ihlali olarak tanımlar. Aynı olay hem KVKK hem 7545 bildirimini gerektirebilir. İki bildirim farklı makamlara gider ve olay planında ayrı satırlar olarak durur.

72 saat, bildirimin üst sınırıdır; analize ayrılmış bir süre değildir. Ekipler sık sık şu hataya düşer: önce bütün çizelge kurulsun, sızıntının boyutu kesinleşsin, sonra bildirim yapılsın. Oysa analiz günler, bazen haftalar sürer. Bildirim eldeki bilgiyle yapılır ve sonradan güncellenir.

Analizin ilerlemesi bildirimin zamanını belirlemez, yalnız içeriğini zenginleştirir. Bildirimi kimin, hangi kanaldan ve hangi onayla yapacağı da önceden plana yazılır. Olay kapandığında her bildirimin saatini ve içeriğini olay kaydına eklersin.