Bildirim karar ağacı

Gece 02:00'de bir alarm çaldığında ilk soru teknik değildir: bu kararı kim verecek? Bildirim kararı tek kişinin inisiyatifiyle verilmez. Teknik ekip etkiyi, hukuk ekibi yükümlülüğü, üst yönetim son kararı taşır.

Roller önceden yazılmazsa ekip ilk saatlerini kimin yetkili olduğunu tartışarak harcar. O sırada bildirim saati işlemeye devam eder. Bu derste önce rolleri ve yetki dağılımını kuracaksın.

Sonra kararı ve gerekçesini kayda geçirmeyi öğreneceksin. Ardından altı soruluk karar ağacını işleteceksin. Son iki bölümde şifrelemenin risk değerlendirmesini nasıl değiştirdiğini ve ağacın tatbikatta nasıl sınandığını göreceksin.

NIST SP 800-61 Rev. 3, olay müdahalesini tek bir ekibin işi olmaktan çıkarır ve birçok rol sayar. Üst yönetim müdahaleyi denetler, bütçe ayırır ve kritik bir servisi kapatmak gibi yüksek etkili kararları verir. Olay müdahale ekibi olayın gerçek olduğunu doğrular, kanıt toplar ve zararı sınırlar.

Hukuk ekibi planların ve sözleşmelerin yasalara uygunluğuna bakar. Halkla ilişkiler birimi gerektiğinde basına ve kamuoyuna bilgi verir. Pek çok kurum bu rollerin başına bir olay komutanı koyar.

Olay komutanı müdahaleyi koordine eder, toplantıları yönetir ve her kararın kayda geçtiğini denetler. Altay Kargo'da bu rolü nöbetçi güvenlik yöneticisi üstlenir. ISO/IEC 27035-1:2023 de olay yönetiminde ayrı bir değerlendirme ve karar evresi tanımlar. Altay Kargo bu evrede kimin neye karar verdiğini bir RACI tablosuyla yazar.

KARAR                        Olay      Müdahale  Hukuk ve  İletişim  Üst
                             komutanı  ekibi     KVK sor.  birimi    yönetim
Olayı doğrulamak                A         R         I         -         I
Etkiyi belirlemek               A         R         C         -         I
Yükümlülüğü değerlendirmek      A         C         R         -         I
Bildirim yapma kararı           R         C         C         C         A
Bildirim metnini yazmak         A         C         R         C         I
Müşteriye duyuru                A         I         C         R         I

R: yapar   A: hesap verir   C: danışılır   I: bilgilendirilir

Tabloyu satır satır oku. R işi yapan, A hesabını veren, C danışılan, I bilgilendirilen taraftır. Her satırda tek bir A bulunur; bir kararın hesabını iki kişi veremez.

Olayı doğrulamak müdahale ekibinin işidir ve hukuk yalnız bilgilendirilir. Yükümlülüğü değerlendirme satırında roller değişir. İşi hukuk ya da kişisel verilerin korunmasından sorumlu kişi yapar, teknik ekip danışılan taraftır.

Bildirim kararında hesap veren üst yönetimdir. Olay komutanı kararı hazırlar ve üst yönetime götürür. Başkanlığın yaygın eksiklikler belgesi bu tablonun neden gerekli olduğunu gösterir. Ekibi ve görevleri tanımlanmamış kurumlarda ilk müdahale koordinasyon eksikliği yüzünden aksamıştır.

Tablo, gece ulaşılabilecek kişiler olmadan eksik kalır. Her rolün yanına bir birincil ve bir yedek kişi yazılır. Üst yönetim için de bir yetki devri kuralı tanımlanır. Genel müdüre otuz dakikada ulaşılamazsa karar yetkisi, adı önceden yazılmış bir yardımcıya geçer.

Nöbet listesi her ay güncellenir ve telefon numaraları iletişim zinciri testiyle sınanır. Altay Kargo'da olay komutanı, ilk otuz dakikada kimi aradığını ve kime ulaşamadığını kayda geçirir. Bu satırlar, kararın neden gecikmediğini ya da neden geciktiğini sonradan açıklar.

Karar gerekçesi, bildirim yapılmasa bile yazılır. KVKK Kurulu, veri sorumlusunun her ihlalin bilgilerini, etkilerini ve alınan önlemleri kayda almasını ve Kurul incelemesine hazır tutmasını ister. GDPR'nin 33. maddesinin beşinci fıkrası da her ihlalin belgelenmesini ister ve bu belgenin uyumu doğrulamaya yetmesini bekler.

Kayıt, altı ay sonra bir denetimde kurumun kararını nasıl verdiğini gösterir. Belgelenmemiş bir bildirim gerekmiyor kararı sonradan keyfi görünür. Altay Kargo'nun karar kaydı şablonu aşağıdadır. Örnek, bildirim yapılmamasına karar verilen bir olaydan alındı.

KARAR KAYDI          KK-2026-031
Olay no              OLY-2026-122
Öğrenme anı          22.09.2026 10:15 TSİ (kayıp bildirimi doğrulandı)
Değerlendirilen veri Kayıp dizüstü bilgisayar, sürücü yönetim aracı.
                     Yaklaşık 300 sürücünün adı ve telefon numarası.
Eşik                 KVKK md. 12/5: veri kanuni olmayan yolla
                     başkalarının eline geçti mi?
Bulgular             Disk tam şifreli, TPM ve PIN ile açılıyor.
                     Kurtarma anahtarı yalnız merkezi anahtar kasasında.
                     PIN cihazda ya da çantada yazılı değil (sürücü beyanı).
                     Uzaktan silme komutu 10:40'ta gönderildi,
                     cihaz henüz ağa bağlanmadı.
Karar                Kurula ve ilgili kişilere bildirim yapılmayacak.
Gerekçe              Veri okunabilir hâlde başkasının eline geçmedi.
                     İhlal kaydı tutuldu, Kurul isterse sunulacak.
Onaylayan            Genel Müdür Yardımcısı, 22.09.2026 13:05 TSİ
Yeniden değerlendir  PIN'in sızdığı ya da cihazın açıldığı anlaşılırsa.

Kaydı satır satır oku. Öğrenme anı yine doğrulama anıdır ve saatiyle yazılır. Değerlendirilen veri satırı neyin risk altında olduğunu sayıyla verir. Eşik satırı kararın hangi kurala göre verildiğini söyler; KVKK'da ölçüt, verinin başkalarının eline geçip geçmediğidir.

Bulgular satırı kararın dayanağıdır. Disk şifreli, anahtar kasada ve PIN cihazla birlikte değil. Uzaktan silme ise cihaz ağa bağlanana kadar çalışmaz; asıl koruma şifrelemedir. Karar ve gerekçe ayrı satırlardadır, çünkü denetçi ikisini ayrı sorar.

Onay satırı kararın kimde olduğunu ve saatini gösterir. Son satır kararı kalıcı saymaz; yeni bir bilgi gelirse karar yeniden açılır. Bu karar bir yargıdır. Şifreleme kanıtı zayıf olsaydı aynı ekip bildirim yapardı.

Karar ağacı bir olayı sırayla altı sorudan geçirir. Her soru bir yükümlülük satırını açar ya da kapatır. İlk iki soru Türkiye'deki temel yükümlülüklere bakar: kişisel veri ve siber olay. Sonraki üç soru AB düzenlemelerinin kapsamını sorar.

Son soru sözleşmelere bakar. Soruların hiçbiri bir öncekinin cevabına göre atlanmaz. Kişisel veri yok diye ağacı ilk soruda bitirmek, en sık kaçırılan yükümlülüklerin kaynağıdır.

S1  Kişisel veri etkilendi mi?
      Evet: KVKK satırı açılır (Kurul 72 saat, ilgili kişiler).
      AB'de yaşayan kişiler etkilendiyse GDPR satırı da açılır.
S2  Sistemin ya da verinin gizliliği, bütünlüğü veya
    erişilebilirliği ihlal edildi mi?
      Evet: 7545 satırı açılır (Başkanlığa gecikmeksizin).
S3  Etkilenen hizmet AB'de NIS2 kapsamındaki bir kuruluşa mı ait?
      Evet: NIS2 satırı açılır (24 saat, 72 saat, 1 ay).
S4  Kurum finansal kuruluş mu, ya da birine BİT hizmeti mi veriyor?
      Kuruluşsa: DORA satırı (sınıflandırmadan 4 saat).
      Tedarikçiyse: sözleşmedeki destek ve haber verme maddesi.
S5  Olay, AB'de satılan bir ürünün güvenliğini etkiliyor mu,
    ya da üründe aktif istismar edilen bir zafiyet mi var?
      Evet: CRA satırı açılır (24 saat, 72 saat, ENISA platformu).
S6  Sözleşmede müşteriye ya da iş ortağına bildirim taahhüdü var mı?
      Evet: sözleşme satırı açılır (sözleşmedeki süre).

Her açık satır: muhatap, son tarih (TSİ), sorumlu, durum.

Ağacı sorularla oku. Birinci soru KVKK satırını açar; AB'de yaşayan kişiler etkilendiyse GDPR satırını da açar. KVKK'nın kanun metni risk eşiği koymaz, GDPR'deki risk değerlendirmesi ise satırı kapatabilir.

İkinci soru 7545'teki siber olay tanımını kullanır. Erişilebilirlik ihlali de sayılır, yani kilitlenen bir sunucu bu satırı açar. Üçüncü soru NIS2 kapsamındaki bir kuruluşun etkilenip etkilenmediğini sorar. Dördüncü soru DORA'yı iki yönden yakalar: kurum finansal kuruluşsa doğrudan, BİT tedarikçisiyse sözleşme yoluyla.

Beşinci soru CRA içindir ve olay kurumun sattığı dijital bir üründeyse açılır. Altıncı soru müşteri ve iş ortağı sözleşmelerini tarar. Her açık satıra bir muhatap, bir son tarih ve bir sorumlu yazılır.

Ağacı gece 02:00 olayına uygula. Depo yönetim sisteminden müşteri adı ve teslimat adresi çıktı.

Birinci soru evet der ve KVKK satırını açar. Etkilenenler arasında AB'de yaşayan kimse yoksa GDPR satırı kapalı kalır. İkinci soru da evet der, çünkü verinin gizliliği ihlal edildi; 7545 satırı açılır. Depo sistemi Hollanda şirketinin hizmetine dokunmadığı için üçüncü soru hayır der.

Dördüncü ve beşinci sorular da hayır der. Altıncı soru, bir kurumsal müşterinin sözleşmesindeki bildirim maddesini bulur. Sonuçta üç satır açıktır: Kurul ve ilgili kişiler, Başkanlık ve müşteri. Üçünün muhatabı, formu ve süresi birbirinden farklıdır.

Bazı rejimler bildirimi riske bağlar. GDPR'de otoriteye bildirim, risk doğurması olası olmayan ihlallerde gerekmez. İlgili kişiye bildirim ise yalnız yüksek risk varsa yapılır.

GDPR'nin 34. maddesi bir istisnayı da açıkça sayar: veri, şifreleme gibi yetkisiz kişiye anlaşılmaz kılan bir önlemle korunuyorsa kişilere bildirim gerekmez. Avrupa Veri Koruma Kurulu (EDPB), 01/2021 sayılı rehberinde bunu örneklerle anlatır. Bir örnekte fidye yazılımı şifreli saklanan verilere ulaşır, ama şifre çözme anahtarı ele geçmez.

Günlükler dışarıya veri çıkmadığını gösterir ve veri birkaç saatte yedekten döner. EDPB bu durumda ne otoriteye ne kişilere bildirim gerektiğini söyler, ama ihlalin kayda alınmasını ister. Şifresiz bir dizüstü bilgisayarın çalındığı örnekte ise risk yüksektir ve iki bildirim de gerekir.

Şifrelemenin koruması anahtarın güvenliği kadardır. Disk şifreli ama kurtarma anahtarı cihazın çantasındaki bir kâğıtta yazılıysa şifreleme koruma sağlamaz. Bu yüzden risk değerlendirmesinde şifreleme sorusunun hemen ardından ikinci bir soru gelir: anahtar da ele geçti mi? Anahtar güvendeyse ve kullanılan algoritma güncelse risk düşer.

Anahtar da sızdıysa veri şifresiz sayılır. KVKK'da durum biraz farklıdır. Kanun metni GDPR'deki gibi açık bir risk eşiği koymaz; ölçüt, verinin kanuni olmayan yollarla başkalarının eline geçip geçmediğidir.

Şifreleme bu sorunun cevabını değiştirebilir, ama karar her seferinde gerekçeyle yazılır. Şüphe sürüyorsa Altay Kargo bildirim yapmayı ve şifrelemeyi bildirimde alınan önlem olarak anlatmayı seçer.

Karar ağacı kâğıt üstünde kusursuz görünebilir. Asıl değeri, baskı altında doğru sırayla işletilip işletilmediğinde ortaya çıkar. Altay Kargo ağacı yılda bir kez masaüstü tatbikatıyla sınar.

CISA'nın masaüstü tatbikat paketleri bu iş için hazır senaryo, hedef ve tartışma soruları sunar. Ekip bunları kendi kurumuna uyarlar. Bu yılki senaryoda fidye yazılımı, depodaki konveyör bantlarını yöneten sunucuyu kilitledi.

Günlükler dışarıya veri çıkmadığını gösteriyordu ve sistemde kişisel veri yoktu. Ekip ilk soruda KVKK satırını kapattı ve tatbikatı neredeyse bitirecekti. Kolaylaştırıcı ikinci soruyu hatırlattı: erişilebilirlik ihlal edilmişti, yani 7545 satırı açıktı. Altıncı soruda bir kurumsal müşterinin sözleşmesindeki 24 saatlik bildirim maddesi bulundu.

Tatbikatın son ürünü, gerçek bir olayda yazılacak raporun provasıdır. Olay raporu altı bölüm taşır. Özet, olayı bir yöneticinin iki dakikada okuyabileceği biçimde anlatır.

Zaman çizelgesi ilk uyarıdan kapanışa kadar her adımı saatiyle verir. Etki bölümü hangi sistemin, hangi verinin ve kaç kişinin etkilendiğini yazar. Kök neden, olayın nasıl mümkün olduğunu açıklar.

Alınan önlemler sınırlama ve kurtarma adımlarını sayar. Öneriler ise sahibi ve tarihi olan düzeltici faaliyetlere dönüşür. Zaman çizelgesi aynı zamanda bildirimlerin zamanında yapıldığının kanıtıdır. Bu yüzden olay sırasında tutulur, sonradan hatırlanarak yazılmaz.