Zararlı Yazılım ve Bilişim Güvenliğinin Hukuki Sınırları
Teknolojinin hızla gelişmesi ve dijital sistemlerin hayatın merkezine yerleşmesi, siber tehditlerin de boyut değiştirmesine neden olmuştur. Türk Ceza Kanunu (TCK), bu tehditlerle mücadele edebilmek amacıyla bilişim suçları alanında özel düzenlemelere yer vermiştir. Bu düzenlemelerin en önemlilerinden biri, siber güvenlik dünyasında sıklıkla tartışılan ve uygulamada ciddi hak kayıplarına yol açabilen TCK 245/A maddesinde düzenlenen zararlı yazılım oluşturma, ithal etme, sevk etme, satma, satın alma, kabul etme veya bulundurma suçudur.
Kanun koyucu bu düzenleme ile sadece sisteme sızılması veya verilerin zarar görmesi aşamasını değil, bu eylemlere zemin hazırlayan araçların üretilmesini ve dolaşıma sokulmasını da bağımsız bir suç olarak tanımlamıştır. Bu durum, siber suçlarla mücadelede koruyucu ve önleyici bir ceza hukuku yaklaşımının benimsendiğini göstermektedir. Ancak suçun tanımındaki teknik detaylar, yargılama aşamasında bilişim uzmanlığı ile ceza hukuku dogmatiğinin birlikte ele alınmasını zorunlu kılmaktadır.
TCK 245/A Maddesinin Hukuki Çerçevesi ve Suçun Unsurları
Kanun metni incelendiğinde, suçun konusunun "bir cihazın, bilgisayar programının, şifrenin veya güvenlik kodunun" münhasıran bilişim sistemlerinin engellenmesi, bozulması, verilerin yok edilmesi, değiştirilmesi veya ele geçirilmesi amacıyla yapılması olduğu görülür. TCK 245/A kapsamındaki suçun oluşabilmesi için seçimlik hareketlerden en az birinin gerçekleştirilmesi gerekir. Bu hareketler şu şekilde sıralanabilir:
- Zararlı yazılımı veya aracı üretmek ya da hazırlamak,
- Yurt dışından Türkiye'ye ithal etmek,
- Bir yerden başka bir yere sevk etmek,
- Ticari amaçla veya amaçsız olarak satmak ya da satın almak,
- Başkasına vermek üzere kabul etmek,
- Sistemde veya fiziksel ortamda bulundurmak.
Bu suçun en kritik unsurlarından biri münhasıran (sadece ve yalnızca) bu kötü niyetli amaçlar için üretilmiş olma şartıdır. Örneğin, hem siber güvenlik testlerinde (sızma testleri - pentest) hem de kötü niyetli saldırılarda kullanılabilen çift amaçlı (dual-use) yazılımların bu madde kapsamında değerlendirilip değerlendirilemeyeceği, yargılamanın seyrini değiştiren en temel tartışma konusudur.
Uygulamada Sık Karşılaşılan Sorunlar ve Usul Hataları
Ceza yargılamalarında en sık yapılan usul hatası, ele geçirilen yazılımın veya kodun işlevinin tam olarak analiz edilmeden, doğrudan "zararlı yazılım" olarak nitelendirilmesidir. Kolluk kuvvetlerinin hazırladığı ilk inceleme raporları genellikle yüzeysel olmakta ve yazılımın çift amaçlı kullanım özelliklerini göz ardı edebilmektedir. Bu durum, siber güvenlik uzmanlarının, yazılımcıların veya sistem yöneticilerinin haksız yere cezalandırılma riskiyle karşı karşıya kalmasına neden olmaktadır.
Bir diğer önemli usul hatası ise dijital delillerin elde ediliş biçimidir. Bilgisayar, telefon veya sunucularda yapılan aramalarda CMK 134. maddesindeki usul kurallarına riayet edilmemesi, imaj (kopya) alma işleminin usulüne uygun yapılmaması ve hash değerlerinin zamanında belirlenmemesi delillerin sıhhatini şüpheli hale getirir. Dijital delillere dışarıdan müdahale edilip edilmediği netleştirilmeden kurulan hükümler, adil yargılanma hakkını doğrudan zedelemektedir.
Ayrıca, bu suçun niteliği gereği, Güveni Kötüye Kullanma Suçu ve Ceza Davasında Savunma süreçlerinde olduğu gibi, failin kastının ve sahip olduğu yetkilerin sınırlarının tam olarak çizilmesi gerekir. Şirket içi yetkilendirmeler, sistem yöneticisinin görev tanımı ve yazılımın geliştirilme amacı mahkeme aşamasında mutlaka derinlemesine incelenmelidir.
Yargıtay'ın Güncel Kriterleri ve Emsal Yaklaşımları
Yargıtay Ceza Daireleri, TCK 245/A maddesi kapsamındaki yargılamalarda somut ve teknik kriterler aramaktadır. Yargıtay'ın yerleşik içtihatları çerçevesinde öne çıkan 3 temel kriter şunlardır:
1. Münhasıran Zarar Verme Amacı Kriteri: Yargıtay, ele geçirilen program veya kodun sadece ve yalnızca siber saldırı, veri hırsızlığı veya sistemi engelleme amacıyla kullanılıp kullanılamayacağını net olarak tespit edilmesini şart koşar. Eğer yazılım, ağ güvenliğini test etmek veya sistem açıklarını kapatmak amacıyla da kullanılabiliyorsa, doğrudan bu suçun oluştuğundan bahsedilemez.
2. Uzman Bilirkişi Heyeti Raporu Zorunluluğu: Yargıtay kararlarında, kolluğun hazırladığı siber suçlar raporunun tek başına hükme esas alınamayacağı vurgulanmaktadır. Üniversitelerin bilgisayar mühendisliği veya adli bilişim bölümlerinden seçilecek uzman akademisyenlerden oluşan 3 kişilik bilirkişi heyetinden, yazılımın kaynak kodlarını inceleyen detaylı bir rapor alınması zorunludur.
3. Kastın Belirlenmesi ve Kullanım Amacı: Yargıtay, sanığın mesleki konumunu, dijital materyali elde etme ve bulundurma gerekçesini araştırmaktadır. Bir siber güvenlik araştırmacısının bilgisayarında bulunan açık kaynak kodlu sızma araçları ile sıradan bir vatandaşın bilgisayarındaki casus yazılımlar (keylogger, trojan) aynı kefede değerlendirilmemektedir.
Bu doğrultuda, siber suçlarla ilgili yargılamalarda teknik savunmanın önemi büyüktür. Tıpkı TCK 157 Basit Dolandırıcılık Suçu ve Ceza Davasında Savunma süreçlerinde failin hileli davranışlarının somut olarak ortaya konması gerektiği gibi, TCK 245/A kapsamındaki davalarda da yazılımın niteliği somut delillerle çürütülmelidir.
Siber Ceza Davalarında Savunma Stratejileri ve Rehber Öneriler
Hakkında TCK 245/A maddesinden soruşturma veya kovuşturma yürütülen kişilerin hak kayıplarını önlemek adına profesyonel bir savunma stratejisi izlemesi şarttır. İlk aşamada yapılması gereken, ele geçirilen dijital materyallerin CMK 134'e uygun olarak elde edilip edilmediğini kontrol etmektir. Usulsüz imaj alma işlemleri yargılamanın her aşamasında ileri sürülmelidir.
İkinci olarak, suçlama konusu yapılan yazılımın kaynak kodları analiz edilmeli ve çift amaçlı kullanım senaryoları raporlanmalıdır. Savunma makamı, gerekirse uzman mütalaası (CMK 179) alarak mahkemeye sunmalıdır. Bu mütalaa, mahkemenin atayacağı bilirkişilerin tek taraflı veya hatalı rapor hazırlamasının önüne geçmek adına en güçlü hukuki araçlardan biridir.
Sıkça Sorulan Sorular
Siber güvenlik uzmanlarının bilgisayarında sızma testi araçlarının bulunması suç oluşturur mu?
Hayır, münhasıran zarar verme amacı taşımayan, siber güvenlik açıklarını tespit etmek için kullanılan çift amaçlı araçların (Nmap, Metasploit vb.) meşru mesleki faaliyetler kapsamında bulundurulması TCK 245/A suçunu oluşturmaz. Ancak kullanım amacı ve somut olaydaki kastın ispatlanması gerekir.
TCK 245/A suçunun cezası nedir ve ertelenebilir mi?
Kanunda bu suç için öngörülen ceza 1 yıldan 3 yıla kadar hapis ve beşbin güne kadar adli para cezasıdır. Şartların varlığı halinde hükmün açıklanmasının geri bırakılması (HAGB) veya hapis cezasının ertelenmesi kararı verilmesi mümkündür.
Zararlı yazılımı sadece bilgisayarda saklamak, hiç kullanmamış olmak suçtan kurtarır mı?
Hayır, kanun metninde "bulundurma" eylemi de seçimlik hareket olarak düzenlenmiştir. Eğer yazılım münhasıran zarar verme amaçlıysa, sadece sistemde bulundurulması dahi suçun oluşması için yeterlidir.
Kolluk tarafından alınan imajın hash değerinin verilmemesi davayı nasıl etkiler?
İmaj alma esnasında hash (parmak izi) değerinin belirlenmemesi ve şüpheliye teslim edilmemesi, delil bütünlüğünü bozar. Bu durum, savunma tarafından delilin hukuka aykırı hale geldiği yönünde güçlü bir itiraz olarak ileri sürülebilir.
Adli Bilişim Süreçlerinde Dikkat Edilmesi Gereken Hayati Husus
Bilişim hukuku davalarında teknik gerçeklik, hukuki yorumun temelini oluşturur. TCK 245/A maddesi kapsamındaki iddialarla karşı karşıya kalındığında, panikle hareket etmeden ve kolluk aşamasında aceleci ifadeler vermeden önce dijital materyallerin koruma altına alınması sağlanmalıdır. Teknik bir konunun hukuki savunmayla doğru harmanlanması, dosyadaki tüm dengeleri değiştirebilecek güçtedir. Bu nedenle, sürecin başından itibaren hem ceza muhakemesi usulüne hem de adli bilişim metodolojisine hakim bir uzman desteğiyle hareket edilmesi en somut ve hayati tavsiyemizdir.