Hukuk Bürosu İçin Siber Güvenlik: 12 Temel Önlem

Hukuk bürosu için siber güvenliğin temeli, pahalı yazılımlardan önce on iki temel önlemdir: e-imza ve PIN disiplini, oltalamaya karşı dikkat, iki adımlı doğrulama, şifreli cihazlar, düzenli yedekleme, rol bazlı erişim ve hazır bir veri ihlali planı. Büro, müvekkil sırlarını ve özel nitelikli kişisel verileri tuttuğu için 6698 sayılı KVKK m.12 kapsamında veri güvenliği tedbirleri almakla yükümlüdür. Bir ihlal olursa Kurul'a bildirim için süre kısadır; bu yüzden plan önceden hazır olmalıdır.

Bu rehberde büyüklüğü ne olursa olsun her hukuk bürosunun uygulayabileceği 12 önlemi, öncelik sırasıyla ve somut adımlarla anlatıyoruz. Önlemlerin çoğu bir öğleden sonrada kurulabilir; asıl iş, bunları alışkanlık hâline getirmektir.

Hukuk büroları neden siber saldırı hedefidir?

Hukuk büroları, yüksek değerli ve hassas veriyi görece zayıf korumayla bir arada tuttuğu için saldırganlar açısından cazip hedeflerdir. Bir büronun sunucusunda ya da dizüstü bilgisayarında aynı anda kimlik bilgileri, banka hesapları, sağlık raporları, ceza dosyaları, ticari sırlar ve devam eden davaların stratejisi bulunabilir.

Saldırıların çoğu karmaşık teknik yöntemlerle değil, insan hatası üzerinden gelir: sahte bir "UYAP" ya da "e-Devlet" e-postası, bir müvekkilin ele geçirilmiş e-posta hesabından gelen sahte IBAN değişikliği, kilitsiz bırakılmış bir bilgisayar. Bu yüzden önlemlerin yarısı teknoloji, yarısı alışkanlıktır.

12 temel önlem nelerdir?

Aşağıdaki tablo, 12 önlemi öncelik ve uygulama zorluğuna göre özetler. Ayrıntılar izleyen bölümlerdedir.

No	Önlem	Öncelik	Zorluk
1	E-imza ve PIN güvenliği	Kritik	Düşük
2	Oltalama (phishing) farkındalığı	Kritik	Düşük
3	İki adımlı doğrulama	Kritik	Düşük
4	Güçlü ve benzersiz parolalar, parola yöneticisi	Yüksek	Düşük
5	Cihaz şifreleme ve ekran kilidi	Yüksek	Düşük
6	Güncellemeler	Yüksek	Düşük
7	Düzenli ve sınanmış yedekleme	Kritik	Orta
8	Rol bazlı erişim	Yüksek	Orta
9	Ödeme ve IBAN değişikliği doğrulaması	Yüksek	Düşük
10	Ağ güvenliği (Wi-Fi, misafir ağı)	Orta	Orta
11	Ayrılan personel ve cihaz kaybı prosedürü	Orta	Düşük
12	KVKK m.12 ve veri ihlali planı	Kritik	Orta

1. E-imza ve PIN nasıl korunmalı?

E-imza, avukatın UYAP ve UETS'deki kimliğidir; e-imzanın ve PIN'in korunması, büro güvenliğinin ilk ve en önemli adımıdır. E-imza ile atılan imza, elle atılan imzayla aynı hukuki sonucu doğurur.

• E-imza kartını veya USB tokenı bilgisayarda takılı bırakmayın; işiniz bitince çıkarın.
• PIN'i kimseyle paylaşmayın; sekretere veya stajyere "işi bitirsin" diye vermeyin. Her kişi kendi e-imzasıyla işlem yapmalıdır.
• PIN'i kartın yanında, not kâğıdında veya bilgisayarda düz metin dosyada saklamayın.
• Kart kaybolursa veya çalınırsa hizmet sağlayıcıya hemen başvurup sertifikayı iptal ettirin.

Kullandığınız yazılımların e-imzanıza nasıl eriştiğini de sorgulayın. Av. Asistan'ın UYAP entegrasyonu ve UETS e-tebligat entegrasyonu, kendi oturumunuzla girdiğiniz sistemlerden veriyi tarayıcı eklentisiyle aktarır; e-imza ve PIN bilgisi tarayıcınızdan çıkmaz.

2. Oltalama e-postaları nasıl tanınır?

Oltalama (phishing), güvenilir bir kurum veya kişi gibi görünen bir mesajla sizi sahte bir sayfaya parola girmeye ya da zararlı bir dosyayı açmaya yönlendirme girişimidir. Hukuk bürolarında en sık görülen saldırı türüdür.

Uyarı işaretleri

• Gönderen adresinin alan adı kurumun gerçek alan adıyla birebir aynı değil (harf değişikliği, ek kelime).
• Aciliyet baskısı: "Hesabınız 24 saat içinde kapatılacak", "tebligatınız bekliyor, hemen tıklayın".
• Beklemediğiniz bir ek: ".zip", ".exe", makrolu Office dosyası veya "fatura.pdf.exe" gibi çift uzantı.
• Bağlantının üzerine geldiğinizde görünen adresin, metinde yazan adresten farklı olması.
• Parola, PIN veya doğrulama kodu isteyen her mesaj.

Temel kural şudur: UYAP, UETS, e-Devlet veya bankaya e-postadaki bağlantıdan değil, adresi kendiniz yazarak ya da yer imlerinden girin. Tebligatları kontrol etmenin güvenli yolları ve KEP ile UETS'nin farkı için KEP ve UETS farkı yazımıza bakabilirsiniz.

3. İki adımlı doğrulama hangi hesaplarda açılmalı?

İki adımlı doğrulama, parolanın yanında ikinci bir kanıt (telefondaki uygulamadan kod, güvenlik anahtarı) isteyerek, parolası çalınan bir hesabın ele geçirilmesini büyük ölçüde engeller. Açılması gereken hesapların öncelik sırası şöyledir:

1. Büro e-posta hesapları (tüm parola sıfırlama e-postaları buraya gelir).
2. Bulut depolama ve yedekleme hesapları.
3. İnternet bankacılığı ve ödeme hesapları.
4. Alan adı ve web sitesi yönetim panelleri.
5. Kullandığınız büro yazılımları ve mesajlaşma uygulamaları (destekliyorsa).

SMS ile gelen kod hiç yoktan iyidir, ama mümkünse doğrulayıcı uygulama tercih edin. Kurtarma kodlarını kâğıda yazıp güvenli bir yerde saklayın. Bir yazılım iki adımlı doğrulama sunmuyorsa, o hesapta parola kalitesi ve e-posta hesabınızın korunması daha da önem kazanır.

4. Parolalar nasıl yönetilmeli?

Her hesap için benzersiz ve uzun bir parola kullanmak, bir sitede sızan parolanın diğer hesapları açmasını önler. Bunu ezberle yapmak mümkün olmadığı için parola yöneticisi kullanın.

• En az 14 karakterli, birkaç rastgele kelimeden oluşan parolalar.
• Büroda ortak hesap gerekiyorsa parolayı e-posta veya mesajla değil, parola yöneticisinin paylaşım özelliğiyle iletin.
• Tarayıcıya kayıtlı parolaları, cihaz ortak kullanılıyorsa kapatın.

5. Cihaz şifreleme neden zorunlu olmalı?

Cihaz şifreleme, dizüstü bilgisayar veya telefon kaybolduğunda ya da çalındığında içindeki verinin okunmasını engeller. Adliyeye, duruşmaya, müvekkile giderken taşınan cihazlar büro verisinin en savunmasız noktasıdır.

• Windows'ta BitLocker (veya cihaz şifreleme), macOS'ta FileVault açık olsun.
• Telefonlarda güçlü ekran kilidi (en az 6 haneli kod veya biyometri) kullanın; modern iOS ve Android cihazlarda kilit açıkken depolama şifrelidir.
• Ekran kilidi en geç birkaç dakikalık hareketsizlikte devreye girsin; masadan kalkarken kilitleyin.
• USB belleklerle müvekkil belgesi taşımaktan kaçının; zorunluysa şifreli bellek kullanın.

6. Güncellemeler neden ertelenmemeli?

İşletim sistemi, tarayıcı ve PDF okuyucu güncellemeleri, bilinen güvenlik açıklarını kapatır; ertelenen her güncelleme, saldırganın bildiği bir kapıyı açık bırakır. Otomatik güncellemeyi açın ve desteği bitmiş işletim sistemlerini büroda kullanmayın. Tarayıcı eklentilerini de gözden geçirin: kullanmadığınız eklentileri kaldırın, yalnız güvendiğiniz kaynaklardan eklenti kurun.

7. Büro verileri nasıl yedeklenmeli?

Doğru yedekleme, fidye yazılımı, cihaz arızası veya yanlışlıkla silmeye karşı büronun tek gerçek sigortasıdır. Yaygın kabul gören yaklaşım "3-2-1" kuralıdır: verinin 3 kopyası, 2 farklı ortamda, 1 tanesi büro dışında.

Kopya	Nerede?	Amaç
1. Asıl veri	Bilgisayar veya büro yazılımı	Günlük çalışma
2. Yerel yedek	Harici disk veya ağ diski	Hızlı geri dönüş
3. Dış yedek	Bulut veya büro dışında saklanan disk	Yangın, hırsızlık, fidye yazılımı

Yedeğin işe yaradığını ancak geri yükleyerek anlarsınız; üç ayda bir küçük bir geri yükleme denemesi yapın. Fidye yazılımına karşı en az bir yedeğin bilgisayara sürekli bağlı olmaması önemlidir. Bulut ve fiziksel arşivin karşılaştırması için bulut depolama ve fiziksel arşiv yazımıza bakabilirsiniz.

8. Büroda herkes her veriyi görmeli mi?

Hayır. Rol bazlı erişim, her kişinin yalnız işi için gereken veriye ulaşmasını sağlayarak hem içeriden kaynaklanan riski hem de bir hesabın ele geçirilmesinin zararını sınırlar. KVKK'daki ölçülülük ilkesi de bu yaklaşımı destekler.

Av. Asistan'da yönetici, avukat, sekreter ve asistan rolleri bulunur; mali bilgiler (gelir-gider) yalnız yönetici rolüne açıktır, diğer roller göremez. Görev atandığında atanan kişi ilgili dosyayı görür. Rollerin nasıl kurgulanacağını büroda rol ve yetki yazımızda ayrıntılı anlattık.

9. Sahte IBAN değişikliğine karşı ne yapılmalı?

Sahte IBAN dolandırıcılığında saldırgan, ele geçirdiği ya da taklit ettiği bir e-posta hesabından "hesap numaramız değişti" mesajı gönderir ve ödemeyi kendi hesabına yönlendirir. Önlemi basittir: ödeme bilgisindeki her değişikliği, daha önce bildiğiniz bir telefon numarasından sesli arayarak teyit edin. E-postadaki numarayı aramayın. Müvekkillerinize de büronun hesap bilgisinin e-postayla değişmeyeceğini önceden söyleyin.

10. Büro ağı nasıl korunur?

Büro ağı güvenliği, modemin varsayılan parolasının değiştirilmesi, güncel şifreleme (WPA2 veya WPA3) kullanılması ve misafirler için ayrı bir ağ açılmasıyla başlar. Müvekkillere ve ziyaretçilere büro ağının parolasını değil, misafir ağını verin. Adliye, kafe veya otel gibi açık ağlarda hassas işlem yapmanız gerekiyorsa telefonunuzun mobil bağlantısını tercih edin.

11. Ayrılan personel ve kaybolan cihazda ne yapılmalı?

Ayrılan bir çalışanın ya da kaybolan bir cihazın erişimini aynı gün kapatmak, en çok ihmal edilen ama en kolay önlemdir. Kısa bir kontrol listesi hazırlayın:

1. Büro yazılımı, e-posta ve bulut hesaplarındaki erişimi kapatın.
2. Ortak kullanılan parolaları değiştirin.
3. Büroya ait cihazları teslim alın; kayıp cihazda uzaktan silme özelliğini kullanın.
4. Kayıp cihazda müvekkil verisi varsa olayı aşağıdaki veri ihlali planına göre değerlendirin.

12. KVKK m.12 ve veri ihlali bildirimi nasıl yapılır?

6698 sayılı KVKK m.12, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir. Aynı maddeye göre işlenen verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurul'a bildirir.

Kişisel Verileri Koruma Kurulu, "en kısa süre" ifadesini, ihlalin öğrenilmesinden itibaren en geç 72 saat olarak yorumlamıştır. Etkilenen kişilere bildirimin de ilgili kişilerin tespit edilmesinden sonra makul en kısa sürede yapılması beklenir.

Basit bir ihlal planı

1. Tespit ve kayıt: Ne oldu, ne zaman fark edildi, hangi veriler etkilendi? Saatiyle not edin; 72 saat bu andan itibaren işler.
2. Sınırlama: Ele geçirilen hesabın parolasını değiştirin, cihazı ağdan ayırın, erişimleri kapatın.
3. Değerlendirme: Etkilenen kişi sayısını ve veri kategorilerini (özel nitelikli veri var mı) belirleyin.
4. Bildirim: Kurul'un ihlal bildirim formuyla bildirimi yapın; bilgiler eksikse tamamlanabilecek olanları sonradan ekleyin.
5. İlgili kişiler: Etkilenen müvekkillere açık ve sade bir dille bilgi verin.
6. Ders çıkarma: Olayın kök nedenini yazın ve aynı açığı kapatın.

Yapay zekâ araçlarının KVKK açısından nasıl değerlendirileceğini avukatlar için yapay zekâ ve KVKK yazımızda, kimlik bilgilerini koruma yöntemlerini ise müvekkil verisi maskeleme yazımızda ele aldık.

Büro yazılımı seçerken güvenlik açısından neye bakılmalı?

Büro yazılımı seçerken güvenlik açısından sorulacak temel sorular, verinin nerede tutulduğu, kimin hangi veriye erişebildiği ve e-imza gibi kimlik bilgilerine yazılımın erişip erişmediğidir. Satıcıya şunları sorun:

• Veri hangi ülkede saklanıyor, yurt dışı aktarım için bilgilendirme ve onay alınıyor mu?
• Rol bazlı erişim var mı, mali bilgiler kimlere açık?
• Yazılım e-imza veya PIN bilgisini görüyor ya da saklıyor mu?
• Yapay zekâ özellikleri varsa hangi veriler gönderiliyor, kapatılabiliyor mu?

Av. Asistan, UYAP ve UETS verisini tarayıcı eklentisiyle otomatik aktaran, Türk avukatlar için yapay zekâ destekli büro yönetim uygulamasıdır. Yapay zekâ özellikleri ilk kullanımda yurt dışı aktarım bilgilendirmesiyle açık onaya bağlıdır; ceza dosyalarında yapay zekâ sunucu tarafında kapalıdır, tebligatlar ve ekleri hiçbir koşulda yapay zekâya gönderilmez. Daha genel seçim ölçütleri için avukat büro programı seçimi rehberimize bakabilirsiniz.

Ayrıca okuyun: Hukuk Bürosunda Veri Yedekleme: 3-2-1 Kuralı ve Uygulama, AB Yapay Zekâ Yasası Türk Avukatları Nasıl Etkiler?

Sık Sorulan Sorular

Küçük bir büro da siber saldırı hedefi olur mu?

Evet. Saldırıların büyük kısmı hedef seçmeden toplu gönderilen oltalama e-postalarıyla başlar. Küçük bürolar daha az korumaya sahip olduğu için çoğu zaman daha kolay hedeftir.

Veri ihlalini Kurul'a ne kadar sürede bildirmeliyim?

KVKK m.12 "en kısa süre" der; Kurul bu süreyi ihlalin öğrenilmesinden itibaren en geç 72 saat olarak yorumlamıştır. Bilgiler eksik olsa bile bildirimi geciktirmeyin.

E-imza PIN'imi sekreterle paylaşabilir miyim?

Paylaşmamalısınız. E-imza ile yapılan işlem sizin işleminiz sayılır. Her kişi kendi yetkisiyle ve kendi kimlik bilgileriyle işlem yapmalıdır.

İki adımlı doğrulamayı önce nerede açmalıyım?

Önce e-posta hesabınızda açın; diğer hesapların parola sıfırlama bağlantıları e-postaya gelir. Ardından bulut depolama, bankacılık ve destekleyen büro yazılımlarında açın.

Fidye yazılımına karşı en etkili önlem nedir?

Bilgisayara sürekli bağlı olmayan, düzenli olarak sınanmış bir yedek. Güncellemeler ve oltalama farkındalığı saldırı ihtimalini azaltır, yedek ise saldırı olursa veriyi kurtarır.

Av. Asistan eklentisi e-imzama erişiyor mu?

Hayır. Eklenti, kendi oturumunuzla eriştiğiniz UYAP ve UETS verisini aktarır; e-imza ve PIN bilgisi tarayıcınızdan çıkmaz.