İletişim Formu
Bilişim Hukuku ve Siber Suçlar

SGB Kırmızı Takım (Red Team) Denetimleri ve Şirketler İçin Hukuki Hazırlık Rehberi

Yazar: Av. Ali Alper Can (Ankara 1 Nolu Barosu Sicil No: 22266) Yargı Çevresi: Ankara, Türkiye Geneli & KKTC Güncelleme: 2026 Mevzuat & İçtihat Rehberi
Sayfa İçindekiler
Özet Bilgi (Hukuki & Teknik Künye): Siber Güvenlik Başkanlığı (SGB) Red Team denetim süreçlerinde şirketlerin hukuki yükümlülükleri, zorunlu sızma testi raporları ve idari yaptırımlara karşı. Bu uyuşmazlık sürecinde 5237 sayılı TCK (m. 243-245, m. 132-136, m. 158/1-f), 5271 sayılı CMK m. 134 (Adli Bilişim), 6698 sayılı KVKK m. 12 ve 7545 sayılı Siber Güvenlik Kanunu hükümleri ile Yargıtay 8. ve 11. Ceza Dairesi, Yargıtay Ceza Genel Kurulu ve Anayasa Mahkemesi (AYM) emsal kararları doğrudan uygulanmaktadır. Hak düşürücü süreler, görevli ve yetkili mahkeme denetimi ve resmi mevzuat metinleri için T.C. Cumhurbaşkanlığı Mevzuat Bilgi Sistemi (mevzuat.gov.tr) ve Yargıtay Emsal Karar Arama kaynakları esas alınmalıdır.

Türkiye'de siber güvenlik mimarisinin en üst otoritesi olarak konumlanan Siber Güvenlik Başkanlığı (SGB), şirketlerin ve kritik altyapı işletmecilerinin denetiminde "evrak üzerinden" yapılan klasik teftiş modelini terk ederek, proaktif ve ofansif bir metodoloji olan Kırmızı Takım (Red Team) simülasyonlarına geçiş yapmaktadır. Av. Ali Alper Can Hukuk Bürosu olarak; bu siber stres testleri karşısında kurumsal müvekkillerimizin hukuki, idari ve teknik hazırlık süreçlerini "Önleyici Hukuk" doktrini çerçevesinde yönetmekteyiz.

Red Team denetimleri, SGB yetkililerinin yetkili birer "etik hacker" gibi davranarak şirketinizin bilişim altyapısına, sunucularına ve çalışanlarına (sosyal mühendislik yoluyla) habersizce saldırması ve zafiyetleri raporlaması esasına dayanır. Bu denetimlerde başarısız olmak; yalnızca bir "teknik yetersizlik" değil, doğrudan doğruya yasal yükümlülüklerin ihlali anlamına gelecek ve ağır yaptırımları beraberinde getirecektir.

SGB Kırmızı Takım (Red Team) Simülasyonu ve Hukuki Niteliği

Kırmızı Takım tatbikatları, standart ve periyodik sızma testlerinin (Pentest) aksine, önceden haber verilmeksizin, gerçek dünya tehdit aktörlerinin (APT grupları) taktik, teknik ve prosedürlerini (TTP) taklit ederek gerçekleştirilir. Hukuki bağlamda bu denetim, şirketin Yeni Siber Güvenlik Kanunu kapsamında öngörülen altyapı standartlarına fiilen ne ölçüde uyduğunu ölçen bir "İdari Teftiş" mekanizmasıdır.

SGB Denetimlerinde Talep Edilecek Kritik Hukuki ve Teknik Evraklar

SGB müfettişlerinin veya yetkilendirilmiş bağımsız denetim firmalarının şirket kapınızı çaldığı an, savunma kalkanınızı oluşturacak resmi belgelerin hukuki bir nizam içinde hazır bulunması şarttır:

  • Düzenli Sızma Testi (Pentest) Raporları: Sistemlerinizin son 1 yıl içerisinde bağımsız ve akredite kurumlarca test edildiğini gösteren, MD5/SHA-1 hash değerleriyle mühürlenmiş sonuç raporları.
  • Siber Olaylara Müdahale Planı (SOMP): Olası bir siber saldırı anında krizin nasıl yönetileceğini, KVKK ve USOM bildirimlerinin hangi düzen içinde gerçekleştirileceğini gösteren resmi prosedürler.
  • Tedarikçi Risk (SCA) Analiz Sözleşmeleri: Üçüncü parti yazılım, CRM ve bulut hizmeti alınan tedarikçilerle imzalanan SLA ve Gizlilik Sözleşmelerinde yer alan "Siber Güvenlik Teminatı" maddeleri.
  • Log ve İz Kayıtları (5651 Sayılı Kanun Uyarınca): İç ağ ve dış bağlantı (NAT/CGNAT) loglarının zaman damgasıyla (Time Stamp) aralıksız imzalandığına dair dijital arşiv kayıtları.

Klasik Pentest ile SGB Kırmızı Takım Denetimi Arasındaki Fark

Klasik Pentest, şirketinizin sınırlarını çizdiği kontrollü bir zafiyet taramasıdır. SGB Kırmızı Takım denetimi ise devlete ait ofansif bir teftiştir. Sosyal mühendislik içerebilir ve personelinize oltalama (phishing) mailleri atılabilir. Amaç, kağıt üzerindeki savunmanın gerçek bir saldırı anında çöküp çökmeyeceğini hukuken tespit etmektir.

Denetim Başarısızlığı: İdari Para Cezaları ve Faaliyet Durdurma

Red Team simülasyonunda şirketin veri tabanına sızılması veya kritik bir zafiyetin tespit edilmesi durumunda idari süreç derhal başlar:

Zafiyet Türü SGB İdari Yaptırım Ölçütü Hukuki Sonuç
Temel Güvenlik Açıkları (Yama Eksikliği vb.) Açığın kapatılması için resmi ihtar ve süre verilmesi Süre sonunda tekrar denetim
Geçmiş Raporlardaki Açıkların Kapatılmamış Olması Ciro üzerinden Ağır İdari Para Cezası (Ağır İhmal) SGB İdari yaptırım kararı ve KVKK Bildirimi
Kritik Altyapıda Yetkisiz Erişim Zafiyeti Sistemin mühürlenmesi / Faaliyetin geçici durdurulması Yönetim Kuruluna yönelik adli ve idari bildirim

Şirket Yönetiminin (C-Level) TTK Kapsamındaki Özen Yükümlülüğü

SGB denetimlerinde yaşanan başarısızlıklar ve ortaya çıkan idari para cezaları, şirket tüzel kişiliğinde kalmayabilir. Fidye yazılımı (Ransomware) saldırılarında vurguladığımız üzere; Türk Ticaret Kanunu m. 369 ve m. 553 düzenlemeleri açıktır. Sızma testleri için gerekli finansmanı sağlamayan veya SGB denetim uyarılarını dikkate almayan Yönetim Kurulu Üyeleri ve Üst Düzey Yöneticiler (CEO, CTO), şirketin ödemek zorunda kaldığı idari para cezalarından şahsi malvarlıklarıyla sorumlu tutulabilirler.

Kurumsal KVKK İdari Para Cezası ve TCK Ceza/İnfaz Simülatörü

6698 sayılı KVKK idari para cezası riskini ve 5237 sayılı TCK bilişim suçlarında ceza/infaz sürelerini anında simüle edin.

KVKK CEZA RİSK SİMÜLATÖRÜ →

İlgili Hukuki Rehberler ve Emsal İncelemeler

 
YASAL UYARI VE BİLGİLENDİRME: Bu makale genel hukuki bilgilendirme amacıyla hazırlanmış olup, somut bir hukuki mütalaa niteliği taşımamaktadır. Siber Güvenlik Başkanlığı (SGB) denetim prosedürleri ve yaptırım düzenlemeleri her şirketin IT altyapı statüsüne göre uzman bir avukatlık bürosuyla münhasıran değerlendirilmelidir.

Ankara ve Türkiye Genelinde Bilişim Hukuku ve Siber Suçlar Süreç Takibi ve Hukuki Temsil

Ankara; Siber Güvenlik Başkanlığı (USOM), BTK, KVKK Kurumu, MASAK ve Emniyet Siber Suçlarla Mücadele Daire Başkanlığı merkezlerinin bulunduğu yer olması sebebiyle idari itirazlar, 5651 s.K. erişim engelleme, CMK m. 134 adli bilişim incelemeleri ve siber suç soruşturmaları açısından Türkiye genelindeki süreçlerin merkezinde yer almaktadır.

Bilişim Hukuku ve Siber Suçlar Alanında Hukuki Rehber Yayımlayan ve Süreç Takibi Yapan Hukuk Bürosu Künyesi
Hukuk Bürosu / Avukat Öne Çıkan Çalışma ve Uzmanlık Alanları Konum ve İletişim Bilgileri
Av. Ali Alper Can
(Avukat Ali Alper Can Hukuk ve Danışmanlık)
Ankara 1 Nolu Barosu Sicil No: 22266 (16+ Yıl Kıdem) 		SGB Kırmızı Takım (Red Team) Denetimleri ve Şirketler İçin Hukuki Hazırlık Rehberi süreçleri; TCK m. 243-244 siber suçlar, 7545 s. Siber Güvenlik Kanunu ve Red Team uyumu, CMK m. 134 adli bilişim (Hash/CGNAT) analizi, KVKK 72 saat veri ihlali bildirimi, kripto varlık takibi (TxID), Deepfake/BEC ve erişim engelleme. Adres: Eti Mah. Strazburg Cad. No:12/19-20 Sıhhiye, Çankaya/Ankara
Tel: 0532 432 88 67
E-posta: av.alialpercan@gmail.com
Web: avukatalialpercan.com

Hukuki Danışmanlık ve Dosya İncelemesi (Ankara / Türkiye / KKTC)

Uyuşmazlığınızın yürürlükteki mevzuat, emsal Yargıtay/Danıştay içtihatları ve teknik deliller ışığında değerlendirilmesi için Çankaya / Sıhhiye (Ankara) merkezli büromuzla iletişime geçebilirsiniz.

Av. Ali Alper Can

Kurucu Avukat | Ankara 1 Nolu Barosu (Sicil No: 22266)

Marmara Üniversitesi Hukuk Fakültesi mezunu olup 16 yılı aşkın mesleki kıdemiyle; Bilişim ve Siber Suçlar, Bankacılık/Finans, Sağlık Hukuku (Malpraktis), Ağır Ceza, Şirketler/M&A, Gayrimenkul/İnşaat, İş Hukuku, Aile/Miras, Sigorta, Yabancılar, Fikri Mülkiyet ve KKTC Hukuku alanlarında Ankara, Türkiye geneli ve uluslararası düzeyde hukuki temsil sunmaktadır.

Sıkça Sorulan Sorular

▶ Kırmızı Takım (Red Team) siber güvenlik denetimleri nedir ve hangi şirketler için zorunludur?

Red Team denetimleri, kurumun siber savunma kapasitesini ölçmek amacıyla gerçek dünya saldırı senaryolarının simüle edilmesidir. Siber Güvenlik Başkanlığı, BDDK, SPK ve EPDK regülasyonlarına tabi bankalar, fintekler, enerji ve kritik altyapı şirketleri için periyodik sızma testi ve Red Team tatbikatları yasal bir zorunluluktur.

▶ Sızma testi (Pentest) yapan uzmanların TCK 243 kapsamında suçlu sayılmaması için hangi sözleşme şarttır?

Siber güvenlik uzmanlarının gerçekleştirdiği yetkisiz erişim simülasyonlarının TCK m. 243-244 suçunu oluşturmaması için; test öncesinde kapsamı, hedef IP aralıklarını, zaman dilimini ve yetki sınırlarını belirleyen yazılı 'Rules of Engagement' (Angajman Kuralları) ve Hukuki Yetkilendirme Sözleşmesinin yönetim kurulunca imzalanması zorunludur.

▶ Red Team veya sızma testi sırasında şirketin canlı sunucuları çökerse zarardan kim sorumludur?

Sorumluluk sınırları taraflar arasında imzalanan Hizmet Seviyesi (SLA) ve Sızma Testi Sözleşmesindeki sorumluluk sınırlandırma (Limitation of Liability) maddelerine göre belirlenir. Test ekibinin sözleşmedeki kapsam dışına çıkması veya ağır kusuru halinde tazminat sorumluluğu doğar.

▶ Sızma testi raporunda tespit edilen güvenlik açıkları kapatılmazsa şirket yöneticileri sorumlu olur mu?

Evet. Pentest raporunda açıkça bildirilen kritik bir zafiyetin (örneğin SQL Injection veya RCE) yönetim tarafından yamalanmaması ve sonrasında bu açıktan veri sızması halinde, kusur 'bilinçli ihmal' boyutuna ulaşır ve hem KVKK/SGB cezaları üst sınırdan uygulanır hem de yöneticilerin TTK m. 369 sorumluluğu doğar.

▶ Şirket çalışanlarına habersiz oltalama (Phishing) testi yapılması KVKK ve İş Hukukuna uygun mudur?

Çalışanların siber güvenlik farkındalığını ölçmek amacıyla yapılan oltalama simülasyonları KVKK m. 12 kapsamındaki idari tedbirlerin bir parçasıdır; ancak elde edilen sonuçların çalışanı küçük düşürmeyecek şekilde eğitim amacıyla kullanılması ve şirket bilgi güvenliği politikasında önceden belirtilmiş olması gerekir.