Adli Bilişim Olay Prosedürü (Zerone Teknoloji A.Ş.)

1. Amaç ve Kapsam

Bu prosedür; dijital kanıtların hukuka uygun, bütünlüğü korunarak toplanması, incelenmesi ve raporlanması için izlenecek standart adımları tanımlar. Kuruluş içi olaylara (veri sızıntısı, kötü amaçlı yazılım, çalışan suistimali vb.) ve dış kaynaklı taleplere uygulanır.

2. Roller ve Sorumluluklar

Rol	Sorumluluk	İletişim
Olay Yöneticisi (IR Lead)	Karar, öncelik, iletişim, hukuki koordinasyon	Tel/E-posta
Adli Analist	Toplama, imajlama, analiz, raporlama	Tel/E-posta
Sistem/Ağ Uzmanı	Erişim, izolasyon, log temini	Tel/E-posta
Hukuk/İK	Hukuka uygunluk, KVKK/GDPR, disiplin	Tel/E-posta

3. İlk 60 Dakika Akışı (First Responder)

☐ Yetki ve kapsamı doğrula; yazılı talimat/olay bileti oluştur.

☐ Olay sistemini izole et; mümkünse canlı sistemde RAM önceliklendirilir.

☐ Zaman senkronu/saat dilimini kaydet; ekran görüntüsü ve kısa saha notu al.

☐ Zincir kaydı başlat; delil numarası ver, delil torbası ve etiket kullan.

☐ Kritik log rotasyonunu durdur; bulut/SaaS için legal hold başlat.

4. Zincir Kaydı (Chain of Custody) Formu

Delil ID	Açıklama	Toplayan (Ad/İmza)	Teslim Alan (Ad/İmza)	Tarih-Saat / Yer

Not: Her transferde yeni satır açılır. Deliller mühürlü ve numaralı torbalarda saklanır.

5. Toplama & İmajlama Kontrol Listesi

☐ Bit-eş imaj (RAW/E01/AFF4) + hash (SHA-256) alındı, imaj günlüğü tutuldu.

☐ Yazma engelleyici kullanıldı (gerekirse mobil için Faraday).

☐ RAM dump gerçekleştirildi (gerekiyorsa), araç sürümü ve saat kaydedildi.

☐ Loglar (uç, sunucu, güvenlik duvarı, EDR, SaaS) güvenli kopyalandı.

☐ Bulut/SaaS için erişim logları, versiyon geçmişi ve IP kayıtları talep edildi.

6. Analiz ve Zaman Çizelgesi

• Kanıt bütünlüğü doğrulandı (hash eşleşmesi).  • Dosya sistemi, olay günlükleri, tarayıcı ve uygulama artefaktları zaman çizelgesinde birleştirildi.
• Hipotezler açıklandı; kritik bulgular ikinci bir araçla doğrulandı; bağımsız kanıtlar arası korelasyon sağlandı.

7. Olay Raporu Şablonu (Özet)

A) Olay Özeti: Kısa açıklama, etki alanı, tespit yöntemi.
B) Zaman Çizelgesi: UTC/yerel ayrı gösterim; kritik olaylar dakikasıyla.
C) Toplanan Kanıtlar: Aşağıdaki tabloya işlenir.

Delil ID	Açıklama/Kaynak	Hash (SHA-256)	Konum

D) Bulgular: Tespitler, kullanılan araçlar/sürümleri ve sınırlılıklar.
E) Kök Neden & Etki: İlk giriş vektörü, kapsam, etkilenen varlıklar.
F) Düzeltici Önlemler: Kısa/orta/uzun vadeli öneriler ve sorumlu birimler.
G) Ekler: Ekran görüntüleri, hash çıktıları, log örnekleri.

8. Saklama, Gizlilik ve Erişim

☐ Deliller şifreli ortamda (at rest) saklanır; erişim rol tabanlıdır (least privilege).

☐ Transferler TLS ile yapılır; erişim ve değişiklikler denetim iziyle kaydedilir.

☐ Yasal saklama süreleri ve KVKK/GDPR gereklilikleri uygulanır; amaçla sınırlılık esastır.

Kullanım Notu: Bu prosedür teknik kılavuz niteliğindedir; hukuki danışmanlığın yerine geçmez. Yerel mevzuat ve kurum içi politikalarla birlikte uygulanmalıdır.

Zerone Teknoloji A.Ş. • Adli Bilişim Olay Prosedürü • Sürüm: 1.0