Adli Bilişimin Hukuki Süreçlerdeki Yeri ve İşlevi

Adli bilişim, elektronik ortamda bulunan verilerin belirli bir olay hakkında teknik olarak anlamlandırılmasına hizmet eden inceleme alanıdır. Hukuki süreçlerdeki değeri, bilgisayar veya telefon içeriğini görünür hale getirmekten daha geniştir. Verinin nereden geldiğinin, hangi sistemde oluştuğunun, değişikliğe uğrayıp uğramadığının, zaman ve kullanıcı ilişkilerinin ne ölçüde kurulabildiğinin teknik yöntemlerle araştırılması mümkündür. Bununla birlikte adli bilişim incelemesi hukuki hüküm kurmaz, teknik bulgunun hangi hukuki sonucu doğurduğu mahkemenin ve hukuki değerlendirmenin alanındadır.

Teknik inceleme hangi sorulara cevap verebilir

Bir dijital cihaz veya sistem üzerinde yapılan inceleme, olayın niteliğine göre çok farklı teknik sorulara yöneltilebilir. Belirli bir dosyanın cihazda bulunup bulunmadığı, dosyanın bilinen kopyalarla aynı içeriğe sahip olup olmadığı, bir kullanıcı hesabının hangi zaman aralıklarında etkin olduğu, bir programın çalıştırılmasına ilişkin izlerin bulunup bulunmadığı, kayıtların silinmiş verilerden kurtarılıp kurtarılamayacağı veya loglarda belirli bir bağlantının yer alıp almadığı teknik incelemenin konusu olabilir. Bu soruların her biri ölçülebilir veri ve yönteme dayanır.

Teknik sorunun doğru kurulması incelemenin niteliğini doğrudan etkiler. “Şüpheli bu suçu işledi mi” sorusu adli bilişim uzmanının teknik olarak cevaplayabileceği bir soru değildir. Uzman, örneğin belirli bir kullanıcı hesabından belirli zamanda oturum açıldığını, bir dosyanın cihazda bulunduğunu veya ağ kaydında belirli IP bilgisinin yer aldığını tespit edebilir. Bu tespitlerin sanığın fiille bağlantısını hangi ölçüde kurduğu, kastın bulunup bulunmadığı ve suçun diğer unsurlarının gerçekleşip gerçekleşmediği hukuki değerlendirmeye tabidir.

Aynı ayrım özel hukukta da geçerlidir. Bir çalışanın hesabından belirli bir belgenin dışarı aktarıldığı teknik kayıtlarla gösterilebilir. Belgenin ticari sır niteliği, kişinin sözleşmesel yetkisi, işverenin izleme faaliyetinin hukuka uygunluğu veya eylemin tazminat sorumluluğu doğurup doğurmadığı teknik raporun tek başına çözebileceği meseleler değildir. Adli bilişim veriyi açıklar, hukuki normla olgu arasındaki bağlantıyı hukuk kurar.

Adli bilişim incelemesinin hukuki sürece giriş yolları

Dijital inceleme ceza soruşturmasında kolluk birimi, bilirkişi veya uzman kurum aracılığıyla yapılabilir. Hukuk yargılamasında mahkemece bilirkişi incelemesi yaptırılabilir veya tarafların sunduğu teknik raporlar uyuşmazlığın açıklanmasında rol oynayabilir. Kurumsal iç soruşturma, veri ihlali incelemesi veya özel teknik çalışma da daha sonra yargısal süreçte değerlendirilmek üzere kayıt üretebilir. Her durumda incelemenin hukuki niteliği, veriye hangi yetkiyle erişildiği ve raporun yargılamada hangi usulle tartışılabildiği ayrı sorulardır.

Ceza muhakemesinde bilgisayar ve dijital kayıtlar üzerindeki arama, kopyalama ve elkoyma işlemleri özel kanuni şartlara bağlanmıştır. Bu durum teknik olarak mümkün olan her işlemin hukuken serbest olmadığını gösterir. Cihazın tamamına erişmek teknik bakımdan kolay olabilir, fakat hukuki yetkinin kapsamı, soruşturmanın amacı ve temel haklara müdahalenin sınırı daha dar olabilir. İncelemenin başlangıç noktasında yetkinin ve kapsamın belirlenmesi, sonradan yapılacak teknik işlemlerin hukuki değerini de etkiler.

Orijinal veri ve çalışma kopyası

Dijital verinin kolay değiştirilebilir olması, inceleme yönteminin güvenilirliğini özel hale getirir. Cihaz üzerinde doğrudan çalışmak, işletim sisteminin normal davranışları nedeniyle dahi bazı kayıtların değişmesine yol açabilir. Adli bilişim metodolojileri bu nedenle mümkün olduğu ölçüde kaynağın korunmasını ve incelemenin kopya üzerinde yürütülmesini tercih eder. NIST'in dijital delil koruma rehberleri de kaynağın belgelenmesini, bütünlüğün korunmasını ve yapılan işlemlerin yeniden izlenebilir olmasını teknik güvenilirliğin parçaları arasında değerlendirir.

Ceza Muhakemesi Kanununun bilgisayar ve bilgisayar kütüklerine ilişkin hükümleri yedekleme ve kopya alma süreçlerini de düzenler. Kanuni usulle teknik iyi uygulama aynı şey değildir. Hukuk, işlemin yetkisini ve temel güvencelerini belirler, teknik yöntem ise bu yetkinin veri üzerinde güvenilir biçimde uygulanmasını sağlar. Bir işlemin teknik olarak kusursuz yapılmış olması kanuni yetki eksikliğini gidermez. Tersine, kanuni kararın varlığı da teknik incelemenin güvenilirliğini otomatik olarak kanıtlamaz.

Hash değerinin adli bilişimdeki işlevi

Hash algoritmaları dijital veriden sabit uzunlukta özet değer üretir. Güvenilir bir algoritma kullanıldığında içeriğin değişmesi özet değerin de değişmesi beklentisini doğurur. Bu nedenle hash değeri bir kopyanın belirli veri kümesiyle aynı içeriğe sahip olup olmadığını kontrol etmek için yararlı bir araçtır. İncelemenin başında ve sonrasında hesaplanan değerlerin eşleşmesi, çalışılan kopyanın referans alınan veriyle içerik bakımından uyumlu olduğunu destekleyebilir.

Hash değeri kimlik, sahiplik veya fiilin faili hakkında doğrudan bilgi vermez. Aynı dosyanın aynı hash değerine sahip olması, dosyayı kimin oluşturduğunu, kimin cihaza kaydettiğini veya içeriğin hangi hukuki amaçla kullanıldığını ispatlamaz. Hash ayrıca algoritmanın seçimi, hesaplamanın hangi veri kümesi üzerinde yapıldığı ve işlemin nasıl belgelendiğiyle birlikte anlam kazanır. Teknik bir doğrulama aracını hukuki failiyet göstergesine dönüştürmek, yöntemin ispat sınırını aşar.

Zaman bilgileri ve metadata

Dosya sistemleri, uygulamalar, mesajlaşma hizmetleri ve sunucular farklı türde zaman ve metadata kayıtları üretir. Oluşturma, değiştirme, erişim veya senkronizasyon zamanları olayın kronolojisini anlamaya yardımcı olabilir. Fakat tek bir zaman damgasının hangi eylemi temsil ettiği kullanılan sistemin mimarisine bağlıdır. Dosyanın başka bir cihaza kopyalanması, bulut senkronizasyonu, saat dilimi ayarı, işletim sistemi davranışı veya yedekten geri yükleme işlemi bazı zaman alanlarını değiştirebilir.

Bu nedenle teknik raporun yalnız tarih ve saati listelemesi yeterli değildir. Kaydın hangi kaynaktan üretildiği, zaman bilgisinin hangi olayı temsil ettiği ve sistem saatinin güvenilirliği açıklanmalıdır. Farklı veri kaynaklarının birbirini desteklemesi kronolojik değerlendirmeyi güçlendirebilir. Bir cihaz kaydı, sunucu logu ve ağ verisi aynı zaman aralığına işaret ediyorsa teknik bağlam zenginleşir, yine de kişiyi fiille ilişkilendiren hukuki çıkarım ayrıca yapılır.

Silinmiş veri ile mevcut veri aynı anlamı taşımaz

Bir dosyanın adli araçlarla kurtarılabilmesi, kullanıcının o dosyayı bilerek sakladığını tek başına göstermez. Silinmiş alan, önbellek, geçici dosya, uygulama verisi veya otomatik senkronizasyon sonucu cihazda kalan artık kayıtlar kullanıcı davranışı hakkında farklı derecelerde bilgi taşır. Teknik inceleme, verinin aktif dosya sistemi içinde erişilebilir olup olmadığını ve hangi mekanizma nedeniyle cihazda bulunduğunu ayırmalıdır.

Hukuki değerlendirme açısından bu ayrım özellikle kast ve bilme unsuru bakımından önemlidir. Kullanıcı arayüzünde görünmeyen ve yalnız özel adli yöntemlerle kurtarılabilen veri ile kişinin düzenli eriştiği bir klasörde bulunan dosya aynı bilinç düzeyini varsaymaya elverişli değildir. İnceleme raporu verinin fiziksel veya mantıksal konumunu doğru tarif etmeden yalnız “cihazda bulundu” ifadesi kullanırsa hukuki değerlendirmeyi gereksiz biçimde belirsizleştirebilir.

Log kayıtlarının değeri ve sınırı

Log, bir sistemde gerçekleşen olayların belirli alanlarla kaydedilmesidir. Kullanıcı oturumu, erişim zamanı, hata, ağ bağlantısı veya sistem değişikliği loglara yansıyabilir. NIST'in log yönetimi rehberi, kayıtların güvenlik ve olay analizi için sistematik biçimde toplanması, saklanması ve incelenmesi gerektiğini vurgular. Hukuki süreçte ise logun değeri, yalnız kaydın varlığına değil üretildiği sistemin güvenilirliğine, saklama yöntemine ve kayıt alanlarının anlamına bağlıdır.

IP adresi bu konuda tipik örnektir. Bir logda IP adresinin görülmesi belirli ağ bağlantısının teknik izini gösterebilir. Adresin belirli aboneye tahsis edilmiş olması, işlemi o abonenin bizzat yaptığı sonucunu doğurmaz. Ortak ağ, kablosuz erişim, kurumsal çıkış, NAT yapısı, VPN kullanımı, ele geçirilmiş cihaz veya hesap paylaşımı gibi ihtimaller teknik ilişkiyi kişi düzeyine taşıyan değerlendirmeyi etkiler. Adli bilişim raporu IP verisinin neyi gösterdiğini ve hangi ek bilgiler olmadan neyi gösteremediğini açıklamalıdır.

Raporun tekrarlanabilirliği ve denetlenebilirliği

Teknik raporun ikna gücü yalnız sonuç bölümüne bağlı değildir. Kullanılan veri kaynağının tanımlanması, edinim yönteminin açıklanması, aracın ve sürümün kaydedilmesi, tarih ve saat bilgilerinin belirtilmesi, yapılan filtrelerin gösterilmesi ve bulguların hangi veri üzerinden üretildiğinin anlaşılabilir olması denetlenebilirlik sağlar. Başka bir uzman aynı veri seti ve yöntemle çalıştığında temel bulguları sınayabilmelidir.

Kapalı ve sonuç odaklı raporlar yargısal denetimi güçleştirir. “Cihaz üzerinde suç unsuru bulundu” gibi teknik içeriği göstermeyen bir ifade, hangi dosyanın, hangi konumda, hangi yöntemle ve hangi bağlamda bulunduğunu açıklamaz. Hukukçu okuyucunun bütün teknik ayrıntıları bilmesi beklenemez, ancak rapor hukuki tartışmaya elverişli olacak kadar yöntem ve bulgu ayrıntısı taşımalıdır.

Bilirkişinin uzmanlık sınırı

Bilirkişilikte uzmanlık, mahkemenin yerine geçerek hukuki nitelendirme yapma yetkisi vermez. Teknik uzman, uzmanlık alanına giren olguyu bilimsel ve teknik yöntemle açıklar. Suçun oluşup oluşmadığı, sözleşmenin ihlal edilip edilmediği, verinin hukuka aykırı elde edilip edilmediği veya delilin mahkumiyete yeterli olup olmadığı gibi nihai hukuki değerlendirmeler yargı makamına aittir.

Bu sınır rapor dilinde de korunmalıdır. “Sanık veriyi silmiştir” ifadesi, eğer teknik sistem yalnız belirli kullanıcı profili altında silme işlemi kaydetmişse, kişisel failiyeti gereğinden fazla kesinleştirebilir. Daha doğru teknik ifade, hangi kullanıcı hesabında hangi kayıtların tespit edildiğini ve bunların hangi eylemle uyumlu olduğunu ortaya koyar. Kimlik, yetki ve irade bağlantıları diğer delillerle değerlendirilir.

Negatif bulgu her zaman olayın yokluğunu göstermez

Bir teknik raporda “tespit edilemedi” ifadesi kolaylıkla “gerçekleşmedi” biçiminde okunabilir. Oysa dijital sistemler her işlemi kalıcı biçimde kaydetmez. Loglama kapalı olabilir, saklama süresi dolmuş olabilir, cihaz fabrika ayarlarına döndürülmüş olabilir veya uygulama belirli veriyi hiç kaydetmiyor olabilir. İnceleme yöntemi de bazı veri türlerini çıkarmaya elverişli olmayabilir. Negatif bulgunun anlamı, teknik sistemin o izi normal şartlarda üretip üretmediği ve incelemenin o izi bulabilecek nitelikte olup olmadığı açıklanarak kurulmalıdır.

Benzer biçimde bir dosyanın belirli cihazda bulunmaması, dosyanın hiçbir zaman o cihazda bulunmadığını zorunlu olarak göstermez. Bulut tabanlı hizmet, geçici görüntüleme, otomatik temizlik veya güvenli silme işlemi yerel iz bırakmayabilir. Uzman raporu “bulgu yok” ile “olay teknik olarak dışlanabiliyor” ayrımını korumalıdır. Bu ayrım, mahkemenin teknik sessizliğe gereğinden fazla anlam yüklemesini önler.

Belirsizlik ve alternatif açıklamalar raporun parçasıdır

Teknik inceleme her zaman tek bir açıklamaya ulaşmaz. Aynı log deseni ortak hesap kullanımı, uzaktan erişim veya otomatik görev gibi birden fazla senaryoyla uyumlu olabilir. Bilimsel yaklaşım, yalnız isnadı destekleyen ihtimali yazmak yerine makul alternatiflerin verilerle hangi ölçüde desteklendiğini veya dışlandığını göstermelidir. Belirsizliğin belirtilmesi raporu zayıflatmaz, sonucun gerçek ispat sınırını görünür kılar.

İstatistiksel veya olasılıksal teknikler kullanıldığında kullanılan model, hata payı ve varsayımlar ayrıca açıklanmalıdır. Örneğin yüz eşleştirme sisteminin verdiği benzerlik skoru kişinin kimliğine ilişkin nihai hukuki karar değildir. Eşik değeri, görüntü kalitesi ve sistemin performansı sonucu etkileyebilir. Otomatik aracın çıktısı uzman değerlendirmesinin ve mahkemenin yerine geçmez.

İnceleme talebinin hazırlanması da hukuki çalışmadır

Eksik veya aşırı geniş bilirkişi sorusu teknik çalışmanın kalitesini düşürebilir. “Cihazı inceleyip suç unsurlarını bulun” biçimindeki belirsiz talep, uzmana hukuki seçim yaptırabilir ve gereksiz kişisel veri incelemesine yol açabilir. Bunun yerine hangi olayın araştırıldığı, hangi tarih aralığının önemli olduğu ve teknik olarak hangi olguların doğrulanmasının beklendiği mümkün olduğunca somutlaştırılmalıdır.

Hukukçu ile teknik uzman arasındaki sağlıklı iş bölümü burada başlar. Hukukçu ispatlanması gereken vakıayı ve yasal sınırı belirler, uzman bu soruyu teknik olarak sınanabilir alt sorulara çevirir. İnceleme sonunda hukukçu teknik bulguyu yeniden hukuki bağlama yerleştirir. Bu döngü, teknik raporun mahkeme adına hukuk uygulayan bir metne dönüşmesini engeller.

Teknik inceleme ile olay rekonstrüksiyonu arasındaki sınır

Farklı dijital kayıtlar çoğu kez olay zaman çizelgesi oluşturmak için birlikte incelenir. Zaman çizelgesi güçlü bir analitik araçtır, fakat kayıtlardaki boşlukların varsayımla doldurulmasına izin vermez. İki log arasında on dakikalık veri bulunmaması, aradaki on dakikada ne olduğunun teknik olarak bilindiği anlamına gelmez. Rapor, doğrudan kayda dayanan olayları, yüksek olasılıkla çıkarılan bağlantıları ve açıklanamayan aralıkları ayrı tutmalıdır.

Bu disiplin özellikle karmaşık davalarda önemlidir. Çok sayıda cihaz ve hesap bir araya geldiğinde kronolojik anlatı ikna edici görünebilir. Anlatının her halkası hangi teknik kaynağa dayandığı gösterilerek kurulursa mahkeme olay örgüsünün delile dayanan kısmıyla uzmanın yorumunu ayırabilir.

Raporlama dili de aynı sınırı yansıtmalıdır. Kesin teknik veri bulunduğunda açık biçimde belirtilmeli, yorum gerektiren yerde koşullar ve alternatifler gösterilmelidir. Bu yaklaşım mahkemenin teknik raporu yalnız sonuç cümlesinden değil, dayandığı yöntem ve veri üzerinden değerlendirebilmesini sağlar.

Hukuki süreçte teknik bulgunun gerçek işlevi

Teknik inceleme çoğu kez görünmeyen dijital olayları yargısal tartışmaya taşır. Doğru yapıldığında verinin kaynağını, bütünlüğünü, zaman sırasını ve sistem ilişkilerini açıklayarak maddi olayın daha iyi anlaşılmasını sağlar. Yanlış konumlandırıldığında ise teknik kesinlik görüntüsü altında hukuki çıkarımı gizleyebilir. Bilgisayarın ürettiği kayıt tarafsız kabul edilse bile kaydın anlamı, sistemin nasıl çalıştığı ve olaya hangi bağlantıyla dahil olduğu araştırılmalıdır.

Bu nedenle adli bilişimin hukuki değeri “teknoloji kesin konuşur” varsayımından değil, yöntemin sınanabilir olmasından doğar. Teknik bulgu başka delillerle birlikte değerlendirilir, çelişki varsa açıklanır ve uzmanın sonuçları kendi uzmanlık sınırı içinde tutulur. Böyle bir yaklaşım hem dijital verinin güçlü ispat imkanından yararlanmayı hem de teknik kaydı hukuki sonucu otomatikleştiren bir araç haline getirmemeyi sağlar.