ridir. Başarılı bir siber saldırı yalnızca veri ihlali değil, kurumsal güven krizi, ihbarcıların misillemeye maruz kalması ve uyum mekanizmasının işlevsizleşmesi riskini beraberinde getirir. Bu nedenle etik hat platformlarının siber güvenlik mimarisi, şirketin genel siber güvenlik stratejisinin ayrılmaz parçası olmalıdır. 2
Siber güvenlik uyumu iki düzlemde ele alınabilir. Normatif uyum( compliance as obligation), mevzuatın zorunlu kıldığı asgari gerekliliklerin yaptırımlardan kaçınma güdüsüyle yerine getirilmesidir. Etik uyum( compliance as responsibility) ise hukuki zorunluluğun ötesine geçerek siber güvenliği şeffaflık, hesap verebilirlik ve sürekli iyileştirme ilkeleriyle proaktif biçimde benimseyen yaklaşımdır.
Bu iki düzlem çoğu zaman örtüşse de tam olarak çakışmaz. Bir şirket yasal gereklilikleri teknik olarak karşılarken güvenlik açıklarını gizleyebilir veya veri ihlalini zamanında bildirmeme yoluna gidebilir. Etik hat yapıları açısından bu ayrım özellikle önemlidir: platform teknik sertifikasyonları karşılıyor olabilir; ancak ihbarcı kimliğinin fiilen korunup korunmadığı, platformun gerçek bir saldırıya dayanıp dayanamayacağı ve bildirimin etkin yapılıp yapılmayacağı etik uyumun sınavıdır.
Siber güvenlik uyumunda etik sınırın geçildiğine işaret eden başlıca durumlar şunlardır:
Etik sınırın geçildiğine işaret eden durumlar
• Güvenlik açığının örtbas edilmesi
• Yanıltıcı uyum belgelendirmesi
• Penetrasyon testi yerine simülasyon
• Veri minimizasyonu ilkesinin delinmesi
• Çalışan gözetimi kılığında siber izleme
• Deepfake ve sentetik içerik manipülasyonuna karşı savunmasızlık
Şirketin kendi bünyesinde etik hat yönetmesinin mümkün olmadığı durumlarda, Türkiye ' de veri saklayan bir hizmet sağlayıcıya outsource ikinci en uygun seçenektir.
9
Dünyada ve Türkiye ' de Etik Hatları ve Kurguları
i. Global Merkezden Yönetilen Etik Hat Modeli
Çok uluslu şirketler genellikle merkezi bir etik hat yapısı kurarak bu yapıyı tüm iştirakleri için kullanmaktadır. Bu modelde platform, genel merkezin bulunduğu ülkedeki sunucularda barındırılmakta ve ihbarlar merkezi sisteme yönlendirilmektedir. Bu yakaşım, maliyet etkinliği ve standartlaşma avantajı sunsa da ihbar verilerinin anlık olarak yurt dışına aktarılması, değerlendirme süreçlerinin merkezdeki uyum ekibi tarafından yönetilmesi ve yerel operasyonların yalnızca sonuç aşamasında bilgilendirilmesi; veri egemenliği, bildirim süreleri ve denetim erişimi açısından ciddi hukuki ve etik gerilimler doğurmaktadır.
Türkiye ' deki bir çalışanın ihbarı çoğu zaman yurt dışındaki sunucuda işlenmektedir. 7545 Sayılı Kanun ' un 6. ve 7. maddelerindeki kişisel veri koruma ve bildirim yükümlülükleri, bu tür sınır ötesi veri akışlarında ek uyum gereksinimleri yaratmakta; kritik altyapı kapsamındaki kuruluşlarda ciddi riskler doğurabilmektedir. Verilerin yurt dışına aktarılması, KVKK madde 9 kapsamında standart sözleşme imzalanması veya bağlayıcı şirket kuralları gibi ek tedbirler gerektirmektedir.
7545 Sayılı Kanun ' un 7 / 1-a bendi, Siber Güvenlik Başkanlığı’ nın( Başkanlık) talep ettiği her türlü veri, bilgi ve belgenin " öncelikle ve zamanında " iletilmesini zorunlu kılmaktadır. Tüm siber güvenlik yönetiminin yurt dışında konuşlandığı bir yapıda bu yükümlülüğün zamanında yerine getirilmesi pratik bir engele dönüşebilir.
Bu modeldeki bir diğer risk, merkezi-yerel yönetişim çatışmasıdır. Global uyum politikası ile yerel mevzuat gereksinimleri arasındaki çelişkiler, özellikle siber olay bildirimi sırasında— yerel birimlerin global merkezden onay beklemesi gereken durumlarda— kritik zaman kaybına yol açabilir.
2
Etik hatlarının kurumsal yönetişim açısından önemine ilişkin ayrıntılı bir değerlendirme için bkz. PwC, " How whistleblowing strengthens organisations— From silence to speaking up ", Insight, 27.10.2025, https:// www. pwc. ch / en / insights / risk / how-whistleblowing-strengthens-organisations. html( Erişim Tarihi: 31.08.2026).