Portekiz’in Siber Suçlar Yasasında Yapılan Güncellemeler
Portekiz, son güncellemelerle siber suçlar yasasını değiştirdi. Bu değişiklik, iyi niyetle güvenlik araştırmaları yapan kişilere yasal bir güvenli alan sağlamakta ve belirli koşullar altında hacklemenin cezasız kalmasını sağlamaktadır.
Yasal Güvenli Alanın Oluşturulması
Yeni düzenleme, Article 8.o-A başlığı altında yer almakta ve “Siber güvenlikte kamu yararı nedeniyle ceza kapsamına girmeyen eylemler” olarak tanımlanmaktadır. Bu düzenleme, daha önce yasadışı sistem erişimi veya yasadışı veri kesme olarak sınıflandırılan eylemler için yasal bir muafiyet sağlamaktadır.
Güvenlik Araştırmacılarının Yükümlülükleri
Bu muafiyet, güvenlik araştırmacılarının yalnızca zayıflıkları tanımlama ve siber güvenliğe katkıda bulunma amacıyla hareket ettiklerinde geçerlidir. Suçlamalardan korunmak için yerine getirilmesi gereken temel koşullar şunlardır:
- Araştırma, araştırmacı tarafından yaratılmamış zayıflıkları tanımlamaya ve siber güvenliği artırmaya odaklanmalıdır.
- Araştırmacı, normal mesleki tazminat dışında herhangi bir ekonomik yarar talep edemez veya bunu elde edemez.
- Zayıflık hemen sistem sahibi ve ilgili veri kontrol kuruluşuna bildirilmelidir.
- Eylemler, zayıflık tespiti için gerekli olanlarla sınırlı olmalı ve hizmetleri kesintiye uğratmamalı ya da veri silme/alterasyon yapmamalıdır.
- Araştırma, GDPR kapsamında kişisel verilerin yasadışı işlenmesini içermemelidir.
- Araştırmacı, DoS veya DDoS saldırıları, sosyal mühendislik, kimlik avı, şifre çalma gibi yasaklı teknikleri kullanmamalıdır.
- Toplanan veriler gizli kalmalı ve zayıflık düzeltildikten sonra 10 gün içinde silinmelidir.
- Sistem sahibinin izniyle yapılan eylemler de cezadan muaf tutulur ancak, herhangi bir zayıflık yine CNCS’ye bildirilmelidir.
Güvenlik Araştırmalarına Yasal Koruma
Bu yeni düzenleme, güvenlik araştırmalarının sınırlarını net bir şekilde tanımlarken, iyi niyetli hackerlar için de yasal koruma sağlamaktadır. Benzer koruma yasaları Almanya ve ABD’de de gündeme gelmiştir; Almanya, 2024’te benzer bir yasa teklifi sunmuş, ABD ise 2022’de “iyi niyetle” araştırmaları muaf tutan değişiklikler yapmıştır.
Sonuç ve Beklentiler
Bu tür yasal çerçeveler altında, güvenlik araştırmaları yalnızca tanınmakla kalmaz, aynı zamanda sistemleri proaktif bir şekilde incelemek, zayıflıkları ortaya çıkarmak ve bunları bildirmek için güvenli bir ortam sağlamaktadır. Böylece, hem bireysel güvenlik uzmanlarının hem de kurumsal yapının daha dayanıklı hale gelmesi beklenmektedir.
