Uzaktan Çalışma Hataları #08 – Çalışanın Kişisel Bilgisayarı Şirketin Riski mi?

Uzaktan çalışmada korsan yazılım, zararlı yazılım ve işverenin veri güvenliği sorumluluğu

Pandemi döneminde uzaktan çalışan bir mühendis, şirket sistemlerine kendi bilgisayarından bağlanıyordu. Bilgisayarda lisanssız bir yazılım vardı. İnternet trafiği şirketin VPN tünelinden çıktığı için kullanım kurumsal IP adresiyle ilişkilendirildi ve yazılım hak sahibi şirkete yöneldi. Uyuşmazlık görüşmeyle çözüldü; fakat olay önemli bir soruyu bıraktı: Çalışanın kişisel cihazındaki korsan veya zararlı yazılım, ne zaman işverenin hukuki sorumluluğuna dönüşür?

Bu örnek anonimleştirilmiş bir uygulama vakasıdır. Türkiye’de yayımlanmış bir karar ise şaşırtıcı ölçüde benzer bir tabloyu ele alıyor. Üstelik karar, işverenin sorumluluktan kurtulmasını yalnızca bilgisayarın çalışana ait olmasına değil, iş amaçlı kullanımın kanıtlanamamasına ve önceden alınan somut tedbirlere bağlıyor.

Türkiye’den yakın örnek: şahsi bilgisayardaki lisanssız yazılım

İstanbul Bölge Adliye Mahkemesi 44. Hukuk Dairesinin 15 Şubat 2024 tarihli, E.2020/2585, K.2024/285 sayılı kararında, bir yazılım hak sahibi işyerinde lisanssız kullanım bulunduğunu ileri sürdü. İnceleme sırasında yazılım, çalışanın sırt çantasında bulunan şahsi bilgisayarında tespit edilmişti. Şirketin kurumsal bilgisayarlarında aynı lisanssız yazılıma rastlanmamıştı.

İlk derece mahkemesi işvereni Türk Borçlar Kanunu’nun 66. maddesi kapsamında sorumlu tuttu. Bölge adliye mahkemesi ise kararı kaldırarak davayı reddetti. Gerekçe bakımından üç unsur öne çıktı: Bilgisayar çalışana aitti; cihazın şirket işi için kullanıldığına dair başka bir delil yoktu; işveren, çalışanlara lisanssız yazılım kurulmaması konusunda yazılı taahhüt imzalatmış ve kurumsal bilgisayarlarda bu tür kurulumları engelleyen güvenlik duvarı kullandığını ortaya koymuştu.

Karar, ‘kişisel cihazdaki her lisanssız yazılımdan işveren sorumsuzdur’ sonucu doğurmuyor. Tam tersine, sınırı gösteriyor. Kişisel cihaz işverenin bilgisi ve onayıyla iş için kullanılıyorsa, çalışan bu cihazla kurumsal ağa bağlanıyorsa veya yazılımdan işveren yararlanıyorsa değerlendirme değişebilir. Uzaktan çalışmada kurumsal IP kaydı, VPN oturumu, dosya erişimi ve görev kayıtları da iş amaçlı kullanım tartışmasına eklenecektir.

VPN güvenli bir tüneldir; fakat tünele giren cihaz da güvenli olmalıdır

VPN, bağlantıyı şifreleyebilir ve dış erişimi kontrol altına alabilir. Ancak güncel olmayan, kötü amaçlı yazılım içeren veya ayrıcalıklı parolaları tarayıcıda saklayan bir kişisel cihazdan açılan tünel, riski de doğrudan kurumsal sisteme taşıyabilir. Bu nedenle ‘VPN kurduk’ cümlesi tek başına yeterli bir güvenlik programı değildir.

Uzaktan Çalışma Yönetmeliği’nin 11. maddesi işverene, işyeri ve işe ilişkin verilerin korunması konusunda çalışanı bilgilendirme ve gerekli tedbirleri alma yükümlülüğü yüklüyor. Korunacak verinin tanım ve kapsamının sözleşmede belirlenmesi; çalışanın da belirlenen kurallara uyması gerekiyor. 6698 sayılı Kanun’un 12. maddesi ise veri sorumlusunun uygun güvenlik düzeyini sağlamak için gerekli teknik ve idari tedbirleri almasını zorunlu kılıyor.

Çalışanın hatası işvereni otomatik olarak kurtarmıyor

Kişisel Verileri Koruma Kurulunun 9 Ocak 2025 tarihli, 2025/88 sayılı kararı bu noktada çok çarpıcı. Saldırganlar, bilgi işlem yöneticisinin bilgisayarına tarayıcı tabanlı zararlı yazılımla erişti; tarayıcıda kayıtlı kullanıcı adı ve parolaları ele geçirdi; buradan şirket sistemine girdi. Çalışan paniğe kapılarak bilgisayarı formatladı ve diski çıkardı. İhlal 505.337 müşterinin verisini etkiledi.

Kişisel Verileri Koruma Kurulu; saldırgan sisteme girdiğinde alarm üretecek bir yapının bulunmamasını, iki faktörlü doğrulama ile SIEM ve güvenlik duvarı gibi temel önlemlerin ancak ihlalden sonra alınmasını ve ihlal öncesi eğitimlerin belgelendirilememesini işveren aleyhine değerlendirdi. Veri güvenliği eksikleri ile bildirim yükümlülüğünün ihlali için toplam 1.000.000 TL idari para cezası uygulandı.

Bu kararın uzaktan çalışma bakımından mesajı açık: ‘Çalışan özensiz davrandı’ savunması, veri sorumlusunun sistem tasarımı, erişim kontrolü, eğitim ve izleme yükümlülüklerini ortadan kaldırmıyor. Benzer biçimde 6 Mart 2024 tarihli, 2024/413 sayılı kararda çok faktörlü doğrulamanın ve yamaların ancak olaydan sonra devreye alınması, ağın yeterince ayrıştırılmaması ve uzaktan erişim risklerinin önceden yönetilmemesi nedeniyle 150.000 TL idari para cezası verildi.

Fransa: VPN ve MFA yoksa dış erişim kapısı açık kalabilir

Fransa veri koruma otoritesi CNIL, 21 Temmuz 2026 tarihli kararında Hôpital Privé de la Loire’a 500.000 avro ceza verdi. Hastane dışından kullanılan hasta kayıt sisteminde VPN ve çok faktörlü doğrulama bulunmuyordu. Tek bir hesabın tüm hasta kayıtlarına erişebilmesi ve şüpheli hareketleri kısa sürede yakalayacak alarm mekanizmasının olmaması, ihlalin 524.867 hasta ile 202.246 yakınına yayılmasını kolaylaştırdı.

Buradaki ders, belirli bir ürünü satın alma zorunluluğundan daha geniştir: Dış erişim güçlü kimlik doğrulama, en az yetki, ağ ve veri segmentasyonu ile anomali tespiti birlikte tasarlanmadıkça ‘uygun güvenlik’ oluşmaz.

Birleşik Krallık: kişisel cihazdan kurumsal kasaya uzanan saldırı

Birleşik Krallık Bilgi Komiserliği, LastPass’i Aralık 2025’te 1,2 milyon sterlin cezalandırdı. Saldırgan önce bir kurumsal bilgisayarı, ardından kıdemli bir çalışanın kişisel bilgisayarını hedef aldı. Kişisel cihazdaki üçüncü taraf yazılım açığından yararlanıldı; tuş kaydediciyle ana parola elde edildi; kişisel ve kurumsal parola kasalarının aynı ana parolayla bağlantılı olması saldırganın şirket anahtarlarına ulaşmasını kolaylaştırdı.

Bu olay, BYOD politikasının yalnızca ‘kişisel cihaz kullanılabilir’ cümlesinden ibaret olamayacağını gösteriyor. Kritik yetkili kullanıcıların kişisel cihazları, üçüncü taraf yazılımları, parola kasaları ve güvenilir cihaz çerezleri de tehdit modeline dâhil edilmelidir.

İki ayrı risk: lisans ihlali ve veri güvenliği

Korsan yazılım ile veri ihlali aynı hukuki sorun değildir. Lisanssız kullanım, yazılım hak sahibinin lisans bedeli ve tazminat taleplerini; zararlı veya güncel olmayan yazılım ise kişisel veri ihlali, sözleşmeye aykırılık ve iş sürekliliği sonuçlarını doğurabilir. Tek bir kişisel bilgisayar her iki riskin de kaynağı olabilir. Bu nedenle lisans envanteri yalnız fikrî mülkiyet uyumu, uç nokta güvenliği de yalnız bilgi işlem konusu olarak görülmemelidir.

Öte yandan kişisel cihazı kontrol etmek, çalışanın özel alanına sınırsız erişim yetkisi vermez. İşveren; denetimin amacı, kapsamı, yöntemi ve saklama süresi hakkında önceden açık bilgi vermeli; mümkünse tüm cihazı incelemek yerine kurumsal kapsayıcı, cihaz uygunluk sinyali ve iş hesaplarına ait kayıtlarla yetinmelidir. Olay çıktığında da çalışan cihazı formatlamadan önce delilin korunacağı, kimin müdahale edeceği ve hangi bildirimlerin yapılacağı belli olmalıdır.

İşveren ne yapmalı?

En güvenli başlangıç, uzaktan çalışmada kurumsal cihazı varsayılan hâle getirmektir. Kişisel cihaz kullanımına ihtiyaç varsa istisna, yazılı onaya ve teknik uygunluk kontrolüne bağlanmalıdır.

1. İzin verilen cihazları, işletim sistemlerini ve yazılımları envanterde tutun; lisanssız veya kırılmış yazılımı açıkça yasaklayın.
2. VPN erişimini çok faktörlü doğrulama, cihaz uygunluk kontrolü ve koşullu erişimle birlikte kurun.
3. Kişisel cihazda mümkünse kurumsal veriyi ayrı ve şifreli bir kapsayıcıda tutun; yalnız kurumsal alan için uzaktan silme imkânı sağlayın.
4. EDR/antivirüs, yama yönetimi, uygulama izin listesi ve yerel yönetici yetkisi sınırlamasını devreye alın.
5. Erişimi görevle sınırlayın; kritik sistemleri ve müşteri verilerini ağ içinde bölümlere ayırın.
6. Ayrıcalıklı parolaların tarayıcıda tutulmasını engelleyin; kişisel ve kurumsal parola kasalarını ayırın.
7. VPN, oturum, dosya erişimi ve sıra dışı veri indirme kayıtlarını izleyin; gerçek zamanlı alarm üretin.
8. Çalışana, şüpheli durumda cihazı formatlamaması ve diski çıkarmaması; derhâl olay müdahale ekibine bildirmesi gerektiğini öğretin.
9. Uzaktan çalışma eki veya BYOD politikasında korunacak veriyi, izinli cihazı, denetimin sınırını, olay bildirimini ve iade/silme sürecini açıkça yazın.
10. Kişisel cihaz denetimini ölçülü ve şeffaf yürütün; çalışanın özel içeriğine sınırsız erişim vermeyen teknik mimari kurun.

Son söz

İşverenin sorumluluğu, olaydan sonra ‘bu çalışanın kendi bilgisayarıydı’ demekle yönetilemez. Asıl soru şudur: İşveren hangi cihazın kurumsal ağa girebildiğini biliyor muydu; hangi yazılımların çalıştığını denetliyor muydu; erişimi sınırlandırmış, çalışanı eğitmiş ve tedbirleri belgelendirmiş miydi?

Uzaktan çalışma kurumsal ağı çalışanın evine taşır. Güvenlik sorumluluğunu ise çalışanın evine bırakamaz.

Resmî karar ve kaynaklar

1. İstanbul BAM 44. Hukuk Dairesi – 15.02.2024, E.2020/2585, K.2024/285. Resmî kaynak. UYAP Emsal Karar Arama ekranında esas ve karar numarasıyla aranabilir. Karar, şahsi bilgisayardaki lisanssız yazılım bakımından iş amaçlı kullanım delilini ve önleyici tedbirleri tartışır.
2. Kişisel Verileri Koruma Kurulu – 09.01.2025, 2025/88. Resmî kaynak. Tarayıcıdaki zararlı yazılım ve kayıtlı parolalar üzerinden gerçekleşen ihlal; MFA, alarm, izleme ve eğitim eksikleri nedeniyle toplam 1.000.000 TL idari para cezası.
3. Kişisel Verileri Koruma Kurulu – 06.03.2024, 2024/413. Resmî kaynak. Fidye yazılımı olayında çok faktörlü doğrulama, yama yönetimi ve ağ ayrıştırma eksikleri nedeniyle 150.000 TL idari para cezası.
4. Uzaktan Çalışma Yönetmeliği – 10.03.2021; özellikle m.7 ve m.11. Resmî kaynak. Araç ve malzemenin temini ile iş verilerinin korunması, bilgilendirme, sözleşmede korunacak verinin belirlenmesi ve çalışanın kurallara uyma yükümlülüğü.
5. CNIL – Hôpital Privé de la Loire – Karar 21.07.2026; duyuru 03.09.2026. Resmî kaynak. Dış erişimde VPN ve MFA yokluğu, aşırı geniş yetki ve yetersiz anomali tespiti nedeniyle 500.000 avro ceza.
6. ICO – LastPass UK Ltd – 11.12.2025. Resmî kaynak. Kişisel cihazdaki üçüncü taraf yazılım açığından başlayan saldırının kurumsal anahtarlara ulaşması; 1,2 milyon sterlin ceza.
7. Kullanıcı güvenliği için teknik ve idari tedbirler – Kişisel Verileri Koruma Kurumu duyurusu. Resmî kaynak. Çok faktörlü doğrulama, IP sınırlaması, parola güvenliği, cihaz bildirimi ve güncel yazılım gibi pratik önlemler.

Bu yazı ilk olarak 9 Eylül 2026 tarihinde LinkedIn’de yayımlanmıştır: Çalışanın Kişisel Bilgisayarı Şirketin Riski mi?