Adli bilişim ve dijital delil teknik incelemeleri

Dijital kayıtlar çoğu zaman olduğundan kesin görünür. Bir baz satırı telefonun durduğu noktayı, bir IP adresi klavyenin başındaki kişiyi göstermez. İncelemenin işi, kaydın ne söylediğini ve neyi söyleyemediğini ayırmaktır.

Adli bilişim incelemesi hangi durumlarda gerekir?

Bir dijital kaydın içeriği, kaynağı ya da zamanı tartışmalı olduğunda. Soru, dosyanın türüne göre değişir:

Materyal hukuka uygun yolla gelmiş olmalıdır: mahkeme ya da savcılık eliyle dosyaya girmiş kayıtlar veya tarafın kendi cihazı ve hesabı. Kanuna aykırı olarak elde edilmiş bulgular delil olarak kabul edilemez (Anayasa m.38).

Hangi kayıtları inceliyoruz?

Her kayıt türü için neye baktığımızı, gereken materyali ve sık görülen hataları ayrı sayfada anlattık.

Her incelemede izlediğimiz yöntem

Kayıt türü ne olursa olsun iş aynı beş adımda ilerler. Adımlar NIST SP 800-86'daki dört aşamaya (toplama, inceleme, analiz, raporlama) karşılık gelir; delilin edinimi ve korunmasında ISO/IEC 27037:2012'yi izleriz. Teslim ve bağımsızlık kuralları çalışma ilkelerimizde.

1. Materyal. Neyin, kimden, hangi yolla ve hangi tarihte geldiğini kayda geçiririz. Orijinal kayıt varsa elle aktarılmış kopya yerine onu isteriz; orijinal delil e-postaya eklenmez, aktarım yolu birlikte seçilir.
2. Bütünlük. Her dosyanın ve imajın SHA-256 özet değeri (hash) alınır, inceleme doğrulanmış bir çalışma kopyasında yapılır. Dosyadaki imajın hash değeri hiç tespit edilmemişse bunu bulgu olarak yazarız: Yargıtay, usulünce imaj alınmamasını ve hash değerlerinin tespit edilmemesini beraat gerekçeleri arasında saymıştır (8. CD, E.2012/21817, K.2013/25428). Ceza soruşturmasında el koyma sırasında verilerin yedeklenmesi ve yedeğin bir kopyasının şüpheliye veya vekiline verilmesi CMK m.134'te düzenlenmiştir. Madde Anayasa Mahkemesinin E.2023/128, K.2026/36 sayılı kararıyla (RG 25.05.2026) iptal edilmiş olup iptal 25.02.2027'de yürürlüğe girecektir.
3. İnceleme. Kayıt kendi bağlamında okunur: hangi sistem üretti, saat UTC mi yerel mi, hangi alan neyi temsil ediyor. Kullanılan yazılım ve sürümü not edilir.
4. Korelasyon. HTS'yi cihazdaki arama geçmişiyle, sunucu logunu CGNAT kaydıyla karşılaştırır, hepsini tek bir zaman ekseninde birleştiririz. Kaynaklar çelişiyorsa çelişkiyi raporda gösteririz; birini sessizce seçmeyiz.
5. Rapor. Kapsam, materyal listesi ve hash değerleri, yöntem, bulgular ve sınırlılıklar. Hukuki nitelendirme yapmayız; bulgunun hukuki anlamını değerlendirmek avukata ve mahkemeye aittir.

Bilirkişi raporlarının teknik değerlendirmesi

Dosyada zaten bir bilirkişi raporu varsa, gereken çoğu zaman yeni bir inceleme değil, raporun teknik tespitlerinin kontrolüdür. Bilirkişiyi mahkeme veya savcılık atar (HMK m.266, CMK m.63). CMK m.67/6 ise taraflara "bilirkişi raporu hakkında" uzmanından bilimsel mütalaa alma imkânı tanır; hukuktaki karşılığı HMK m.293'teki uzman görüşüdür.

Bilişim raporlarında sık rastlanan teknik eksikler: imajın hash değerinin yazılmaması, saat diliminin belirtilmemesi, hizmet veren hücrenin telefonun konumu gibi sunulması, IP adresinin portsuz ve saatsiz bir kişiye bağlanması, yöntemin ve yazılımın hiç anılmaması. Kontrol listesi ve sunum biçimi bilirkişi raporu değerlendirmesi sayfasında, rapor türlerinin farkı uzman görüşü bölümünde.

Hukuk dosyalarında süre kısadır: rapora karşı talepler tebliğden itibaren iki hafta içinde bildirilir. Talep özel ya da teknik bir çalışma gerektiriyorsa, süre içinde başvurana bir defaya mahsus en çok iki hafta ek süre verilebilir (HMK m.281/1).