Portekiz, Güvenlik Araştırmacılarını Korumak İçin Siber Suçlar Yasasını Güncelledi
Portekiz, siber suç mevzuatında yaptığı değişiklikle iyi niyetli güvenlik araştırmacılarını koruyan özel bir düzenleme getirdi. Ülke, belirli koşullar altında yürütülen ve kamu yararı gözeten siber güvenlik çalışmalarını cezai kovuşturma riskinden arındıran yeni bir madde ile araştırma süreçlerini daha güvenli ve öngörülebilir bir yapıya kavuşturdu.
Yeni Düzenleme Siber Güvenlik Araştırmalarına Açık Bir Alan Oluşturuyor
Portekiz hükûmeti, yasa güncellemesiyle araştırmacıların yalnızca güvenlik açığı tespiti amacıyla gerçekleştirdiği teknik işlemleri ceza kapsamından çıkardı. Düzenleme, araştırmacının kendi dışındaki bir açık üzerinde çalışmasını, süreci kesintiye uğratmamasını, veriyi değiştirmemesini ve hiçbir zarara yol açmamasını şart koşuyor. Araştırmacı, tespit ettiği açığı sistem sahibine, ilgili veri sorumlusuna ânında bildirmek zorunda kalıyor.
Yeni hüküm, ekonomik çıkar arayışını yasaklıyor. Araştırmacı yalnızca mesleki karşılık dışında herhangi bir gelir elde edemiyor. Sınırlı işlem yetkisi, saldırı niteliği taşıyan teknikleri de tamamen dışarıda bırakıyor. DoS saldırıları, parola hırsızlığı, sosyal mühendislik girişimleri, kötü amaçlı yazılım dağıtımı ya da veri tahribi gibi yöntemlere kesin şekilde izin verilmiyor.
Yasa, elde edilen verinin gizli tutulmasını şart koşuyor. Araştırmacı, açığın giderilmesinden sonra en geç on gün içinde tüm veriyi silmek zorunda kalıyor. Yetkili izinle yapılan işlemler de ceza dışında tutuluyor. Araştırmacı, yetkilendirilmiş çalışmalarda bile tespit ettiği açığı ulusal siber güvenlik merkezi olan CNCS’ye bildirmekle yükümlü oluyor.
Portekiz’in attığı adım, küresel bağlı yeni bir eğilimi destekliyor. Almanya Adalet Bakanlığı 2024 kasımında benzer bir taslak sunmuştu. ABD Adalet Bakanlığı da 2022 mayısında iyi niyetli araştırmayı koruyan yönerge değişikliğini açıklamıştı. Bu yaklaşımlar, araştırmacıların sistemleri yasal risk olmadan incelemesine destek veren bir hattı oluşturuyor.
