E-imza nedir nasıl alınır? Dijital İmza Rehberi

E-imza nedir nasıl alınır sorusu, dijitalleşen iş süreçlerinde sözleşmelerini ve resmi evraklarını elektronik ortamda güvenle onaylamak isteyen işletmeler için kritik bir konudur. Elektronik imza, başka bir elektronik veriye eklenen veya mantıksal bağı bulunan, imza sahibinin kimliğini doğrulamak amacıyla kullanılan dijital veridir.

Elektronik imza ve dijital imza kavramları

Elektronik imza ile dijital imza terimleri sıklıkla birbirinin yerine kullanılsa da hukuki ve teknik açıdan farklı anlamlara sahiptir. Elektronik imza genel bir hukuki kavramken, dijital imza bu kavramı kriptografik yöntemlerle hayata geçiren teknik mekanizmadır. Bir e-postanın altına yazılan isim teknik olarak elektronik imza kabul edilebilirken, e-ticaret ve resmi bildirimlerde veri bütünlüğünü korumak adına şifrelenmiş dijital imzalar tercih edilir.

Kriptografik olarak korunan dijital imzalar için NIST ve ETSI gibi uluslararası standart kuruluşları tarafından XAdES, PAdES ve NIST-DSS gibi teknik standartlar geliştirilmiştir. Elektronik onay kavramı sanıldığı kadar yeni değildir. Ortak hukuk sistemlerinde telgraf üzerinden atılan imzalar 19. yüzyılın ortalarından itibaren geçerli sayılmış, 1869 yılında New Hampshire Yüksek Mahkemesi’nde görülen Howley v. Whipple davasında telgraf mesajlarının hukuki bağlayıcılığı kabul edilmiştir. 1980’lerde faks cihazlarının yaygınlaşmasıyla evrakların elektronik görüntülerinin iletimi resmi süreçlere dahil olmuş, 1998 yılında Amerika Birleşik Devletleri ve İrlanda arasında imzalanan ortak bildiri ise iki egemen devlet arasındaki ilk elektronik uluslararası anlaşma olarak tarihe geçmiştir.

Elektronik imza türleri ve güvenlik seviyeleri

Elektronik imzalar, taşıdıkları hukuki bağlayıcılık ve teknik güvenlik seviyelerine göre farklı kategorilerde değerlendirilir. Uluslararası mevzuatlarda ve özellikle Avrupa Birliği’nin 910/2014 sayılı eIDAS Tüzüğü’nde üç temel imza seviyesi tanımlanmaktadır. Bu seviyeler imzanın taklit edilme riskini azaltırken ispat gücünü artırır.

Gelişmiş elektronik imzanın kabul görmesi için imza sahibinin benzersiz biçimde tanımlanabilmesi, imza oluşturma verisinin (özel anahtar) yalnızca imza sahibinin kontrolünde bulunması ve imzalanan veride sonradan yapılan değişikliklerin tespit edilebilmesi gerekir. Veride bir değişiklik yapıldığında imzanın geçersiz kalması şarttır. Nitelikli elektronik imza ise nitelikli güven hizmet sağlayıcıları tarafından verilen dijital sertifikalar ve güvenli donanım araçları kullanılarak oluşturulur. Bu seviyedeki imzalar inkâr edilemezlik ilkesine sahiptir ve mahkemelerde aksinin ispatlanması oldukça güçtür.

Uluslararası e-imza mevzuatı ve standartlar

Elektronik imzaların küresel ticarette geçerli kılınması amacıyla Birleşmiş Milletler Uluslararası Ticaret Hukuku Komisyonu (UNCITRAL) 1996 yılında Elektronik Ticaret Model Kanunu’nu yayınlamıştır. Bu metnin 7. maddesi dünya genelindeki düzenlemelere öncülük etmiş, ardından 2001 yılında Elektronik İmza Model Kanunu kabul edilmiştir. 2005 tarihli Uluslararası Sözleşmelerde Elektronik İletişim Kullanımı Sözleşmesi ve 2022 tarihli Kimlik Yönetimi Model Kanunu sınır ötesi tanınmayı kolaylaştırmıştır.

Amerika Birleşik Devletleri’nde 1999 yılında Eyaletlerarası Yasa Komisyonu tarafından hazırlanan UETA (Müteselsil Elektronik İşlemler Yasası) ve 2000 yılında imzalanan ESIGN Yasası, elektronik ses, sembol veya süreçleri imza olarak tanımlamıştır. ABD hukukunda elektronik kayıtlar ve imzalar geniş bir tanıma sahipken, Avrupa Birliği eIDAS düzenlemesi ile nitelikli imzalara odaklanmıştır. Kanada’da PIPEDA yasası güvenli elektronik imzaları tanımlarken, Avustralya’da 1999 ve 2011 tarihli Elektronik İşlemler Yasası tarafın niyetini belirten her türlü güvenilir yöntemi geçerli sayar. Azerbaycan (2004), Çin (2005), Brezilya ICP-Brasil (2020), Kosta Rika (2005) ve Çekya gibi pek çok ülke kendi özel mevzuatlarıyla e-imzayı yasal güvenceye bağlamıştır.

Ticari işlemlerde güvenliği sağlamak, özellikle e-ticaret sitelerinde sanal POS sistemleri üzerinden ödeme alan veya abonelik e-ticaret modeli ile düzenli hizmet sunan işletmeler için sözleşme onay süreçlerini hızlandırır.

Adım adım elektronik imza edinme ve kullanma süreci

Sözleşmeleri ve evrakları dijital ortamda onaylamak isteyen kurumlar veya bireyler, yetkilendirilmiş hizmet sağlayıcılar üzerinden süreçlerini tamamlayabilir. İşlem adımları genel olarak şu şekildedir:

1. Başvuru ve Kimlik Doğrulama: Hizmet sağlayıcının resmi başvuru merkezine veya çevrim içi sistemine girilerek kimlik doğrulama belgeleri teslim edilir.
2. Sertifika ve Donanım Tedariki: Kimlik doğrulamasının ardından kullanıcılara nitelikli dijital sertifika yüklü akıllı kart veya USB dongle biçimindeki güvenli imza cihazı teslim edilir.
3. Sürücü Yazılımlarının Yüklenmesi: Cihazın bilgisayarla haberleşebilmesi için ilgili imza kartı sürücüleri ve doğrulama yazılımları işletim sistemine kurulur.
4. Belgeyi İmzalama: İmzalanacak dosya seçilerek imzalama yazılımında yer alan İmzalama Paneli açılır. Kullanıcı kendisine verilen güvenlik PIN kodunu girerek işlemi onaylar.
5. İmza Doğrulama ve Arşivleme: Oluşturulan imzalı belge alıcıya iletilir. Alıcı taraf, belgenin bütünlüğünü ve sertifikanın geçerliliğini doğrulama yazılımları ile kontrol eder.

İmzalama öncesinde belgelerin biçimlendirilmesi oldukça önemlidir. Farklı cihazlarda görsel kayma yaşanmaması adına görsellerin veya metinlerin standart belgelere dönüştürülmesi gerekebilir. Örneğin görsel formattaki evraklar için JPG dosyasını PDF’e çevirme adımlarını uygulayarak belgenizi imzalamaya hazır hale getirebilirsiniz. Yazılım arayüzleri ve menü adımları hizmet sağlayıcıya veya işletim sistemine göre farklılık gösterebileceğinden, kurulum aşamasında resmi kullanım kılavuzlarına başvurulması tavsiye edilir.

Elektronik imza kullanırken dikkat edilmesi gereken güvenlik kuralları

Elektronik imza kullanırken veri güvenliğini sağlamak ve hukuki hak ihlallerinin önüne geçmek için dikkat edilmesi gereken temel ilkeler şunlardır:

• Özel Anahtar Gizliliği: İmza oluşturma verisi ve donanım kartı tamamen kullanıcının şahsi kontrolünde olmalı, kesinlikle üçüncü şahıslarla paylaşılmamalıdır.
• PIN Kodu Güvenliği: Akıllı kart veya token erişiminde kullanılan PIN kodları kolay tahmin edilemeyen kombinasyonlardan seçilmelidir.
• Veri Bütünlüğü Kontrolü: İmzalanan belgenin imzalandığı andan itibaren hiçbir değişikliğe uğramadığı doğrulama araçları ile teyit edilmelidir.
• Sertifika Geçerlilik Süresi: Sertifikanın son kullanma tarihi düzenli takip edilmeli ve yenileme başvuruları zamanında yapılmalıdır.

Süreç yönetimi ve yetkilendirme standartları hakkında daha fazla bilgi almak için sitemizde yer alan rehber kategorisi içeriklerini inceleyebilir, dijital altyapınızı güçlendirebilirsiniz.