Bir gün işletmenize resmî bir yazı geldiğini düşünün: belirli bir tarih ve saatte, sizin internet çıkış IP adresinizden yapılan bir paylaşımın hangi cihazdan yapıldığı soruluyor. Güvenlik duvarınız o günün kaydını tutmuyorsa, cihaz saatleri yanlışsa ya da kayıtların sonradan değiştirilmediğini gösteremiyorsanız bu soruya cevap veremezsiniz. 5651 sayılı kanun kapsamındaki log tutma yükümlülüğü tam olarak bu durum için vardır.
5651 sayılı kanun neyi düzenler?
2007'de yürürlüğe giren 5651 sayılı "İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun", internetteki aktörleri rollerine göre tanımlar ve her birine farklı yükümlülükler verir: içerik sağlayıcı, yer sağlayıcı, erişim sağlayıcı ve toplu kullanım sağlayıcı.
İşletmeleri en çok ilgilendiren rol toplu kullanım sağlayıcıdır. Kanun bu rolü, kişilere belli bir yerde ve belli bir süre internet kullanım imkânı sağlayan kişi ya da kurum olarak tanımlar. Ayrıntılar "İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik" ile düzenlenmiştir. Bu alandaki düzenleyici kurum Bilgi Teknolojileri ve İletişim Kurumu'dur (BTK).
İşletmeniz toplu kullanım sağlayıcı mı?
Yönetmelik, toplu kullanım sağlayıcıları ticari amaçla hizmet verenler (örneğin internet kafeler) ve ticari amaç olmaksızın internet erişimi sağlayanlar olarak ikiye ayırır. Ticari amaçla hizmet verenler için izin belgesi gibi ek yükümlülükler vardır.
Ofisler, fabrikalar, oteller, kafeler, restoranlar, hastaneler, okullar ve alışveriş merkezleri gibi personeline, müşterisine ya da misafirine internet erişimi veren yerler, uygulamada genellikle ikinci grupta değerlendirilir. Erişimin ücretsiz olması tek başına belirleyici değildir. Yalnızca çalışanlara verilen erişimin nasıl değerlendirileceği ise faaliyet türüne göre değişebileceğinden, kendi durumunuzu hukuk danışmanınızla netleştirmeniz gerekir.
Hangi kayıtlar tutulmalı?
Yönetmeliğin ticari amaç dışı toplu kullanım sağlayıcılardan beklediği temel kayıt iç IP dağıtım kayıtlarıdır: iç ağdaki hangi cihaza, hangi tarih ve saat aralığında hangi IP adresinin verildiği. Bu kayıtların elektronik ortamda, işletmenin kendi sistemlerinden alınarak tutulması ve doğruluğunun, bütünlüğünün ve gizliliğinin sağlanması beklenir. Konusu suç oluşturan içeriklere erişimi önleyici tedbirlerin alınması da yükümlülükler arasındadır.
Uygulamada tek başına IP dağıtım kaydı çoğu zaman yeterli bağlantıyı kurmaz. Dışarıdan gelen bir soru genellikle işletmenin dış (genel) IP adresi ve bir zaman bilgisiyle gelir; o anda o adresin arkasında onlarca cihaz olabilir. Bağlantıyı hangi iç cihazın yaptığını bulmak için NAT ve oturum kayıtları da gerekir. Bu yüzden birçok işletme aşağıdaki kayıtları birlikte tutmayı tercih eder:
| Kayıt | İçeriği | Ne işe yarar? |
|---|---|---|
| İç IP dağıtım kaydı (DHCP) | Tarih-saat, verilen iç IP, cihazın MAC adresi, varsa cihaz adı | Hangi cihazın hangi IP adresini kullandığını gösterir |
| NAT / oturum kaydı | Tarih-saat, iç IP ve port, dış IP ve port, hedef adres | Dış IP'den yapılan bir bağlantıyı iç cihaza bağlar |
| Kimlik doğrulama kaydı | Misafir ağında giriş yapan kullanıcı ya da doğrulama bilgisi, eşleşen MAC ve IP | Cihazı bir kişiye ya da hesaba bağlar |
| Saat senkronizasyon durumu | Cihazların bağlı olduğu zaman kaynağı (NTP) ve eşitleme durumu | Kayıtlardaki zaman bilgisinin güvenilir olduğunu gösterir |
Kayıtların ne kadar ayrıntılı tutulacağı hem yükümlülüklere hem de kişisel verilerin korunması ilkelerine göre dengelenmelidir. Ziyaret edilen sayfaların içeriğini ya da gerekenden fazla ayrıntıyı saklamak, yükümlülüğü karşılamaktan çok yeni bir risk yaratır.
Saklama süresi, bütünlük ve zaman damgası
Kayıtların yönetmelikte belirtilen süre boyunca saklanması gerekir; bu süre uygulamada genellikle bir yıl olarak bilinir. Mevzuat değişebileceği için güncel metni kontrol edin.
Saklamak kadar önemli olan, kayıtların sonradan değiştirilmediğini gösterebilmektir. Bunun yaygın yolu zaman damgasıdır. Kayıt dosyası belirli aralıklarla (genellikle günlük) kapatılır, dosyanın özeti (hash) alınır ve bu özet, 5070 sayılı Elektronik İmza Kanunu kapsamında yetkilendirilmiş bir elektronik sertifika hizmet sağlayıcısından alınan zaman damgasıyla imzalanır. Dosyada sonradan tek bir karakter değişse bile özet tutmaz ve değişiklik ortaya çıkar.
- Saat doğruluğu: Bütün ağ cihazları ve log sunucusu aynı güvenilir zaman kaynağına bağlı olmalı. Birkaç dakikalık bir saat farkı bile bir kaydı yanlış cihaza bağlayabilir.
- Ayrı saklama: Kayıtlar yalnızca güvenlik duvarının kendi belleğinde durmamalı; ayrı bir log sunucusuna ve onun da yedeğine aktarılmalı.
- Erişim kısıtı: Kayıtlara yalnızca yetkili kişiler erişmeli, kimin ne zaman eriştiği de kayıt altına alınmalı.
- Süre sonunda imha: Saklama süresi dolan kayıtlar planlı biçimde silinmeli.
Teknik kurulum adım adım
Çoğu işletmede 5651 log düzeni, mevcut güvenlik duvarı ya da kablosuz ağ denetleyicisi üzerine kurulabilir. Genel akış şöyledir:
- Ağı tanıyın. İnternete çıkış noktalarını, DHCP sunucularını ve misafir ağlarını listeleyin. Birden fazla şube varsa her biri ayrı ele alınır.
- Saati düzeltin. Güvenlik duvarını, switch'leri, kablosuz denetleyiciyi ve sunucuları aynı NTP kaynağına bağlayın; saat dilimi ayarını kontrol edin.
- Kayıtları dışarı aktarın. DHCP ve NAT/oturum kayıtlarını syslog ile merkezî bir log sunucusuna gönderin. Cihazın kendi belleği hem sınırlıdır hem de cihaz arızasında kaybolur.
- Günlük dosya ve zaman damgası. Kayıtları günlük dosyalara ayırın, her dosyanın özetini alıp zaman damgasıyla imzalayın. Bu adım bir betik ya da log yönetim yazılımıyla otomatikleştirilebilir.
- Yedek ve saklama. İmzalı dosyaların bir kopyasını farklı bir ortamda tutun; saklama süresi dolanları otomatik silin.
- Erişimi ve bilgilendirmeyi düzenleyin. Log sunucusuna erişimi kısıtlayın; misafir ağının giriş sayfasına kayıt tutulduğuna dair bilgilendirme ekleyin.
- Sınayın. Geçmiş bir tarih ve dış IP için "bu bağlantıyı hangi cihaz yaptı?" sorusunu gerçekten cevaplayabildiğinizi deneyin. Cevap çıkmıyorsa düzen eksiktir.
Güvenlik duvarı kuralları, kayıt düzeni ve lisans takibi dahil bu sürecin tamamını firewall hizmetimiz kapsamında yürütüyoruz.
Misafir Wi-Fi ve personel ağını ayırın
Misafirlere internet veren işletmelerde en sağlıklı yapı, misafir ağını personel ağından tamamen ayırmaktır. Ayrı bir kablosuz ağ adı (SSID), ayrı bir VLAN ve ayrı bir IP aralığı hem güvenliği hem kayıt düzenini kolaylaştırır: misafir cihazları şirket sunucularını göremez, kayıtlar da birbirine karışmaz.
- Misafir ağında bir giriş sayfası (captive portal) kullanmak, bağlanan cihazı bir doğrulamaya (SMS kodu, kupon ya da kayıtlı kullanıcı) bağlamayı sağlar. Bu, kaydı bir kişiyle ilişkilendirmeyi kolaylaştırır; ancak toplanan bilgi de kişisel veri hâline gelir.
- Misafir ağına bant genişliği sınırı ve içerik filtresi uygulamak hem hattı korur hem de erişimi önleyici tedbir yükümlülüğüne yardımcı olur.
- Personel ağında kimlik doğrulamalı bağlantı (örneğin WPA2/WPA3-Enterprise ve 802.1X), cihazı kullanıcı hesabına bağlar.
Kablosuz ağ tasarımını ve misafir ağı ayrımını kurumsal Wi-Fi altyapısı sayfamızda ayrıntılı anlattık.
KVKK ile birlikte düşünün
5651 kapsamında tutulan kayıtlar; IP adresi, MAC adresi ve kimlik doğrulama bilgisiyle birlikte kişisel veri niteliği taşıyabilir. Bu nedenle 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun temel ilkeleri burada da geçerlidir: kayıt belirli ve meşru bir amaç için, o amaçla sınırlı ve ölçülü biçimde tutulmalı; kişiler bilgilendirilmeli, veriler güvenli saklanmalı ve süresi dolunca imha edilmelidir.
Pratikte bu; misafir giriş sayfasında ve personel bilgilendirme metinlerinde kayıt tutulduğunun açıkça belirtilmesi, kayıtların başka amaçlarla (örneğin çalışan performansını izlemek için) kullanılmaması ve erişimin sınırlı tutulması anlamına gelir. Çalışan izleme konusundaki hassas noktaları çalışan izleme ve KVKK yazımızda ele aldık.
Sık karşılaşılan eksikler
- Kayıtların yalnızca güvenlik duvarının belleğinde tutulması ve birkaç günde bir üzerine yazılması.
- Cihaz saatlerinin eşitlenmemiş ya da saat diliminin yanlış ayarlanmış olması.
- DHCP kaydı tutulduğu hâlde NAT/oturum kaydı olmadığı için dış IP'den iç cihaza ulaşılamaması.
- Zaman damgası işinin bir kez kurulup sonra çalışıp çalışmadığına hiç bakılmaması.
- Misafir ve personel cihazlarının aynı ağda ve aynı IP aralığında olması.
- Kayıt tutulduğunun kullanıcılara bildirilmemesi.
Ankara'da 5651 uyumlu log düzeni
Ankara İvedik OSB merkezli RVZ Bilişim olarak personeline ya da misafirine internet veren işletmelerde güvenlik duvarı üzerinde 5651 kayıt düzeni, merkezî log sunucusu, zaman damgası otomasyonu ve misafir ağı ayrımını kuruyoruz. Hukuki değerlendirmeyi hukuk danışmanınıza bırakıyor, teknik tarafı eksiksiz ve sınanmış biçimde hazırlıyoruz.Sık sorulan sorular
5651 log kayıtları ne kadar süre saklanmalı?
Kayıtların yönetmelikte belirtilen süre boyunca saklanması gerekir; bu süre uygulamada genellikle bir yıl olarak bilinir. Mevzuat değişebileceğinden güncel metni kontrol etmenizi ve hukuk danışmanınıza danışmanızı öneririz.
Yalnızca çalışanlarımıza internet veriyoruz, yine de log tutmalı mıyız?
Bu durumun nasıl değerlendirileceği faaliyet türüne göre değişebilir; kesin cevap için hukuk danışmanınıza danışın. Teknik açıdan ise kayıt tutmak, bir güvenlik olayında hangi cihazın ne yaptığını bulabilmek için zaten iyi bir uygulamadır.
Zaman damgası neden gerekli?
Zaman damgası, kayıt dosyasının belirli bir anda var olduğunu ve o andan sonra değiştirilmediğini gösterir. Damgasız bir kayıt dosyası kolayca düzenlenebileceği için güvenilirliği tartışmalı hâle gelir.
Güvenlik duvarımız 5651 uyumlu, başka bir şey yapmamız gerekir mi?
Cihazın bu özelliği desteklemesi, özelliğin doğru yapılandırıldığı anlamına gelmez. Kayıtların gerçekten dışarı aktarıldığını, saatin doğru olduğunu, zaman damgasının her gün oluştuğunu ve geçmiş bir kaydı bulabildiğinizi düzenli olarak kontrol edin.