Bu yazı teknik bir rehberdir ve hukuki görüş yerine geçmez. Mevzuat değişebilir; kendi durumunuz için yükümlülüklerinizi hukuk danışmanınızla birlikte teyit edin.
"5651 logu" kurumsal BT dünyasında en sık duyulan ama en çok yanlış anlaşılan konulardan biridir. Kimisi bunun yalnızca internet kafeleri ilgilendirdiğini düşünür, kimisi tüm trafiğin içeriğiyle birlikte kaydedilmesi gerektiğini. Bu yazıda yükümlülüğün kimleri kapsadığını, hangi kayıtların tutulduğunu ve teknik olarak nasıl karşılanabileceğini özetliyoruz.
5651 sayılı Kanun nedir?
2007'de yürürlüğe giren 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun, internet ortamındaki aktörleri (içerik sağlayıcı, yer sağlayıcı, erişim sağlayıcı ve toplu kullanım sağlayıcı) tanımlar ve her birine farklı yükümlülükler getirir. İşletmeleri en çok ilgilendiren kavram toplu kullanım sağlayıcıdır.
Toplu kullanım sağlayıcı kimdir?
Kanun, toplu kullanım sağlayıcıyı kişilere belli bir yerde ve belli bir süre internet kullanım olanağı sağlayan kişi olarak tanımlar. Uygulamada iki gruba ayrılır:
- Ticari amaçla hizmet verenler: İnternet kafeler ve benzeri işletmeler. Bunlar için mahalli mülki idare amirliğinden izin belgesi alınması gibi ek yükümlülükler vardır.
- Ticari amaç taşımayanlar: Otel, restoran, kafe, hastane, AVM, okul gibi yerlerde misafirlerine; şirketlerde ise çalışanlarına veya ziyaretçilerine internet erişimi sağlayanlar.
Yani ofisinizde misafirlere açık bir Wi-Fi ağı varsa veya çalışanlarınıza internet erişimi sağlıyorsanız, büyük olasılıkla bu kapsamdasınız.
Hangi kayıtlar tutulmalı?
İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik, ticari amaç taşımayan toplu kullanım sağlayıcılarının iç IP dağıtım loglarını elektronik ortamda kaydetmesini ve saklamasını öngörür. Pratikte bu şu soruya cevap veren kayıtlardır:
"Belirli bir tarih ve saatte, iç ağdaki şu IP adresi hangi cihaza (MAC adresi) ve mümkünse hangi kullanıcıya verilmişti?"
Tipik bir kayıtta şunlar bulunur:
- Cihaza atanan iç IP adresi
- Cihazın MAC adresi
- IP'nin atandığı başlangıç ve bitiş zamanı
- Kimlik doğrulama yapılıyorsa kullanıcı bilgisi (örneğin misafir ağında SMS ile doğrulanan telefon numarası)
Önemli bir yanlış anlamayı düzeltelim: 5651, ziyaret edilen sayfaların içeriğinin kaydedilmesini istemez. Hatta içerik kaydı, kişisel verilerin korunması açısından gereksiz risk yaratır. Birçok kurum, iç IP–dış IP eşleşmesini de gösterebilmek için güvenlik duvarının NAT/oturum kayıtlarını ek olarak saklamayı tercih eder.
Ne kadar süre saklanmalı?
Yönetmelik, ticari amaç taşımayan toplu kullanım sağlayıcıları için iç IP dağıtım loglarının bir yıl süreyle saklanmasını öngörür. Yer sağlayıcılar gibi diğer aktörler için Kanun'da farklı süreler bulunur. Uygulamada bazı kurumlar, farklı sürelerin karıştırılmasından doğacak riski önlemek için kayıtları daha uzun süre (örneğin iki yıl) saklamayı tercih eder; bu kararı hukuk danışmanınızla birlikte verin ve daha uzun saklamanın KVKK'daki "gerektiği kadar saklama" ilkesiyle dengelenmesi gerektiğini unutmayın.
Zaman damgası neden gerekli?
Yönetmelik, kayıtların doğruluğunun, bütünlüğünün ve gizliliğinin sağlanmasını ister. Bir log dosyasının sonradan değiştirilmediğini kanıtlamanın yaygın yolu, dosyanın özetinin (hash) alınıp bir zaman damgası ile imzalanmasıdır. Böylece "bu kayıt bu tarihte bu haliyle vardı" ispatlanabilir. Zaman damgası hizmeti, Bilgi Teknolojileri ve İletişim Kurumu (BTK) tarafından yetkilendirilmiş elektronik sertifika hizmet sağlayıcılarından alınabilir; bazı log çözümleri bu işlemi otomatik olarak yapar.
Teknik olarak nasıl karşılanır?
1. Kaynakları belirleyin
IP dağıtımı hangi cihazda yapılıyor? Bu genellikle güvenlik duvarı, kablosuz ağ denetleyicisi veya bir Windows DHCP sunucusudur. Birden fazla lokasyonunuz varsa her birinin kaynağını listeleyin.
2. Kayıtları merkezi olarak toplayın
Kayıtlar syslog veya üreticinin log gönderme özelliğiyle merkezi bir log sunucusuna aktarılmalıdır. Kayıtları üreten cihazın üzerinde saklamak hem kapasite hem de güvenilirlik açısından yeterli değildir.
3. İmzalayın ve arşivleyin
Günlük log dosyaları hash'lenip zaman damgasıyla imzalanmalı, ardından değiştirilemeyecek şekilde arşivlenmelidir. Arşivin yedeğini de unutmayın.
4. Erişimi kısıtlayın
Log arşivine yalnızca yetkili kişiler erişebilmeli; erişimler de kayıt altına alınmalıdır. Bu kayıtlar kişisel veri içerdiği için KVKK kapsamındadır.
5. Test edin
Resmî bir talep geldiğinde, belirli bir tarih ve IP için kaydı dakikalar içinde bulup dışa aktarabildiğinizi önceden deneyin.
Misafir ağında kimlik doğrulama
Misafirlere şifresiz veya herkesin bildiği tek bir şifreyle internet veriyorsanız, IP–MAC eşleşmesi bir kişiye ulaşmak için çoğu zaman yeterli olmaz. Bu nedenle birçok kurum misafir ağında SMS doğrulamalı bir karşılama sayfası (captive portal) kullanır. Bu durumda telefon numarası da kişisel veri olacağından, karşılama sayfasında KVKK aydınlatma metnine yer verilmelidir.
Kısa kontrol listesi
- IP dağıtımı yapan tüm cihazlar ve lokasyonlar belirlendi
- IP–MAC–zaman kayıtları merkezi bir sisteme aktarılıyor
- Kayıtlar zaman damgasıyla imzalanıyor ve değiştirilemez şekilde arşivleniyor
- Saklama süresi belirlendi ve otomatik olarak uygulanıyor
- Misafir ağı kullanıcıları doğrulanıyor ve aydınlatma metni gösteriliyor
- Kayıtların aranıp dışa aktarılması test edildi