5651 sayılı Kanun: işletmeler için log tutma rehberi

Kafenizde misafirlere Wi-Fi şifresi veriyorsunuz. Fabrikanızda yüzlerce çalışan şirket ağı üzerinden internete çıkıyor. Otelinizin her odasında kablosuz bağlantı var. Bu senaryoların ortak noktası şudur: internet erişimi sağlıyorsunuz ve bu erişimin kaydını tutmanız gerekebilir. 5651 sayılı Kanun ve ona bağlı yönetmelikler, internet erişimi sağlayan işletmelere belirli kayıtları tutma ve koruma yükümlülüğü getirir. Bu yazıda yükümlülüğün mantığını, hangi kayıtların tutulduğunu ve kayıtların neden zaman damgasıyla imzalandığını sade bir dille anlatıyoruz. Çözüm tarafı için 5651 loglama sayfamıza bakabilirsiniz.

5651 sayılı Kanun neyi amaçlar?

5651 sayılı Kanun, internet ortamında yapılan yayınların düzenlenmesi ve bu yayınlar yoluyla işlenen suçlarla mücadele edilmesi amacını taşır. Kanun; içerik sağlayıcı, yer sağlayıcı, erişim sağlayıcı ve toplu kullanım sağlayıcı gibi farklı aktörler tanımlar ve her birine farklı yükümlülükler getirir.

İşletmelerin büyük çoğunluğunu ilgilendiren kavram “toplu kullanım sağlayıcı”dır. Kabaca, kişilere belirli bir yerde ve belirli bir süre internet kullanım imkânı sağlayan kişi ve kurumlar bu kapsamda değerlendirilir. Bir güvenlik olayı ya da suç soruşturması sırasında “bu tarihte, bu saatte, bu IP adresinden kim internete çıktı?” sorusunun cevaplanabilmesi, yükümlülüğün temel amacıdır.

Kimler kapsamda?

Kapsam, işletmenin türüne ve internet erişimini kimlere, hangi amaçla sağladığına göre değişir. Uygulamada iki grup öne çıkar:

• Ticari amaçla internet toplu kullanım sağlayanlar: İnternet kafeler gibi internet erişimini doğrudan bir hizmet olarak sunan işletmeler. Bu işletmeler için mülki idare amirliğinden izin belgesi alma ve filtreleme gibi ek yükümlülükler de söz konusudur.
• Diğer internet toplu kullanım sağlayıcılar: Otel, kafe, restoran, hastane, okul, alışveriş merkezi, fabrika ve ofisler gibi ana faaliyeti internet olmayan ama misafirlerine ya da çalışanlarına internet erişimi sunan işletmeler.

Yalnızca çalışanlarına internet veren bir ofisin, misafir ağı olan bir otelin ya da çok şubeli bir perakende zincirinin durumu birbirinden farklı değerlendirilebilir. Kendi durumunuzun hangi yükümlülüğe girdiğini güncel mevzuata göre bir hukuk danışmanıyla netleştirmenizi öneririz.

Hangi kayıtlar tutulur?

İç IP dağıtım kayıtları

Yükümlülüğün merkezinde iç IP dağıtım kayıtları vardır. İnternet toplu kullanım sağlayıcılarına ilişkin yönetmelik, sağlayıcıların kendi iç ağlarında dağıttıkları IP adreslerini, bu adreslerin kullanıma başlama ve bitiş tarih ve saatlerini ve bu adresleri kullanan cihazların MAC adreslerini elektronik ortamda kaydetmelerini öngörür.

Uygulamada bu, ağınızdaki DHCP sunucusunun ya da güvenlik duvarının hangi cihaza, hangi IP adresini, hangi zaman aralığında verdiğinin eksiksiz kaydıdır. Şirket ağından internete çıkan trafik tek bir dış IP adresi arkasında toplandığı için, bir olay sırasında içerideki hangi cihazın o bağlantıyı yaptığı ancak bu kayıtlarla bulunabilir.

Misafir kullanıcı bilgisi

Misafir ağlarında cihazın arkasındaki kişiyi de ilişkilendirebilmek için genellikle bir doğrulama adımı kullanılır: SMS ile doğrulama, kimlik bilgisiyle giriş ya da oda numarası gibi. Bu adım yükümlülüğün pratikte karşılanmasını kolaylaştırır; ancak kişisel veri işlediği için KVKK yükümlülüklerini de beraberinde getirir.

Zaman damgası neden gerekli?

Bir kaydı tutmak yetmez; kaydın sonradan değiştirilmediğini de kanıtlayabilmeniz gerekir. Yönetmelik, kayıtların doğruluğunun ve bütünlüğünün korunmasını ve dosya bütünlük değerlerinin zaman damgasıyla birlikte saklanmasını öngörür.

Mantık şöyledir: Kayıt dosyasının parmak izi (hash değeri) hesaplanır. Bu parmak izi, TÜBİTAK Kamu Sertifikasyon Merkezi (Kamu SM) gibi yetkili bir zaman damgası sağlayıcısına gönderilir ve imzalanır. Dosyada tek bir karakter değişirse parmak izi de değişir ve imza artık tutmaz. Böylece kaydın imzalandığı andan sonra değiştirilmediği bağımsız bir kaynakla kanıtlanır.

Bu yüzden güvenlik duvarının kendi kayıtları tek başına yeterli değildir. Kayıtları toplayan, düzenli aralıklarla imzalayan ve imzaların doğrulanabildiği bir yapı gerekir. Loglamanın genel mantığını loglama nedir yazımızda ayrıca anlattık.

Saklama ve denetime hazırlık

İmzalı kayıtlar, mevzuatın sağlayıcı türüne göre öngördüğü süre boyunca saklanmalı ve gizliliği korunmalıdır. Kaynaklarda farklı süreler dolaşıyor; sizin için geçerli süreyi güncel yönetmelik metnine göre doğrulayın ve kapasiteyi buna göre planlayın. Denetime ya da bir kayıt talebine hazır olmak için şu soruları kendinize sorun:

• İç IP dağıtım kayıtları tüm ağlar için (çalışan, misafir, şube) eksiksiz toplanıyor mu?
• Kayıtlar düzenli olarak ve kesintisiz biçimde zaman damgasıyla imzalanıyor mu?
• İmzalama bir gün aksasa bunu fark edecek bir uyarı mekanizması var mı?
• Arşiv yedekleniyor mu; disk arızasında kayıtlar kaybolur mu?
• Belirli bir tarih ve saat aralığındaki kayıtları hızla bulup dışa aktarabiliyor musunuz?
• İmzaların geçerliliğini gerektiğinde gösterebiliyor musunuz?
• Kayıtlara kimlerin erişebildiği sınırlı ve kayıt altında mı?

Unutmayın: Erişim kayıtları IP ve MAC adresi gibi kişisel verilerle ilişkilendirilebilir. Saklama, erişim yetkisi ve süre sonunda imha süreçlerini KVKK yükümlülükleriyle birlikte ele almak gerekir.

Sık yapılan hatalar

• Yalnızca misafir ağını kayda almak. Çalışan ağı, şube ağları ve kablolu bağlantılar unutulur; bir olayda eksik kayıt ortaya çıkar.
• İmzalamanın durduğunu fark etmemek. Zaman damgası hizmetine erişim kesildiğinde ya da disk dolduğunda imzalama sessizce durabilir. Aylar sonra fark edilen bir boşluk geri doldurulamaz.
• Kayıtları güvenlik duvarının kendi diskinde tutmak. Cihaz arızası ya da yazılım güncellemesi kayıtların kaybolmasına yol açabilir.
• Saati doğrulamamak. Cihazların saati doğru değilse kayıtların zaman bilgisi de yanlış olur. Tüm ağ cihazları güvenilir bir zaman sunucusuna eşitlenmelidir.
• Talep geldiğinde kaydı bulamamak. Kayıt tutulmuş ama aranabilir değilse, bir talep karşısında saatler hatta günler kaybedilir.

Unna ile 5651 uyumu

Unna Controller, Unna’nın kendi geliştirdiği ve FortiGate kullanan yapılar için tasarlanmış merkezi yönetim ürünüdür. 5651 loglama tarafında kayıtları Kamu SM nitelikli zaman damgasıyla (RFC 3161) imzalar, hash zinciriyle korunan ve her an doğrulanabilen günlük bir arşiv tutar. SMS doğrulamalı hotspot, markanıza özel karşılama sayfası ve KVKK uyumlu ziyaretçi kaydı aynı üründe yer alır. Bulutta ya da şirket içinde kurulabilir; cihazlar REST API veya SSH ile bağlanır, ek donanım gerekmez. Ayrıntılar için Unna Controller sayfamıza bakabilirsiniz.

Süreci şöyle yürütürüz: Önce hangi ağlar üzerinden kimlere internet verdiğinizi dinleriz. Kayıt kaynaklarını, misafir doğrulama yöntemini ve saklama kapasitesini birlikte planlarız. Kurulumdan sonra örnek bir kaydın sorgulanabildiğini ve imzasının doğrulanabildiğini sizinle birlikte test ederiz. İmzalamanın aksamadan çalıştığını düzenli kontrol eder, bir kayıt talebi geldiğinde yanınızda oluruz. Başlamak için bize yazın.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş değildir. Yükümlülüğün kapsamı, saklama süreleri ve idari yaptırımlar sağlayıcı türüne göre değişir ve mevzuat güncellenebilir. İşletmenizin durumunu güncel mevzuata göre hukuk danışmanınızla değerlendirmenizi öneririz.