5651 Loglama: Yasal Yükümlülükler ve Uyum Rehberi

5651 loglama, adını 2007 tarihli 5651 sayılı “İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun”dan alır. Günlük kullanımda, internet erişimi sağlanan bir yerde hangi cihazın hangi zaman aralığında hangi IP adresiyle bağlandığını gösteren kayıtların tutulmasını anlatır. Kanunun 7. maddesi toplu kullanım sağlayıcılara bu konuda yükümlülük getirir; ayrıntıları İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik düzenler.

Kayıtların bir olay ya da suç şüphesi halinde yetkili makamlara sunulabilecek nitelikte olması ve sonradan değiştirilmediğinin gösterilebilmesi gerekir. Bu yüzden konu yalnızca bir ağ ayarı değildir; kayıt toplama, saklama ve bütünlük doğrulamasından oluşan bir süreçtir.

Eski rehberlerde sık geçen “iç IP dağıtım logu” ifadesi, 2007 tarihli önceki yönetmeliğin terimidir. O yönetmelik 2017 tarihli yönetmeliğin 14. maddesiyle yürürlükten kaldırılmıştır. Güncel düzenleme “erişim kayıtları” terimini kullanır.

Kanunun 2. maddesine göre toplu kullanım sağlayıcı, kişilere belli bir yerde ve belli bir süre internet ortamı kullanım olanağı sağlayan kişidir. Yükümlülüğün kapsamı iki kademelidir:

• Tüm toplu kullanım sağlayıcılar

  Ticari amaçla olup olmadığına bakılmaksızın, suç oluşturan içeriklere erişimin engellenmesi ve kullanıma ilişkin erişim kayıtlarının tutulması konusunda yönetmelikte belirlenen tedbirleri almakla yükümlüdür (Kanun m.7, fıkra 2).

• Ticari amaçlı toplu kullanım sağlayıcılar

  Ek olarak mahalli mülki amirden izin belgesi almak zorundadır (fıkra 1) ve ailenin ve çocukların korunması, suçun önlenmesi ve suçluların tespiti için yönetmelikteki ek tedbirleri uygular (fıkra 3).

Pratikte tanıma şu işletmeler girebilir: misafirlerine kablosuz ağ sunan oteller, AVM'ler, kafe ve restoranlar; hasta ve ziyaretçi ağı bulunan hastaneler; okullar; ziyaretçi, bayi veya müşteri ağı sunan fabrikalar ve holding ofisleri; kamu binaları. Bu bir örnek listesidir, kesin bir hüküm değildir: yalnızca çalışanların kullandığı kurumsal bir ağın durumu farklı değerlendirilebilir. Kuruluşunuzun kapsama girip girmediğine, ağınızı kimlerin hangi amaçla kullandığına bakarak karar verin.

Yönetmeliğin 3. maddesi “erişim kayıtları”nı şu bilgiler olarak tanımlar:

Kamuya açık alanlarda internet sunan sağlayıcıların ayrıca kullanıcıları tanımlayabilecek bir sistem kurması öngörülür; yönetmelik bunun bir örneği olarak SMS ile doğrulamayı anar (m.4, fıkra 1-c). Bu sayede IP ve MAC kaydı, bağlanan kişiyle eşleştirilebilir.

Pratikte bu bilgiler tek bir cihazdan gelmez. NAT kayıtları firewall'da, IP-MAC eşleşmesi DHCP sunucusunda, kullanıcı doğrulaması ise hotspot veya captive portal katmanında oluşur. Sağlıklı bir 5651 altyapısı bu kaynakları zaman damgalarıyla birleştirip tek bir kayıt zincirine dönüştürür.

İki yıl. Yönetmelik, hem tüm toplu kullanım sağlayıcılar için (m.4, fıkra 1-b) hem de ticari amaçlı olanlar için (m.5, fıkra 1-d) erişim kayıtlarının elektronik ortamda iki yıl saklanmasını öngörür. Ticari amaçlı sağlayıcılar, kayıtların doğruluk, bütünlük ve gizliliğini teyit eden değeri her gün kaydeder ve bunu da iki yıl saklar (m.5, fıkra 1-e).

Süre, kaydın üretildiği günden başlar ve boyunca kaydın okunabilir ve erişilebilir kalması gerekir. Uygulamada en sık görülen sorunlar şunlardır: disk dolunca eski kayıtların döngüsel olarak üzerine yazılması, cihaz değişiminde arşivin taşınmaması ve lisans bitince kayıtlara erişimin kaybolması. Saklama planınızı bu üç riske karşı ayrı ayrı test edin.

NextLog5651 kayıtları Türkiye'deki veri merkezlerinde iki yıl saklar ve otomatik yedekler.

Yönetmelik zaman damgası veya elektronik imzayı ayrı bir şart olarak aramaz. Ticari amaçlı sağlayıcılar için aradığı şey, kayıtların doğruluk ve bütünlüğünü teyit eden değerin her gün kaydedilip saklanmasıdır (m.5, fıkra 1-e). Bu teyidin güvenilir olması için uygulamada üç adım izlenir:

1. 1 · GÜNLÜK DOSYA

   O güne ait erişim kayıtları tek bir dosyada toplanır.

2. 2 · SHA-256 ÖZET

   Dosyadan bir özet değeri üretilir; dosyadaki tek bir karakter değişse özet değişir.

3. 3 · ZAMAN DAMGASI

   Özet, güvenilir bir zaman kaynağıyla mühürlenir; kaydın o anda var olduğu belgelenir.

TÜBİTAK Kamu SM zaman damgası bu üçüncü adımın yaygın bir uygulamasıdır. Zorunlu olmasa da, kaydın sonradan değiştirilmediğini göstermek istediğiniz her durumda işinizi kolaylaştırır; bir inceleme sırasında kaydın güvenilirliğini savunmanın en pratik yoludur.

Kanunun 7. maddesinin dördüncü fıkrası, bu yükümlülükleri ihlal eden ticari amaçlı toplu kullanım sağlayıcılara karşı mahalli mülki amire ihlalin ağırlığına göre şu yaptırımlardan birini uygulama yetkisi verir:

• Uyarma
• İdari para cezası

  Kanun metninde bin Türk lirasından on beş bin Türk lirasına kadar.

• Faaliyetin durdurulması

  Üç güne kadar ticari faaliyet.

Ticari amaçlı olmayan toplu kullanım sağlayıcıların da erişim kayıtlarını tutma yükümlülüğü vardır (m.7, fıkra 2); ancak bu para cezası ve faaliyet durdurma yaptırımı onlar için yazılmamıştır.

Yönetmeliğin 11 ve 12. maddeleri uygulamayı ayrıntılandırır: yaptırım kademeli işletilir ve ceza belirlenirken ihlalin sürmesi, tekerrür ve ekonomik kazanç gibi ağırlaştırıcı; geçmişteki olumlu uyum gibi hafifletici nedenler dikkate alınır. İzin belgesi olmadan ticari amaçlı faaliyet gösteren işyerleri ise tutanakla ve mühürlenerek resen kapatılabilir (m.7, fıkra 1).

Burada verilen tutarlar kanun metnindeki rakamlardır; güncel uygulamayı mevzuat.gov.tr üzerinden ve bağlı olduğunuz mülki idareden doğrulayın. Yaptırımın ötesinde, eksik veya değiştirilmiş kayıtlar bir olay incelemesinde kuruluşu delil sunamaz duruma düşürür; asıl maliyet çoğu zaman budur.

Kayıtlar kendi ortamınızda tutulabilir ya da bir hizmet sağlayıcının bulut altyapısında. İkisi de yönetmeliğin istediği sonucu verebilir; fark, yükü kimin taşıdığındadır.

Tek lokasyonlu, kayıt hacmi düşük ve BT ekibi güçlü bir kuruluş için yerel çözüm makul olabilir. Birden fazla şubesi olan, kayıt hacmi büyüyen ya da iki yıllık arşivi ve günlük bütünlük doğrulamasını kendi başına yönetmek istemeyen kuruluşlarda bulut tabanlı çözüm bakım yükünü ve kayıp riskini belirgin biçimde azaltır.

Bir uyarı: bulut hizmeti kullanmak yükümlülüğü devretmez, sorumluluk işletmede kalır. Sağlayıcıyla saklama süresini, bütünlük doğrulamasını, veri konumunu ve erişim yetkilerini sözleşmede netleştirin.