Antalya'da 5651 Uyumlu Loglama

Modem logu tutmak, uyumlu olmak değildir

Sahada en sık karşılaştığımız durum şu: işletme kayıt tuttuğunu sanıyor. Modemde bir log dosyası var, belki bir bilgisayara yedekleniyor. Denetim geldiğinde o kaydın kime ait olduğu, ne zaman oluştuğu ve sonradan değiştirilip değiştirilmediği gösterilemiyor. Kayıt var ama işe yaramıyor.

Uyumun üç ayağı var ve üçü birden gerekiyor: kullanıcının kimliğinin doğrulanması, kaydın zaman damgasıyla mühürlenmesi, ve yasal süre boyunca bütünlüğü bozulmadan saklanması. Bunlardan biri eksikse elinizdeki dosya denetimde delil sayılmıyor.

Kimler kapsamda?

Kanun, kendi abonesi olmayan kişilere belirli bir mekânda internet erişimi sağlayan yerleri "toplu kullanım sağlayıcı" olarak tanımlıyor. Uygulamada bu, misafirine veya müşterisine Wi-Fi veren hemen her işletme demek.

• Otel, resort, apart, pansiyon ve misafirhaneler
• Kafe, restoran, bar ve beach club'lar
• Alışveriş merkezleri ve mağazalar
• Hastane, klinik ve sağlık kuruluşları
• Okul, yurt ve kurs merkezleri
• Fabrika, ofis ve toplantı merkezleri

Hangi kayıtlar tutulmalı?

Tutulması gereken şey trafiğin içeriği değil, bağlantının kendisidir. Kimin, hangi cihazla, ne zaman bağlandığı ve hangi adrese yönlendiği kayıt altına alınır. İçerik kaydı tutmak gerekmez — üstelik tutulması KVKK açısından sorun yaratır.

• Bağlantı başlangıç ve bitiş zamanı
• Kaynak ve hedef IP adresi ile port bilgisi
• Kullanıcıyı tanımlayan bilgi (doğrulama kaydı)
• Cihazın ağ adresi
• Kayıtların zaman damgasıyla mühürlenmiş hâli

Zaman damgası neden şart?

Zaman damgası, kaydın belirtilen anda var olduğunu ve sonradan değiştirilmediğini kanıtlayan kriptografik mühürdür. Yetkili bir hizmet sağlayıcıdan alınır. Damgasız bir metin dosyası, teknik olarak ne kadar doğru olursa olsun, sonradan düzenlenmiş olabileceği için delil değeri taşımaz.

Bu, uyumsuzluğun en sık sebebi. İşletme yıllarca kayıt tutar, denetimde kayıtların kabul edilmediğini öğrenir. Sistemi kurarken damgalamayı baştan devreye almak, sonradan geriye dönük telafi etmekten çok daha kolay — çünkü geçmiş kayıtlar geriye dönük damgalanamaz.

Ne kadar süre saklanmalı?

Mevzuat asgari bir yıllık saklama öngörüyor; uygulamada iki yıla kadar saklandığı durumlar da var. Süre boyunca kayıtların bozulmadan, erişilebilir ve gerektiğinde çıkarılabilir durumda kalması gerekiyor. Pratikte bunun anlamı, log sunucusunun disk kapasitesinin baştan doğru planlanması.

Sık gördüğümüz bir hata: disk dolduğunda sistemin en eski kayıtları sessizce silmesi. İşletme haberdar bile olmuyor, aradaki dönem kayboluyor. Kurduğumuz sistemlerde disk doluluk uyarısı tanımlıyoruz.

Denetimde ne isteniyor?

Genellikle belirli bir tarih ve saat aralığı verilir, o aralıkta hangi kullanıcının hangi bağlantıları yaptığı sorulur. Bu bilgiyi makul bir sürede, okunabilir bir formatta ve zaman damgasıyla birlikte sunabilmeniz gerekir. Sistem kurulurken bu sorgunun nasıl çalıştırılacağını da tanımlıyor ve personelinize gösteriyoruz.

• Tarih aralığına göre hızlı sorgulama
• Okunabilir ve dışa aktarılabilir çıktı
• Zaman damgası doğrulama kaydı
• Kullanıcı doğrulama bilgisiyle eşleşme

Sahada en sık gördüğümüz beş hata

Bu listedeki maddelerin her biri, denetimde kayıtların reddedilmesine yol açabilecek durumlar. Hepsini mevcut sistemler üzerinde defalarca gördük.

• Şifresiz veya ortak şifreli açık ağ — kullanıcı kimliği hiç doğrulanmıyor
• Zaman damgası olmayan düz metin kayıtlar
• Log diski dolduğunda eski kayıtların sessizce silinmesi
• Personel ve misafir trafiğinin aynı ağda karışması
• Sistemin saatinin doğru senkronize edilmemiş olması

KVKK ile ilişkisi

5651 kapsamında kayıt tutmak, kişisel veri işlemek anlamına geliyor. Yani aynı anda KVKK yükümlülükleriniz de doğuyor: misafiri aydınlatmak, veriyi amacı dışında kullanmamak, yalnızca gereken kadarını ve gereken süre kadar saklamak. Karşılama ekranına aydınlatma metni eklemek bu yüzden gerekli, süs değil.