5651 sayılı kanun loglama zorunluluğu nedir? Zaman damgası, iç hat logları, hotspot misafir ağı ve BTK denetim cezalarından korunma rehberini keşfedin.
Hızlı Özet (TL;DR)
5651 Sayılı “İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun” ve buna bağlı yönetmelikler; fabrikalar, kurumsal şirketler, oteller, hastaneler, eğitim kurumları ve organize sanayi bölgeleri dahil olmak üzere çalışanlarına veya ziyaretçilerine internet erişimi sunan tüm işletmeleri “Ticari Amaçla ya da İç Kullanım Amaçlı Toplu Kullanım Sağlayıcı” olarak tanımlar. Kanun uyarınca; şirket ağına bağlanan tüm kablolu ve kablosuz cihazların iç IP dağıtımları (DHCP), dış dünyaya çıkarken kullandıkları NAT (Kaynak/Hedef IP ve Port) eşleştirmeleri, MAC adresleri ve erişim zamanları geriye dönük en az 2 yıl boyunca değiştirilemez biçimde saklanmak ve 5070 Sayılı Kanun’a uygun Elektronik Zaman Damgası (Time Stamp) ile kriptografik olarak mühürlenmek zorundadır.
1. 5651 Sayılı Kanun Neden Var ve Şirket Yöneticilerini Nasıl İlgilendiriyor?
Bir fabrikanın veya şirketin internet aboneliği (Metro Ethernet, Fiber veya Kurumsal ADSL), Türk Telekom veya ilgili servis sağlayıcı nezdinde şirketin tüzel kişiliği ve yönetim kurulu / şirket müdürü adına kayıtlıdır. Dış dünyadaki bir sunucuya veya bankaya şirketinizin internet hattından bir siber saldırı düzenlendiğinde, sahte fatura/dolandırıcılık işlemi yapıldığında, terör propagandası paylaşıldığında veya ticari casusluk gerçekleştirildiğinde; adli makamların ve Siber Suçlarla Mücadele Şube Müdürlüğü’nün elindeki tek bilgi, o işlemin sizin şirketinizin sabit (Statik) Dış IP adresinden ve belirli bir saniyede yapıldığıdır.
Savcılık şirketinize resmi müzekkere yazarak şunu sorar: “14 Mayıs günü saat 14:22:08’de 212.x.x.x dış IP adresinizden 443 hedef portuna yapılan bağlantıyı, şirketiniz içindeki hangi bilgisayar veya telefon (MAC adresi, yerel IP adresi ve kullanıcı kimliği) gerçekleştirmiştir?”
Eğer işletmenizde 5651 standartlarına uygun, zaman damgalı bir loglama altyapısı yoksa; suçu işleyen alt kullanıcıyı (bir personel, o gün fabrikaya gelen bir misafir veya Wi-Fi şifresini bilen taşeron çalışan) hukuken ispatlayamazsınız ve tüm adli/cezai sorumluluk doğrudan hat sahibi şirket yöneticilerinin üzerinde kalır.
2. 5651 Denetiminde Zorunlu Tutulan 4 Temel Log Kategorisi
Bir adli bilişim soruşturmasında veya BTK (Bilgi Teknolojileri ve İletişim Kurumu) teftişinde ibraz edilmesi zorunlu tutulan kayıt türleri ve teknik kabul kriterleri şunlardır:
| Log Kategorisi | Kaydedilmesi Zorunlu Teknik İçerik | Yasal Saklama Süresi | Mahkeme ve BTK Kabul Kriteri |
|---|---|---|---|
| 1. İç IP Dağıtım (DHCP) Logları | Hangi MAC adresli cihazın, hangi yerel IP adresini (192.168.x.x), hangi başlangıç ve bitiş saatleri arasında aldığı | En az 2 Yıl | SHA-256/512 özet değeri çıkarılmış ve TÜBİTAK/KSM Zaman Damgasıyla imzalanmış arşiv |
| 2. NAT / Güvenlik Duvarı Trafik Logları | Kaynak İç IP, Kaynak Port, Çıkılan Dış IP, Çıkılan Kaynak Port (PAT), Hedef IP, Hedef Port, Protokol ve Zaman | En az 2 Yıl | Bütünlüğü doğrulanabilir, saat senkronizasyonu (NTP) tam .log ve .tsr paketleri |
| 3. Hotspot (Misafir / Personel Wi-Fi) Logları | Kablosuz ağa bağlanan kişinin T.C. Kimlik (MERNİS), SMS OTP veya 802.1X kullanıcı kimliği ile MAC/IP eşleşmesi | En az 2 Yıl | Kimlik doğrulama kaydı ile trafik logunun saniye bazında örtüşmesi |
| 4. Sistem ve Yetkili Erişim (Audit) Logları | Log sunucusuna ve güvenlik duvarına sistem yöneticilerinin giriş-çıkışları, kural değişiklikleri | En az 2 Yıl | KVKK Veri Güvenliği Rehberi kapsamında değiştirilemez merkezi SIEM / Syslog kaydı |
3. Zaman Damgası (Time Stamp) Mimarisi Nasıl Çalışır?
Birçok işletme güvenlik duvarının (Firewall) kendi diski üzerine yazdığı düz metin (.txt / .csv) log dosyalarının mahkemede yeterli olacağını düşünür. Oysa düz metin dosyaları bir sistem yöneticisi tarafından Not Defteri ile açılıp içindeki bir IP adresi 10 saniyede değiştirilebilir veya silinebilir. Bu nedenle imzasız log dosyaları Türk mahkemelerinde kesin yasal delil niteliği taşımaz.
5070 Sayılı Elektronik İmza Kanunu ile uyumlu Kriptografik Zaman Damgası mimarisi şu 4 adımda çalışır:
- Merkezi Log Toplama (Syslog Ingestion): Güvenlik Duvarı Firewall cihazından, omurga switch’lerden, DHCP sunucusundan ve Hotspot kontrolcüsünden gelen tüm anlık log akışı (UDP/TCP 514 veya TLS Syslog) merkezi 5651 Loglama Sunucusuna toplanır.
- Kriptografik Özet (Hash) Çıkarma: Belirli periyotlarla (saatlik veya gün sonunda) oluşan log dosyasının SHA-256 veya SHA-512 algoritmasıyla tek yönlü matematiksel parmak izi (Hash özeti) hesaplanır.
- Zaman Damgası Otoritesi (TSA) Mühürlemesi: Sistem, log dosyasının kendisini dışarı göndermeden (veri gizliliğini koruyarak) yalnızca hesaplanan bu küçük Hash özetini TÜBİTAK Kamu Sertifikasyon Merkezi (Kamu SM) veya BTK yetkili Elektronik Sertifika Hizmet Sağlayıcısının zaman damgası sunucusuna gönderir.
- Değiştirilemez Arşivleme (
.tsrMühürü): Otorite sunucusu bu özeti o anki atomik saat bilgisi ve kendi özel anahtarıyla imzalayarak.tsr(Time Stamp Response) mühür dosyasını geri döndürür. Artık 2 yıl sonra bile o log dosyasının içindeki tek bir nokta veya tek bir rakam değiştirilse, Hash değeri bozulacağı için müdahale anında tespit edilir; değiştirilmemişse dosyanın o tarihte ve o saatte var olduğu %100 kesinlikle kanıtlanır.
4. Fabrika ve Şirketlerde Misafir Wi-Fi (Hotspot) Güvenliği
Fabrikanızı ziyaret eden bir müşteri, denetçi, nakliye şoförü veya tedarikçi personeli “İnternet şifreniz nedir?” diye sorduğunda, şirketinizin ana Wi-Fi şifresini kağıda yazıp vermek iki büyük tehlikeye davetiye çıkarır:
- Ziyaretçi kurumsal yerel ağınıza (LAN) doğrudan dahil olur; ortak dosya sunucularınızı, yazıcılarınızı ve üretim ağınızı tarayabilir.
- Şifre elden ele yayılır; 3 ay sonra fabrikanın otoparkına yanaşan bir araçtan bile ağınıza girilip siber suç işlenebilir.
Doğru mühendislik çözümünde misafir kablosuz ağı izole bir VLAN üzerinden tamamen ayrılır ve Captive Portal (Karşılama Ekranı) devreye girer:
- SMS Doğrulamalı Giriş: Ziyaretçi cep telefonu numarasını yazar, telefonuna gelen 6 haneli doğrulama kodunu girerek internete çıkar.
- T.C. Kimlik (MERNİS) Doğrulamalı Giriş: Ziyaretçinin Ad, Soyad, Doğum Yılı ve T.C. Kimlik Numarası Nüfus ve Vatandaşlık İşleri servisinden anlık doğrulanarak erişim verilir.
- Sponsor Onaylı Giriş: Ziyaretçi kiminle görüşmeye geldiğini seçer, içerideki ev sahibi personelin ekranına düşen onay linkine tıklandığında internet açılır.
5. 5651 ve KVKK Kesişimi: Şirketleri Bekleyen Hukuki ve Mali Riskler
Loglama yükümlülüğü yalnızca 5651 sayılı kanunla sınırlı değildir; aynı zamanda 6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındaki “Veri Güvenliğine İlişkin Teknik Tedbirler” tablosunun da en önemli maddesidir:
- İdari Para Cezaları: BTK ve KVK Kurulu denetimlerinde yasal log tutmadığı, zaman damgası kullanmadığı veya veri erişim izlerini (Audit Logs) kaydetmediği belirlenen işletmelere yüz binlerce liradan başlayıp milyonlarca liraya ulaşan idari para cezaları uygulanmaktadır.
- TCK Kapsamında Adli Sorumluluk: Şirket internet hattı üzerinden işlenen bir bilişim suçu, çocuk istismarı, yasa dışı bahis, hakaret veya banka dolandırıcılığı soruşturmasında, suçu işleyen iç IP/MAC adresi zaman damgalı loglarla ibraz edilemezse şirket yetkilileri hakkında Türk Ceza Kanunu uyarınca adli kovuşturma başlatılır.
- Fidye Yazılımı ve Sızıntı Sonrası Adli Analiz (Forensics): Şirketiniz bir siber saldırıya uğradığında veya DLP Veri Sızıntısı Önleme kapsamında bir veri hırsızlığı tespit edildiğinde, saldırganın hangi gün, hangi saatte ve hangi IP üzerinden verileri dışarı sızdırdığını kanıtlamanın tek yolu geriye dönük 2 yıllık imzalı log arşividir.
Maysa Yazılım’ın 5651 sayılı kanun ve KVKK teknik tedbirleriyle %100 uyumlu, otomatik TÜBİTAK zaman damgalı yerli güvenlik duvarı ve merkezi loglama çözümlerini KVKK ve 5651 Yasal Loglama sayfamızdan inceleyebilirsiniz.
Kaynaklar
- 5651 sayılı Kanun — Mevzuat Bilgi Sistemi
- 6698 sayılı Kişisel Verilerin Korunması Kanunu
- Bilgi Teknolojileri ve İletişim Kurumu (BTK)
Sıkça Sorulan Sorular
Sadece çalışanlarımızın kullandığı, dışarıdan misafir kabul etmeyen bir fabrika veya ofiste de 5651 loglama zorunlu mudur?
Evet, kesinlikle zorunludur. 5651 sayılı kanun kapsamında “Toplu Kullanım Sağlayıcı” tanımı yalnızca kafe veya otel gibi halka açık yerleri değil; çalışanlarına, taşeronlarına veya çözüm ortaklarına kurumsal internet erişimi sağlayan tüm özel hukuk tüzel kişilerini (fabrikalar, ofisler, şantiyeler, depolar) kapsar. Şirket içindeki bir çalışanın iş bilgisayarı veya kendi cep telefonu üzerinden şirket Wi-Fi hattını kullanarak işleyebileceği bir bilişim suçunda şirketin tüzel kişiliğini koruyan tek kalkan iç IP dağıtım ve NAT loglarıdır.
2 yıllık log arşivi sunucularda ne kadar disk alanı kaplar ve yedeklemesi nasıl yapılmalıdır?
Ortalama 50–100 kullanıcılı bir işletmede günlük sıkıştırılmış ve imzalanmış trafik/DHCP logları günde yaklaşık 150 MB – 400 MB, yılda ise yaklaşık 60 GB – 150 GB civarında yer kaplar; 2 yıllık arşiv için 500 GB – 1 TB disk alanı fazlasıyla yeterlidir. Ancak log sunucusunun diski bozulursa 2 yıllık yasal kanıtlarınız yok olacağı için, imzalanmış .log ve .tsr paketlerinin her gece otomatik olarak Ortak Dosya Sunucusu ve Yedekleme ünitesine ikinci bir kopya olarak yedeklenmesi şarttır.
İnternet servis sağlayıcımız (Türk Telekom, Superonline vb.) zaten log tutmuyor mu, bizim ayrıca tutmamıza neden gerek var?
İnternet servis sağlayıcıları (Erişim Sağlayıcılar), NAT (Network Address Translation) teknolojisi gereği yalnızca sizin şirketinizin dış dünyaya bakan tekil Dış (Public) IP adresini görebilir. Modeminizin veya güvenlik duvarınızın arkasındaki yerel ağda bulunan 150 bilgisayardan hangisinin (192.168.1.45 mi yoksa 192.168.1.82 mi) o isteği yaptığını servis sağlayıcının görmesi teknik olarak imkânsızdır. İç IP ile Dış IP arasındaki bu eşleştirmeyi (PAT/NAT ve DHCP) tutmak tamamen işletmenin yasal sorumluluğundadır.