Bir şirket, otel, okul, hastane ya da kafe çalışanlarına veya misafirlerine internet erişimi sağlıyorsa, 5651 sayılı Kanun kapsamında toplu kullanım sağlayıcı sayılır ve log tutmakla yükümlüdür. Öte yandan bu loglar kişisel veri içerdiği için 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) da devreye girer. Sahada en sık karşılaştığım iki uç durum var: Ya hiç log tutulmuyor, ya da “ne olur ne olmaz” diyerek her şey süresiz saklanıyor. Bu yazıda iki mevzuatı birlikte ele alıp dengeli bir loglama yaklaşımını inceleyeceğiz.

5651 Sayılı Kanun ve Toplu Kullanım Sağlayıcılar

5651 sayılı “İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun”, internet aktörlerini içerik, yer, erişim ve toplu kullanım sağlayıcı olarak ayırır. Toplu kullanım sağlayıcılara ilişkin ayrıntılar ise İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik ile düzenlenir.

Şirketlerin büyük çoğunluğu ikinci gruptadır. Bu grup için temel yükümlülük, iç IP dağıtım loglarının elektronik ortamda kaydedilmesi, 1 yıl süreyle saklanması ve bu verilerin doğruluğunun, bütünlüğünün ve gizliliğinin sağlanmasıdır.

Hangi Loglar Tutulmalı?

Yasal yükümlülüğün özü şudur: Kurumunuzun dış IP adresinden bir suç işlendiğinde, belirli bir tarih ve saatte o dış IP’yi hangi iç cihazın, mümkünse hangi kullanıcının kullandığını gösterebilmelisiniz. Bunun için pratikte şu veriler gerekir:

• DHCP logları: Hangi MAC adresine, hangi iç IP’nin, hangi zaman aralığında verildiği (iç IP dağıtım logu).
• Kullanıcı eşlemesi: Hotspot, 802.1X, Active Directory veya captive portal üzerinden cihazın hangi kişiye ait olduğu (kimlik doğrulama logu).
• NAT / oturum logları: İç IP’nin hangi dış IP ve port üzerinden internete çıktığı. Birden fazla kullanıcının tek dış IP’yi paylaştığı ortamlarda eşleştirmenin tek yolu budur.
• Zaman bilgisi: Tüm cihazların NTP ile senkronize olması. Saatleri birkaç dakika kaymış cihazlardan gelen loglar, eşleştirmeyi imkânsız hâle getirir.

Kanunun aradığı, kullanıcıların ziyaret ettiği sayfaların içeriği değildir. Ancak birçok kurum güvenlik amacıyla DNS sorgu veya URL loglarını da tutar. Bu kayıtlar 5651’in zorunlu kıldığı asgari setin ötesindedir ve KVKK açısından ayrıca değerlendirilmelidir.

Bütünlük ve Zaman Damgası

Yönetmelik, logların doğruluğunun ve bütünlüğünün sağlanmasını ister. Bir log dosyasının sonradan değiştirilmediğini ispatlamanın yaygın ve kabul gören yolu; log dosyalarının belirli aralıklarla özetinin (hash) alınması ve bu özetin zaman damgası ile imzalanmasıdır. Ayrıca logların değiştirilemeyecek veya erişimi sınırlı bir ortamda tutulması, adli bir talepte delilin geçerliliği açısından önemlidir.

KVKK Açısından Loglar

IP adresi, MAC adresi, kullanıcı adı ve erişim zamanları; belirli bir kişiyle ilişkilendirilebildiği sürece kişisel veridir. Bu nedenle 5651 loglarının da KVKK’ya uygun işlenmesi gerekir.

• Hukuki sebep: 5651 kapsamındaki asgari loglar, KVKK madde 5/2-ç (hukuki yükümlülüğün yerine getirilmesi) kapsamında işlenebilir. Yasal zorunluluğun ötesinde güvenlik amaçlı tutulan loglar için ise genellikle meşru menfaat (5/2-f) dayanak olarak değerlendirilir.
• Aydınlatma: Çalışanlar ve misafir kullanıcılar, internet erişiminin loglandığı konusunda bilgilendirilmelidir. Misafir Wi-Fi’da captive portal sayfası bunun için uygun bir yerdir.
• Ölçülülük: Amaçla sınırlı ve gerekli olandan fazla veri tutulmamalıdır. “Belki lazım olur” diye tüm trafiğin içeriğini kaydetmek bu ilkeye aykırıdır.
• Saklama ve imha: Yasal süresi dolan logların silinmesi veya anonimleştirilmesi gerekir. Saklama süreleri, kişisel veri saklama ve imha politikasında tanımlanmalı ve imha işlemleri kayıt altına alınmalıdır.
• Veri güvenliği: Loglara erişim yetkili kişilerle sınırlandırılmalı, log sistemine erişimin kendisi de loglanmalı, yedekler şifrelenmelidir.

Ne Kadar Saklamalı?

Sektörel düzenlemeler (bankacılık, sağlık, kamu, kritik altyapı) daha uzun saklama süreleri veya ek gereklilikler getirebilir. Kurumunuz bu sektörlerden birindeyse ilgili düzenlemeyi ayrıca kontrol edin.

Pratik Uygulama Önerileri

1. Saatleri senkronize edin: Güvenlik duvarı, DHCP sunucusu, kablosuz denetleyici ve log sunucusu aynı NTP kaynağını kullanmalı.
2. Logları merkezileştirin: Logların yalnızca güvenlik duvarının yerel diskinde tutulması, hem kapasite hem de bütünlük açısından risklidir. Syslog veya bir SIEM ile merkezi bir sunucuya aktarın.
3. Eşleştirmeyi test edin: Rastgele bir tarih, saat ve dış IP seçip “bu bağlantıyı kim yaptı?” sorusunu cevaplayabildiğinizi düzenli olarak deneyin. Log tutulduğu hâlde bu soru cevaplanamıyorsa, yükümlülük fiilen yerine getirilmiyor demektir.
4. Misafir ağını ayırın: Misafir kullanıcıları ayrı bir VLAN ve SSID’de, kimlik doğrulamalı (SMS, kimlik veya oda numarası ile) captive portal üzerinden internete çıkarın.
5. Erişimi kısıtlayın: Log verisine yalnızca yetkili kişiler erişebilmeli; adli makam talepleri belirli bir prosedürle karşılanmalıdır.
6. İmhayı otomatikleştirin: Saklama süresi dolan logların otomatik silinmesini sağlayın ve bunu raporlayın.

Önemli Notlar

• Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş değildir. Mevzuat değişebilir; kurumunuza özgü durumlar için hukuk danışmanınıza başvurun ve güncel mevzuat metnini mevzuat.gov.tr üzerinden kontrol edin.
• 5651 uyumu yalnızca log tutmak değildir; ticari amaç olmaksızın toplu kullanım sağlayıcıların suç içeren içeriğe erişimi önleyici tedbirler (içerik filtreleme) alması da beklenir.
• ISO/IEC 27001 kapsamındaki log kaydı (A.8.15), izleme (A.8.16) ve saat senkronizasyonu (A.8.17) kontrolleri, 5651 ve KVKK gereklilikleriyle birlikte tek bir log yönetimi politikasında ele alınabilir.