5651 Loglama Zorunluluğu: Kimler Kapsamda, Nasıl Yapılır?

Bir otelde misafirlerin Wi-Fi bağlantısı kullanması, bir kafede müşterilere internet sunulması veya bir fabrikada çalışanların ortak internet altyapısını kullanması farklı teknik ve hukuki sorumluluklar doğurabilir.

Türkiye'de bu konuda en sık araştırılan başlıklardan biri 5651 loglama yükümlülüğüdür.

Ancak “internete bağlanan herkesin bütün ziyaret ettiği siteleri kaydetmek zorundayız” veya “her işletme için aynı kayıt sistemi yeterlidir” gibi yaklaşımlar doğru değildir.

5651 sayılı Kanun ve ilgili yönetmeliklerde tanımlanan yükümlülükler, hizmetin niteliğine ve kuruluşun hukuki statüsüne göre değerlendirilmelidir.

Bu rehberde internet toplu kullanım sağlayıcılarının yükümlülüklerini, erişim kayıtlarının teknik özelliklerini ve loglama altyapısı kurulurken dikkat edilmesi gerekenleri ele alıyoruz.

5651 sayılı Kanun nedir?

5651 sayılı Kanun, internet ortamında yapılan yayınların düzenlenmesi ve bu yayınlar yoluyla işlenen suçlarla mücadele edilmesine ilişkin hükümler içerir.

Kanun yalnızca loglama sistemlerinden ibaret değildir. İçerik sağlayıcı, yer sağlayıcı, erişim sağlayıcı ve toplu kullanım sağlayıcı gibi farklı rollere yönelik hükümler bulunur.

İnternet erişimi sunan işletmeler bakımından özellikle toplu kullanım sağlayıcısı tanımı önem taşır.

5651 loglama zorunluluğu kimleri kapsar?

11 Nisan 2017 tarihli İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik'te toplu kullanım sağlayıcısı, kişilere belirli bir yerde ve belirli bir süre internet kullanım olanağı sağlayan gerçek veya tüzel kişi olarak tanımlanır.

Bu kapsamda değerlendirme gerektirebilecek örnekler şunlardır:

• Misafirlerine internet erişimi sunan oteller
• Müşterilerine ortak Wi-Fi hizmeti sunan kafeler
• Çalışanlarına ortak internet altyapısı sağlayan fabrikalar
• Ortak kullanım alanlarında internet erişimi sunan işletmeler
• Çalışanları ve ziyaretçileri için internet ağı işleten ofisler
• Eğitim, konaklama veya hizmet alanlarında ortak erişim sağlayan kurumlar

Ancak bunların her birinin aynı mevzuat kategorisine girdiği veya aynı ek yükümlülüklere sahip olduğu varsayılmamalıdır.

Somut değerlendirme, ilgili faaliyetin gerçekten toplu internet kullanım sağlayıcılığı kapsamına girip girmediği ve uygulanabilir mevzuat hükümleri üzerinden yapılmalıdır.

Ticari amaçlı internet toplu kullanım sağlayıcısı ile diğer sağlayıcılar aynı mı?

Hayır.

Yönetmelikte internet toplu kullanım sağlayıcısı ve ticari amaçla internet toplu kullanım sağlayıcısı ayrı ayrı tanımlanmıştır.

Ticari amaçlı toplu kullanım sağlayıcısı ifadesi, yalnızca işletmenin ticari bir şirket olması anlamına gelmez.

Özellikle ücret karşılığı internet toplu kullanım hizmeti veren internet salonları gibi faaliyetler için farklı izin ve işletme koşulları düzenlenmiştir.

Bu nedenle bir otelin ücretli konaklama hizmeti sunması, tek başına onu internet salonlarıyla aynı düzenleme kategorisine sokmaz.

Teknik sistem kurulmadan önce işletmenin hangi hükümlere tabi olduğu belirlenmelidir.

5651 kapsamında hangi erişim kayıtları önemlidir?

İlgili yönetmelikte erişim kayıtları için iç ağda dağıtılan IP adresleri, kullanım başlangıç ve bitiş zamanları, cihazların MAC adresleri ve uygulanabilir senaryolarda hedef IP ile port bilgileri gibi veri unsurları tanımlanmıştır.

Teknik açıdan önemli konular arasında şunlar bulunur:

IP adresleri: İlgili zaman aralığında hangi cihazın hangi IP adresini kullandığının belirlenmesi.

MAC adresi: Ağ cihazının ilgili erişim kaydıyla ilişkilendirilmesi.

Zaman bilgisi: Bağlantı başlangıç ve bitiş bilgilerinin tutarlı zaman kaynağıyla kaydedilmesi.

NAT ve port bilgileri: Çok sayıda kullanıcı aynı dış IP adresini paylaşıyorsa ilgili eşleştirmenin yapılabilmesi.

Kayıt bütünlüğü: Kayıtların sonradan değiştirilmediğinin değerlendirilebilmesini sağlayan kontroller.

Hangi alanların hukuken zorunlu olduğu ve hangi teknik yöntemlerin kullanılacağı, sağlayıcının statüsüne ve uygulanabilir düzenlemeye göre belirlenmelidir.

5651 logları ne kadar süre saklanmalı?

11 Nisan 2017 tarihli İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik'in yayımlanan metninde, ilgili erişim kayıtları bakımından iki yıllık saklama süresi düzenlenmiştir.

Ticari amaçlı toplu kullanım sağlayıcılarına ilişkin ayrıca kayıt bütünlüğünü destekleyen veriler bakımından hükümler bulunmaktadır.

Ancak bütün işletmelerin, bütün güvenlik veya uygulama loglarını otomatik olarak iki yıl saklaması gerektiği şeklinde genelleme yapılmamalıdır.

Farklı mevzuat, veri türü ve yükümlülükler için ayrı saklama politikaları söz konusu olabilir.

Uygulamada güncel mevzuatın ve kurumun hukuki niteliğinin doğrulanması gerekir.

5651 loglama cihazı nasıl çalışır?

5651 loglama amacıyla kullanılan çözümler; firewall, yönlendirici, kablosuz ağ altyapısı, DHCP sistemi ve gerektiğinde merkezi log sunucusundan bilgi alabilir.

Örnek bir iş akışında:

1. Kullanıcı ağa bağlanır.
2. Kullanıcıya veya cihaza IP adresi atanır.
3. İlgili erişim ve zaman bilgileri kaydedilir.
4. Kullanılan NAT veya bağlantı bilgilerinin gerektiği ölçüde ilişkilendirilmesi sağlanır.
5. Kayıtların bütünlüğü korunur.
6. Kayıtlar yetkili erişimlerle saklanır ve gerektiğinde incelenebilir.

Bu süreç kullanılan ağ cihazlarına ve loglama yazılımına göre değişebilir.

Önemli olan belirli bir ürünün üzerinde “5651 uyumlu” yazması değil, sistemin uygulanabilir gereklilikleri gerçekten karşılayabilmesidir.

Firewall logları tek başına yeterli mi?

Her zaman değil.

Örneğin güvenlik duvarı dış IP adresi ve bağlantı kayıtlarını tutuyor olabilir. Ancak belirli bir zamanda hangi iç IP adresinin hangi kullanıcı veya cihaz tarafından kullanıldığı bilgisi bulunmayabilir.

Benzer şekilde yalnızca DHCP kayıtlarının saklanması da bütün bağlantı bilgilerinin elde edildiği anlamına gelmeyebilir.

Bu nedenle bir loglama tasarımında firewall, DHCP, NAT, kablosuz erişim ve diğer ilgili sistemlerden hangi verilerin alınacağı bütün olarak değerlendirilmelidir.

FortiGate, UniFi ve kurumsal ağlarda loglama

İşletmelerin internet altyapısında FortiGate güvenlik duvarları, UniFi access point sistemleri veya başka kurumsal ağ ürünleri kullanılabilir.

Bu ürünlerin ürettiği kayıtlar, uygun mimaride merkezi log yönetim sistemleriyle birleştirilebilir.

Ancak her cihaz aynı veri alanlarını üretmez. Ürün sürümü, loglama özelliği, lisanslama, topoloji ve kullanıcı kimliklendirme yöntemi değerlendirilmelidir.

Sistem tasarımında:

• Log kaynakları belirlenmeli.
• Zaman senkronizasyonu kurulmalı.
• Kayıt bütünlüğü mekanizması doğrulanmalı.
• Erişim yetkileri sınırlandırılmalı.
• Saklama ve yedekleme politikası tanımlanmalı.
• İhtiyaç duyulan kayıtların geri getirilebildiği test edilmelidir.

5651 ve KVKK birlikte nasıl değerlendirilir?

İnternet erişim kayıtları, belirlenebilir kişilerle ilişkilendirilebiliyorsa kişisel veri niteliği taşıyabilir.

Bu nedenle loglama yükümlülükleri yerine getirilirken kişisel verilerin korunmasına ilişkin kurallar da dikkate alınmalıdır.

Logların gereksiz yere herkes tarafından erişilebilir tutulması, belirsiz süreyle saklanması veya amaç dışı kullanılması uygun değildir.

Yetkilendirme, erişim izleri, saklama politikaları ve güvenli veri yönetimi birlikte planlanmalıdır.

5651 kapsamındaki belirli erişim kayıtları ile kurumun bütün siber güvenlik kayıtları aynı şey değildir.

5651 loglama sistemi kurmadan önce 7 soru

1. Kurumumuz hangi toplu kullanım sağlayıcısı kategorisine giriyor?
2. Kullanıcılar nasıl kimliklendiriliyor?
3. IP ve MAC adresleri doğru eşleştiriliyor mu?
4. NAT veya port eşleştirme kayıtlarına ihtiyacımız var mı?
5. Kayıtların bütünlüğü doğrulanabiliyor mu?
6. Saklama ve yedekleme mekanizması yeterli mi?
7. Kayıtlar gerektiğinde güvenli ve anlaşılır biçimde sunulabiliyor mu?

Bu sorular hem hukuki hem de teknik değerlendirmede başlangıç noktası sağlar.

RelGen Teknoloji ile 5651 loglama altyapısı

RelGen Teknoloji, kurumların internet erişim altyapısını, firewall ve ağ yapılandırmalarını, log kaynaklarını ve kayıt saklama süreçlerini teknik açıdan değerlendirir.

Mevcut sistemlerinizin durumuna göre merkezî log toplama, kullanıcı erişim kayıtları, ağ entegrasyonu ve kayıt bütünlüğü gereksinimlerine yönelik çözümler planlanabilir.

Amaç, işletmenin faaliyet kapsamını ve BT altyapısını birlikte değerlendirerek uygulanabilir bir loglama mimarisi oluşturmaktır.

Teknik ihtiyaçlarınız için Bilişim Uyumluluk hizmetlerimizi inceleyebilir veya RelGen Teknoloji ile iletişime geçebilirsiniz.

Sık sorulan sorular

Otellerde 5651 loglama zorunlu mu?

Misafirlere internet erişimi sunan oteller, toplu kullanım sağlayıcılığı yönünden değerlendirilmelidir. Somut yükümlülükler hizmetin niteliğine ve uygulanabilir mevzuata göre belirlenmelidir.

5651 loglama için mutlaka ayrı cihaz mı gerekir?

Mevzuatın gerektirdiği işlevlerin hangi teknik mimariyle sağlanabileceği değerlendirilmelidir. Ayrı bir cihaz tek seçenek olmayabilir; önemli olan gerekli kayıtların doğru ve güvenilir biçimde tutulmasıdır.

Sadece firewall logu yeterli midir?

Her zaman değil. Kullanıcı veya cihaz ile IP adresi ve erişim zamanının ilişkilendirilmesi gibi gereksinimler ayrıca değerlendirilmelidir.

5651 loglama ile çalışanların bütün internet içeriği kaydedilir mi?

Erişim kayıtlarıyla iletişim içeriğinin kaydedilmesi aynı şey değildir. Gerekli veri kapsamı ilgili mevzuat ve somut hukuki amaç üzerinden belirlenmelidir.

Bu içerik teknik ve genel hukuki bilgilendirme amacı taşır. Somut yükümlülükler güncel mevzuat ve hukuk uzmanı değerlendirmesiyle doğrulanmalıdır.

İlgili resmî kaynak: 11 Nisan 2017 tarihli İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik