5651 Sayılı Kanun: Kurumlar İçin Log Tutma ve Hotspot Rehberi
Misafir Wi-Fi sunan her kurumu ilgilendiren 5651 sayılı kanun: kimler kapsamda, hangi loglar tutulmalı, zaman damgası neden şart ve cezalardan nasıl korunulur?
Otel, kafe, hastane, okul, AVM veya bekleme salonu olan bir ofis: Misafirlerine internet erişimi sağlayan her kurum, 5651 sayılı "İnternet Ortamında Yapılan Yayınların Düzenlenmesi" kanunu kapsamında toplu kullanım sağlayıcı sayılır. Bu statü, trafik kayıtlarının belirli kurallarla tutulmasını zorunlu kılar. Konu çoğu zaman bir denetim ya da adli talep geldiğinde fark edilir; o noktada eksik log telafi edilemez.
Kimler Kapsamda?
- Misafir Wi-Fi sunan otel, restoran ve kafeler
- Hastaneler, okullar ve yurtlar
- AVM'ler ve perakende mağazaları
- Ziyaretçilerine internet sağlayan ofisler ve plazalar
- Kamu kurumlarının halka açık alanları
Hangi Kayıtlar Tutulmalı?
Mevzuat, iç IP dağıtım kayıtlarının (hangi cihaza hangi IP'nin ne zaman verildiği) ve erişim bilgisinin elektronik ortamda saklanmasını ister. Uygulamada firewall NAT logları, DHCP kayıtları ve hotspot oturum bilgileri birlikte toplanır. Kayıtların değiştirilmediğini ispatlamak için onaylı bir zaman damgası sağlayıcısıyla imzalanması gerekir. Saklama süresi yönetmelikte en az 1 yıl, en fazla 2 yıl olarak tanımlanmıştır; güncel yönetmelik hükümleri için hukuk danışmanınızla teyit etmenizi öneririz.
Hotspot ile Kimlik Doğrulama
Loglar tek başına "hangi cihaz" sorusunu yanıtlar; "hangi kişi" sorusu için hotspot gerekir. SMS doğrulama, T.C. kimlik numarası veya oda numarası ile giriş, misafirin oturumunu bir kişiyle eşleştirir. Hotspot aynı zamanda kullanım koşullarının onaylatılması ve bant genişliği sınırlaması için de kullanılır. Kablosuz altyapınızın bu senaryoya uygunluğunu ağ kurulum ve konfigürasyon hizmetimizde değerlendiriyoruz.
KVKK ile İlişkisi
5651 kayıtları kişisel veri içerdiği için KVKK kapsamındadır. Aydınlatma metni hotspot giriş sayfasında gösterilmeli, loglara erişim yetkisi sınırlandırılmalı ve süre dolduğunda imha edilmelidir. "Her şeyi süresiz sakla" yaklaşımı da uyumsuzluk yaratır. Genel çerçeve için KVKK ve ISO 27001 uyum yol haritamıza bakabilirsiniz.
Denetime Hazırlık Kontrol Listesi
- Tüm erişim noktalarından log toplanıyor mu?
- Loglar onaylı zaman damgasıyla günlük olarak imzalanıyor mu?
- İmza bütünlüğü düzenli olarak doğrulanıyor mu?
- Saklama süresi ve imha politikası yazılı mı?
- Adli talep geldiğinde belirli IP ve tarih için rapor dakikalar içinde üretilebiliyor mu?
Bu listedeki her madde, merkezi log yönetimi ile otomatik hâle getirilebilir. Aynı loglar güvenlik açısından da değerlidir: SIEM ve log yönetimi yazımızda anlattığımız gibi, korelasyon sayesinde saldırı izleri erken fark edilir.
Tek Paket Çözüm
Log toplama, zaman damgası, hotspot ve raporlamayı ayrı ayrı kurmak yerine tek pakette işletmek hem maliyeti düşürür hem de denetim riskini ortadan kaldırır. 5651 Loglama ve Hotspot çözümümüz aylık abonelikle sunulur; mevcut durumunuzu ücretsiz BT denetimi ile hızlıca kontrol edebilirsiniz.
Sıkça sorulan sorular
- Sadece çalışanlarımız internet kullanıyorsa 5651 geçerli mi?
- Toplu kullanım sağlayıcı yükümlülüğü esas olarak üçüncü kişilere erişim sunanlar içindir; ancak iç kullanımda da log saklamak güvenlik ve delil açısından güçlü şekilde önerilir.
- Zaman damgası olmadan tutulan log geçerli mi?
- Zaman damgası, kaydın sonradan değiştirilmediğini ispatlar. Damgasız loglar delil değerini büyük ölçüde kaybeder.
- Firewall'umuz log tutuyor, yeterli mi?
- Genellikle hayır. Cihaz üzerindeki loglar kısa sürede üzerine yazılır ve imzalanmaz; ayrı ve imzalı bir saklama altyapısı gerekir.