5651 Loglama Nedir? Kimler İçin Zorunlu, Nasıl Saklanır?

Kısa cevap

• 5651 loglama, internet erişimine ilişkin kayıtların (hangi cihaz, hangi IP/MAC ile, ne zaman, nereye bağlandı) 5651 sayılı Kanun ve ilgili yönetmelikler uyarınca tutulması, bütünlüğünün korunması ve belirli bir süre saklanmasıdır.
• Yalnızca internet servis sağlayıcılarını değil, çalışanlarına veya misafirlerine internet erişimi sunan her işletmeyi ("toplu kullanım sağlayıcı") kapsar: ofis, otel, kafe, AVM, okul, hastane, yurt, kamu kurumu.
• Toplu kullanım sağlayıcılar erişim kayıtlarını iki yıl saklamakla yükümlüdür (İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik md. 4/1-b). Erişim sağlayıcılar için Kanun'da 6 ay–2 yıl, yer sağlayıcılar için 1–2 yıl aralığı öngörülür (Kanun md. 6/1-b ve 5/3).
• Kayıtlar elektronik ortamda, doğruluğu, bütünlüğü ve gizliliği sağlanarak saklanır. Ticari amaçla hizmet verenler için kayıtların bütünlüğünü teyit eden değerin günlük olarak üretilip saklanması açık bir yükümlülüktür; uygulamada bu, kayıt özetlerinin zaman damgası ile mühürlenmesi şeklinde yapılır.
• Bu kayıtlar yalnızca bir "uyum arşivi" değildir: aynı veri, güvenlik izlemesinin (SIEM) en değerli girdilerinden biridir. Ayrı bir kutuda kilitli tutmak yerine güvenlik operasyonuna beslemek, aynı veriyi iki amaca birden kullanmak demektir.

5651 sayılı Kanun nedir?

Tam adı "İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun" olan 5651 sayılı Kanun 4 Mayıs 2007'de kabul edilmiş, 23 Mayıs 2007 tarihli ve 26530 sayılı Resmî Gazete'de yayımlanmıştır. Kanun; içerik sağlayıcı, yer sağlayıcı, erişim sağlayıcı ve toplu kullanım sağlayıcıların yükümlülüklerini tanımlar; erişimin engellenmesi ve içeriğin çıkarılması usullerini düzenler.

Kanun'un "loglama" olarak bilinen kısmı, bu aktörlerin trafik bilgisi / erişim kaydı tutma yükümlülüğüdür. Kanun'un güncel metninde trafik bilgisi, "taraflara ilişkin IP adresi, kaynak ve hedef port bilgisi, verilen hizmetin başlama ve bitiş zamanı, yararlanılan hizmetin türü, aktarılan veri miktarı ve varsa abone kimlik bilgileri" olarak tanımlanır (md. 2/1-j, 2014 değişikliği). Yani konu, kimin ne okuduğu değil, hangi bağlantının ne zaman, kimden kime kurulduğudur.

Kanun'un çizdiği çerçeveyi iki yönetmelik somutlaştırır:

• İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik (RG 11.04.2017, sayı 30035) — ofis, otel, kafe gibi yerlerde internet sunanların yükümlülükleri. Bu yazının asıl konusu budur.
• İnternet Ortamında Yapılan Yayınların Düzenlenmesine Dair Usul ve Esaslar Hakkında Yönetmelik (RG 30.11.2007, sayı 26716) — erişim ve yer sağlayıcıların trafik bilgisi yükümlülükleri.

Kimler için zorunlu?

Kanun dört aktör tanımlar; loglama yükümlülüğü esas olarak üçünde toplanır.

Pratikte en çok karıştırılan nokta şudur: Bir işletmenin bu kapsama girmesi için ISS olması gerekmez. Çalışanlarına kablolu ağ, misafirlerine Wi-Fi sunuyorsanız toplu kullanım sağlayıcısınız. Kanun md. 7/2, ticari amaçla olup olmadığına bakılmaksızın bütün internet toplu kullanım sağlayıcıları, konusu suç oluşturan içeriklere erişimin engellenmesi ve erişim kayıtlarının tutulması hususlarında yönetmelikle belirlenen tedbirleri almakla yükümlü kılar.

Yönetmelik md. 5 ayrıca ticari amaçla (umuma açık yerde ücret karşılığı) internet sunanlara ek yükümlülükler getirir; tipik örnek internet kafelerdir. Bu sağlayıcılar mülki idare amirinden izin belgesi almalı, sabit IP kullanmalı ve IP değişikliğini on beş gün içinde bildirmelidir. Filtreleme sistemini aktif tutmak ve kayıtların doğruluğunu, bütünlüğünü ve gizliliğini teyit eden değeri günlük olarak kaydedip iki yıl saklamak da bu yükümlülükler arasındadır. Yaptırım kararı mahalli mülki amirindir: Kanun md. 7/4'e göre ihlalin ağırlığına göre uyarma, idari para cezası ya da üç güne kadar faaliyet durdurma verilebilir. Para cezası Kanun metninde bin ile on beş bin TL arasıdır; tutarlar yeniden değerleme ile güncellenir. Yönetmelik md. 11 sırayı şöyle koyar: "ilk ihlalde yazılı uyarı, devamında üç güne kadar kapatma, tekrarında para cezası".

Hangi kayıtlar tutulur?

Yönetmelik "erişim kaydı"nı md. 3/1-e'de tanımlar (2007 tarihli önceki yönetmelikteki adıyla "iç IP dağıtım logları"). Buna göre kayıtta toplu kullanım sağlayıcının iç ağında dağıttığı IP adresi, kullanıma başlama ve bitiş zamanı, bu adresi kullanan cihazın MAC adresi ve hedef IP adresi bulunur. Tek bir genel IP portlar aracılığıyla birden çok kullanıcıya paylaştırılıyorsa kullanıcıya tahsis edilen gerçek IP ve port bilgileri de kayda girer. Sahada bunun karşılığı genellikle şu kaynaklardır:

• DHCP kayıtları — hangi MAC adresine, hangi saatte, hangi iç IP verildi.
• Güvenlik duvarı / NAT oturum kayıtları — hangi iç IP, hangi saatte, hangi dış IP ve porta, hangi kaynak port üzerinden çıktı. Birden çok cihaz tek bir genel IP'nin arkasından çıktığı için, iç IP–dış port eşleşmesi olmadan kayıt işe yaramaz. Güvenlik duvarları (FortiGate, Sophos, Check Point gibi) bu bilgiyi trafik (oturum) loglarında zaten üretir; iş, onu kaybetmeden ve değiştirilemez biçimde toplamaktır.
• Kimlik doğrulama kayıtları — hotspot/captive portal (misafir Wi-Fi'de SMS doğrulaması), RADIUS/802.1X veya Active Directory oturum açma kayıtları: IP'yi bir kullanıcıya bağlayan halka.
• Zaman kaynağı — tüm cihazlar aynı NTP kaynağına bakmalıdır. Saatleri farklı iki cihazın kaydı, birbirine eklenemez.

Bu kayıtlar erişim üstverisidir; ziyaret edilen sayfaların içeriği, yazışmalar veya dosyalar bu kapsamda değildir ve tutulması ayrı bir hukuki değerlendirme gerektirir.

Ne kadar süre saklanır?

İki not: Usul ve Esaslar Yönetmeliği'nde erişim sağlayıcının saklama süresini düzenleyen bent Danıştay kararıyla iptal edilmiş, yer sağlayıcı için ise 2007 tarihli "altı ay" ifadesi Kanun'un 2014'te getirdiği bir yıllık alt sınırın gerisinde kalmıştır; bu yazıda bu iki aktör için Kanun'daki aralıklar esas alınmıştır. Şirketlerin büyük çoğunluğunu ilgilendiren toplu kullanım sağlayıcı süresi ise nettir: iki yıl.

Süre, kaydın oluştuğu andan itibaren işler; bu nedenle saklama sistemi eski kayıtları süresi dolduğunda otomatik ve belgelenebilir biçimde imha edebilmelidir. Süresi dolan kaydı tutmaya devam etmek de bir uyumluluk sorunudur (aşağıda KVKK başlığına bakın).

Nasıl saklanır?

Mevzuatın ortak ölçütü üç kelimeyle özetlenir: doğruluk, bütünlük, gizlilik. Bunun teknik karşılığı:

1. Elektronik ortamda, ayrı bir yerde. Kayıtlar, üreten cihazın (güvenlik duvarı, hotspot) yerel diskinde bırakılmaz; ayrı bir log sunucusuna veya bu iş için kurulmuş bir hizmete aktarılır. Yerel diskler dolunca en eski kaydın üzerine yazar; iki yıllık pencere fark edilmeden kapanır.
2. Değiştirilemezlik ve doğrulanabilirlik. Kayıt bloklarının özet (hash) değeri alınır ve zaman damgası ile mühürlenir; böylece bir kaydın sonradan değiştirilip değiştirilmediği ispatlanabilir. Ticari toplu kullanım sağlayıcılar için bu teyit değerinin günlük üretilmesi açık bir yükümlülüktür (Yönetmelik md. 5/1-e); Usul ve Esaslar Yönetmeliği de yer sağlayıcılardan "dosya bütünlük değerlerini zaman damgası ile birlikte saklamayı" ister (md. 7/1-c). Diğer işletmeler için de "bütünlüğü sağlama" ölçütünün en yaygın karşılığı budur. Zaman damgası, 5070 sayılı Elektronik İmza Kanunu kapsamındaki hizmet sağlayıcılardan alınır.
3. Şifreli aktarım ve şifreli depolama. Kayıtlar kişisel veri içerir; hem taşınırken hem dururken şifrelenmelidir.
4. Erişim denetimi ve iz kaydı. Kayıtlara kimin, ne zaman baktığı da kaydedilmelidir. Yasal talep dışında erişim sınırlı tutulur.
5. Geri getirilebilirlik. Belirli bir tarih-saat ve IP için kaydı makul sürede çıkarabilmelisiniz. Yedeği alınmış ama açılamayan arşiv, hukuken kayıt yok demektir; geri yükleme periyodik olarak denenmelidir.
6. Yedeklilik. Tek disk, tek sunucu değil; en az iki kopya, tercihen farklı fiziksel konumda.

Uyum arşivi mi, güvenlik verisi mi?

Yaygın uygulama, 5651'i ayrı bir kutu olarak ele alır: hotspot ya da log cihazı lokasyona konur, kayıtlar orada birikir, yalnızca bir yasal talep geldiğinde açılır. Bu, yükümlülüğü karşılar; ama elde tutulan verinin değerini görmezden gelir.

Çünkü 5651 kaydı, güvenlik operasyonunun sorduğu soruların aynısını cevaplar:

• "Bu iç IP dün gece 03:10'da hangi dış adrese çıktı?" — bilinen kötücül IP/alan adlarına giden bağlantılar, komuta-kontrol trafiği şüphesi.
• "Şu MAC adresi kime ait, hangi kullanıcı oturum açmıştı?" — olay sonrası kaynak cihazı ve kişiyi bulmak.
• "Mesai dışında olağan dışı hacimde veri çıkaran cihaz hangisi?" — veri sızıntısı göstergesi.
• "Zararlı yazılım hangi cihazdan hangisine yayıldı?" — iç ağ hareketinin izini sürmek.

Aynı kayıt akışını iki ayrı yere iki kez toplamak yerine tek noktadan toplayıp iki amaca birden kullanmak çifte toplamanın maliyetini ve tutarsızlık riskini azaltır: bir kopya değiştirilemez 5651 arşivine gider, aynı akış SIEM korelasyon kurallarına beslenir. Böylece 5651 için yaptığınız harcama yalnız yasal talep geldiğinde işe yarayan bir gider olmaz; aynı kayıtları her gün güvenlik izlemesinde kullanırsınız.

Bunun ön koşulu hafif bir toplama mimarisidir. Her lokasyona ayrı cihaz göndermek gerekmez. Ağdaki mevcut güvenlik duvarının loglarını kendi (yerel/native) yönlendirmesiyle bir sanal toplayıcıya almak (nasıl yapıldığı ayrı yazıda), DHCP ve kimlik doğrulama kaynaklarını da aynı toplayıcıya bağlamak yeterlidir.

KVKK ile ilişkisi

IP adresi, MAC adresi ve kullanıcı adı kişisel veridir. Bu nedenle 5651 kayıtları aynı zamanda 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındadır:

• İşleme dayanağı, "veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi"dir; yine de çalışan ve misafirlere yönelik aydınlatma metninde bu işlemenin belirtilmesi gerekir.
• Saklama süresi dolan kayıtlar silinmeli, yok edilmeli veya anonim hale getirilmelidir; iki yıl "en az" değil, işlemenin amacına bağlı azami süredir ve kurumun saklama-imha politikasında yer almalıdır.
• Kayıtları bir hizmet sağlayıcıda tutuyorsanız, sağlayıcı veri işleyen konumundadır; sözleşmede rollerin, güvenlik tedbirlerinin ve verinin nerede tutulduğunun yazması gerekir. Verinin yurt içinde kalması, yurt dışına aktarım şartlarını gündeme getirmediği için işi sadeleştirir.

Sık yapılan hatalar

• Kayıtlar güvenlik duvarının yerel diskinde. Disk dolunca döner; iki yıl geriye gidilemez.
• NAT (dış port) eşleşmesi tutulmuyor. Yalnızca "iç IP hangi siteye gitti" kaydı, yasal talepte gelen "şu dış IP:port şu saatte kimdi" sorusuna cevap vermez.
• DHCP–MAC eşleşmesi yok. IP'nin hangi cihazda olduğu bilinmiyorsa kayıt kişiye bağlanamaz.
• Saatler senkron değil. NTP kullanmayan cihazların kayıtları birleştirilemez.
• Misafir Wi-Fi anonim. Kamuya açık alanlarda SMS vb. kullanıcı tanımlama yöntemi Yönetmelik'in açık gereğidir.
• İmzasız arşiv. Kayıt var ama değişmediği ispatlanamıyor.
• Test edilmemiş geri yükleme. Yedek var, açılmıyor.
• Süresi dolan kayıtlar silinmiyor. 5651 tarafında sorun yok gibi görünür; KVKK tarafında saklama-imha ihlalidir.
• 5651 arşivi güvenlik izlemesinden kopuk. Aynı veri iki kez toplanır ya da hiç analiz edilmez; olay anında "log var ama kimse bakmıyor" durumu oluşur.

Kontrol listesi

1. Hangi kaynaklardan (DHCP, güvenlik duvarı/NAT, hotspot, RADIUS/AD) kayıt aldığınızı yazılı olarak belirleyin.
2. Tüm kaynakların aynı NTP sunucusuna baktığını doğrulayın.
3. Kayıtları cihazdan ayrı, şifreli bir depoya aktarın.
4. Kayıt bloklarını günlük özet + zaman damgası ile mühürleyin.
5. Saklama süresini iki yıl olarak, imhayı otomatik ve kayıt altında tanımlayın.
6. Rastgele bir tarih-saat ve IP için kaydı çıkarma tatbikatını üç ayda bir yapın.
7. Aydınlatma metni ve saklama-imha politikasında 5651 kayıtlarına yer verin.
8. Hizmet dışarıdan alınıyorsa veri işleyen sözleşmesini ve verinin konumunu teyit edin.
9. Aynı kayıt akışının güvenlik izlemesine (SIEM) de beslendiğinden emin olun; ayrı bir kutuda kilitli kalmasın.

voosec'te nasıl yapıyoruz?

voosec platformunda 5651, ayrı bir cihaz değil, aynı toplama hattının bir çıkışıdır:

• Lokasyona cihaz koymadan. Ağınıza yalnızca bir sanal sunucu (voosec proxy) kurulur; ek donanım gönderilmez.
• Güvenlik duvarından doğrudan toplama. Güvenlik duvarınızın (FortiGate, Sophos, Check Point gibi) kendi log yönlendirmesi (syslog) proxy'ye bağlanır; DHCP, hotspot ve dizin kaynakları da aynı proxy'ye eklenir. Güvenlik duvarı tarafında ajan gerekmez; kayıtlar cihazın kendi yönlendirmesiyle gelir.
• LogVault · 5651. Kayıtlar imzalı ve zaman damgalı olarak, bütünlüğü doğrulanabilir biçimde mühürlenir; şifreli kanalla taşınır ve Türkiye'deki altyapıda saklanır. Kapsam cihaz başına belirlenir.
• SIEM ile bütünleşik. Aynı akış korelasyon kurallarına beslenir; 5651 arşivi ve güvenlik alarmları aynı panelde durur. Dilerseniz alarmları siz izlersiniz, dilerseniz 7x24 SOC ekibimiz izler.
• Esnek dönem. 12 aylık dönemle başlanabilir; 24 aylık taahhütte indirim uygulanır. Fiyat, sabit paket ücreti + cihaz başına aylık ücret olarak hesaplayıcıdan anında görülür.

Sık sorulanlar

Küçük bir ofisiz, sadece çalışanlarımız internet kullanıyor. Kapsamda mıyız?

Evet. "Toplu kullanım sağlayıcı" tanımı, kişilere belli bir yerde internet kullanım olanağı sağlayan herkesi kapsar; çalışan sayısı veya sektör ayrımı yoktur.

Misafir Wi-Fi'yi kapatırsak yükümlülük kalkar mı?

Misafir ağına ilişkin kimlik tanımlama gereği kalkar; ancak çalışan ağı için erişim kaydı tutma yükümlülüğü devam eder.

Mevcut güvenlik duvarımız var; ayrıca bir 5651 cihazı almamız gerekir mi?

voosec yaklaşımında gerekmez. Güvenlik duvarınızın ürettiği trafik logları, NAT sonrası adres/port bilgisiyle birlikte, cihazın kendi log yönlendirmesiyle (syslog) sanal toplayıcıya alınır; imzalı saklama da SIEM beslemesi de bu akışı kullanır. Ek bir kutu değil, doğru yapılandırılmış bir yönlendirme gerekir.

Kayıtları buluta koyabilir miyiz?

Mevzuat "elektronik ortamda kendi sistemlerine kaydetmek" der; uygulamada bu iş sözleşmeli hizmet sağlayıcı üzerinden de yürütülür. Bu durumda KVKK açısından veri işleyen sözleşmesi ve verinin bulunduğu ülke belirleyici olur.

Kaynaklar

• 5651 sayılı Kanun — güncel metin (mevzuat.gov.tr) (RG 23.05.2007, 26530)
• İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik (mevzuat.gov.tr) (RG 11.04.2017, 30035)
• İnternet Ortamında Yapılan Yayınların Düzenlenmesine Dair Usul ve Esaslar Hakkında Yönetmelik (mevzuat.gov.tr) (RG 30.11.2007, 26716)
• 6698 sayılı Kişisel Verilerin Korunması Kanunu (mevzuat.gov.tr) (RG 07.04.2016, 29677)
• 5070 sayılı Elektronik İmza Kanunu (mevzuat.gov.tr) (RG 23.01.2004, 25355)
• SIEM nedir, ne işe yarar, KOBİ'ye neden gerekir? — voosec blog
• Güvenlik duvarı logları merkezi olarak nasıl toplanır? — voosec blog
• KVKK teknik tedbirler: log kayıtları ve erişim güvenliği — voosec blog

Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş niteliği taşımaz. Madde numaraları ve süreler yazının yayın tarihinde mevzuat.gov.tr'de yer alan konsolide metinlere göredir; güncel metni oradan doğrulayın.