5651 Sayılı Kanun ve Şirketler: İnternet Log Kaydı Tutma Yükümlülüğü

Şirketinizde misafirlerin ve çalışanların kullandığı bir internet bağlantısı varsa, Türkiye'de bu bağlantının kayıtlarını tutmakla yükümlü olabilirsiniz. 5651 sayılı kanun, çoğu işletmenin adını duyduğu ama içeriğini denetim mektubu geldiğinde öğrendiği bir düzenleme. Bu yazıda kimin sorumlu olduğunu, tam olarak neyin kaydedilmesi gerektiğini ve pratikte nasıl uygulandığını anlatıyoruz.

5651 sayılı kanun tam olarak neyi zorunlu kılıyor?

Kanunun işletmeleri ilgilendiren kısmı sade: internet erişimi sağlayan taraf, bu erişime ait trafik bilgisini belirli bir süre saklamak ve istendiğinde yetkili mercilere sunmakla yükümlüdür. Buradaki kritik ayrım şu: kanun içeriğin kaydedilmesini istemez. Kimsenin hangi e-postayı yazdığı, hangi mesajı gönderdiği kayıt altına alınmaz — alınması zaten hukuka aykırı olur.

Saklanması gereken, bağlantının kendisine ait üstveridir:

• Bağlantının başlangıç ve bitiş zamanı
• Kullanıcıya atanan IP adresi ve port bilgisi
• Hedef IP adresi
• Kullanıcıyı ayırt etmeye yarayan kimlik bilgisi

Bu kayıtların zaman damgalı ve sonradan değiştirilmediği ispatlanabilir biçimde tutulması gerekir. Kayıtları bir metin dosyasına yazıp bir klasörde bekletmek, denetim karşısında geçerli bir kanıt oluşturmaz.

Kim yükümlü, kim değil?

Uygulamada en çok karıştırılan nokta burası. Genel bir çerçeve:

Yükümlü olanlar

• Ticari amaçla toplu kullanım sağlayanlar: kafe, restoran, otel, alışveriş merkezi, hastane bekleme salonu gibi müşterisine internet sunan işletmeler.
• Kurum içi ağı olan işletmeler: çalışanlarının tek bir hat üzerinden internete çıktığı ofisler bu kapsamda değerlendirilir.

Sık yapılan hata

"Bizim misafir ağımız yok, sadece çalışanlar kullanıyor" cümlesi tek başına muafiyet sağlamaz. Aynı şekilde "modemin kayıt özelliği var, o yeterli" varsayımı da genellikle doğru değildir: ev tipi modemlerin tuttuğu kayıt hem yeterli alanı içermez hem de zaman damgası taşımaz.

Peki bu kayıt pratikte nasıl tutulur?

Doğru kurulum genellikle üç parçadan oluşur:

1. Ağ geçidinde denetim: Tüm internet trafiğinin üzerinden geçtiği bir güvenlik duvarı (firewall) veya UTM cihazı. Kaydın kaynağı burasıdır.
2. Kullanıcı ayrıştırma: Trafiği bir kişiye bağlayabilmek gerekir. Misafir ağlarında bu genellikle SMS doğrulamalı hotspot ile, kurum içinde ise alan adı (domain) kimlik doğrulaması ile yapılır.
3. Zaman damgalı arşiv: Kayıtların imzalanarak saklandığı bir log sunucusu veya cihaz üzerindeki güvenli depolama alanı.

Bu üçlü kurulduğunda yükümlülük, gündelik olarak kimsenin uğraşmadığı bir arka plan sürecine dönüşür.

Kayıt tutmanın güvenlik tarafındaki faydası

Bu işi yalnızca "ceza yememek için" yapmak, elinizdeki en değerli teşhis aracını görmezden gelmek olur. Düzgün tutulan bağlantı kayıtları:

• Bir cihaz zararlı yazılım kaptığında hangi adreslere bağlanmaya çalıştığını gösterir.
• Anormal saatlerdeki dışa veri aktarımını ortaya çıkarır.
• Ağ yavaşlığının kaynağını (belirli bir cihaz mı, belirli bir servis mi) dakikalar içinde bulmanızı sağlar.

Yani uyum yükümlülüğü, doğru kurgulandığında bir maliyet kalemi değil; erken uyarı sistemidir.

Nereden başlamalı?

Üç soruyla kendi durumunuzu hızlıca değerlendirebilirsiniz:

1. Ofisimizdeki internet trafiğinin tamamı tek bir güvenlik cihazının üzerinden mi geçiyor?
2. Bir kaydı okuduğumuzda bunun hangi kullanıcıya ait olduğunu söyleyebiliyor muyuz?
3. Kayıtlarımız zaman damgalı ve değiştirilemez biçimde mi saklanıyor?

Üçüne birden "evet" diyemiyorsanız, altyapıda kapatılması gereken bir boşluk var demektir.

Marka34 olarak kurumsal ağlarda ağ güvenliği ve firewall kurulumu yaparken bu yükümlülüğü baştan tasarıma dahil ediyoruz. Mevcut altyapınızın nerede durduğunu görmek isterseniz bizimle iletişime geçin.