Yasal Zorunluluklar: 5651 Yasasına Uygun Log Yönetimi ve İmzalama Çözümleri
İnternet, modern iş dünyasının oksijeni gibidir; onsuz ne üretim yapılabilir ne de hizmet verilebilir. Bir otel lobisinde misafirler, bir kafede müşteriler, bir öğrenci yurdunda öğrenciler veya bir şirkette çalışanlar… Herkes o sihirli Wi-Fi şifresini ister ve dijital dünyaya bağlanır. Ancak bir işletme sahibi veya yöneticisi olarak, o bağlantıyı sağladığınız anda sırtınıza binen devasa bir yasal sorumluluğun farkında mısınız? İşyerinizdeki internet hattı üzerinden bir siber suç işlenirse (dolandırıcılık, hakaret, yasadışı içerik indirme, siber saldırı veya terör propagandası), kapınızı çalacak olan bilişim polislerine ve savcılara “Ben yapmadım, müşterim yapmış” demeniz sizi yasal olarak kurtarır mı? Cevap, eğer işletmenizde profesyonel bir log yönetimi ve 5651 yasası altyapınız yoksa, maalesef kocaman bir “Hayır”dır.
Türkiye’de 2007 yılında yürürlüğe giren ve teknolojinin gelişmesiyle zamanla kapsamı genişletilen “5651 Sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun”, internet erişimi sağlayan kurumları birer “İçerik Denetleyicisi” olmasa da resmi birer “Erişim Kayıtçısı” konumuna getirmiştir. Kanun koyucu özetle şunu emreder: “İnterneti kime kullandırdığını bileceksin, kimin ne zaman hangi IP adresini kullandığını kaydedeceksin ve bu kayıtları değiştirilemez, inkar edilemez şekilde saklayacaksın.” Bu emir, log yönetimi ve 5651 yasası süreçlerinin temelini oluşturur.
Birçok işletme, sadece bir modem şifresi koyarak, WPA2 şifreleme yaparak veya basit bir firewall alarak güvende olduğunu sanır. Oysa kanun, ham ve değiştirilebilir bir metin (txt) log dosyasını değil, “Zaman Damgası” ile mühürlenmiş, bütünlüğü bozulmamış, Hash değeri alınmış ve yasal formatlara (TİB formatı) uygun logları talep eder. Bu eksiklik, bir soruşturma anında işletme sahibini “tanık” konumundan “şüpheli” veya “suça iştirak eden” konumuna düşürebilir. İşletmenizin itibarını ve hukuki statüsünü korumak için log yönetimi ve 5651 yasası gerekliliklerini eksiksiz yerine getirmek bir tercih değil, zorunluluktur.
Everest Teknoloji olarak, Tuzla, Gebze ve İstanbul genelindeki yüzlerce müşterimize (Fabrikalar, Oteller, Okullar, Lojistik Merkezleri, Belediyeler) sunduğumuz danışmanlık hizmetlerinde gördüğümüz en büyük risk, teknik altyapı ile hukuksal zorunluluklar arasındaki tehlikeli boşluktur. Bu kapsamlı rehberde, log yönetimi ve 5651 yasası gerekliliklerini, Toplu Kullanım Sağlayıcı kavramını, DHCP ve NAT loglarının hayati önemini, Hotspot sistemlerini, zaman damgası teknolojisini ve Everest Teknoloji’nin sunduğu yasal uyumlu anahtar teslim çözümleri en ince detayına kadar inceleyeceğiz. İşletmenizi sadece siber saldırılardan değil, yasal yaptırımlardan da korumaya hazırsanız başlayalım.
5651 Yasası Nedir? Amacı ve Kapsamı
Halk arasında “İnternet Yasası”, “Log Yasası” veya “Bilişim Yasası” olarak bilinen 5651 sayılı kanun, internet ortamındaki suçlarla mücadele etmek, içerik sağlayıcı, yer sağlayıcı, erişim sağlayıcı ve toplu kullanım sağlayıcıların yükümlülüklerini belirlemek amacıyla çıkarılmıştır. İnternet, doğası gereği anonim bir ortamdır. Bir suç işlendiğinde (örneğin bir banka hesabı hacklendiğinde veya tehdit içerikli bir mail atıldığında), savcılık o suçun işlendiği “Dış IP” (Public IP) adresini tespit eder. Eğer o IP adresi sizin şirketinize veya otelinize aitse, savcılık sizin kapınızı çalar.
Bu noktada kanun size şu yükümlülüğü verir: “Bu IP adresini o tarih ve saatte, iç ağındaki (LAN) hangi bilgisayara, hangi tablete veya hangi telefona tahsis ettiğini bana ispatla.” Eğer log yönetimi ve 5651 yasası kapsamında çalışan, zaman damgalı bir loglama sisteminiz yoksa, o IP’den çıkan tüm trafikten, tüm işlemlerden ve tüm suçlardan hat sahibi (şirket yetkilisi/işletme sahibi) sorumlu tutulur.
Yasanın temel amacı; siber suçluların “dijital ayak izlerini” takip edilebilir hale getirmek, suçu işleyen gerçek faili bulmak ve masum hat sahiplerini (işletmeleri) korumaktır. Yani doğru uygulanan bir log yönetimi ve 5651 yasası süreci, aslında işletmeyi koruyan en güçlü hukuki kalkandır.
Kimler “Toplu Kullanım Sağlayıcı”dır?
Yasa, internet erişimi sağlayanları kategorize eder ve işletmelerin büyük çoğunluğu “Toplu Kullanım Sağlayıcı” statüsündedir. Bu statü, log yönetimi ve 5651 yasası yükümlülüklerinin doğrudan muhatabıdır.
Ticari Amaçla Toplu Kullanım Sağlayıcılar: İnternet erişimini bir ücret karşılığında sunan veya ana hizmetin (örneğin internet kafe hizmeti) bir parçası olarak sunan işletmelerdir. Bu işletmeler mülki idare amirinden izin belgesi almak zorundadır.
Ticari Olmayan Toplu Kullanım Sağlayıcılar: İnternet hizmetini ticari bir amaç gütmeden, çalışanlarına, misafirlerine veya müşterilerine ücretsiz veya hizmetin bir yan unsuru olarak sunanlardır.
Oteller ve Pansiyonlar
Restoranlar ve Kafeler
Şirketler ve Fabrikalar (Personel kullanımı için)
Öğrenci Yurtları ve Üniversiteler
Belediyeler ve Kamu Kurumları
Alışveriş Merkezleri (AVM)
Siz bir otel sahibi olabilirsiniz veya bir üretim tesisiniz olabilir; eğer çalışanlarınıza, tedarikçilerinize veya lobideki misafirlerinize Wi-Fi şifresi veriyorsanız veya kablolu internet kullandırıyorsanız, kanun karşısında “Toplu Kullanım Sağlayıcı”sınız ve log yönetimi ve 5651 yasası yükümlülüklerine harfiyen tabisiniz. “Biz sadece misafirlere jest olsun diye internet veriyoruz” demek, sizi yasal sorumluluktan kurtarmaz.
Teknik Yükümlülükler: Sadece Log Tutmak Neden Yetmez?
Birçok IT yöneticisi veya işletme sahibi, “Firewall cihazım var, zaten log tutuyor” veya “Modemin logları açık” diyerek büyük bir yanılgıya düşer. Standart Firewall cihazları genellikle güvenlik, performans ve trafik logları tutar. Ancak log yönetimi ve 5651 yasasının istediği format, içerik ve saklama koşulları çok spesifiktir ve sıradan loglardan farklıdır.
Yasanın (Yönetmeliklerin) istediği asgari veri seti şunlardır:
İç IP Adresi: Kullanıcıya atanan yerel ağ IP adresi (Örn: 192.168.1.50).
Dış IP Adresi: O an internete çıkılan gerçek, operatörden alınan IP adresi.
Kullanıma Başlama ve Bitiş Saati: Tarih, saat, dakika ve saniye hassasiyetinde.
MAC Adresi: Kullanıcının cihazının (telefon, laptop) fiziksel kimlik numarası.
Hedef IP ve Port: Kullanıcının nereye bağlandığı bilgisi (Opsiyonel olmakla birlikte soruşturmalarda çok önemlidir).
Bu verilerin ham haliyle bir metin dosyasında (txt, log) saklanması yasal olarak geçersizdir ve delil niteliği taşımaz. Çünkü basit bir metin dosyası sonradan “Notepad” ile açılıp değiştirilebilir (manipüle edilebilir). Kötü niyetli biri, log dosyasını açıp kendi IP adresini silebilir veya başkasının IP adresini yazabilir. Yasa, bu verilerin “bütünlüğünün bozulmadığının” ve “zamanının doğruluğunun” ispatlanmasını ister. İşte burada log yönetimi ve 5651 yasasının en kritik bileşeni olan “Zaman Damgası” devreye girer.
Zaman Damgası (Time Stamping) ve Hashleme Teknolojisi
Log yönetimi ve 5651 yasası sürecinin kalbi, “İmzalama” ve “Mühürleme” işlemidir. Bu işlem olmadan tutulan loglar, mahkemede delil olarak kabul edilmez.
Süreç teknik olarak şöyle işler:
Log Oluşumu: Sistem (Firewall veya Loglayıcı) gün boyunca oluşan trafik loglarını bir dosyada toplar.
Hashleme (Özet Çıkarma): Gün sonunda, bu log dosyasının matematiksel bir özeti (Hash – MD5 veya SHA algoritmasıyla) çıkarılır. Bu özet, dosyanın parmak izidir. Dosyanın içindeki tek bir virgül bile değişse, Hash değeri tamamen değişir. Bu, bütünlüğün garantisidir.
Zaman Damgası ile İmzalama: Çıkarılan bu Hash değeri, TÜBİTAK veya yetkili bir Zaman Damgası Sunucusu’ndan (ZDS) alınan o anki “resmi ve değiştirilemez” tarih-saat bilgisiyle kriptografik olarak mühürlenir.
Bu işlem hukuken şunu kanıtlar: “Bu log dosyası, tam olarak bu tarihte oluşturulmuştur ve o tarihten bu yana içeriği asla değiştirilmemiştir.” Everest Teknoloji olarak kurduğumuz profesyonel sistemler (Berqnet, Coslat, FortiLogger, Labris vb.), bu imzalama işlemini her gün otomatik olarak yapar ve log yönetimi ve 5651 yasası uyumluluğunu sağlar. İmzalı dosyalar güvenli bir alanda (veya bulutta) saklanır.
NAT (Network Address Translation) Loglarının Önemi
İnternet dünyasında IPv4 adresleri tükendiği için, işletmeler genellikle tek bir Dış IP (Public IP) adresi üzerinden yüzlerce çalışanı veya misafiri internete çıkarır. Buna NAT (Ağ Adres Çevirisi) denir. Dış dünyadan bakıldığında (örneğin bir web sitesinin loglarında veya polis kayıtlarında), şirketteki herkes aynı IP adresiyle (Örn: 88.255.x.x) görünür.
Eğer log yönetimi ve 5651 yasasına uygun NAT loglarını tutmazsanız, savcılık size “88.255.x.x IP adresinden şu saatte bir dolandırıcılık suçu işlendi” dediğinde, o saatte şirketteki 100 kişiden hangisinin o siteye girdiğini ayırt edemezsiniz. Hat sahibi olarak siz suçlu durumuna düşersiniz. Log yönetimi ve 5651 yasası çözümleri, İç IP ile Dış IP ve Port eşleşmesini (NAT Tablosu) saniye saniye kayıt altına alarak, suçun failini “nokta atışı” tespit etmenizi sağlar. “Şu saatte, şu iç IP, şu dış IP’nin şu portunu kullanarak çıkış yaptı” diyebilmelisiniz.
DHCP Logları ve Kimlik Eşleştirme
Sadece IP adresini bilmek yetmez. “192.168.1.50 IP adresi suç işlemiş” bilgisi, eğer o IP’nin o an kime (Ahmet’e mi, Mehmet’e mi?) verildiğini bilmiyorsanız anlamsızdır. Çünkü DHCP sunucusu, IP adreslerini dinamik olarak dağıtır. Sabah Ahmet Bey’in telefonunda olan IP, öğleden sonra Ayşe Hanım’ın tabletine geçebilir.
Bu yüzden log yönetimi ve 5651 yasası sistemleri, IP dağıtım loglarını (DHCP Lease Logs) da saklar. Ancak IP ile kişiyi eşleştirmek için en kesin yöntem “Hotspot” sistemleridir.
Hotspot (Misafir Ağı) Çözümleri: “Wi-Fi Şifremiz: 123456” Devri Bitti
Bir kafede, restoranda veya otelde, duvara yazılı sabit bir Wi-Fi şifresiyle (PSK) internete girmek, işletme için intihardır. O şifreyi öğrenen herkes (yoldan geçen biri, yan binadaki komşu veya kötü niyetli bir müşteri) ağınıza bağlanıp suç işleyebilir ve sorumlu hat sahibi olarak siz olursunuz. Log yönetimi ve 5651 yasası uygulamasında “Kimlik Doğrulama” şarttır.
Yasal uyumluluk için “Kimlik Doğrulama” (Authentication) mekanizmaları kullanılmalıdır. Everest Teknoloji olarak kurduğumuz Hotspot sistemleri (Captive Portal) şöyle çalışır:
Bağlantı: Kullanıcı Wi-Fi ağına bağlanır (Şifresiz veya basit şifreli).
Karşılama Ekranı: Tarayıcıyı açtığında veya bir uygulamaya girdiğinde karşısına işletmenizin logosunu taşıyan bir “Karşılama Ekranı” gelir.
Kimlik Doğrulama: İnternete çıkmak için kimliğini doğrulaması istenir.
SMS ile Doğrulama: Kullanıcı cep telefonunu girer, SMS ile gelen şifreyi yazar. (En güvenilir ve yaygın yöntemdir, GSM numarası üzerinden kişiye ulaşılabilir).
TC Kimlik No Doğrulama: Nüfus Müdürlüğü (NVİ) veritabanından isim, soyisim, doğum yılı ve TC no anlık olarak doğrulanır.
Otel Entegrasyonu: Oda numarası ve doğum tarihi/pasaport no ile doğrulama (PMS entegrasyonu).
Active Directory (LDAP): Şirket çalışanları için kendi kurumsal bilgisayar şifreleriyle giriş.
Bu yöntemle, log kayıtlarında sadece “IP Adresi” değil, “Mehmet Yılmaz, 0532 xxx xx xx” bilgisi de yer alır. Log yönetimi ve 5651 yasası tam olarak bunu hedefler: İnternetteki anonimliği kaldırmak ve sorumluluğu kişiselleştirmek.
KVKK (Kişisel Verilerin Korunması Kanunu) ile Çelişki Var mı?
İşletmelerin kafasını karıştıran bir diğer konu da KVKK’dır. “Kullanıcıların internet trafiğini kaydederken özel hayatın gizliliğini ihlal ediyor muyuz?” sorusu sıkça sorulur. Hayır, etmiyorsunuz. Çünkü log yönetimi ve 5651 yasası, trafiğin “içeriğini” (Deep Packet Inspection) kaydetmenizi istemez, hatta bunu yasaklar. Kimin kime ne yazdığını, mailin içeriğini, WhatsApp mesajını veya banka şifresini kaydetmek suçtur.
Yasa sadece “Üst Veri”yi (Meta Data) ister: Kim, nereye, ne zaman bağlandı? Ancak yine de Hotspot giriş ekranlarında bir “Aydınlatma Metni” yayınlanmalı ve kullanıcının açık rızası (Checkbox ile) alınmalıdır. Everest Teknoloji’nin Hotspot arayüzleri, KVKK uyumlu rıza metinlerini standart olarak sunar ve hukuki altyapınızı güçlendirir.
Yasal Saklama Süreleri ve Arşivleme
Kanun, logların ne kadar süre saklanacağını net bir şekilde belirtir: 2 Yıl. Log dosyalarınız, zaman damgasıyla imzalanmış şekilde, bütünlüğü bozulmadan 2 yıl boyunca saklanmalıdır. 2 yılın sonunda (başka bir yasal süreç yoksa) bu veriler KVKK gereği imha edilmelidir veya anonim hale getirilmelidir.
Eğer disk alanınız dolarsa ve eski logları silerseniz, 1.5 yıl önceki bir suç soruşturmasında savcı “O tarihteki logu getir” dediğinde “Yerim yoktu sildim” derseniz ceza alırsınız. Bu yüzden disk alanı planlaması, sıkıştırma ve otomatik arşivleme, log yönetimi ve 5651 yasası projesinin kritik bir parçasıdır. Everest Teknoloji, logları hem yerel diskte hem de bulut/nas ortamında yedekleyen yapılar kurar.
Cezai Yaptırımlar: Riskin Boyutu
Log yönetimi ve 5651 yasası gerekliliklerine uymamanın bedeli işletmeler için çok ağırdır.
İdari Para Cezaları: Log tutmama, eksik tutma, zaman damgası kullanmama veya istendiğinde ibraz edememe durumunda BTK (Bilgi Teknolojileri ve İletişim Kurumu) tarafından on binlerce liradan yüz binlerce liraya varan idari para cezaları kesilir.
Adli Sorumluluk: En büyük risk budur. İşyerinizden yapılan bir çocuk istismarı paylaşımı, dolandırıcılık veya terör propagandası paylaşımında, asıl faili bulamazsanız (log yoksa), hat sahibi olarak siz “şüpheli” sıfatıyla yargılanabilirsiniz. İşletmenizin bilgisayarlarına, sunucularına “suç aleti” olarak el konulabilir.
İtibar Kaybı: Markanızın adının bir siber suçla, terörle veya yasadışı bir eylemle anılması, telafisi zor bir itibar kaybıdır.
Bu riskleri almak yerine, profesyonel bir log yönetimi ve 5651 yasası çözümü kurmak, işletmenizin en ucuz ve en etkili sigortasıdır.
Everest Teknoloji Çözümleri: Uçtan Uca Uyumluluk
Biz, Everest Teknoloji olarak, müşterilerimize sadece bir “Kutu Ürün” veya “Yazılım” değil, tam kapsamlı bir “Yasal Güvence Paketi” sunuyoruz. Sürecimiz şöyledir:
Analiz ve Keşif: Mevcut ağ yapınızı, internet çıkışlarınızı, kullanıcı sayınızı ve yasal statünüzü (Ticari/Ticari Olmayan) analiz ediyoruz.
Doğru Ürün Seçimi: İşletmenizin ölçeğine uygun Firewall (Fortinet, Sophos, Berqnet) veya sadece Loglama cihazı (Coslat, Tib5651) seçimi yapıyoruz. Gereksiz pahalı yatırımlardan kaçınıyoruz.
Hotspot Kurulumu: Misafirleriniz için markanıza özel tasarlanmış, logo ve renklerinizle uyumlu, SMS veya TC kimlik doğrulamalı karşılama ekranları (Captive Portal) tasarlıyoruz.
Zaman Damgası Entegrasyonu: TÜBİTAK veya yetkili sağlayıcılardan zaman damgası aboneliğinizi başlatıp sisteme entegre ediyoruz. Log yönetimi ve 5651 yasası uyumluluğunu otomatiğe bağlıyoruz.
Otomatik Yedekleme: İmzalanmış logların hem cihaz üzerinde hem de harici bir kaynakta (NAS cihazı veya Bulut Depolama) yedeklenmesini sağlıyoruz. Cihaz bozulsa bile loglarınız kaybolmaz.
Eğitim ve Danışmanlık: Logların nasıl okunacağı, bir talep durumunda kolluk kuvvetlerine nasıl verileceği konusunda personelinize eğitim veriyoruz.
Sıkça Sorulan Sorular
Soru: İnterneti şifreli (WPA2) yaptım, yine de 5651 logu tutmalı mıyım? Cevap: Evet, kesinlikle. Şifreli olması sadece dışarıdan rastgele girişleri engeller. Şifreyi bilen birinin (çalışan veya müşteri) işlediği suçtan sizi kurtarmaz. Kimlik doğrulamalı ve zaman damgalı log yönetimi ve 5651 yasası uygulaması şarttır.
Soru: Sadece güvenlik kameralarıyla izlesek yetmez mi? Cevap: Hayır. Kamera fiziksel görüntüyü kaydeder. Bir kişinin elinde telefonla oturduğunu görürsünüz ama o anda siber suç işleyip işlemediğini, hangi siteye girdiğini kameradan anlayamazsınız. Mahkeme dijital delil (Log) ister.
Soru: Loglama internetimi yavaşlatır mı? Cevap: Hayır. Doğru yapılandırılmış bir sistem (cihaz kapasitesi yeterliyse) internet hızınızı etkilemez. Loglama işlemi arka planda, trafiğin kopyası üzerinden yapılır ve kullanıcı deneyimini bozmaz.
Soru: Çalışanlarımın hangi sitelere girdiğini görebilir miyim? Cevap: Evet. Log yönetimi ve 5651 yasası sistemleri, URL filtreleme özellikleri sayesinde hangi çalışanın hangi sitelerde gezindiğini raporlayabilir. Bu, iş verimliliği için de kullanılabilir.
Farklı Senaryolar: Kimler Nasıl Etkilenir?
Oteller: Oda numarası ile entegrasyon (PMS) hayati önem taşır. Hangi odadaki misafirin (Pasaport No ile) hangi IP’yi kullandığı bilinmelidir. Log yönetimi ve 5651 yasası oteller için kritik bir süreçtir.
Yurtlar: Öğrencilerin internet aktiviteleri ciddi yasal sorumluluk doğurur. TC Kimlik doğrulama zorunludur.
Kafeler/Restoranlar: SMS doğrulama en pratik yöntemdir. Müşteri telefonunu girer, şifre gelir, internete bağlanır. Hızlı ve yasaldır.
Şirketler: Active Directory entegrasyonu ile personelin hangi bilgisayardan ne yaptığı loglanmalıdır. Misafirler için ayrı bir ağ (Guest Network) oluşturulmalı ve Hotspot uygulanmalıdır.
Dijital Huzur İçin Yasal Kalkan
5651 sayılı yasa, işletmeler için bir “külfet” veya “ekstra masraf” gibi görünse de, aslında masumiyetinizi ispatlamanız için size devlet tarafından verilmiş en güçlü araçtır. Bir suç işlendiğinde “Ben yapmadım, işte imzalı loglar, işte o saatte o IP’yi kullanan kişinin kimlik bilgileri” diyebilmek, sizi uzun sürecek davalardan, ifade verme süreçlerinden ve ağır cezalardan kurtarır.
Everest Teknoloji olarak, teknik uzmanlığımızı hukuksal gerekliliklerle birleştiriyoruz. İşletmenizin dijital kapılarını güvenle açın, misafirlerinize ve çalışanlarınıza hızlı ve güvenli internet sunun; arka plandaki tüm yasal ve teknik süreçleri, log yönetimi ve 5651 yasası prosedürlerini biz yönetelim.
İşletmeniz için 5651 uyumluluk analizi, risk değerlendirmesi ve çözüm önerilerimiz için bugün bizimle iletişime geçin. İşinizi şansa değil, kanıtlara dayalı, imzalı ve güvenli bir sisteme emanet edin.