5651 Loglama Cihazı: Yasal Zorunluluk ve Düşük Maliyetli Çözümler
5651 loglama cihazı zorunlu mu, kimler kapsamda, kayıtlar ne kadar saklanır? Ayrı donanım almadan, mevcut kurumsal bilgisayarlar üzerinden yazılımla 5651 uyumu sağlamanın düşük maliyetli yolu.
5651 loglama cihazı arayışı çoğu zaman ayrı bir donanım satın almanın zorunlu olduğu varsayımıyla başlar. Oysa 5651 sayılı Kanun belirli bir cihazı değil, kaydın niteliğini tanımlar: erişim kayıtları zaman damgalı olmalı, bütünlüğü korunmalı ve mevzuatta belirlenen süre boyunca saklanmalıdır. Yükümlülük yalnızca erişim sağlayıcıları değil, çalışanlarına veya misafirlerine internet sunan ofis, şube, otel, okul ve kafe gibi internet toplu kullanım sağlayıcılarını da kapsar. Bu yazıda kimlerin kapsamda olduğunu, hangi verilerin kaydedileceğini ve halihazırda yönettiğiniz kurumsal bilgisayarlar üzerinden Arin Agent gibi bir yazılımla uyumun nasıl daha düşük maliyetle sağlanabileceğini ele alıyoruz.
5651 loglama cihazı nedir?
"5651 loglama cihazı", 5651 sayılı Kanun kapsamındaki erişim sağlayıcıların, yer sağlayıcıların ve internet toplu kullanım sağlayıcılarının trafik bilgisini kaydetmek ve saklamak için kullandıkları teknik altyapıya piyasada verilen addır.
- Kayıt türleri: Bağlantının başlangıç ve bitiş zamanı, yararlanılan hizmet türü, aktarılan veri miktarı ve taraflara ait IP adresi.
- Saklama süresi: Erişim sağlayıcılar için bir yıldan az, iki yıldan fazla olmamak üzere yönetmelikte belirlenen süre; toplu kullanım sağlayıcılar için ilgili yönetmelikte öngörülen süre. Kayıtlar bu süre boyunca değiştirilemez biçimde arşivlenir.
- Güvenlik: Kayıtların gizliliği, bütünlük kontrolü ve zaman damgası gerekliliği.
Bu altyapı 5651 sayılı Kanun'a ve İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik'e uygun olmalıdır. Yükümlülük yalnızca veri toplamayı değil, verilerin yetkisiz erişime karşı korunmasını ve süre dolunca usulüne uygun imhasını da kapsar. "Cihaz" sözcüğü bir sektör alışkanlığıdır; mevzuat belirli bir donanım şartı koymaz.
5651 loglama kapsamı neyi içerir?
5651 sayılı Kanun ve ilgili yönetmelikler, saklanması gereken veriyi "trafik bilgisi" olarak tanımlar ve şu unsurları sayar:
- Taraflara ait IP adresi ve toplu kullanım sağlayıcılar için iç IP dağıtım kayıtları.
- Hizmetin başlama ve bitiş zamanı, zaman damgasıyla mühürlenmiş halde.
- Yararlanılan hizmetin türü ve aktarılan veri miktarı.
- Abone veya kullanıcı kimlik bilgisi; kaydın hangi cihaza ve kullanıcıya ait olduğunun eşleştirilebilmesi.
Ziyaret edilen sayfaların içeriği, yazışmalar veya çalışanın ekran başında ne yaptığı 5651'in gereği değildir. Bu tür verilerin fazladan toplanması, KVKK'daki veri minimizasyonu ilkesi açısından ayrı bir risk oluşturur; loglama, çalışanın her hareketini kaydetmek anlamına gelmez. Kayıtların bütünlüğü zaman damgasıyla güvence altına alınır; ağ saatlerinin senkronize edilmesi (NTP) yalnızca saat eşitlemesidir; hukuken geçerli zaman damgası, 5070 sayılı Elektronik İmza Kanunu kapsamında yetkili elektronik sertifika hizmet sağlayıcısından alınır.
Yasal yükümlülükler ve sorumluluklar nelerdir?
5651 kapsamında loglama yükümlülüğü, kapsamdaki kurumların şu sorumlulukları taşımasını gerektirir:
- Kayıtların otomatik olarak oluşturulması ve kayıt anında zaman damgalanması.
- Veri koruma: Kayıtlar yetkisiz erişime kapalı ortamda saklanmalı, erişim yalnızca yetkili personele açık olmalıdır.
- Denetim ve raporlama: Bir talep geldiğinde kayıtların bütünlüğü ve saklama süresi kanıtlanabilmeli, kayıtlar ibraz edilebilmelidir.
- Silme prosedürü: Saklama süresi dolduğunda kayıtlar usulüne uygun biçimde imha edilmelidir; gereğinden uzun saklama KVKK açısından ayrı bir sorumluluk doğurur.
Bu yükümlülükleri yerine getirmeyen kurumlara Kanun'un 6. ve 7. maddeleri kapsamında idari para cezası uygulanır. Asıl risk ise para cezasından çok, bir soruşturmada kaydın ibraz edilememesi ve sorumluluğun kurumun üzerinde kalmasıdır.
Uymama durumunda hangi cezalar uygulanır?
5651 loglama kurallarını ihlal eden kurumlar için iki ana risk alanı vardır:
- İdari para cezası: Kanun'da öngörülen tutarlar her yıl yeniden değerleme oranıyla güncellenir ve kurumun erişim sağlayıcı ya da toplu kullanım sağlayıcı olmasına göre farklılaşır.
- Denetim ve soruşturma riski: Bir adli veya idari talep geldiğinde kayıt yoksa ya da bütünlüğü kanıtlanamıyorsa, ağ üzerinden gerçekleşen eylemin sorumluluğu kurumda kalır.
Bu sonuçlar maliyetin ötesinde, kurumun güvenilirliğine de uzun vadeli zarar verir.
5651 loglama nasıl uygulanır?
Aşağıdaki adımlar, ayrı bir donanım yatırımı yapmadan yükümlülüğü karşılamanın temel sürecini özetler:
- Kapsam tespiti: Kurumunuzun toplu kullanım sağlayıcı olup olmadığını ve hangi ağ, şube ve cihazların kapsama girdiğini belirleyin; misafir ağını ayrıca değerlendirin.
- Kayıt kaynağının seçimi: Ağ geçidine bağlanan ayrı bir log cihazı ile mevcut bilgisayarlarda çalışan bir uç nokta ajanı arasında karar verin. Ajan yaklaşımında erişim kaydı zaten yönettiğiniz cihazlar üzerinde zaman damgalı olarak üretilir; ek donanım ve ayrı bir yönetim paneli gerekmez.
- Zaman damgası ve bütünlük: Kayıtlar oluşturulduğu anda damgalanmalı ve sonradan değiştirilmediği doğrulanabilir olmalıdır. Saat senkronizasyonunu zaman damgasının yerine koymayın.
- Saklama politikası: Saklama süresini merkezi olarak tanımlayın; süresi dolan kayıtlar otomatik yönetilsin. Böylece hem eksik hem de fazla saklama riski birlikte azalır.
- Denetime hazırlık: Kayıtların dışa aktarılabilir olmasını, kayıt-cihaz-kullanıcı eşleşmesinin tek ekrandan görülebilmesini ve çalışanların KVKK aydınlatma metniyle bilgilendirilmiş olmasını sağlayın.
Ücretsiz çözümler yeterli mi?
Açık kaynak log toplayıcılar ve kendin-yap donanım kombinasyonları ilk bakışta maliyetsiz görünür. Görünmeyen maliyetler kurulumdan sonra ortaya çıkar:
| Kriter | Neden önemli | Nelere bakılmalı |
|---|---|---|
| Zaman damgası | Hukuken geçerli damga yetkili sağlayıcıdan alınır; açık kaynak damga servisleri bu şartı karşılamaz | Damganın kaynağı, kayıt anında uygulanıp uygulanmadığı |
| Bütünlük kanıtı | Denetimde kaydın sonradan değiştirilmediği gösterilmelidir | Değiştirilemezlik doğrulaması, özet (hash) kontrolü |
| Saklama süresi yönetimi | Eksik saklama 5651, fazla saklama KVKK riskidir | Süre dolduğunda otomatik işlem, merkezi politika |
| Kurulum ve bakım işgücü | Yamalar, disk doluluğu ve arızalar tek kişiye bağımlılık yaratır | Bakımın kimde olduğu, o kişi ayrılınca ne olacağı |
| Denetimde ibraz | Hangi cihaza ve kullanıcıya ait olduğu bilinmeyen kaydın değeri düşüktür | Kayıt-cihaz-kullanıcı eşleşmesi, dışa aktarma kolaylığı |
Küçük bir ofis için de asıl soru donanımın fiyatı değil, bir talep geldiğinde kaydın kanıtlanabilir biçimde ibraz edilip edilemeyeceğidir. Arin Agent bu ihtiyacı zaman damgalı ve bütünlüğü doğrulanabilir kayıt, saklama süresi otomasyonu ve denetime hazır dışa aktarma ile karşılar; loglama, cihaz envanteri ve güvenlik izleme aynı panelde birleştiği için her ölçekteki kurum tek bir yapı üzerinden ilerler.
5651 loglama cihazı maliyetini nasıl düşürürsünüz?
Maliyetleri kontrol altında tutmak için şu stratejileri uygulayabilirsiniz:
- Ayrı log cihazı almayın: Yükümlülüğü, zaten yönettiğiniz kurumsal bilgisayarlar üzerinden yazılımla karşılayın; satın alma, kurulum ve donanım bakımı kalemleri baştan ortadan kalkar.
- Panel ve ürün çokluğunu kaldırın: Loglama, cihaz envanteri, risk skoru ve politika yönetimi tek panelde toplandığında hem lisans hem de yönetim işgücü azalır.
- Saklama süresini tam mevzuat kadar tutun: Süresi dolan kaydın otomatik yönetilmesi, depolama ihtiyacını ve KVKK riskini birlikte düşürür.
- Modül bazlı başlayın: Yalnızca ihtiyaç duyduğunuz modülleri açın; fiyat cihaz sayısına ve seçilen modüllere göre belirlenir.
- Denetim hazırlığını otomatikleştirin: Dışa aktarım ve kayıt-cihaz-kullanıcı eşleşmesi hazır olduğunda, denetim öncesi manuel toplama işi ortadan kalkar.
Bu yaklaşımlar donanım, bakım ve işgücü kalemlerini birlikte azaltırken yasal uyumu korur.
Aksiyon önerisi: 5651 yükümlülüğünü ayrı bir loglama cihazı almadan, KVKK uyumlu bir yapı içinde karşılamak için Arin Agent'ın bu ihtiyacı nasıl çözdüğünü 5651 loglama yazılımı sayfasında inceleyebilir, cihaz sayınıza ve ihtiyaç duyduğunuz modüllere göre teklif alabilirsiniz.
Sık sorulan sorular
Hayır. Kanun belirli bir donanımı değil, kaydın niteliğini tanımlar: zaman damgalı, bütünlüğü korunmuş ve belirlenen süre boyunca saklanmış erişim kaydı. Bu nitelikte kayıt, mevcut kurumsal bilgisayarlar üzerinde çalışan bir yazılımla da üretilebilir.
Erişim sağlayıcılar, yer sağlayıcılar ve internet toplu kullanım sağlayıcıları; yani çalışanlarına veya misafirlerine internet sunan ofis, şube, otel, okul ve kafe gibi her kurum.
Erişim sağlayıcılar için bir yıldan az, iki yıldan fazla olmamak üzere yönetmelikte belirlenen süre; toplu kullanım sağlayıcılar için ilgili yönetmelikte öngörülen süre esastır. Süre dolduğunda kayıtların otomatik olarak yönetilmesi hem eksik hem fazla saklama riskini azaltır.
Trafik bilgisi: taraflara ait IP adresi, hizmetin başlama ve bitiş zamanı, hizmet türü, aktarılan veri miktarı ve kullanıcı kimlik bilgisi. Ziyaret edilen içerik, yazışmalar veya çalışan davranışı 5651'in gereği değildir.
İlgili yazılar
Arin Agent'ı canlı görmek ister misiniz?
KVKK ve 5651 uyumlu kurumsal cihaz yönetimi için ücretsiz demo talep edin. 15 dakikada cihazlarınızı keşfedin.
Demo Talep Et