Bu rehber teknik uygulamayı anlatmak amacıyla hazırlanmıştır ve hukuki görüş değildir. Kurumunuza özgü yükümlülükleri ve güncel mevzuatı hukuk biriminiz veya danışmanınızla teyit edin.
5651 sayılı “İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun” ve ilgili yönetmelikler, interneti başkalarına kullandıran kurumlara kayıt tutma yükümlülüğü getirir. Uygulamada “5651 loglama” olarak bilinen bu yükümlülük, bir olay incelemesinde hangi bağlantının hangi kullanıcıya ait olduğunun tespit edilebilmesini amaçlar.
Kimler kapsamda?
Mevzuat, interneti belirli bir yerde kişilere kullandıranları “toplu kullanım sağlayıcı” olarak tanımlar. Ticari amaçla (internet kafe gibi) veya ticari amaç olmaksızın (kurumların misafirlerine sunduğu internet) hizmet verenler için yükümlülükler ayrı düzenlenmiştir. Uygulamada aşağıdaki yapılar sıklıkla kapsamda değerlendirilir:
- Oteller, pansiyonlar, tatil köyleri ve marinalar
- Kafe, restoran ve AVM’ler
- Hastaneler ve sağlık kuruluşlarının hasta/ziyaretçi ağları
- Üniversiteler, okullar ve yurtlar
- Belediyelerin kamusal alanlarda sunduğu ücretsiz internet
- Ziyaretçilerine internet veren ofisler, fabrikalar ve iş merkezleri
Hangi kayıtlar tutulur?
Temel yükümlülük, iç IP dağıtım kayıtlarının elektronik ortamda tutulması ve doğruluğunun, bütünlüğünün ve gizliliğinin sağlanmasıdır. Yani kurum, belirli bir zamanda hangi iç IP adresinin hangi cihaza (ve mümkünse hangi kullanıcıya) verildiğini gösterebilmelidir. Uygulamada sağlam bir 5651 kurgusu şu verileri bir araya getirir:
- DHCP kayıtları: Cihazın MAC adresi, verilen iç IP adresi, kira başlangıç ve bitiş zamanı.
- Kimlik bilgisi: Hotspot girişinde doğrulanan telefon numarası, oda numarası veya kimlik bilgisi.
- NAT / oturum kayıtları: İç IP adresinin hangi dış IP ve port üzerinden internete çıktığı (özellikle çok sayıda kullanıcının tek dış IP’yi paylaştığı yapılarda belirleyicidir).
- Zaman bilgisi: Tüm cihazların aynı ve doğru saat kaynağına (NTP) bağlı olması.
Saklama süresi, bütünlük ve zaman damgası
İlgili yönetmelik iç IP dağıtım kayıtlarının bir yıl süreyle saklanmasını öngörür. Kayıtların yalnızca tutulması yetmez; sonradan değiştirilmediğinin de gösterilebilmesi gerekir. Bunun yaygın teknik karşılığı:
- Kayıt dosyaları belirli aralıklarla (örneğin günlük) kapatılır.
- Her dosyanın özeti (hash) alınır.
- Bu özet, güvenilir bir zaman damgası hizmetiyle imzalanır.
- Dosyalar ve imzalar erişimi kısıtlı, yedekli bir depolama alanında saklanır.
Böylece bir inceleme anında kaydın o tarihte var olduğu ve değiştirilmediği teknik olarak gösterilebilir.
Uygulamada sık yapılan hatalar
- Yalnızca firewall trafik logunu saklamak: Kimin hangi IP’yi kullandığını gösteren DHCP ve kimlik bilgisi yoksa trafik logu tek başına kişiyi tespit etmeye yetmez.
- Ortak Wi-Fi şifresi: Herkesin aynı şifreyle bağlandığı ağda cihaz-kullanıcı eşleşmesi kurulamaz.
- Saat farkı: Firewall, DHCP sunucusu ve hotspot farklı saatleri gösteriyorsa kayıtlar birbiriyle eşleştirilemez.
- Kayıtların aynı cihazda tutulması: Cihaz arızalandığında veya değiştirildiğinde bir yıllık kayıt kaybolabilir.
- Test edilmemiş arşiv: Kayıtların istendiğinde gerçekten bulunup okunabildiği düzenli olarak denenmelidir.
Hotspot ile 5651 uyumlu misafir ağı
Misafir ağlarında en pratik çözüm, giriş portalı (captive portal) olan bir hotspot sistemidir. Misafir ağa bağlandığında bir giriş sayfası açılır ve kullanıcı SMS doğrulaması, otel oda numarası (PMS entegrasyonu), kimlik bilgisi veya etkinlik kodu ile giriş yapar. Hotspot sistemi:
- Kullanıcı kimliğini cihaz ve IP adresiyle eşleştirir,
- Süre ve hız sınırı, kullanıcı başına cihaz sayısı gibi politikaları uygular,
- Kayıtları zaman damgasıyla imzalayıp saklar,
- Denetimde istenen kaydı tarih, IP veya kullanıcıya göre aranabilir şekilde sunar.
Bağımsız yerli yazılım üreticisi Mintyfi’nin geliştirdiği Mintyfi HotSpot, mevcut kurumsal Wi-Fi altyapısının üzerine kurularak misafir girişi ve 5651 kayıtlarını tek panelde toplar. Kayıtların firewall tarafında merkezi olarak toplanması için FortiAnalyzer gibi log yönetim çözümleri de kurguya eklenebilir.
KVKK ile birlikte düşünün
Hotspot girişinde toplanan telefon numarası, oda numarası veya kimlik bilgisi kişisel veridir ve 6698 sayılı KVKK kapsamındadır. Bu nedenle:
- Giriş sayfasında aydınlatma metni sunulmalı,
- Veri yalnızca yasal yükümlülük ve hizmet amacıyla kullanılmalı, pazarlama için ayrıca açık rıza alınmalı,
- Saklama süresi sonunda kayıtlar güvenli şekilde imha edilmeli,
- Kayıtlara erişim yetkili personelle sınırlandırılmalı ve erişimler kayıt altına alınmalıdır.
5651 uyum kontrol listesi
- Misafir ağı personel ağından ayrı VLAN ve güvenlik politikasıyla ayrıldı mı?
- Misafirler kimlik doğrulamalı bir portal üzerinden mi bağlanıyor?
- DHCP, hotspot ve firewall kayıtları aynı zaman kaynağına bağlı mı?
- Kayıtlar zaman damgasıyla imzalanıyor ve en az bir yıl, cihaz dışında yedekli saklanıyor mu?
- Bir tarih ve IP verildiğinde ilgili kullanıcı dakikalar içinde bulunabiliyor mu?
- KVKK aydınlatma metni ve saklama-imha politikası hazır mı?
F2 yaklaşımı: Otel, kampüs, belediye ve hastane projelerinde misafir ağını kablosuz altyapı, firewall ve hotspot katmanlarıyla birlikte tasarlıyoruz. Mintyfi HotSpot ve FortiAnalyzer gibi çözümlerle kayıtların tek panelden aranabilir, imzalı ve yedekli saklanmasını sağlıyoruz. Otel ağları için ayrıca otel Wi-Fi rehberimize göz atın.
