5651 Log Saklama Süresi Ne Kadar?

Kısa cevap: 5651 kapsamında tek bir saklama süresi yoktur; süre hangi rolde olduğunuza göre değişir. Yer sağlayıcı için 6 ay, erişim sağlayıcı için 1 yıl, internet toplu kullanım sağlayıcı için 2 yıldır. İnternet erişimi sunan otel, kafe, okul, hastane ve ofislerin büyük çoğunluğu toplu kullanım sağlayıcı sayıldığı için pratikte karşılaşılan süre 2 yıl olur.

Rolünüze Göre Saklama Süresi

Kaynaklar: 30.11.2007 tarihli Resmî Gazete ve 11.04.2017 tarihli Resmî Gazete (sayı 30035).

Sık Karşılaşılan İki Yanlış Bilgi

“Loglar 3 yıl saklanmalı”

Bu bilgi yaygın biçimde tekrarlanıyor ancak hiçbir yönetmelikte 3 yıllık bir süre geçmiyor. Yukarıdaki tabloda yer alan üç süre dışında bir yükümlülük aramanıza gerek yok.

“Zaman damgası TÜBİTAK’tan alınmak zorunda”

Mevzuat belirli bir hizmet sağlayıcıyı şart koşmaz. 5070 sayılı Elektronik İmza Kanunu kapsamında yetkilendirilmiş herhangi bir elektronik sertifika hizmet sağlayıcısından alınan nitelikli zaman damgası kabul edilir. TÜBİTAK Kamu SM en yaygın tercihlerden biridir, ancak tek seçenek değildir; E-Güven ve İmzaTR gibi sağlayıcılar da kullanılabilir. LogStamper bu sağlayıcıların hepsiyle ve özel tanımlanan bir TSS adresiyle çalışır.

Önemli Bir Ayrım: “Zaman Damgası” Kelimesi Nerede Geçiyor?

Yer ve erişim sağlayıcıları düzenleyen 2007 tarihli yönetmelik, dosya bütünlük değerlerinin zaman damgası ile birlikte saklanmasını açık biçimde yazar. Toplu kullanım sağlayıcıları düzenleyen 2017 tarihli yönetmelikte ise “zaman damgası” ifadesi geçmez; orada istenen, kayıtların “doğruluğunu, bütünlüğünü ve gizliliğini teyit eden değer”in günlük olarak kaydedilmesi ve iki yıl saklanmasıdır.

Pratikte bu yükümlülük nitelikli zaman damgası ile karşılanır: bir hash değerini tek başına üretmek, o değerin ne zaman üretildiğini ve sonradan değiştirilmediğini kanıtlamaz. Bağımsız ve akredite bir üçüncü tarafın verdiği damga, denetimde beklenen kanıt gücünü sağlayan yöntemdir.

Süre Ne Zaman Başlar?

Saklama süresi, kaydın oluştuğu tarihten itibaren işler. Yani bugün ürettiğiniz bir günlük log dosyası, toplu kullanım sağlayıcı iseniz bugünden iki yıl sonrasına kadar erişilebilir ve doğrulanabilir kalmalıdır. Buradan çıkan iki sonuç önemlidir:

• Geçmiş geriye dönük kurtarılamaz. Damgasız geçen bir dönem, sonradan damgalanarak “o tarihte vardı” haline getirilemez. Damga yalnızca damgalandığı andan itibaren kanıt üretir.
• Zincirin sürekli olması gerekir. Damgalanması unutulan tek bir gün bile denetimde eksiklik sayılır. Bu yüzden işin elle değil, zamanlanmış ve izlenen bir görevle yürütülmesi gerekir.

Saklamayı Kim Üstlenir?

Damgalama ile saklama iki ayrı iştir ve bunları karıştırmamak gerekir. LogStamper damgalama tarafını üstlenir: klasörlerinizi izler, yeni dosyaları damgalar ve orijinal dosya ile damga yanıtını birlikte bir arşive koyarak seçtiğiniz hedef klasöre tarih düzeniyle yazar.

Saklama süresi ise sizin depolama ve yedekleme politikanızla sağlanır. LogStamper arşivleri kendiliğinden silmez veya taşımaz; hedef klasörün yeterli disk alanına sahip olması ve düzenli yedeklenmesi gerekir. İki yıllık bir yükümlülüğü tek diskli ve yedeksiz bir sunucuya emanet etmek, damgalama ne kadar düzgün çalışırsa çalışsın risklidir.

Ne Saklanmalı: Dosya mı, Damga mı?

İkisi birden. Zaman damgası, dosyanın özet (hash) değeri üzerinden üretilir; doğrulama yapılabilmesi için hem orijinal dosyaya hem de damga yanıtına ihtiyaç vardır. Yalnızca damgayı saklamak, elinizde neyin damgalandığını gösteremediğiniz için işe yaramaz; yalnızca dosyayı saklamak ise onu damgasız log durumuna düşürür.

LogStamper bu nedenle her damgalama için ikisini tek arşivde birleştirir. Arşive orijinal dosyanın konulması ayarlarda kapatılabilir — arşiv küçülür — ancak kapatılırsa o kayıtlarda damga doğrulaması artık yapılamaz. Bu, geri alınamaz bir tercihtir.

Özet

Rolünüzü belirleyin, süreyi ona göre uygulayın: 6 ay, 1 yıl veya 2 yıl. Damgalamayı kesintisiz ve otomatik hale getirin, arşivleri de yedekli bir alanda tutun. Konunun teknik tarafı için zaman damgası rehberimize, denetim süreci için BTK uyumluluğu sayfamıza bakabilirsiniz.

Bu sayfa bilgilendirme amaçlıdır ve hukuki görüş niteliği taşımaz. Kendi yükümlülüğünüzün kapsamı için hukuk danışmanınıza başvurun.