5651 Sayılı Yasa Nedir?

5651 sayılı yasa — tam adıyla "İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun" — 2007 yılında yürürlüğe giren ve Türkiye'de internet ortamındaki aktörlerin sorumluluklarını tanımlayan temel düzenlemedir. Yasa; içerik sağlayıcı, yer sağlayıcı, erişim sağlayıcı ve toplu kullanım sağlayıcı olmak üzere dört ayrı rol tanımlar ve her rol için farklı yükümlülükler getirir.

İşletmeler açısından yasanın en kritik sonucu şudur: müşterilerine, misafirlerine veya çalışanlarına internet erişimi sunan her kuruluş, hukuken toplu kullanım sağlayıcı sayılır ve ağındaki internet trafiğine ait iz kayıtlarını (log) tutmakla yükümlüdür.

Kimler 5651 Kapsamındadır?

Yasa, ticari amaçla olsun ya da olmasın, başkalarına internet erişimi sağlayan tüm işletme ve kurumları kapsar. En yaygın örnekler:

• Oteller ve konaklama tesisleri — misafir Wi-Fi ağları
• Kafe ve restoranlar — müşterilere açık kablosuz ağlar
• Okullar, üniversiteler ve yurtlar — öğrenci ve personel ağları
• Hastaneler ve klinikler — hasta ve ziyaretçi erişimi
• AVM'ler ve mağazalar — ortak alan Wi-Fi hizmeti
• Ofisler ve iş yerleri — çalışanlara ve ziyaretçilere sağlanan erişim
• Belediyeler ve kamu kurumları — halka açık internet noktaları

Kısacası ağınıza sizin dışınızda biri bağlanabiliyorsa, 5651 kapsamında loglama yükümlülüğünüz büyük olasılıkla vardır.

Yasanın Getirdiği Temel Yükümlülükler

1. Trafik kayıtlarının tutulması

Ağ üzerinden kimin, ne zaman, hangi iç IP ile hangi hedefe bağlandığını gösteren iz kayıtları üretilmelidir. Bu kayıtlar genellikle firewall, hotspot veya log toplama yazılımları tarafından oluşturulur.

2. Kayıtların bütünlüğünün kanıtlanması

Tutulan logların sonradan değiştirilmediğinin kanıtlanabilmesi gerekir. Bunun kabul görmüş yöntemi, kayıtların düzenli olarak RFC 3161 uyumlu zaman damgası ile damgalanmasıdır. Damgasız log, hukuki bir uyuşmazlıkta delil niteliğini büyük ölçüde kaybeder.

3. Saklama süresi

İlgili mevzuat, iz kayıtlarının en az 2 yıl süreyle saklanmasını öngörür. Saklama boyunca kayıtların erişilebilir ve doğrulanabilir kalması gerekir.

Hangi Kayıtların Tutulması Gerekir?

Toplu kullanım sağlayıcılar için beklenen iz kayıtları, ağdaki bir kullanıcının hangi kimlikle, ne zaman ve hangi adreslerle iletişim kurduğunu sonradan tespit etmeye yetecek düzeyde olmalıdır. Pratikte bu şu kayıt türlerine karşılık gelir:

• IP dağıtım (DHCP) kayıtları — hangi cihaza hangi iç IP'nin ne zaman verildiği
• NAT / port eşleştirme kayıtları — iç IP'lerin dışarıya hangi IP ve portla çıktığı
• Hotspot oturum kayıtları — kullanıcı doğrulaması yapılan ağlarda kimin ne zaman oturum açtığı
• Firewall trafik özetleri — bağlantı zamanı, kaynak ve hedef bilgileri

Kayıtların hangi cihazdan geldiğinden bağımsız olarak ortak nokta şudur: hepsi düzenli aralıklarla dosyalara yazılır ve bu dosyaların her biri damgalanmalıdır. Tek eksik gün bile denetimde zincirin kırılması anlamına gelir.

Uyulmazsa Ne Olur?

Yükümlülüklerini yerine getirmeyen işletmeler, denetimlerde idari para cezaları ile karşılaşır; ceza tutarları işletme türüne ve ihlalin niteliğine göre değişir ve her yıl yeniden değerleme oranında güncellenir. Para cezasının ötesinde asıl risk şudur: ağınız üzerinden bir suç işlendiğinde (örneğin hakaret, dolandırıcılık veya yasa dışı içerik erişimi), damgalı log sunamayan işletme, eylemi gerçekleştiren kullanıcıyı gösteremediği için sorumluluğu üzerinde bırakabilir. Denetim ve adli süreçlerin ayrıntıları için BTK uyumluluğu rehberimize bakabilirsiniz.

5651 Uyumluluğu Nasıl Sağlanır?

1. Log üretimi: Ağ altyapınızdaki firewall/hotspot cihazı veya EventLog Analyzer gibi bir log toplama yazılımı, trafik kayıtlarını dosya olarak üretir.
2. Zaman damgalama: Üretilen log dosyaları, akredite bir hizmet sağlayıcıdan alınan zaman damgası ile damgalanır. LogStamper bu adımı tamamen otomatikleştirir: log klasörünüzü izler, yeni dosyayı algılar ve damgalar.
3. Güvenli saklama: Damgalı dosyalar ve damga kanıtları 2 yıl boyunca saklanır; LogStamper'da bu süreç bildirimlerle izlenebilir.
4. İbraz hazırlığı: Denetim veya adli talep durumunda ilgili döneme ait damgalı kayıtlar doğrulama kanıtlarıyla birlikte dışa aktarılır.

Bu sürecin manuel yürütülmesi hem hataya açıktır hem de sürdürülemez: damgalanması unutulan tek bir günün logu bile denetimde eksiklik sayılır. Otomasyonun nasıl çalıştığını ve paket seçeneklerini paket karşılaştırma sayfamızda bulabilirsiniz; aklınıza takılan diğer konular için sıkça sorulan sorular sayfası iyi bir başlangıçtır.

Özet

5651 sayılı yasa, internet erişimi sunan her işletmeye üç net görev verir: trafik loglarını tut, bütünlüklerini zaman damgasıyla kanıtla ve 2 yıl sakla. Doğru araçlarla bu yükümlülük günlük operasyonunuza hiç dokunmadan, arka planda otomatik olarak yerine getirilebilir.