Bu yazı hukuki tavsiye değildir. 5651 sayılı Kanun ve ilgili yönetmeliklerdeki yükümlülükler zaman içinde değişebilir. Kesin süre, kapsam ve yaptırımlar için güncel mevzuat metnine ve hukuk danışmanınıza başvurmanızı öneririz. Burada anlatılanlar teknik uygulama perspektifinden genel bir çerçevedir.
5651 sayılı Kanun'un amacı ve erişim sağlayıcı kavramı
5651 sayılı "İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun", internet ortamındaki aktörleri (içerik sağlayıcı, yer sağlayıcı, erişim sağlayıcı ve toplu kullanım sağlayıcı) tanımlar ve her birine farklı yükümlülükler yükler. Kanunun temel amacı, internet üzerinden işlenen suçlarla mücadelede iz sürülebilirliği sağlamak ve içeriğe erişimin engellenmesi gibi tedbirlerin uygulanabilmesine zemin hazırlamaktır.
Bu çerçevede erişim sağlayıcı, kullanıcılarına internet ortamına erişim olanağı sağlayan gerçek veya tüzel kişi olarak tanımlanır. Bir internet servis sağlayıcısı (ISS), ister kendi fiber altyapısını işletsin ister Türk Telekom toptan altyapısı üzerinden hizmet versin, abonelerine internet erişimi sunduğu için erişim sağlayıcıdır. BTK tarafından yetkilendirilmiş her ISS'nin bu sıfatla getirilen yükümlülükleri yerine getirmesi beklenir. BTK log yükümlülüğü olarak anılan şey, bu sıfattan kaynaklanan trafik bilgisi saklama ve yetkili makamlara sunma ödevinin pratikteki adıdır.
"Trafik bilgisi" nedir?
Mevzuat, erişim sağlayıcının sağladığı hizmete ilişkin "trafik bilgisi"ni saklamasını ister. Trafik bilgisi, iletişimin içeriği değil, iletişime ilişkin üst veridir: Kim, ne zaman, hangi adres üzerinden ağa bağlandı? Teknik olarak bir ISS için bu, aşağıdaki alanlara karşılık gelir.
| Alan | Açıklama | Tipik kaynak |
|---|---|---|
| Abone kimliği | PPPoE kullanıcı adı, abone numarası veya hesap kimliği | RADIUS Access-Request / CRM |
| Oturum başlangıç ve bitiş zamanı | Bağlantının kurulduğu ve sonlandığı an | RADIUS Accounting Start / Stop |
| Atanan IP adresi | Oturum boyunca aboneye tahsis edilen IPv4 (ve varsa IPv6) adresi | RADIUS Framed-IP-Address |
| NAS / BNG kimliği ve port | Abonenin hangi cihaz ve hangi arayüz üzerinden bağlandığı | NAS-IP-Address, NAS-Port-Id |
| Oturum kimliği | Oturumu tekil olarak tanımlayan değer | Acct-Session-Id |
| Trafik hacmi | Gönderilen ve alınan bayt sayısı | Acct-Input/Output-Octets |
| NAT eşleşmesi (CG-NAT varsa) | İç IP:port ile genel IP:port eşleşmesi, protokol ve zaman | CG-NAT cihazı log/NetFlow/IPFIX |
Bu alanların büyük kısmı, doğru yapılandırılmış bir RADIUS accounting akışından elde edilir. RADIUS sunucu nedir? yazısında accounting paketlerinin içeriğini ayrıntılı anlattık. Saklanacak veri "kullanıcının ziyaret ettiği siteler" ya da "paket içerikleri" değildir; içerik denetimi 5651 kapsamındaki erişim sağlayıcı yükümlülüğünün parçası değildir.
Kayıtların doğruluğu, bütünlüğü ve gizliliği
Mevzuat, trafik bilgisinin yalnızca saklanmasını değil; doğruluğunun, bütünlüğünün ve gizliliğinin sağlanmasını da ister. Bu üç gereklilik teknik olarak farklı mekanizmalara karşılık gelir.
Doğruluk: zaman senkronizasyonu
Kayıtların doğru olması, her şeyden önce zamanın doğru olmasına bağlıdır. RADIUS sunucu, BNG, CG-NAT cihazı ve log toplayıcı aynı güvenilir zaman kaynağına (NTP) bağlı değilse, aynı olaya ait kayıtlar birbirinden saniyelerce farklı zaman taşır ve sorgu sırasında yanlış aboneye ulaşılabilir. Tüm bileşenlerin saat dilimi tutarlılığı (tercihen UTC ile kayıt, raporlamada yerel saat) da bu kapsamdadır.
Bütünlük: hash ve zaman damgası
Bütünlük, kaydın oluşturulduktan sonra değiştirilmediğinin ispat edilebilmesidir. Yaygın uygulama, log dosyalarının belirli aralıklarla (örneğin günlük) kapatılıp kriptografik özetinin (SHA-256 gibi) alınması ve bu özetin bir zaman damgası hizmet sağlayıcısından alınan zaman damgasıyla imzalanmasıdır. Böylece "bu dosya şu tarihte bu haldeydi" ifadesi üçüncü bir tarafça doğrulanabilir. Zaman damgası, 5070 sayılı Elektronik İmza Kanunu çerçevesinde yetkilendirilmiş hizmet sağlayıcılardan alındığında hukuki geçerliliği güçlenir.
Gizlilik: erişim kontrolü
Trafik bilgisi kişisel veridir. Log arşivine kimlerin, hangi amaçla ve ne zaman eriştiği kayıt altına alınmalı (erişim logunun logu), erişim rol tabanlı olmalı ve arşiv hem aktarım sırasında hem de depoda şifrelenmelidir. Sorgu ekranları yalnızca yetkili makam talebine karşılık vermek üzere görevlendirilmiş personelle sınırlandırılmalıdır.
Saklama süresi
Trafik bilgisinin ne kadar süreyle saklanacağı, 5651 sayılı Kanun'a dayanılarak çıkarılan ilgili yönetmelikte belirlenir. Bu yazıda kesin bir rakam vermiyoruz; süre ilgili yönetmelikte belirlenen süre boyunca geçerlidir ve mevzuat güncellemeleriyle değişebilir. Teknik tasarım açısından önemli olan, saklama süresinin sonunda kayıtların otomatik ve belgelenmiş biçimde imha edilmesi ile süre dolmadan erişilebilir kalmasıdır. Devam eden bir soruşturma kapsamında yetkili makam tarafından talep edilmiş kayıtlar için ayrıca "yasal tutma" (legal hold) mekanizması bulundurulması uygulamada sık karşılaşılan bir ihtiyaçtır.
Yetkili makam taleplerine yanıt süreci
Log saklamanın pratikteki sınavı, bir yetkili makamdan (savcılık, mahkeme, kolluk ya da BTK) gelen taleptir. Talep genellikle şu biçimde gelir: "Şu genel IP adresi, şu tarih ve saatte (çoğunlukla saat dilimi belirtilerek) hangi aboneye aitti?" CG-NAT kullanan ISS'lerde talebe kaynak port bilgisi de eklenir. Yanıt süreci dört adımda özetlenebilir.
Talebin doğrulanması ve kaydı
Talebin resmi kanaldan geldiği teyit edilir; talep numarası, tarih ve kapsam iç kayıt sistemine işlenir.
Zaman ve adres normalizasyonu
Talepteki zaman, log sisteminin kayıt saat dilimine çevrilir; IP ve varsa port, protokol bilgisi netleştirilir.
Sorgu ve eşleştirme
NAT kaydından iç IP ve oturuma, oturumdan RADIUS accounting kaydına, oradan CRM'deki abone kimliğine ulaşılır.
Raporlama ve bütünlük kanıtı
Sonuç, hangi kayıt dosyalarından üretildiği ve bu dosyaların zaman damgalı özet değerleriyle birlikte, belirlenen formatta yetkili makama iletilir.
Bu sürecin dakikalar içinde tamamlanabilmesi, log sisteminin sorgulanabilir bir yapıda (indekslenmiş veritabanı ya da hızlı arama motoru) tutulmasına bağlıdır. Ham metin dosyalarında elle arama yapmak hem yavaş hem de hataya açıktır.
CG-NAT'ın getirdiği ek yük
IPv4 adreslerinin tükenmesi nedeniyle pek çok ISS abonelerine özel (RFC 6598, 100.64.0.0/10) adresler verip tek bir genel IP'yi yüzlerce ya da binlerce abone arasında paylaştırır. Bu durumda genel IP ve zaman, aboneyi tekil olarak tanımlamaya yetmez; kaynak port bilgisi ve NAT cihazının o anda hangi iç IP:port'u hangi genel IP:port'a eşlediği de kaydedilmelidir. Bu kayıtlara uç IP logu ya da CG-NAT logu denir ve hacmi RADIUS accounting kayıtlarından kat kat büyüktür. Konuyu, deterministik NAT ve port blok tahsisi gibi çözümlerle birlikte Uç IP logu nedir? yazısında ayrıntılı anlattık; hizmet olarak sunduğumuz yapıyı uç IP logu (CG-NAT) hizmeti sayfasında bulabilirsiniz.
KVKK ile ilişki
Trafik bilgisi, belirli ya da belirlenebilir bir gerçek kişiye ilişkin olduğu için 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında kişisel veridir. 5651 kapsamındaki saklama, KVKK açısından "kanunlarda açıkça öngörülmesi" hukuki sebebine dayanır; yani saklamanın kendisi KVKK ile çelişmez. Ancak KVKK, veri sorumlusu olan ISS'ye ek ödevler yükler:
- Aydınlatma yükümlülüğü: Abonelere, trafik bilgisinin hangi amaçla ve hangi hukuki sebeple saklandığının bildirilmesi (abonelik sözleşmesi ve aydınlatma metni).
- Veri güvenliği tedbirleri: Teknik ve idari tedbirlerin alınması; yukarıda anlatılan erişim kontrolü ve şifreleme bu tedbirlerin parçasıdır.
- Amaçla sınırlılık: Log verisinin pazarlama, profilleme gibi 5651 dışındaki amaçlarla kullanılmaması.
- Saklama ve imha politikası: Yasal sürenin sonunda verinin imha edilmesi ve bunun belgelenmesi.
Özetle 5651, "neyi, ne kadar süre saklayacağınızı"; KVKK ise "saklarken nasıl koruyacağınızı ve süresi dolunca ne yapacağınızı" belirler.
Teknik mimari önerisi
Yükümlülüğü güvenilir biçimde karşılayan bir log sistemi, aşağıdaki zincirden oluşur. Her halka tek başına basit, ancak halkalar arasındaki bağlantı kritik önemdedir.
RADIUS accounting (kaynak)
BNG/NAS, her oturum için Start, Interim-Update ve Stop paketlerini RADIUS sunucuya gönderir. Interim-Update aralığı, uzun oturumlarda IP değişikliklerini ve hacmi izlemek için makul bir değere ayarlanır.
Log toplayıcı
RADIUS accounting kayıtları ile CG-NAT cihazından gelen NAT kayıtları (syslog, NetFlow/IPFIX veya üretici API'si) merkezi bir toplayıcıda birleştirilir, normalize edilir ve abone kimliğiyle zenginleştirilir.
İmzalama
Kayıtlar belirli aralıklarla paketlenir, özet değeri hesaplanır ve zaman damgası hizmet sağlayıcısından alınan damga ile imzalanır. İmza ve özet, kayıtlardan ayrı olarak da saklanır.
Arşiv
İmzalı paketler, şifrelenmiş ve yedekli depolamada ilgili yönetmelikte belirlenen süre boyunca tutulur. Depolama kapasitesi, CG-NAT hacmi dikkate alınarak planlanır.
Sorgu
Yetkili personelin IP, port ve zaman girerek aboneye ulaştığı, her sorgunun kayıt altına alındığı ve sonucun bütünlük kanıtıyla birlikte rapor olarak üretildiği arayüz.
Bu zincirin CRM ile entegre olması, sorgu sonucunda ulaşılan abone kimliğinin güncel ad, adres ve sözleşme bilgisine bağlanmasını sağlar. WiRadius içindeki 5651 log sistemi ve BTK uyumlu 5651 log hizmeti, bu mimarinin kurulumunu ve işletimini kapsar.
Kontrol listesi
Mevcut log altyapınızı değerlendirmek için aşağıdaki maddeleri kullanabilirsiniz.
- RADIUS accounting (Start/Interim/Stop) tüm BNG ve NAS cihazlarında etkin ve merkezi sunucuya ulaşıyor.
- RADIUS, BNG, CG-NAT ve log sunucuları aynı NTP kaynağına bağlı; saat dilimi politikası yazılı.
- CG-NAT kullanılıyorsa NAT eşleşme kayıtları (iç IP:port, genel IP:port, protokol, zaman) toplanıyor ve oturumla eşleştirilebiliyor.
- Kayıtlar düzenli aralıklarla özetleniyor ve zaman damgasıyla imzalanıyor; imzalar doğrulanabiliyor.
- Arşiv şifreli ve yedekli; saklama süresi ilgili yönetmelikte belirlenen süreye göre yapılandırılmış; imha süreci belgeleniyor.
- Log sistemine erişim rol tabanlı; her sorgu ve erişim kayıt altına alınıyor.
- Yetkili makam talebi için yazılı bir süreç, sorumlu personel ve standart rapor şablonu var.
- Abone aydınlatma metni ve sözleşmesinde trafik bilgisinin saklanmasına ilişkin bilgilendirme yer alıyor.
- Örnek bir IP/port/zaman sorgusu düzenli olarak test ediliyor ve sonuç süresi ölçülüyor.
Bu maddelerden birkaçında eksik görüyorsanız, 5651 log hizmeti sayfamızdaki kapsamı inceleyebilir ya da mevcut yapınızı birlikte değerlendirmek için bize ulaşabilirsiniz. ISS yazılımının bütününde log katmanının nereye oturduğunu ise ISS yazılımı nedir, nasıl seçilir? yazısında bulabilirsiniz.