5651 Kapsamında Hangi Kayıtları Tutmak Zorundayım?

Soru neredeyse her zaman “kaç ay saklayacağız” diye sorulur. Oysa süreyi konuşmadan önce ayrılması gereken şey rol. Aynı kurumda birden fazla rol bir arada bulunabilir ve her biri farklı bir kayıt üretir. Sürelerin ve usulün kendisi ikincil düzenlemelerle değişir. Bu yazı yükümlülüğün şeklini anlatır; rakamı yürürlükteki mevzuat metninden ve kendi hukuk biriminizden teyit etmeniz gerekir.

Önce Rol, Sonra Kayıt

Rol	Tipik durum	Beklenen kaydın konusu
Erişim sağlayan taraf	Abonelerine internet erişimi veriyorsunuz	Erişime ilişkin trafik bilgisi ve abone kimliğiyle eşleşmesi
İçerik barındıran taraf	Başkasının içeriğini sunucunuzda tutuyorsunuz	Barındırma hizmetine ilişkin trafik bilgisi
İnterneti toplu kullanıma açan taraf	Otel, kafe, AVM, kampüs, misafir kablosuz ağı	İç ağda IP dağıtımı ve o IP’yi kullanan kişinin eşleştirilmesi

Kendi çalışanına internet veren bir şirketin hangi role girdiği, hizmetin ve sözleşmenin şekline bağlı. Bu ayrımı teknik ekip kendi başına yapamaz, yapmaya kalkarsa da genellikle “her ihtimale karşı her şeyi tutalım” noktasına varır. O da ayrı bir sorun yaratır, aşağıda değineceğiz.

Kaydın İşe Yaraması İçin Gereken Üç Şey

Bir kaydın yükümlülüğü karşılaması, o kaydın var olmasıyla bitmiyor. Sonradan bakıldığında bir soruya cevap verebiliyor olması gerekiyor. Belirli bir anda belirli bir dış adrese giden trafiği kim üretti?

Bu sorunun cevabı çoğu kurumda tek bir yerde durmaz. Dış adres ve zaman güvenlik duvarında, iç IP DHCP sunucusunda, iç IP’yi kullanan kişi ise kimlik doğrulama sisteminde kayıtlıdır. Üçü aynı zaman çizgisine oturmuyorsa elinizde eşleştirilemeyen üç ayrı log vardır.

İkinci şart NAT tarafında. Tek bir genel IP’nin arkasında yüzlerce iç istemci varsa, kaydın içinde kaynak port ve çevrimin yapıldığı zaman aralığı yoksa, o genel IP kimseyi işaret etmez. Port bilgisi olmayan bir çevrim kaydı, teknik olarak kullanılamaz bir kayıttır. Kayıt hacmini düşürmek için ilk kısılan alanın genellikle port bilgisi olması da işin acı tarafı.

Üçüncüsü bütünlük ve zaman. Kaydın sonradan değiştirilmediğinin ve iddia edilen tarihte var olduğunun gösterilebilmesi ayrı bir başlıktır; zaman damgası yazısına bakabilirsiniz.

Her Şeyi Toplamak Güvenli Bir Strateji Değil

Yükümlülük trafiğe ilişkin bilgiyi kapsar. Kullanıcıların ziyaret ettiği sayfaların tam içeriğini, form verilerini ya da şifresi çözülmüş yazışmalarını biriktirmek bunun karşılığı değildir. Bu tür bir birikim, kişisel veri tarafında kendi başına bir sorumluluk üretir ve elinizde savunması zor bir problem bırakır.

Nereden Başlanır

İşe envanterle başlayın. Hangi cihaz hangi kaydı üretiyor, kayıt nereye gidiyor, ne kadar duruyor, kim erişebiliyor. Bu dört sütunluk tablo çoğu kurumda ilk kez doldurulduğunda iki şey ortaya çıkar. Kimsenin sahiplenmediği bir log kaynağı ve hiç kimsenin okumadığı bir arşiv.

Sonrasında rol tespitini hukuk birimiyle yazılı hale getirin. Teknik ekibin elindeki cümle “şu rol kapsamındayız, bu nedenle şu kayıtları şu şekilde tutuyoruz” olmalı. Bu cümle yoksa, kurulan mimari denetimde değil ilk sorulan soruda çöker.