Türkiye'de internet erişimi sağlayan işletmelerin erişim kayıtlarını saklaması gerekiyor. Bunu düzenleyen 5651 sayılı kanun, çoğu işletme sahibinin varlığından haberdar olmadığı bir yükümlülük getiriyor — ta ki bir talep gelene kadar.
Kabaca: kendi personeli dışındaki kişilere internet erişimi veren herkes.
Sadece kendi çalışanlarınızın kullandığı kapalı bir ofis ağıysanız kapsam farklıdır; yine de log tutmak kendi güvenliğiniz için gereklidir.
İçerik değil, bağlantı bilgisi. Yani kimin ne yazdığı değil; hangi kullanıcının, ne zaman, hangi adrese bağlandığı.
Üç şey önemli:
İki parça var.
Kaydı üreten taraf: Genellikle güvenlik duvarı. FortiGate bu kaydı zaten üretiyor; yapılandırmanın doğru olması yeterli.
Saklayan taraf: Kayıtların cihazın kendi belleğinde durması yetmez — orada birkaç saatlik geçmiş tutulur ve yeniden başlatmada silinir. Ayrı bir toplayıcı gerekir. FortiGate tarafında bu genellikle FortiAnalyzer olur.
Misafir ağı için ayrıca bir karşılama ekranı kurulur: kullanıcı telefonuyla doğrulanır, böylece kayıt bir kişiye bağlanabilir hale gelir.
Önce şunu netleştirin: misafirlerinize internet veriyor musunuz? Cevap evetse kapsamdasınız.
Sonrası kurulum işi. Mevcut güvenlik duvarınız varsa çoğu zaman ek cihaz ve doğru yapılandırma yeterli oluyor; sıfırdan kurulum gerekmiyor.
Emin değilseniz sorun. Kapsamda olup olmadığınızı birlikte değerlendirir, gerekiyorsa uygun kurguyu çıkarırız.
En sık sorulan ve en çok yanlış bilinen konu bu.
Tutulan: hangi kullanıcı, ne zaman, hangi adrese bağlandı — yani bağlantı bilgisi.
Tutulmayan: ziyaret edilen sayfaların içeriği, yazışmalar, girilen parolalar, gönderilen dosyalar — yani içerik.
Bu ayrım hem hukuki hem teknik olarak önemli. İçerik kaydı tutmak ayrı bir konudur ve farklı yükümlülükler doğurur.
Misafirlerinize bunu açıkça söyleyin: karşılama ekranında ne kaydedildiğini belirten bir metin bulunsun. Hem şeffaflık hem KVKK açısından doğru olan budur.
Kayıtları cihazın kendi belleğinde tutmak yeterli değildir; birkaç saatlik geçmiş tutar ve yeniden başlatmada silinir.
Mevcut güvenlik duvarınız bu işi yapabiliyor olabilir. Yeni cihaz almadan önce eldeki cihazın yeteneklerini kontrol ettirin.
Bir talep geldiğinde genellikle şunlar sorulur:
Bu soruların cevabını talep geldiğinde araştırmaya başlamak kötü bir konumdur. Sistemi kurarken bir sayfalık belge hazırlayın: hangi cihaz, hangi yöntem, ne kadar süre, kimde yetki var.
Bu belge hem denetimde hem personel değişikliğinde işinizi görür.
İki düzenleme farklı amaçlara hizmet ediyor ama aynı veriye dokunuyor.
5651 kayıt tutmayı zorunlu kılarken, KVKK bu kayıtların kişisel veri olduğunu ve korunması gerektiğini söylüyor.
Pratikte:
Bu yazı teknik bir özettir, hukuki görüş değildir. Yükümlülüğünüzün tam kapsamı için hukuk danışmanınıza başvurun.
Fortinet firewall kurulumu hakkında bilgi alın ya da doğrudan ücretsiz keşif talep edin.
Veri genelde hâlâ oradadır. Asıl kayıp, kurtarma denemeleri sırasında yaşanır.
Üç kapıdan giriyor. Üçünü de kapatmak, en pahalı ürünü almaktan daha etkili.
En sık yaşanan kayıp, arızanın kendisinden değil, aceleci rebuild'den geliyor.