5651 Loglama Nedir? Zaman Damgası ve Log Saklama Rehberi

5651 sayılı kanun kimleri kapsar?

5651 sayılı Kanun dört tür aktör tanımlar: içerik sağlayıcı, yer sağlayıcı, erişim sağlayıcı ve toplu kullanım sağlayıcı. Log tutma yükümlülüğü özellikle yer, erişim ve toplu kullanım sağlayıcıları ilgilendirir; misafirlerine veya çalışanlarına internet erişimi sunan birçok işletme toplu kullanım sağlayıcı olarak değerlendirilebilir.

Kanunun tam adı “İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun”dur. 2007’de yayımlanan kanun bugüne kadar birçok kez değiştirildi; güncel metne mevzuat.gov.tr üzerinden ulaşabilirsiniz.

Kanun, ticari amaçla hizmet veren toplu kullanım sağlayıcılarla (örneğin internet kafeler) diğerlerini ayırır. Ticari amaçla hizmet verenler mahalli mülki amirden izin belgesi almak zorundadır. Ticari olsun olmasın tüm toplu kullanım sağlayıcılar ise erişim kayıtlarının tutulması ve suç oluşturan içeriklere erişimin engellenmesi konusunda yönetmelikte belirlenen tedbirleri almakla yükümlüdür (madde 7). Ticari amaçla hizmet verenlerin bu yükümlülükleri ihlal etmesi halinde kanun, ihlalin ağırlığına göre uyarı, idari para cezası veya üç güne kadar faaliyet durdurma yaptırımları öngörür.

Kanunda 2026’da yapılan değişikliklerle (7590 sayılı Kanun), daha önce Bilgi Teknolojileri ve İletişim Kurumuna (BTK) yapılan birçok atıf Siber Güvenlik Başkanlığına çevrildi. İkincil düzenlemeler de değişebileceği için hangi kurumun hangi yetkiyi kullandığını güncel metinlerden takip edin.

Hangi loglar, ne kadar süre saklanmalı?

5651 loglama yükümlülüğünün özü trafik bilgisidir. Kanun, yer ve erişim sağlayıcıların trafik bilgisini saklamasını ister: yer sağlayıcılar için bir ila iki yıl, erişim sağlayıcılar için altı ay ila iki yıl aralığında, kesin süre yönetmelikle belirlenir. Toplu kullanım sağlayıcılar için 2017 tarihli yönetmelik, erişim kayıtlarının iki yıl saklanmasını öngörür.

Kanunun 2. maddesine göre trafik bilgisi şunları kapsar:

• Taraflara ilişkin IP adresleri
• Kaynak ve hedef port bilgisi
• Verilen hizmetin başlama ve bitiş zamanı
• Yararlanılan hizmetin türü
• Aktarılan veri miktarı
• Varsa abone kimlik bilgileri

Port bilgisi tanıma 2020’de, “kaynak ve hedef” ifadesi ise 2026’da eklendi. NAT arkasında birçok kullanıcı aynı genel IP adresini paylaştığından, bir bağlantıyı tek bir kullanıcıya bağlamanın yolu kaynak port ve zaman bilgisidir; bu yüzden NAT oturum logları kritik önemdedir.

BTK’nın 2017’de yayımladığı İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik, erişim kayıtlarını iç ağda dağıtılan IP adresleri, kullanıma başlama ve bitiş zamanları, bu adresleri kullanan cihazların MAC adresleri, hedef IP adresi ve NAT gibi port paylaşımlı erişimde kullanıcıya tahsis edilen gerçek IP ve port bilgileri olarak tanımlar. Tüm toplu kullanım sağlayıcıların bu kayıtları elektronik ortamda kendi sistemlerine kaydetmesi ve iki yıl saklaması gerekir. Ticari amaçla hizmet verenler ayrıca kayıtların doğruluğunu, bütünlüğünü ve gizliliğini teyit eden değeri günlük olarak kaydedip aynı süre saklamakla yükümlüdür.

Birden fazla rolü birlikte üstlenen kurumlar için en uzun süreyi esas almak yönetimi sadeleştirir. Kişisel veri içeren logların gereğinden uzun tutulması ise KVKK açısından ayrıca değerlendirilmelidir.

Zaman damgası nedir, neden gereklidir?

Zaman damgası, bir elektronik verinin belirli bir anda var olduğunu ve o andan sonra değişmediğini güvenilir bir üçüncü tarafın imzasıyla kanıtlayan kayıttır. Log arşivleri için önemlidir, çünkü sistem saatine veya dosya tarihine dayanan bir kanıt kolayca değiştirilebilir; bağımsız bir otoritenin imzaladığı damga ise fark edilmeden değiştirilemez.

Türk hukukunda tanım 5070 sayılı Elektronik İmza Kanunu’ndadır: zaman damgası, bir elektronik verinin üretildiği, değiştirildiği, gönderildiği, alındığı veya kaydedildiği zamanın tespiti için elektronik sertifika hizmet sağlayıcısı tarafından elektronik imzayla doğrulanan kayıttır. Teknik tarafta yaygın standart, zaman damgası protokolünü tanımlayan RFC 3161’dir.

Damganın içinde ne var?

RFC 3161’e göre TSA’nın döndürdüğü belirteç; damgalanan verinin hash değerini ve kullanılan algoritmayı, TSA’nın saatine göre üretim zamanını, benzersiz bir seri numarasını ve TSA’nın politika kimliğini içerir ve TSA’nın sertifikasıyla imzalanır. Doğrulayan kişi TSA’ya tekrar bağlanmak zorunda değildir; dosya, damga ve TSA sertifikası yeterlidir.

Türkiye’de zaman damgası hizmeti veren elektronik sertifika hizmet sağlayıcılarından biri, TÜBİTAK BİLGEM bünyesindeki Kamu Sertifikasyon Merkezi’dir (Kamu SM). FreeTSA gibi ücretsiz uluslararası servisler de RFC 3161 uyumlu damga üretir. Ancak 5070 sayılı Kanun’daki tanım elektronik sertifika hizmet sağlayıcısını esas aldığından, resmi süreçlerde hangi damganın kabul göreceğini hukuk danışmanınızla netleştirin.

Damganın tek başına yeterli olmadığını da unutmayın: damgalanan dosya eksik ya da yanlış saatle toplanmışsa, damga yalnızca eksik bir kaydın değişmediğini kanıtlar. Zaman damgası, doğru toplanmış logların üzerine eklenen son katmandır. Damgayı arşiv oluşturulduktan sonra mümkün olan en kısa sürede alın; log tarihi ile damga zamanı arasındaki fark ne kadar azsa kanıt o kadar güçlüdür.

Logların bütünlüğü nasıl kanıtlanır?

Bütünlük, logun kaydedildiği andan bu yana değişmediğini gösterebilmek demektir. Bunun için arşiv dosyasının kriptografik hash’i alınır, hash zaman damgasıyla imzalanır ve gerektiğinde dosyanın hash’i yeniden hesaplanarak damgayla karşılaştırılır; tek bir bayt değişse bile doğrulama başarısız olur.

Kanun, yer ve erişim sağlayıcılardan saklanan trafik bilgisinin doğruluğunu, bütünlüğünü ve gizliliğini sağlamalarını ister. Bu üç kavram teknik olarak farklı kontrollerle karşılanır:

• Doğruluk — Logların kaynağından eksiksiz ve doğru saatle toplanması: tüm cihazlarda NTP ile saat senkronizasyonu, toplama hatalarının izlenmesi, NAT ve DHCP loglarının birlikte tutulması.
• Bütünlük — Arşivlerin hash ve zaman damgasıyla korunması, düzenli doğrulama ve değişikliğe kapalı depolama.
• Gizlilik — Arşivlere rol tabanlı erişim, şifreli depolama ve aktarım, arşive kimin eriştiğinin denetim kaydı.

RFC 3161 damgası OpenSSL gibi yaygın araçlarla bağımsız olarak doğrulanabilir. Örneğin bir günlük arşiv için:

$ openssl ts -verify -data logs_2026-10-22.csv.gz \
    -in logs_2026-10-22.csv.gz.tsr -CAfile tsa_ca.pem -untrusted tsa.crt
Verification: OK

Komutun Verification: OK döndürmesi, dosyanın damgalandığı andan bu yana tek bir bayt bile değişmediğini gösterir.

Silinen arşiv ne olacak?

Hash ve zaman damgası bir dosyanın değiştirilmediğini kanıtlar, ama dosyanın hiç silinmediğini kanıtlamaz. Bu boşluğu kapatmak için arşivleri ayrı bir konuma çoğaltın, mümkünse silmeye kapalı (WORM veya nesne kilidi destekli) depolama kullanın ve her günün arşivinin var olduğunu düzenli kontrol edin. Arşiv yöneticisi ile sistem yöneticisi rollerini ayırmak da tek bir hesabın hem logu hem kanıtı silebilmesini önler.

Doğrulamanın değeri, ihtiyaç anında yapılabilmesindedir. Bir adli talep geldiğinde ilgili günün arşivini bulup damgayla eşleştirebilmeniz gerekir. Bu yüzden arşivleri günlük dosyalar halinde tutmak, dosya adlarında tarihi kullanmak ve damga dosyalarını arşivle birlikte yedeklemek işi kolaylaştırır. NIST’in SP 800-92 rehberi de arşivlenen logların korunmasını log yönetimi planının bir parçası olarak ele alır; genel ilkeler için log yönetimi rehberimize bakabilirsiniz.

5651 loglama için teknik kontrol listesinde neler olmalı?

Teknik taraf; doğru logların toplanması, saatlerin senkron olması, günlük arşivleme, hash ve zaman damgası, uygun saklama süresi, erişim kontrolü ve düzenli doğrulamadan oluşur. Aşağıdaki liste hukuki değerlendirmenin yerini tutmaz, ama altyapınızdaki eksikleri görmenize yardım eder.

1. Kapsamı belirleyin — Hangi sağlayıcı rolünü üstlendiğinizi ve hangi ağların (misafir Wi-Fi, çalışan ağı, VPN) kapsamda olduğunu yazılı hale getirin.
2. Kaynakları toplayın — Güvenlik duvarı ve NAT oturum logları, DHCP kayıtları (IP ve MAC eşleşmesi), kimlik doğrulama kayıtları (hotspot, RADIUS, VPN).
3. Saatleri senkronize edin — Tüm cihazlarda NTP kullanın, saat sapmasını izleyin.
4. Alanları kontrol edin — Kayıtlarda tarih-saat, kaynak ve hedef IP, kaynak ve hedef port, protokol ve veri miktarı bulunduğunu doğrulayın.
5. Günlük arşivleyin — Her günün kayıtlarını ayrı ve sıkıştırılmış dosyalarda tutun.
6. Hash ve zaman damgası — Her arşiv dosyasının özetini alıp RFC 3161 uyumlu bir zaman damgası otoritesine damgalatın.
7. Saklama süresini ayarlayın — Rolünüze uygun süreyi tanımlayın, süresi dolan arşivlerin kontrollü silinmesini planlayın.
8. Erişimi kısıtlayın ve yedekleyin — Arşivlere yalnızca yetkili rollerin erişmesini sağlayın; arşivleri ve damga dosyalarını ayrı bir konuma kopyalayın.
9. Eksik günleri izleyin — Bir günün arşivi oluşmadığında, boş kaldığında ya da damgalanamadığında uyarı alın.
10. Düzenli doğrulayın — Rastgele seçilen günlerin arşivlerini periyodik olarak doğrulayın ve sonucu kaydedin.

Logchase bu kontrollerin teknik kısmını destekler. SIEM arşivinin yanında 5651 için ayrı ve sade bir CSV arşivi tutar (tarih-saat, kaynak ve hedef IP, kaynak ve hedef port, protokol, paket boyutu); günlük arşivleri RFC 3161 ile TÜBİTAK Kamu SM Zamane veya FreeTSA üzerinden zaman damgalar ve damgaların doğrulanmasını sağlar. Kural şablonları kullanıcı aktivitesi ve NAT oturumu kaydını içerir; Enterprise ve Elite paketlerindeki felaket kurtarma replikasyonu 5651 arşivinin yedeğini de kapsar. Ayrıntılar için Logchase log yönetimi sayfasına bakabilirsiniz. Hangi aracı kullanırsanız kullanın, bu listeyi yılda en az bir kez ve mevzuat değiştiğinde yeniden gözden geçirin.