5651 log tutma yükümlülüğü, 5651 sayılı Kanun kapsamında internet erişimi sunan kurumların "hangi iç IP adresi, hangi zaman aralığında, hangi cihazdaydı" sorusunu cevaplayacak kayıtları tutması ve bu kayıtların değiştirilmediğini kanıtlayabilmesidir. Misafirine veya çalışanına internet açan otel, hastane, okul, kafe ve şirketlerin çoğu bu kapsamdadır.
Misafir Wi-Fi'ı açtınız: 5651 kapsamına girdiniz mi?
Tipik senaryo şöyledir: bekleme salonuna misafir ağı kurulur, çalışanlar kendi telefonlarını şirket kablosuz ağına bağlar, fabrikada taşeron ekip için ayrı bir erişim noktası açılır. Kimse bu ağları "internet hizmeti sunmak" olarak görmez. Ta ki bir gün savcılıktan ya da emniyetten, belirli bir tarih ve saatte şirketinizin dış IP adresinden yapılan bir paylaşım için "bu bağlantıyı kim kurdu?" diye yazı gelene kadar.
O noktada iki durumla karşılaşılır. Ya güvenlik duvarı birkaç gün önceki kayıtların üzerine yazmıştır, ya da kayıt vardır ama yalnızca dış IP'yi gösterir; iç ağda hangi cihazın o saatte hangi adresi aldığı bilinmez. İki durumda da şirket, yükümlülüğünü yerine getirdiğini gösteremez ve olayla ilgisi olmayan çalışanlar şüphe altında kalır.
Bu yazı log tutmanın yasal ve teknik tarafına odaklanıyor. Kayıtlardan saldırı tespiti yapmak ayrı bir konu; onu SIEM ve log yönetimi rehberimizde anlattık. Burada bir hukuk görüşü değil, uygulamada neyin kurulması gerektiğine dair teknik bir çerçeve sunuyoruz.
5651 log tutma yükümlülüğü: kim, neyi, ne kadar saklar?
5651 sayılı Kanun internet ortamındaki aktörleri rollerine göre ayırır. Toplu kullanım sağlayıcı, "kişilere belli bir yerde ve belli bir süre internet ortamı kullanım olanağı sağlayan" kişidir. Tanım ticari amaç aramaz; bu yüzden uygulamada otel ve kafelerin yanında şirketlerin misafir ve çalışan ağları, hastaneler, okullar, yurtlar ve site yönetimleri de bu çerçevede değerlendirilir.
Kanun'un 7'nci maddesine göre ticari amaçla olup olmadığına bakılmaksızın bütün toplu kullanım sağlayıcılar, erişim kayıtlarının tutulması konusunda yönetmelikle belirlenen tedbirleri almak zorundadır. Kanun trafik bilgisini de tanımlar: taraflara ilişkin IP adresi, kaynak ve hedef port, hizmetin başlama ve bitiş zamanı, hizmet türü, aktarılan veri miktarı ve varsa abone kimlik bilgisi.
İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik'in 2007'de Resmî Gazete'de yayımlanan metnine göre toplu kullanım sağlayıcının temel teknik yükümlülüğü "iç IP dağıtım logları"nı elektronik ortamda kaydetmektir. Bu log; iç ağda dağıtılan IP adresini, kullanımın başlama ve bitiş zamanını ve o adresi kullanan cihazın MAC adresini içerir. Yönetmelik "ticari amaçla" toplu kullanım sağlayıcıyı dar tanımlar: internet salonu ve benzeri umuma açık yerlerde belirli bir ücret karşılığı internet hizmeti veren kişiler, yani esas olarak internet kafeler. Bu sağlayıcılar ayrıca mülki amirden izin belgesi almak, dağıtım loglarını ve bunların doğruluğunu, bütünlüğünü ve gizliliğini teyit eden değeri yetkili kurumun verdiği yazılımla günlük olarak kaydetmek ve bu verileri bir yıl saklamakla yükümlüdür. Yönetmelikteki "Başkanlık" (Telekomünikasyon İletişim Başkanlığı) 2016'da kapatıldı ve görevleri Bilgi Teknolojileri ve İletişim Kurumu'na (BTK) geçti; uygulamadaki güncel araç ve yöntem için BTK'nın açıklamalarını esas alın.
Aşağıdaki tablo rolleri ve Kanun ile yönetmelikte yazan süreleri özetliyor. Yönetmelikler değişebildiği için kendi durumunuzu güncel metinle ve hukuk danışmanınızla teyit edin.
| Rol | Tipik örnek | Tutulacak kayıt | Süre (mevzuat metni) |
|---|---|---|---|
| Ticari amaçla toplu kullanım sağlayıcı | İnternet kafe, internet salonu ve benzeri ücret karşılığı internet hizmeti veren umuma açık yer | İç IP dağıtım logu + günlük bütünlük değeri; ayrıca mülki amirden izin belgesi | Yönetmelikte bir yıl |
| Toplu kullanım sağlayıcı (ticari amaç tanımına girmeyen) | Şirket ofisi, fabrika, hastane, okul ağı; misafirine Wi-Fi açan otel, kafe, AVM (nitelendirme için hukuk görüşü alın) | İç IP dağıtım logu (elektronik ortamda) | Yönetmelikte ayrıca sayı yok; bütünlüğü korunmuş ve makul süreli saklama önerilir |
| Erişim sağlayıcı | İnternet servis sağlayıcıları | Trafik bilgisi | Kanun: altı aydan az, iki yıldan fazla olmamak üzere |
| Yer sağlayıcı | Barındırma, sunucu kiralama hizmeti | Barındırdığı hizmetlere ilişkin trafik bilgisi | Kanun: bir yıldan az, iki yıldan fazla olmamak üzere |
Log tutmamanın ya da yanlış tutmanın maliyeti
İlk maliyet idari yaptırımdır. Kanun'un 7'nci maddesine göre yükümlülüklerini ihlal eden ticari amaçlı toplu kullanım sağlayıcılara mülki amir; uyarma, idari para cezası ya da üç güne kadar ticari faaliyeti durdurma yaptırımlarından birini uygulayabilir. Bu kapsamdaki bir işletme için üç günlük faaliyet durdurma, çoğu zaman para cezasından daha ağır sonuç doğurabilir.
İkinci maliyet ispat yükü ile ilgilidir. Adli bir soruşturmada kayıt üretemeyen kurum, iç ağındaki cihazları ayırt edemediği için olayla ilgisiz çalışanları ve misafirleri de sürece dahil etmek zorunda kalır. Kayıt varsa ama bütünlüğü kanıtlanamıyorsa, yani sonradan değiştirilmediği gösterilemiyorsa, delil değeri tartışmalı hale gelir.
Üçüncü maliyet güvenlik tarafındadır. Verizon 2026 Data Breach Investigations Report verisine göre zafiyet istismarı %31 ile ihlallerde en yaygın ilk erişim yolu oldu. Ağ kayıtları eksik tutulan bir kurumda böyle bir istismarın hangi iç cihazdan ilerlediğini sonradan çıkarmak büyük ölçüde tahmine kalır.
Madalyonun öbür yüzü, gereğinden fazla saklamaktır. KVKK 2025 Yılı Faaliyet Raporu verisine göre Kurum'a 2025'te ulaşan ihbar ve şikâyetlerin 551'i kişisel verilerin silinmemesi, yok edilmemesi veya anonim hale getirilmemesiyle ilgiliydi. "Ne olur ne olmaz" diye süresiz tutulan log, 5651 sorununu çözerken KVKK sorunu üretir.
5651 ve KVKK: log saklamak da bir veri işleme faaliyetidir
İç IP dağıtım logu MAC adresi ve zaman bilgisi içerir; misafir ağında giriş sırasında telefon numarası ya da oda numarası da alınıyorsa kayıt doğrudan bir kişiyle eşleşir. Bu nedenle 5651 kayıtları çoğu durumda KVKK açısından kişisel veri niteliği taşır. Hukuki sebep, 5651'in getirdiği kanuni yükümlülüktür; ancak aydınlatma, erişim yetkisi ve saklama süresi kuralları yine uygulanır.
Pratik sonuç üç maddedir. Misafir ağının giriş sayfasında kısa bir aydınlatma metni gösterin; bunun açık rızadan farkını açık rıza ve aydınlatma yazımızda anlattık. Log kategorisini kişisel veri envanterine ve saklama ve imha politikasına ekleyin. Süresi dolan kayıtların otomatik ve kayıtlı biçimde imha edildiğini gösterin.
Çalışan ağı söz konusu olduğunda iş biraz daha hassastır. Çalışanların internet kullanım kayıtları, işverenin çalışan verileri üzerindeki genel yükümlülükleriyle birlikte düşünülmelidir; bu çerçeveyi çalışan kişisel verileri ve KVKK yazımızda ele aldık. 5651 kaydını tutmak, çalışanın hangi siteye girdiğini izlemek anlamına gelmez; ikisini ayrı amaç ve ayrı yetkiyle yönetin. Çalışan ağında herkesin bildiği ortak parola yerine kişiye özel kurumsal kimlikle bağlanmak, kaydın cihazdan kişiye bağlanmasını da kolaylaştırır (bunu aydınlatma metninde belirtmeyi unutmayın); kimliği tek merkezden yönetmenin mantığını tek oturum açma (SSO) yazımızda anlattık.
5651 log tutma nasıl yapılır: uyumlu altyapı için 7 adım
Aşağıdaki sıra küçük bir ofisten çok binalı bir kampüse kadar uygulanabilir; ilk üç adım cihaz satın almadan önce gelir.
- Ağları haritalayın. Hangi SSID kime açık: misafir, çalışan, taşeron, üretim, kamera, IoT? Misafir ve kurumsal ağı ayrı VLAN'lara ayırın; üretim ve kamera ağlarının internete çıkıp çıkmadığını netleştirin.
- Rolünüzü belirleyin. Ticari amaçlı mı, değil mi? Barındırma hizmeti de veriyor musunuz? Rol; izin belgesi, saklama süresi ve bütünlük kaydı gibi gereksinimleri belirler.
- Kayıt kaynağını seçin. İç IP dağıtım logu çoğunlukla DHCP sunucusundan, güvenlik duvarından ya da hotspot (karşılama sayfası) sisteminden gelir. Birden çok kaynak varsa hepsini tek merkeze toplayın.
- Zamanı tek kaynağa bağlayın. Tüm ağ cihazları aynı NTP sunucusunu kullanmalı. İki dakika kayan bir saat, "o saatte o IP kimdeydi" sorusunu yanlış cevaplatır.
- Bütünlüğü kanıtlanabilir yapın. Günlük log dosyasının özet (hash) değerini üretin ve ayrı saklayın; daha güçlü delil gerekiyorsa elektronik zaman damgası ekleyin. Log dizinine yazma yetkisini yalnızca toplama servisine verin.
- Saklama ve imhayı otomatikleştirin. Belirlediğiniz süre dolunca kayıt otomatik silinsin ve bu işlem de kayıt altına alınsın. Yedeklerin de aynı süreye uyduğunu kontrol edin; eski yedekte duran log da saklanan logdur.
- Talep prosedürünü yazın. Resmî bir kayıt talebi geldiğinde kim yanıtlar, hangi sorguyu çalıştırır, çıktıyı nasıl teslim eder? Sorgunun kendisi de kayıt altında olsun. Yılda bir kez örnek bir sorguyla prosedürü deneyin.
Adımların doğru kurulduğunu anlamanın en basit yolu aşağıdaki kontrol tablosudur. Her satır, denetimde ya da resmî bir talepte sorulacak bir soruya karşılık gelir.
| Kontrol sorusu | Yeterli cevap | Sık görülen eksik |
|---|---|---|
| Geçen ayın bir saatinde, belirli bir iç IP hangi cihazdaydı? | Dakikalar içinde DHCP/hotspot kaydından MAC ve zaman aralığı | Kayıt yalnızca birkaç gün tutulmuş |
| Kayıtların değiştirilmediği nasıl kanıtlanır? | Günlük hash değeri, ayrı saklanan imza/zaman damgası | Düz metin dosyalar, herkesin yazabildiği paylaşım |
| Tüm cihazların saati tutarlı mı? | Tek NTP kaynağı, sapma izleniyor | Erişim noktaları fabrika saatinde |
| Misafir ile kurumsal ağ ayrı mı? | Ayrı VLAN ve ayrı log kaynağı | Misafirler kurumsal ağda |
| Saklama süresi dolan kayıt ne oluyor? | Otomatik imha, imha kaydı | Süresiz arşiv, yedeklerde kalan eski loglar |
| Loglara kim erişebiliyor? | Rol bazlı, erişimler kayıtlı | BT ekibindeki herkes |
Bu tablo aynı zamanda ISO 27001'in kayıt ve izleme kontrolleri için de kanıt üretir. Temel ağ güvenliği henüz oturmadıysa önce KOBİ siber güvenlik kontrol listesiyle başlamak daha verimli olur.
5651 log tutmada sık yapılan hatalar
En yaygın hata, 5651 uyumunu tek bir cihaz satın alma işi olarak görmektir. Cihaz kayıt üretir; ama saat senkronu, ağ ayrımı, saklama süresi ve talep prosedürü kurulmadıysa kayıt işe yaramaz. İkinci hata, dış IP'yi tutup iç IP eşleştirmesini atlamaktır; resmî taleplerde sorulan tam olarak iç ağdaki cihazdır.
Üçüncü hata, 5651 kaydını çalışan izleme aracına dönüştürmektir. Yasal yükümlülük için tutulan log, disiplin soruşturmasında amaç dışı kullanılırsa KVKK riski doğar. Dördüncüsü de ziyaretçi ağının kapıdaki kayıttan kopuk olmasıdır; ziyaretçi girişini QR kodlu ziyaretçi kaydıyla yöneten kurumlar, misafir ağı erişimini aynı ziyaret süresiyle sınırlayabilir.
Digital Bridge'de bu işi nasıl yapıyoruz?
İşe cihazla değil, keşifle başlıyoruz. Siber güvenlik danışmanlığı kapsamında ağ topolojinizi, SSID'leri, DHCP ve güvenlik duvarı yapılandırmasını, mevcut log kaynaklarını ve saklama sürelerini çıkarıyoruz. Keşif çıktısı, hangi ağın hangi rol ve yükümlülüğe girdiğini gösteren kısa bir rapordur.
Ardından küçük bir pilotla, genellikle tek bir misafir ağıyla, kayıt toplama, saat senkronu, günlük bütünlük değeri ve örnek sorgu akışını kuruyoruz. Pilot sonunda "geçen salı 14:32'de 10.0.20.57 kimdeydi?" sorusunu dakikalar içinde cevaplayabildiğinizi birlikte test ediyoruz. Farklı marka ağ cihazlarından, hotspot yazılımından ya da bina yönetim sisteminden gelen kayıtları tek merkeze aktarmak için sistem entegrasyonları hizmetimizi kullanıyoruz.
Log arşivini bulutta tutmayı düşünüyorsanız, değiştirilemez depolama ve erişim kaydı gereksinimlerini bulut geçişi ve altyapı danışmanlığı planına baştan ekliyoruz. Aydınlatma metni, envanter kaydı ve saklama-imha kuralları için KVKK uyum danışmanlığı ekibimizle çalışıyoruz; genel yol haritası KVKK uyum sürecinin 8 adımıyla örtüşür.
Kayıtlar yalnızca saklanmakla kalmayıp olay tespitinde de kullanılacaksa, aynı altyapıyı SIEM'e bağlıyor ve bir ihlalde 72 saatlik bildirim süresi içinde zaman çizelgesi çıkarabilmenizi sağlıyoruz. Konuyla ilgili diğer rehberler için Siber Güvenlik ve KVKK yazılarımıza göz atabilirsiniz.
Sonraki adım
Bu hafta üç soruya cevap verin: şirketinizde kaç ayrı kablosuz ağ var ve her biri kime açık? Bir ay önceki belirli bir saatte bir iç IP'nin hangi cihazda olduğunu bulabiliyor musunuz? Bu kayıtların ne zaman silineceği yazılı mı?
Cevaplardan biri belirsizse, ağ ve log envanterinizi birlikte çıkarmak için iletişim sayfamızdan bize ulaşın. Keşif sonunda neyin eksik olduğunu ve hangi sırayla tamamlanacağını somut bir listeyle paylaşıyoruz.