5651 Uyum Projesi: İmzalı Merkezi Log Arşivi

Bu projeyi Sistem Kuşu kurulmadan önce, kurumun BT ekibinde çalıştığım dönemde ben yürüttüm.

Kurumda log toplayan bir sistem zaten vardı ve işini görüyordu; ama o sistem analiz için kurulmuştu, kanıt için değil. 5651’in aradığı katmanı yanına kurup üç günde devreye aldık.

Sorun

Ekibe katıldığımda kurumda bir FortiAnalyzer kuruluydu ve düzenli çalışıyordu: firewall’lardan gelen kayıtları topluyor, yaklaşık iki aylık bir pencere tutuyordu. Bu pencere kendi işi için fazlasıyla yeterliydi, çünkü o sunucuyu darboğazın sebebini bulmak ve kullanıcı davranışına bakarak QoS kararları vermek için kullanıyordum.

5651’in istediği ise başka bir şeydi. Kanun kaydın tutulmasını değil, kaydın kanıtlanabilir olmasını arar: erişim kayıtlarının belirli bir süre saklanması ve o kayıtların değiştirilmediğinin dışarıdan doğrulanabilmesi. Yani eksik olan disk alanı değildi, imzaydı.

Neden bu yol?

İlk akla gelen çözüm mevcut sistemin saklama süresini uzatmaktı. Yanlış çözüm de buydu: süreyi iki aydan iki yıla çıkarmak kanunun aradığı şeyi vermiyordu. Kayıt yine kurumun kendi sisteminde, kurumun kendi kontrolünde duracak; “bu kayıt değiştirilmedi” iddiasını doğrulayacak bağımsız bir taraf olmayacaktı. Bir denetimde sorulan soru “kaydınız var mı?” değil, “bu kaydın bugün de aynı kayıt olduğunu nasıl gösteriyorsunuz?” sorusudur.

İkinci sebep daha pratikti: FortiAnalyzer’ın kendi işi vardı ve onu iyi yapıyordu. O sunucuyu yasal arşive dönüştürmek, iki farklı ömrü ve iki farklı erişim rejimini tek kutuya sıkıştırmak olurdu. Operasyonel log kısa yaşar ve sık okunur; yasal arşiv uzun yaşar, neredeyse hiç okunmaz, ama okunduğunda hukuki bir bağlamda okunur. Aynı sistemden ikisini birden beklemek, ikisini de ortalama yapmak demektir.

Bu yüzden mevcut sistemi yerinde bıraktık ve yanına ikinci bir katman kurduk.

Nasıl kurduk?

5651’e uygun bir sunucu kurup üzerine bir log yönetim sistemi devreye aldık. Kurumun firewall’larından syslog yönlendirmesi yaparak tüm lokasyonlardaki trafik kayıtlarının bu sunucuda toplanmasını sağladık.

Sistemi, kanunun aradığı alanları kayıt altına alacak şekilde yapılandırdık: IP adresi, MAC adresi ve zaman bilgisi. MAC adresi burada bizim eklediğimiz bir ayrıntı değil, kanunun saydığı alanlardan biri; IP tek başına bir cihazı işaret etmeye her zaman yetmediği için kayıt onunla birlikte tutuluyor.

İmza tarafı hizmetin kendisinden geliyordu: 5651 çözümünü aldığımız firma, biriken kayıtları belirli aralıklarla imzalıyordu. Fark burada: bir kaydın sonradan değiştirilmediği artık kurumun kendi beyanına değil, o imzaya dayanıyor.

Saklama süresi kanunun öngördüğü iki yıla ayarlandı ve KVKK’nın kişisel veri işleme gereksinimleri de bu yapının içine dahil edildi: kaydın ne kadar süre duracağı kadar, kimin erişebileceği de tanımlandı.

Tespitten devreye almaya kadar 3 gün sürdü.

Devreye alındıktan sonra

İki sistem paralel çalışmaya devam etti ve her biri kendi işini yaptı. FortiAnalyzer operasyon tarafında kaldı: darboğaz analizi ve QoS kararları yine oradan çıkıyor. Yeni arşiv ise yalnızca yasal tarafta duruyor, günlük işte kimsenin açtığı bir sistem değil.

Kurum artık bir talep geldiğinde tek bir yerden cevap verebiliyor ve verdiği cevabın değiştirilmediğini imzayla gösterebiliyor. Kayıtlar lokasyonlara dağılmış halde değil, aranabilir tek bir arşivde.

5651 sayılı kanunun getirdiği teknik yükümlülükleri, saklama süresini ve zaman damgası tarafını 5651 log yönetimi rehberimizde ayrıntılı olarak ele alıyoruz.