Bir erişim kaydının değeri, içeriğinden çok değişmediğinin kanıtlanabilmesinde saklıdır. 5651 sayılı Kanun kapsamındaki kayıtlar bu yüzden zaman damgasıyla mühürlenir. Bu yazı zaman damgasının ne olduğunu, teknik olarak nasıl çalıştığını, sıradan bir tarih alanından neden farklı olduğunu ve kayıt saklarken hangi hataların damgayı işlevsiz bıraktığını anlatıyor.
Zaman damgası nedir?
Zaman damgası, bir elektronik verinin belirli bir anda var olduğunu ve o andan sonra değiştirilmediğini, güvenilir bir üçüncü tarafın elektronik imzasıyla doğrulayan kayıttır. Türkiye’de tanımı 5070 sayılı Elektronik İmza Kanunu’nda yer alır; damgayı yetkili elektronik sertifika hizmet sağlayıcıları üretir. TÜBİTAK bünyesindeki Kamu Sertifikasyon Merkezi bu sağlayıcılardan biridir.
Sıradan bir tarih alanıyla fark şudur: dosyanın içindeki “oluşturulma tarihi”, dosyayı değiştiren herkesin değiştirebildiği bir bilgidir. Zaman damgası ise dosyanın dışında, bağımsız bir kurumun imzasıyla üretilir; kaydı tutan kurum bile geriye dönük değiştiremez.
Zaman damgası ile elektronik imza aynı şey mi?
Aynı şey değildir. Elektronik imza bir belgeyi kimin imzaladığını gösterir; zaman damgası ise bir verinin belirli bir anda var olduğunu ve o andan sonra değişmediğini gösterir, imzalayanın kim olduğuyla ilgilenmez. İkisi birlikte kullanılabilir: imzalı bir belgeye zaman damgası eklendiğinde hem “kim” hem “ne zaman” sorusu cevaplanmış olur.
5651 kayıtlarında aranan, kaydı üreten kişinin imzası değildir; kaydın zamanının ve bütünlüğünün bağımsız bir tarafça doğrulanmasıdır. Bu yüzden erişim kayıtlarında zorunlu olan bileşen zaman damgasıdır. Kayıt sisteminin kendi imzası, sistemin sahibi tarafından üretildiği için bu bağımsızlığı sağlamaz.
Zaman damgası teknik olarak nasıl çalışır?
Zaman damgası üç adımda üretilir: kaydın özet değeri (hash) hesaplanır, bu özet zaman damgası sunucusuna gönderilir, sunucu özeti o anki zamanla birlikte kendi anahtarıyla imzalayıp geri döner. Kaydın kendisi sunucuya gitmez; yalnız parmak izi gider.
Özet değeri, verinin tek yönlü matematiksel parmak izidir: içerikte tek bir karakter değişse özet tamamen değişir ve özetten içeriğe geri dönülemez. Doğrulama sırasında kaydın özeti yeniden hesaplanır ve damganın içindeki özetle karşılaştırılır. İkisi aynıysa kayıt damga anındaki haliyle durmaktadır. Farklıysa kayıt değişmiştir ve damga bunu saklamaz.
Bu yöntem, kaydı gizli tutarak bütünlüğünü kanıtlar. Erişim kayıtları kişisel veri taşıdığı için bu ayrıntı önemlidir: doğrulama için kaydın içeriğini kimseyle paylaşmak gerekmez.
5651 kayıtlarında zaman damgası neden zorunlu?
5651 kapsamındaki erişim ve iç IP dağıtım kayıtları, belirli bir anda belirli bir adresi kimin kullandığını ispatlamak için tutulur; ilgili yönetmelikler bu kayıtların doğruluğunun ve bütünlüğünün korunmasını ve zaman damgasıyla saklanmasını ister. Damgasız kayıt, üretildiği andaki haliyle korunduğunu gösteremediği için delil değeri tartışmalı hale gelir.
Pratikte sorun şöyle ortaya çıkar. Bir olay araştırılır, işletmeden o güne ait kayıt istenir, kayıt bir metin dosyası olarak sunulur. Karşı tarafın ilk sorusu bellidir: bu dosyanın o günden beri değişmediğini nereden bileceğiz? Zaman damgası bu soruya tek cümleyle cevap verir. Damga yoksa cevap, kaydı tutan kişinin beyanından ibarettir.
Damga KVKK açısından da iş görür. Erişim kayıtları kişisel veri taşır; kaydın ne zaman üretildiği ve saklama süresinin ne zaman dolacağı damgayla nesnel biçimde izlenir. Sürenin başlangıcı böylece tartışma konusu olmaktan çıkar ve periyodik imha takvimi kaydın kendi zamanına bağlanır.
Hangi hatalar zaman damgasını işlevsiz bırakır?
Zaman damgası yalnız doğru uygulandığında işe yarar; sahada en sık görülen dört hata damgayı kâğıt üzerinde bırakır: kaydı damgalamadan bekletmek, damgayı toplu ve seyrek almak, damgalı kaydı yeniden yazmak ve damgayı kayıttan ayrı saklamak.
- Gecikmeli damga: kayıt gece üretilip ertesi hafta damgalanırsa aradaki sürede değişmediği kanıtlanamaz. Damga üretime yakın alınmalıdır.
- Seyrek damga: ayda bir tüm arşivi damgalamak, ay içindeki değişiklikleri örter. Damga düzenli ve sık alınmalıdır.
- Yeniden yazma: damgalı kaydı biçimlendirmek, birleştirmek ya da düzenlemek özeti değiştirir; damga geçersiz kalır. Damgalı dosyaya dokunulmaz, kopyası üzerinde çalışılır.
- Ayrı saklama: damga dosyası kaybolursa kayıt damgasız sayılır. Damga, kayıtla birlikte ve aynı saklama süresince tutulur.
Cihaz üzerinde tutulan kayıtlar bu hataların hepsine açıktır; cihaz yeniden başladığında ya da belleği dolduğunda kayıt gider ve damga hiç alınmamış olur.
Zaman damgalı kayıt saklama süresi boyunca nasıl doğrulanır?
Saklama süresi boyunca kayıt, damga ve doğrulama yöntemi birlikte erişilebilir olmalıdır. Talep geldiğinde kayıt bulunur, özeti yeniden hesaplanır, damgayla karşılaştırılır ve sonuç bir doğrulama çıktısıyla sunulur. Bu adımlar dakikalar içinde yapılamıyorsa arşiv denetime hazır sayılmaz.
Zaman damgası bu yüzden tek başına bir özellik olmaktan çok bir arşiv düzeninin parçasıdır: damga alma, saklama, indeksleme ve doğrulama aynı sistemde durmalıdır. Biri eksikse diğerleri denetim gününde işe yaramaz.
Merkezi arşivde zaman damgası pratikte nasıl işler?
Layer Sistem’in LayerLOG hizmetinde erişim kayıtları mevcut cihazınızdan buluta yönlendirilir, toplanan her kayıt TÜBİTAK zaman damgasıyla mühürlenir ve Türkiye’deki BTK kayıtlı altyapıda iki yıl saklanır. Damga geriye dönük değiştirilemez; kayıtlar saklama süresi boyunca merkezi panelden indirilir ve raporlanır. Kurulum mevcut cihazda yaklaşık beş dakika sürer, sonrasında toplama, damgalama ve arşivleme kendiliğinden işler. Yukarıdaki dört hata, düzen sistemde kurulduğu için işletmenin masasına gelmez.
Sonuç
Zaman damgası, kaydın dışında ve bağımsız bir imzayla üretildiği için tarih alanının yapamadığını yapar: kaydın o andan beri değişmediğini kanıtlar. 5651 kayıtlarında bu kanıt kaydın kendisi kadar zorunludur. Damganın üretime yakın, düzenli, kayıtla birlikte ve doğrulanabilir biçimde alınması gerekir; bunu cihaz üzerindeki bir dosya sağlayamaz, merkezi bir arşiv sağlar.
Konuyu derinleştirmek için: 5651 loglama nedir rehberi ve E-ticaret ve finans için KVKK uyumlu veri saklama.
İletişim: +90 850 500 0 166 | [email protected] | www.layersistem.com