KamuSM Sözleşmesi Olmadan 5651 Logları Nasıl İmzalanır? Alternatif İmza Yöntemleri
KamuSM sözleşmeniz yoksa 5651 loglarını başka bir elektronik sertifika hizmet sağlayıcısından (ESHS) alacağınız zaman damgasıyla ya da hash zinciri ve elektronik imza temelli bir yöntemle imzalayabilirsiniz. Hangisinin yeterli sayılacağını mevzuat ve hukuk danışmanınızla teyit edin.
5651 loglarında zaman damgası ne işe yarar?
Zaman damgası, bir log kaydının belirli bir andan önce var olduğunu ve o andan sonra değişmediğini kanıtlayan imzalı bir kayıttır. Savcılık veya BTK talebinde logların bütünlüğünü göstermek istediğinizde bu kanıt belirleyici olur.
Yalnızca hash zinciri, kayıtlardaki değişikliği tespit etmenizi sağlar. Ancak zamanı bağımsız bir üçüncü taraf doğrulamaz. Zaman damgası bu boşluğu kapatır. Kavramın ürün tarafındaki karşılığını 5651 imzalama ve arşivleme motoru sayfasında görebilirsiniz.
Zaman damgası KamuSM dışında kimden alınabilir?
Elektronik İmza Kanununun uygulanmasına ilişkin yönetmelikte zaman damgası hizmetini sağlama yükümlülüğü, KamuSM'ye değil genel olarak Elektronik Sertifika Hizmet Sağlayıcısına (ESHS) verilmiştir. Bu nedenle seçenekleri ESHS listesi üzerinden incelemek gerekir.
Yönetmeliğe göre ESHS, zaman damgası ilkelerini ve uygulama esaslarını yayımlar, ücretleri de Kuruma bildirir. Değişiklik yönetmeliği ayrıca "Zaman Damgası İlkeleri" ve "Zaman Damgası Uygulama Esasları" belgelerini tanımlar. Üretim, doğrulama ve sorumluluklar bu belgelerde yer alır. Önemli bir not: incelediğimiz metinler 5651 loglarını anmıyor. Bu yüzden "5651 için şu yöntem zorunludur" sonucu bu kaynaklardan çıkarılamaz.
KamuSM olmadan hangi imza yöntemleri kullanılabilir?
Pratikte üç yaklaşım öne çıkar: başka bir ESHS'den zaman damgası almak, logları nitelikli elektronik sertifikayla imzalamak ve dahili hash zincirini değişmez arşivle birleştirmek. Her birinin kanıt değeri ve işletme yükü farklıdır.
| Yöntem | Ne sağlar? | Dikkat edilecek nokta |
|---|---|---|
| Başka bir ESHS'den zaman damgası (ör. RFC 3161 uyumlu) | Bağımsız bir üçüncü tarafça doğrulanan zaman kanıtı | Sağlayıcının yayımladığı zaman damgası ilkelerini ve ücret koşullarını inceleyin |
| Nitelikli elektronik sertifikayla imzalama | İmzalayan kurumu belirler, sonradan değişikliği tespit ettirir | Sertifika sahibi ve imza zamanı yönetimi gerekir; 5651 açısından yeterliliği [DOĞRULANACAK] |
| Dahili SHA-256 hash zinciri + WORM arşiv | Zincirdeki değişikliği ve silmeyi görünür kılar | Zamanı bağımsız biçimde kanıtlamaz; tek başına yeterliliği [DOĞRULANACAK] |
Tabloda hukuki bir yeterlilik hükmü yoktur. Yalnızca yöntemlerin teknik olarak ne sağladığı özetlenmiştir.
Hangi yöntemin seçileceğine nasıl karar verilir?
Karar, mevzuat gereksinimini netleştirmekle başlar, maliyet karşılaştırmasıyla biter. Aşağıdaki sıra, yöntemi gerekçelendirilebilir hale getirmenin pratik bir yoludur.
- Yükümlülüğünüzü belirleyin: hangi sınıfta toplu kullanım sağlayıcısı olduğunuzu ve hangi kayıtları tuttuğunuzu yazın.
- Hukuk danışmanınızdan, kullanacağınız imza yönteminin 5651 kapsamındaki yeterliliğini yazılı olarak isteyin.
- Aday ESHS'lerin zaman damgası ilkelerini ve uygulama esaslarını okuyun.
- Doğrulama senaryosunu deneyin: imzalı bir log paketini üçüncü bir kişinin bağımsız olarak doğrulayabildiğini görün.
- Saklama süresiyle uyumu kontrol edin. Süreler için log saklama süresi rehberimize bakabilirsiniz.
- Talep geldiğinde logları nasıl sunacağınızı planlayın. Ayrıntılar için BTK ve savcılık talebi rehberi yararlı olur.
LogSpot bu süreçte ne sunuyor?
LogSpot sayfalarında loglar SHA-256 hash zinciriyle mühürlenir, KamuSM onaylı zaman damgasıyla imzalanır ve WORM arşivde saklanır. Bu akış, FortiGate, Sophos, Palo Alto, Cisco ve Check Point gibi markaların syslog çıktısı için tanımlıdır.
Sitenin SSS bölümünde "KamuSM sözleşmem yoksa hangi imza yöntemini kullanabilirim?" sorusu yer alır, ancak bu yazı için elimizdeki metinlerde yanıtın ayrıntısı bulunmuyor. Bu yüzden belirli bir alternatifi LogSpot'a atfetmiyoruz. Güncel seçenekleri KamuSM zaman damgası sayfasında inceleyebilir, kendi ortamınız için iletişim ve demo talebi sayfasından soru sorabilirsiniz. Maliyeti görmek için paketler ve fiyatlandırma sayfası da var.
Denetim anında imzalı kayıtları nasıl sunacağınızı imzalı log ibrazı sayfasından, kişisel veri boyutunu ise KVKK ve veri yönetimi sayfasından öğrenebilirsiniz.
Sık sorulan sorular
Zaman damgası ile elektronik imza aynı şey midir?
Hayır. Elektronik imza, verinin kim tarafından imzalandığını ve sonradan değişip değişmediğini gösterir. Zaman damgası ise verinin belirli bir anda var olduğunu bağımsız bir sağlayıcı aracılığıyla kanıtlar. İkisi birbirini tamamlayabilir.
RFC 3161 nedir, neden anılır?
RFC 3161, bir verinin özetini (hash) zaman damgası otoritesine gönderip imzalı bir yanıt almayı tanımlayan standart protokoldür. Birçok zaman damgası hizmeti bu protokolü destekler. Sağlayıcınızın hangi protokolleri sunduğunu sözleşme öncesinde sorun.
Mevzuatı nereden takip etmeliyim?
Birincil kaynak olarak güncel mevzuatı mevzuat.gov.tr üzerinden kontrol edin. Okuma için Elektronik İmza Kanununun Uygulanmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik metnine ve zaman damgası ilkelerini tanımlayan 15 Ekim 2021 tarihli yönetmelik değişikliğine bakabilirsiniz. İkisi de ticari yayın siteleridir, bu yüzden güncel hâli resmî kaynaktan doğrulanmalıdır.
C.F.