Kısaca
Denetçi misafir ağınız için erişim kaydı, bütünlük kanıtı, rol bazlı yetki, denetim izi ve ağ ayrımı ister. Her maddenin kutuda hangi somut kanıta karşılık geldiğini anlatıyoruz.
Misafir ağı denetimin dışında kalmaz
ISO 27001 belgesi olan ya da müşteri denetimi geçiren işletmelerde misafir Wi-Fi genelde "yan konu" sayılır. Denetçi ise öyle görmez. Misafir ağı, kurum ağıyla aynı fiziksel altyapıyı kullanır, dış kişilere açıktır ve kişisel veri üretir. Bu üç özellik onu kapsam içine sokar.
Bu yazı, denetçilerin misafir Wi-Fi için sorduğu başlıkları kendi dilleriyle sıralıyor ve her birinin Hotspot-Box'ta hangi somut kanıta karşılık geldiğini gösteriyor. Amaç, denetim öncesi hazırlığınızı kısaltmak.
Denetçinin başlıkları ve kutudaki karşılıkları
| Denetçinin sorusu | Aranan kanıt | Kutuda nerede |
|---|---|---|
| Misafir ağına kim bağlandı, ne zaman? | Erişim kayıtları | Doğrulama bilgisi, MAC, iç IP, oturum başlangıç-bitiş; 730 gün saklanır |
| Kayıtların değiştirilmediğini nasıl kanıtlarsınız? | Bütünlük kanıtı | Günlük SHA-256 özet zinciri + RFC 3161 zaman damgası; panelden tek tuşla doğrulama |
| Kayıtlara kim erişebilir? | Rol bazlı erişim | Panelde roller; telefon numarasını yalnız yetkili rol, maskeli görür |
| Yöneticiler ne yaptı? | Denetim izi | Panel işlemleri ve otomatik silmeler denetim izine yazılır |
| Misafir trafiği kurum ağından ayrı mı? | Ağ ayrımı | Misafir ağı ayrı VLAN'da; kutu misafir ağının güvenlik duvarıdır |
| Kayıtların yedeği var mı? | Yedekleme | Arşivin ikinci kopyası SFTP/FTPS ile kutu dışına alınır |
| Saat güvenilir mi? | Zaman senkronu | NTP izlenir, sapma alarmı; kutunun saati damga servisine göre raporlanır |
| Süresi dolan veri ne oluyor? | Saklama ve imha | Süresi dolan gün otomatik silinir; silme denetim izine yazılır |
Erişim kayıtları: "kim, ne zaman"
Denetçi genelde örnekleme yapar: "Şu tarihteki kayıtları gösterin." Kutuda her günün kayıt dosyası ayrı durur. İçinde misafirin doğrulama bilgisi (SMS ile doğrulanmış numara şifreli, kupon kodu ya da e-posta), cihaz MAC adresi, atanan iç IP, oturum başlangıcı ve bitişi, varsa NAT eşlemesi bulunur. Ziyaret edilen siteler ya da içerik yoktur; bu, veri minimizasyonu başlığında da lehinize yazılır.
Bütünlük kanıtı: "değişmediğini nereden bileyim?"
Bir kaydın varlığı yetmez; değiştirilmediğini de gösterebilmelisiniz. Kutu her günün kayıt dosyasının SHA-256 özetini alır ve önceki günün özetiyle zincirler. Zincir, kutu kurulduğu günden başlar; geriye dönük imza yapılmaz. Her günün özeti RFC 3161 zaman damgası servisine gönderilir; servise kaydın kendisi değil yalnızca özet gider.
Denetçiye gösterebileceğiniz kanıt: panelden "doğrula" tuşuyla üretilen rapor ve dışa aktarılan ZIP arşivi. Arşivde gün dizinleri, satır dosyaları, manifest (SHA-256 zinciri) ve damga dosyası bulunur. Denetçi openssl ts -verify ile damgayı bağımsız doğrulayabilir; bizim yazılımımıza güvenmesi gerekmez.
Rol bazlı erişim: "en az yetki"
Denetçi, misafir verisine kimin erişebildiğini ve bunun görev tanımına uygun olup olmadığını sorar. Panelde roller tanımlıdır. Misafirin telefon numarasını yalnız yetkili rol görür ve maskeli görür. Teknik personel kayıt bütünlüğünü doğrulayabilir ama numaraları görmek zorunda değildir. Bu ayrımı erişim matrisinize bir satır olarak işleyin.
Denetim izi: "yöneticiler ne yaptı?"
Erişim kaydı misafiri anlatır; denetim izi yöneticiyi. Panelde yapılan işlemler kim-ne zaman-ne yaptı biçiminde tutulur. Süresi dolan günlerin otomatik silinmesi de burada görünür. Böylece "730 günlük saklama politikasını uyguluyor musunuz" sorusuna, politikayı değil uygulamanın kanıtını göstererek cevap verirsiniz.
Ağ ayrımı: "misafir sunucularıma ulaşabilir mi?"
Misafir ağı ayrı bir VLAN'da çalışır. Kutu bu ağın güvenlik duvarıdır (pfSense tabanlı); misafir trafiği kurum ağına geçmez. Erişim noktalarında client isolation önerilir, böylece misafirler birbirini de görmez. Kutu kurumsal UTM'inizin yerini almaz; var olan güvenlik duvarınız yerinde kalır, kutu misafir ağı segmentini üstlenir. Denetçiye verebileceğiniz kanıt: VLAN planı, kutunun arayüz şeması ve misafir ağından iç ağa yapılmış bir erişim denemesinin başarısız sonucu.
Üçüncü taraf ve veri akışı
Denetçi "veri nereye gidiyor" diye sorar. Cevap kısadır:
- Kayıtlar kutuda, yani işletmenizde kalır. Buluta, yurt dışına ya da bize gitmez.
- Zaman damgası servisine yalnızca özet gider.
- SMS doğrudan kutudan sağlayıcıya gider; hotspot-box.com platformu misafir numarasını hiç görmez, yalnızca API bilgisi verir ve kredi sayar.
- Cihaz telemetrisinde misafir verisi yoktur.
Bu akışı tek bir veri akış şemasıyla belgeleyin; denetçilerin en çok takdir ettiği belge budur.
Denetim öncesi kontrol listesi
- Misafir ağı VLAN'ını ve kutunun yerini ağ şemasına ekleyin.
- Erişim matrisine panel rollerini işleyin.
- Son 30 günün bütünlük doğrulama raporunu alın.
- SFTP/FTPS ikinci kopyanın gerçekten alındığını kontrol edin.
- Portaldaki aydınlatma metnini ve açık rıza kaydını belge setine ekleyin.
- Alarm kanallarını (e-posta/Telegram/webhook) ve son alarmları gösterin.
Kurulum ayrıntıları için kutu ve sanal cihaz sayfalarına bakabilir, denetim öncesi hazırlık için bize ulaşabilirsiniz.
Bu yazı bilgilendirme amaçlıdır, hukuki ya da denetim danışmanlığı değildir.
Bu yazı bilgilendirme amaçlıdır, hukuki danışmanlık değildir; yükümlülüğünüzü hukuk danışmanınızla doğrulayın.