KVKK teknik tedbirler listesi kutuda nerede?

Liste var, karşılığı yok mu?

KVKK uyum çalışmasında ya danışmanınız ya da kurumun yayımladığı rehberler size bir teknik tedbir listesi verir. Liste genel yazılmıştır: "şifreleme uygulanır", "erişim yetkileri sınırlandırılır", "kayıtlar tutulur" gibi. Zor olan, bu cümlelerin her birini elinizdeki sisteme bağlamaktır.

Bu yazı, misafir Wi-Fi süreci için o bağı kuruyor. Her tedbir başlığı için üç şey söylüyoruz: ne anlama gelir, kutuda nerede durur, sizin tarafınızda ne kalır. Danışmanınız bu tabloyu doğrudan uyum dosyanıza taşıyabilir.

Tek tabloda

Tedbir başlığı	Kutuda nerede	Sizde ne kalır
Veri minimizasyonu	Yalnızca doğrulama bilgisi, MAC, iç IP, oturum zamanları; site, içerik, konum yok	Ek alan eklememek
Şifreleme	Misafir telefon numarası şifreli saklanır	Kutunun fiziksel güvenliği
Erişim kontrolü	Rol bazlı panel yetkisi; numara yalnız yetkili role, maskeli	Rolleri kişilere doğru atamak
Kayıt tutma ve izleme	Denetim izi; NTP sapma, disk, damga servisi alarmları	Alarmları bir kanala bağlamak ve okumak
Bütünlük	SHA-256 özet zinciri + RFC 3161 zaman damgası	Periyodik doğrulama raporu almak
Yedekleme	Arşivin ikinci kopyası SFTP/FTPS ile kutu dışına	Hedef sunucunun güvenliği ve silme süresi
Ağ ayrımı	Misafir VLAN'ı; kutu misafir ağının güvenlik duvarı	AP'de client isolation, VLAN planı
Saklama ve imha	730 gün sonra otomatik silme, denetim izine yazılır	Dış kopyayı aynı sürede silmek
Anahtar ve kimlik bilgisi yönetimi	Şifreleme anahtarı kutuda; SMS API bilgisi platformdan kutuya; damga imzası dış serviste	Panel hesapları, SFTP bilgileri için anahtar envanteri

Veri minimizasyonu

En etkili teknik tedbir, veriyi hiç toplamamaktır. Kutu misafirin doğrulama bilgisini (SMS ile doğrulanan numara, kupon kodu ya da e-posta), cihaz MAC adresini, atanan iç IP'yi, oturum başlangıç ve bitişini, varsa NAT eşlemesini tutar. Ziyaret edilen siteler, içerik, konum ve sosyal medya profili yoktur. İsteğe bağlı DNS sorgu günlüğünü açmazsanız alan listesi bu kadardır. Sizde kalan: portalda ad-soyad gibi gereksiz alanlar istememek.

Şifreleme

Misafirin telefon numarası kutuda şifreli saklanır ve panelde maskeli gösterilir. Kayıt dosyalarının bütünlüğü ayrıca özet zinciriyle korunur. Kutu bir ağ cihazıdır; fiziksel olarak kilitli bir kabinde ya da teknik odada durması gerekir. Diski söküp başka yere takan birine karşı en güçlü tedbir, kutuya erişimi fiziksel olarak kısıtlamaktır.

Erişim kontrolü

Panel rol bazlı çalışır. Misafirin telefon numarasını yalnız yetkili rol görür ve maskeli görür. Teknik personel kayıt bütünlüğünü doğrulayabilir ama numara görmek zorunda değildir. Sizde kalan iki iş var: rolleri gerçek kişilere görevine göre atamak ve işten ayrılan personelin hesabını kapatmak. Her iki işlem de denetim izinde görünür.

Kayıt tutma ve izleme

İki ayrı kayıt vardır. Erişim kaydı misafiri anlatır; denetim izi yöneticiyi: kim, ne zaman, panelde ne yaptı. Otomatik silmeler de denetim izine yazılır. İzleme tarafında kutu disk doluluğunu, zaman damgası servisinin durumunu, SMS kredisini ve çevrimdışı kalma durumunu izler; e-posta, Telegram ya da webhook ile alarm gönderir. NTP sapması büyürse panelde uyarı çıkar. Sizde kalan: alarmları gerçekten okuyan bir kanala bağlamak.

Bütünlük

Her günün kayıt dosyası SHA-256 ile özetlenir, önceki günle zincirlenir ve RFC 3161 zaman damgası alır. Damga servisine kaydın kendisi değil yalnızca özet gider. Panelden tek tuşla doğrulama yapıp rapor alabilirsiniz. Uyum dosyanız için ayda bir doğrulama raporu almayı alışkanlık edinin; denetimde "bütünlük kontrolü yapılıyor mu" sorusunun cevabı bu raporlardır.

Yedekleme

Kayıtlar kutuda durur; buluta, yurt dışına ya da bize gitmez. Kutu arızasına karşı arşivin ikinci kopyasını SFTP/FTPS ile kendi sunucunuza alabilirsiniz. Dışa aktarılan arşiv gün dizinleri, satır dosyaları, SHA-256 manifesti ve damga dosyasını içerir; kutu olmadan da openssl ts -verify ile doğrulanır. Sizde kalan: hedef sunucunun erişim kontrolü ve orada da 730 gün kuralını uygulamak.

Ağ ayrımı

Misafir ağı ayrı VLAN'da çalışır; kutu bu ağın güvenlik duvarıdır (pfSense tabanlı). Misafir trafiği kasa, kamera, yazıcı ya da sunucu ağına geçmez. Yazıcı, POS ya da TV gibi cihazlar misafir ağında kalmak zorundaysa MAC muafiyetiyle portal dışı tutulur. Erişim noktalarında client isolation açılırsa misafirler birbirini de görmez. Kutu kurumsal UTM'in yerini almaz; var olan güvenlik duvarınız yerinde kalır.

Saklama ve imha

Erişim kayıtları 730 gün saklanır. Süresi dolan gün otomatik silinir ve silme işlemi denetim izine yazılır. Bu, "imha politikanız uygulanıyor mu" sorusuna belgeyle değil kayıtla cevap vermenizi sağlar. Misafir başvurusu gelirse (silme ya da bilgi talebi) panelden yönetir ve kaydı anonimleştirebilirsiniz.

Anahtar ve kimlik bilgisi yönetimi

Burada dürüst bir ayrım yapmak gerekir:

• Misafir numarasını şifreleyen anahtar kutuda durur, platforma gitmez.
• SMS sağlayıcı API bilgileri platform tarafından kutuya verilir; misafir numarası tersine, platforma hiç gitmez.
• Zaman damgasının imzası dış servis tarafından üretilir; o anahtar sizde değildir, olması da gerekmez.

Sizde kalan: panel yönetici hesaplarının parolaları, SFTP/FTPS erişim bilgileri ve kutunun fiziksel konumu için küçük bir anahtar ve kimlik bilgisi envanteri. Üç satırlık bir tablo yeterlidir.

Sonuç

Teknik tedbir listesindeki her başlığın kutuda bir karşılığı var; ama hiçbiri "kur ve unut" değil. Rolleri atamak, alarmları okumak, dış kopyayı korumak ve kutuyu kilitli tutmak sizin tarafınızda kalır. Kurulum seçenekleri için kutu ve sanal cihaz sayfalarına bakabilirsiniz.

Bu yazı bilgilendirme amaçlıdır, hukuki danışmanlık değildir.