Fabrika WiFi Loglama: Üretim Tesisi 5651 Uyumluluk Rehberi

Fabrika WiFi Loglama Zorunluluğu: Üretim Tesislerinde 5651 Sayılı Kanun Gereklilikleri

Üretim tesisleri, sanayi bölgeleri ve organize sanayi sitelerinde WiFi erişimi artık sadece ofis personeli için değil; tedarikçiler, taşeron çalışanları, denetim ekipleri, lojistik firmalar ve ziyaretçiler için de kritik bir ihtiyaç haline geldi. Ancak bu erişim kolaylığı, 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun kapsamında ciddi yükümlülükler doğuruyor. Fabrika yöneticileri ve IT sorumlularının karşılaştığı temel soru şu: "Misafir WiFi ağımızda kim, ne zaman, hangi cihazla internete erişti?" sorusunu yasal gerekliliklere uygun şekilde nasıl cevaplayabiliriz?

5651 sayılı kanunun 6. maddesi, internet erişimi sağlayan tüm tüzel kişilerin trafik bilgilerini kaydetme ve yetkili makamlara sunma yükümlülüğünü açıkça tanımlar. Bu yükümlülük, üretim tesislerinde çalışan personelin yanı sıra, geçici erişim verilen tedarikçi ve ziyaretçi ağları için de geçerlidir. Kayıt tutulmaması veya eksik kayıt durumunda, BTK tarafından 5.000 TL'den başlayan idari para cezaları ve adli süreçlerde sorumluluk riskleri söz konusudur. Üretim tesislerinde özellikle dikkat edilmesi gereken nokta, OT (Operational Technology) ve IT (Information Technology) ağlarının ayrımının yapılması ve her bir ağ segmentinde loglama altyapısının doğru kurgulanmasıdır.

Üretim Tesislerinde WiFi Kullanım Senaryoları ve Loglama Gereksinimleri

Fabrika ortamlarında WiFi erişimi genellikle üç farklı kullanıcı grubu için sağlanır ve her birinin farklı loglama gereksinimleri vardır:

Çalışan Personel Ağı

Üretim tesislerinde tam zamanlı çalışan personel, genellikle kurumsal Active Directory veya LDAP tabanlı kimlik doğrulama sistemleri üzerinden ağa bağlanır. Bu kullanıcılar için 802.1X/EAP-TLS veya PEAP-MSCHAPv2 gibi kurumsal kimlik doğrulama protokolleri tercih edilir. Loglama açısından, her kullanıcının AD kullanıcı adı, bağlantı zamanı, kullanılan cihazın MAC adresi, atanan IP adresi ve oturum süresi mutlaka kaydedilmelidir. FortiGate veya Sophos gibi kurumsal firewall'lar bu bilgileri syslog formatında merkezi bir sunucuya gönderebilir, ancak bu logların 5651 formatına uygun şekilde saklanması ve raporlanabilir hale getirilmesi için ek bir katman gerekir.

Tedarikçi ve Taşeron Erişimi

Bakım, onarım, kalibrasyon ve lojistik hizmetleri için fabrikaya gelen tedarikçi personeli genellikle geçici WiFi erişimine ihtiyaç duyar. Bu grup için en kritik nokta, erişim süresinin sınırlandırılması ve kimlik doğrulamanın mutlaka kayıt altına alınmasıdır. Çoğu üretim tesisi, tedarikçilere günlük veya saatlik geçerli kullanıcı adı/parola kombinasyonları verir; ancak bu yöntem, aynı kimlik bilgilerinin birden fazla kişi tarafından kullanılması durumunda loglama açısından sorun yaratır. Daha güvenli yaklaşım, her tedarikçi personeline SMS veya e-posta ile gönderilen tek kullanımlık erişim kodlarının verilmesi ve bu kodların kullanım bilgilerinin zaman damgasıyla kaydedilmesidir. NextLog gibi bulut tabanlı sistemler, bu senaryoda tedarikçi firma adı, yetkili kişi bilgisi, giriş-çıkış saatleri ve kullanılan cihaz bilgilerini otomatik olarak raporlayabilir.

Ziyaretçi ve Denetim Ekipleri

Müşteri ziyaretleri, denetim kurumu incelemeleri ve resmi makam kontrolleri sırasında sağlanan WiFi erişimi, en kısa süreli olsa bile 5651 kapsamında loglanmalıdır. Bu kullanıcılar için captive portal tabanlı kimlik doğrulama idealdir: ziyaretçi, WiFi ağına bağlandığında otomatik olarak bir kayıt sayfasına yönlendirilir, ad-soyad, telefon numarası ve e-posta gibi bilgileri girer, kullanım koşullarını onaylar ve ardından internete erişim kazanır. Bu süreçte toplanan tüm bilgiler, cihazın MAC adresi ve bağlantı zamanıyla birlikte KVKK'ya uygun şekilde şifrelenmiş veritabanında saklanır. Saklama süresi, BTK düzenlemeleri gereği en az bir yıl, KVKK açısından ise amacın gerektirdiği süredir; ancak pratikte iki yıllık saklama önerilir.

Çoklu Bina ve Kampüs Yapılarında Merkezi Loglama Mimarisi

Büyük ölçekli üretim tesisleri genellikle birden fazla bina, depo, idari ofis ve sosyal tesis alanından oluşur. Her binada ayrı WiFi erişim noktaları (Access Point) bulunur ve bu AP'ler genellikle bina bazında farklı anahtarlama (switch) ve yönlendirme (router) cihazlarına bağlıdır. Bu dağıtık yapıda merkezi loglama sağlamak için iki temel mimari yaklaşım kullanılır:

VLAN Bazlı Segmentasyon ve Merkezi Syslog

Her kullanıcı grubu (çalışan, tedarikçi, ziyaretçi) ayrı bir VLAN'a atanır. Örneğin, VLAN 10 çalışanlar için, VLAN 20 tedarikçiler için, VLAN 30 ziyaretçiler için kullanılabilir. Her VLAN trafiği, merkezi bir firewall veya Layer 3 switch üzerinden yönlendirilir ve bu noktada tüm trafik bilgileri loglanır. MikroTik RouterOS kullanan tesislerde, her VLAN için ayrı firewall kuralları tanımlanabilir ve "/log print" komutuyla elde edilen kayıtlar, uzak bir syslog sunucusuna (UDP 514 portu üzerinden) gönderilebilir. Ancak MikroTik'in native log formatı, 5651 gereksinimleri için yeterli detayı içermeyebilir; bu nedenle RADIUS sunucusu entegrasyonu veya üçüncü taraf loglama yazılımı kullanımı önerilir.

Bulut Tabanlı Merkezi Yönetim ve Raporlama

NextLog gibi bulut tabanlı loglama platformları, dağıtık yapıdaki tüm firewall, router ve hotspot cihazlarından gelen syslog akışlarını tek bir merkezde toplar, normalleştirir ve 5651 formatına uygun hale getirir. Bu yaklaşımın en büyük avantajı, her binada ayrı sunucu kurulumuna gerek kalmaması ve tüm lokasyonların tek bir web arayüzünden yönetilebilmesidir. Örneğin, FortiGate firewall kullanan bir üretim tesisinde, her FortiGate cihazı "config log syslogd setting" komutuyla NextLog bulut IP adresine yönlendirilir; sistem, gelen logları otomatik olarak parse eder, kullanıcı kimliği, IP adresi, zaman damgası ve oturum süresi bilgilerini ayıklar ve raporlama modülünde görselleştirir. Aynı tesiste Sophos XG Firewall kullanan başka bir bina varsa, Sophos da aynı bulut platformuna syslog gönderir ve tüm veriler birleşik bir veritabanında saklanır.

OT/IT Ağ Ayrımı ve Güvenli Loglama Stratejisi

Üretim tesislerinde en kritik güvenlik konularından biri, operasyonel teknoloji (OT) ağlarının bilgi teknolojileri (IT) ağlarından fiziksel veya mantıksal olarak ayrılmasıdır. OT ağı, PLC'ler (Programmable Logic Controller), SCADA sistemleri, endüstriyel robotlar, sensörler ve üretim hattı kontrol cihazlarını içerir. Bu cihazlar genellikle eski protokoller (Modbus, Profinet, EtherNet/IP) kullanır ve güvenlik yamalarının uygulanması üretimi durdurma riski taşır. IT ağı ise ofis bilgisayarları, ERP sistemleri, e-posta sunucuları ve internet erişimi gibi standart kurumsal hizmetleri kapsar.

5651 loglama açısından önemli nokta şudur: OT ağına doğrudan internet erişimi verilmemelidir ve bu ağdaki cihazlar için loglama yükümlülüğü genellikle söz konusu değildir. Ancak, bakım amaçlı uzaktan erişim (remote access) veya OT cihazlarının firmware güncellemeleri için geçici internet bağlantısı sağlanıyorsa, bu erişim mutlaka loglanmalı ve jump host veya VPN gibi kontrollü bir geçiş noktası üzerinden yapılmalıdır. Örneğin, bir tedarikçi teknisyeninin fabrikadaki robot kolunu uzaktan yapılandırması gerekiyorsa, teknisyen önce IT ağındaki misafir WiFi'ye bağlanır (bu bağlantı NextLog tarafından loglanır), ardından VPN ile OT ağına erişim sağlar (VPN bağlantısı da ayrıca loglanır) ve tüm bu işlemler merkezi bir SIEM veya log yönetim platformunda ilişkilendirilebilir hale getirilir.

Firewall ve VLAN Yapılandırma Örnekleri

FortiGate kullanan bir üretim tesisinde, IT ve OT ağları arasında "deny all" kuralıyla başlayan bir firewall politikası uygulanır ve sadece belirli IP adreslerinden (örneğin, IT yöneticisinin iş istasyonu) OT ağına erişim izni verilir. Bu erişimler için "log-traffic all" seçeneği aktif edilir ve her oturum başlangıcı, bitişi ve aktarılan veri miktarı kaydedilir. SonicWall firewall'larda benzer şekilde "Packet Monitoring" ve "Log Redundancy" özellikleri etkinleştirilerek, kritik logların hem lokal olarak hem de uzak syslog sunucusuna gönderilmesi sağlanır. MikroTik cihazlarda ise, "/interface vlan add name=vlan-OT vlan-id=100 interface=ether1" komutuyla OT VLAN'ı oluşturulur ve "/ip firewall filter add chain=forward in-interface=vlan-Guest out-interface=vlan-OT action=drop" kuralıyla misafir ağından OT ağına geçiş engellenir; bu kuralın tetiklenme sayısı da log olarak saklanır.

NextLog'un Fabrika Ortamlarına Özel Özellikleri

NextLog, sanayi tesisleri ve üretim kampüslerinin karmaşık ağ yapılarını yönetmek için tasarlanmış özelliklere sahiptir:

• Çoklu Cihaz ve Marka Desteği: FortiGate, Sophos, MikroTik, SonicWall, Cisco, Ubiquiti gibi farklı markaların firewall ve router cihazlarından gelen syslog mesajlarını tek bir platformda birleştirir. Aynı fabrikada farklı binalar farklı markalar kullanıyorsa, NextLog tüm logları normalize eder ve standart bir formatta saklar.
• VLAN Bazlı Raporlama: Her VLAN için ayrı kullanım istatistikleri, bant genişliği tüketimi ve kullanıcı sayısı raporları oluşturulabilir. Örneğin, "VLAN 20 (Tedarikçi) üzerinden son bir ayda 47 farklı kullanıcı toplam 230 saat internet erişimi gerçekleştirdi" şeklinde detaylı analizler yapılabilir.
• Zaman Damgası ve NTP Senkronizasyonu: Tüm loglar UTC veya yerel saat dilimiyle zaman damgalıdır ve NTP sunucularıyla senkronize edilir. Bu, adli süreçlerde "log saatinin doğru olup olmadığı" sorusuna net cevap verir.
• Otomatik Raporlama ve Uyarılar: Belirli bir kullanıcının anormal trafik üretmesi (örneğin, 10 GB üzerinde veri indirmesi) veya yasaklı bir siteye erişim denemesi durumunda, IT ekibine anlık e-posta veya SMS uyarısı gönderilebilir.
• KVKK Uyumlu Veri Saklama: Kişisel veriler (ad, soyad, telefon, e-posta) AES-256 şifreleme ile saklanır ve yetkisiz erişime karşı korunur. Veri sahibi, KVKK'nın 11. maddesi gereği bilgilerine erişim veya silme talebinde bulunursa, sistem bu talebi yönetmek için gerekli arayüzü sunar.
• API Entegrasyonu: Üretim tesislerinde kullanılan ERP, MES (Manufacturing Execution System) veya ziyaretçi yönetim sistemleri ile API üzerinden entegre olabilir. Örneğin, bir ziyaretçi resepsiyonda kayıt olduğunda, ziyaretçi yönetim sistemi NextLog API'sine istek gönderir ve ziyaretçiye otomatik olarak WiFi erişim kodu oluşturulur.

Adım Adım Fabrika WiFi Loglama Kurulum Rehberi

1. Ağ Topolojisini Haritalayın

Mevcut ağ altyapınızı dokümante edin: kaç bina var, her binada hangi firewall/router modeli kullanılıyor, kaç adet access point mevcut, VLAN yapısı nasıl? Bu bilgiler, loglama stratejisini belirlemek için kritiktir. Örnek bir üretim tesisi: Ana Üretim Binası (FortiGate 60F, 12 AP, VLAN 10-20-30), Depo (MikroTik hEX S, 4 AP, VLAN 20-30), İdari Ofis (Sophos XG 106, 8 AP, VLAN 10-30).

2. Kullanıcı Gruplarını ve Erişim Politikalarını Tanımlayın

Her kullanıcı grubu için erişim süresi, bant genişliği limiti ve izin verilen/yasaklı siteler belirleyin. Çalışanlar: 7/24 erişim, sınırsız bant genişliği, sosyal medya serbest. Tedarikçiler: mesai saatleri, 10 Mbps limit, sadece iş ile ilgili siteler. Ziyaretçiler: 4 saat süre limiti, 5 Mbps, genel web erişimi.

3. Merkezi Loglama Platformunu Seçin ve Yapılandırın

NextLog bulut platformunu tercih ediyorsanız, her firewall/router cihazında syslog hedefi olarak NextLog sunucu IP adresi ve port numarasını (genellikle UDP 514 veya özel bir port) girin. FortiGate için: "config log syslogd setting" → "set status enable" → "set server [NextLog-IP]" → "set port 514". MikroTik için: "/system logging action add name=nextlog target=remote remote=[NextLog-IP] remote-port=514" → "/system logging add topics=firewall action=nextlog". Sophos için: Log Settings → Remote Syslog → Add Server → NextLog IP ve port.

4. Captive Portal ve Kimlik Doğrulama Yöntemini Kurun

Tedarikçi ve ziyaretçi ağları için captive portal aktif edin. NextLog, captive portal sayfasını barındırabilir veya mevcut firewall'ınızın captive portal özelliğini kullanarak logları NextLog'a iletebilirsiniz. Örneğin, FortiGate'in "Authentication Portal" özelliği ile kullanıcıdan ad-soyad-telefon bilgisi alınır, bu bilgiler RADIUS sunucusuna gönderilir ve RADIUS sunucusu da NextLog'a accounting mesajları iletir (RADIUS Accounting-Request paketleri).

5. Test ve Doğrulama

Her kullanıcı grubundan test erişimleri yapın ve logların doğru kaydedildiğini kontrol edin. NextLog arayüzünde "Canlı Log Görüntüleme" (Live Log) bölümünden, az önce bağlanan test kullanıcısının kaydını görmelisiniz: kullanıcı adı, MAC adresi, IP adresi, bağlantı zamanı, VLAN ID. Eğer log görünmüyorsa, firewall'da syslog ayarlarını, firewall kurallarında "log" seçeneğinin aktif olup olmadığını ve ağ bağlantısını (firewall'dan NextLog sunucusuna ping atabilir misiniz?) kontrol edin.

6. Periyodik Raporlama ve Denetim Süreçlerini Oluşturun

Aylık olarak kullanıcı sayısı, toplam trafik, en çok erişilen siteler ve anormal davranışlar raporunu oluşturun. NextLog'da "Scheduled Reports" özelliğiyle bu raporların otomatik olarak e-posta ile gönderilmesini sağlayabilirsiniz. Ayrıca, yılda en az bir kez iç denetim yaparak loglama sisteminin çalışır durumda olduğunu ve yasal gereksinimleri karşıladığını doğrulayın.

Yasal Sorumluluklar ve Ceza Riskleri

5651 sayılı kanunun 6. maddesine göre, internet erişimi sağlayan her tüzel kişi (şirket, fabrika, dernek vb.) trafik bilgilerini bir yıl süreyle saklamakla yükümlüdür. Bu bilgiler: erişim sağlayan kişinin kimlik bilgileri (ad-soyad veya kullanıcı adı), erişim tarihi ve saati, bağlantı süresi, kullanılan IP adresi, bağlantı türü (WiFi, kablolu) ve abonelik/kullanıcı numarası. Kayıt tutulmaması durumunda BTK, 5651 sayılı kanunun 9. maddesi uyarınca idari para cezası uygular; bu ceza miktarı, BTK'nın güncel düzenlemelerine göre değişir ancak genellikle 5.000 TL ile 50.000 TL arasındadır. Ayrıca, bir suç soruşturması kapsamında mahkeme veya savcılık tarafından log kayıtları talep edildiğinde, bu kayıtların sunulamaması durumunda ş