KVKK ve DNS Logları: DNS Verisi Kurum Dışına Çıkabilir mi?

DNS logları ilk bakışta teknik kayıt gibi görünür; oysa içeriği şudur: hangi kullanıcının, hangi cihazdan, ne zaman, hangi adrese gitmek istediği. Bu bilgi bir kullanıcının ilgi alanlarını, çalışma düzenini, kullandığı bankayı ve sağlık sitelerini ortaya koyabilir. Bu nedenle DNS logları, kimliği belirlenebilir bir kişiyle eşleştiğinde 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında kişisel veri niteliği taşır ve nerede işlendiği hukuki bir soru hâline gelir.

Bu makale bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez; kurumunuza özgü değerlendirme için KVKK uyum danışmanınıza başvurun.

DNS loglarında hangi kişisel veriler bulunur?

• Kaynak IP ve cihaz bilgisi: Kurum içinde çoğunlukla belirli bir çalışana atanmıştır.
• Kullanıcı kimliği: Active Directory eşleşmesi kullanılan sistemlerde sorgular doğrudan kullanıcı adıyla kaydedilir.
• Ziyaret edilmek istenen alan adları: Sağlık, sendika, inanç veya siyasi içerikli sitelere yapılan sorgular, dolaylı olarak özel nitelikli kişisel veriye işaret edebilir.
• Zaman damgaları: Çalışma saatleri ve davranış kalıplarını ortaya koyar.

KVKK'nın 3. maddesindeki tanım gereği, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi kişisel veridir; kurum ağındaki DNS logları bu tanımın dışında düşünülemez.

Bulut tabanlı DNS güvenliğinde veri nereye gider?

Bulut tabanlı DNS güvenlik servislerinde kurumun DNS sorguları, analiz için üreticinin bulut altyapısına yönlendirilir. Pratik sonuçları:

• Sorgu logları üreticinin veri merkezlerinde, çoğunlukla yurt dışında işlenir ve saklanır.
• Saklama süresi, erişim yetkileri ve ikincil kullanım üreticinin politikalarına tabidir.
• Üreticinin tabi olduğu yabancı mevzuat, verilere üçüncü tarafların erişimi sonucunu doğurabilir.

KVKK'nın 9. maddesi uyarınca kişisel verilerin yurt dışına aktarılması kural olarak ilgili kişinin açık rızasına veya Kanunda sayılan şartlara (yeterlilik kararı, uygun güvenceler gibi) bağlıdır. DNS loglarının bulut servise akması da teknik olarak bir yurt dışı aktarımıdır ve kurumun veri envanterinde bu şekilde değerlendirilmesi gerekir. Ayrıca veri işleme faaliyetinin VERBİS kaydıyla ve aydınlatma metinleriyle tutarlı olması beklenir.

Kamu kurumları ve kritik altyapı için ek gereklilikler

Kamu kurumlarında tablo daha nettir: kamu bilgi güvenliği düzenlemeleri ve ilgili genelgeler, kritik veri ve log altyapısının kurum kontrolünde tutulmasını esas alır. Savunma, enerji, finans gibi kritik altyapı sektörlerinde de sektörel düzenlemeler log verisinin konumu ve erişimi konusunda ek şartlar getirir. Bu çerçevede DNS loglarının yurt dışındaki bir bulut servisinde işlenmesi, birçok kurum için baştan elenen bir seçenektir.

5651 sayılı Kanun kapsamındaki erişim kayıtlarının saklanması yükümlülüğü de logların bütünlüğü ve erişilebilirliği üzerinde kurum kontrolü gerektirir; saklama süresi ve formatı üreticinin planına bağlı bir dış serviste bu kontrol sınırlıdır.

Kurum içi modelde tablo nasıl değişir?

Kurum içi (on-premise) DNS güvenliğinde analiz, loglama ve yapay zekâ kurumun kendi sunucularında çalışır:

• Aktarım sorusu ortadan kalkar: Veri kurum dışına çıkmadığı için KVKK md. 9 kapsamında yurt dışı aktarım değerlendirmesi gerekmez; sorumluluk zinciri kurum içinde kalır.
• Saklama politikası kurumundur: Logların ne kadar süreyle, hangi formatta tutulacağına ve kimin erişeceğine kurum karar verir; süresiz saklama dahil.
• Denetim kolaylaşır: Denetimlerde log altyapısının tamamı kurum sınırları içinde gösterilebilir.
• Kapalı ağ uyumluluğu: İnternete kapalı ağlarda bile aynı koruma ve loglama sürer.

Kurum içi ve bulut modellerinin güvenlik mimarisi açısından karşılaştırmasını Obsolix güvenlik ve uyumluluk sayfasında, ürün bazında tabloyu ise karşılaştırma sayfasında bulabilirsiniz.

Kurumunuz için kontrol soruları

1. DNS loglarınız şu anda nerede işleniyor ve saklanıyor — kurum içinde mi, bir bulut serviste mi?
2. Bulut serviste ise bu akış veri envanterinizde ve aydınlatma metinlerinizde yurt dışı aktarım olarak tanımlı mı?
3. Üreticiyle imzalanan sözleşmede saklama süresi, silme ve erişim yetkileri KVKK'ya uygun şekilde düzenlenmiş mi?
4. Denetimde DNS log zincirini uçtan uca gösterebilir misiniz?
5. Mevzuat değişikliğinde (örneğin aktarım şartlarının sıkılaşmasında) mimariniz uyarlanabilir mi?

Sık sorulan sorular

DNS logları anonimleştirilirse sorun kalkar mı?

Gerçek anonimleştirme — verinin hiçbir yöntemle kişiyle eşleştirilememesi — DNS loglarında zordur; IP, zaman ve davranış kalıpları çoğu zaman yeniden eşleştirmeye izin verir. Takma adlaştırılmış (pseudonymized) veri ise KVKK kapsamında kalmaya devam eder.

Tehdit istihbaratı almak için veri göndermek gerekmez mi?

Hayır. Tehdit istihbaratı tek yönlü indirilebilir: güncel zararlı alan adı listeleri kuruma gelir, kurumun sorgu verisi dışarı gitmez. Kurum içi modelin temel tasarım ilkesi budur.

Kurum içi model güncel tehditlere karşı geride kalmaz mı?

Kalmaz; istihbarat güncellemeleri ve model güncellemeleri paket olarak içeri alınır, analiz yerinde yapılır. İnternete kapalı ortamlarda bile güncelleme çevrimdışı paketlerle sürdürülür.