KVKK açısından log izleme ve veri yerelliği

Bu sayfa genel mühendislik bilgisidir, hukuki görüş değildir. Mevzuat, Kurul kararları ve yorumları değişebilir. Kendi durumunuz için veri sorumlusu temsilciniz, KVKK irtibat kişiniz veya hukuk danışmanınızla görüşün. Wrentrix hiçbir kurumu uyumlu hâle getirmez, bu sayfada herhangi bir sertifika iddiası yoktur.

Kişisel veri telemetride nereye saklanır?

Ekipler izleme verisinin makinelerle ilgili olduğunu varsayar. Sık çıkan yerler şunlar:

Bunların çoğu kazara oraya gelir, kimse toplamaya karar vermemiştir. Olağan veri envanteri çalışmasının bunları kaçırmasının nedeni de budur: uygulama sahibine uygulamanın ne sakladığını sorarsınız, izleme aracının ne yakaladığını değil.

Maliyetsiz bir ilk adım: bir günlük örnek çekip arama yapın. T.C. kimlik numarası biçimini (11 hane), telefon numaralarını, e-posta adreslerini, IBAN'ları ve kart benzeri sayıları arayın. Bulduklarınız sayfanın geri kalanını şekillendirir.

Mevzuat açısından sorular, genel hatlarıyla

6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verilerin işlenmesini ve yurt dışına aktarımını düzenler. Yurt dışına aktarım hükümleri zaman içinde değişti, güncel metne ve Kurul rehberlerine hukuk biriminizle birlikte bakın. Genel olarak söylersek, telemetriyi Türkiye dışındaki bir servise göndermek geçerli bir hukuki yol gerektiren bir aktarım sorusu doğurur.

Sektör düzenlemeleri ek katman getirebilir. Bankacılıkta BDDK'nın bilgi sistemlerine ilişkin düzenlemeleri, birincil ve ikincil sistemlerin nerede tutulduğu ve dış hizmet alımının nasıl yönetildiği gibi konulara değinir. Ayrıntı için bankacılıkta uygulama izleme sayfasına bakın. Kamu kurumları için ayrıca bilgi güvenliği çerçevesi devreye girer. AB'de faaliyeti olan kurumlar GDPR ve DORA'yı da gözetmelidir; PCI DSS ise kart verisinin loglar dahil nasıl saklanacağını sınırlar.

Bütün bunlardan izleme sistemi için çıkan sorular oldukça tutarlıdır:

1. Telemetrimiz hangi kişisel verileri içeriyor?
2. Bu veriye neden sahibiz, amaç belgelenmiş mi?
3. Nerede saklanıp işleniyor, alt işleyenler dahil?
4. Kim okuyabiliyor?
5. Ne kadar süre saklıyoruz, bu süre gerekçeli mi?
6. Gerekirse bir kişinin verisini bulup silebilir miyiz?

Bu liste aynı zamanda veri işleme envanterinize izleme sistemini eklerken kullanabileceğiniz bir kontrol listesidir.

Kurum içi izleme neyi değiştirir, neyi değiştirmez?

Arka ucu kendi ağınızda çalıştırmak bu soruların bir kısmını sadeleştirir, diğerlerini kaldırmaz.

Wrentrix'te ağınızdan 0 bayt telemetri çıkar, model kendi donanımınızda çalışır, yapay zekâ kapatılabilir. Yine de asıl mesele kalın yazılı satırlardır, "kurum içindeyiz" demek onları cevaplamaz. Uygun bölgede ve sağlam sözleşmeyle çalışan barındırılan bir servis birçok kurum için kabul edilebilir de olabilir; kararı kurum içi mi bulut mu yazısında ele alıyoruz. Kendi altyapınız bir grup aktarım ve üçüncü taraf sorusunu ortadan kaldırır. Bazı kurumlarda projenin başlayıp başlayamaması bu farka bağlıdır.

Veriyi saklamadan önce azaltın

En iyi korunan kişisel veri toplanmamış olandır. Bu adımlar hangi arka ucu seçerseniz seçin işe yarar.

Uygulamada düzeltin

Kimlikleri mümkün olduğunca URL'lere ve mesajlara koymayın. Span adlarında rota şablonu kullanın: /musteri/{id}/ekstre. Logda T.C. kimlik numarası yerine anlamsız bir iç referans yazın.

Hatta temizleyin

OpenTelemetry Collector çalıştırıyorsanız öznitelikleri dışa aktarmadan önce silebilir veya özetleyebilirsiniz. Aşağıda attributes işlemcisi örneği var, hattınızın processors listesine ekleyin:

processors:
  attributes/temizle:
    actions:
      - key: user.email
        action: delete
      - key: client.address
        action: delete
      - key: url.query
        action: delete
      - key: user.id
        action: hash

Özetlemenin ne sağladığını iyi anlayın. 11 haneli T.C. kimlik numarası gibi düşük entropili bir değerin özeti, tüm olasılıkları deneyerek geri çözülebilir. Bu olsa olsa takma adlandırmadır, anonimleştirme değildir ve veri genellikle kişisel veri olmaya devam eder. Değere ihtiyacınız yoksa silmek daha iyidir.

Veritabanı cümleleri ayrı dikkat ister. Birçok enstrümantasyon kütüphanesi değerleri yer tutucuyla değiştirmeye çalışır, ama davranış dile ve kütüphaneye göre değişir. Değer içeren gerçek bir sorguyla sizinkinin ne gönderdiğine bakın.

Tarayıcıdan geleni sınırlayın

Gerçek kullanıcı izlemede rotaların nasıl gruplandığını gözden geçirin, sorgu dizgelerini mümkünse çıkarın, form değerlerini hata metinlerinden uzak tutun. Oturum zaman çizelgelerini veri koruma ekibinize bildirin, çünkü toplu metriklerden daha hassastır. Aydınlatma metninde güncelleme gerekip gerekmediğine onlar karar verir.

Sınırın içinde erişim denetimi

Veri kendi ağınızdayken asıl risk iç erişime döner. Wrentrix OIDC SSO (PKCE), LDAP eşitleme, LDAP veya SSO gruplarından eşlenen ekip tabanlı RBAC ve kapsamlı görünümler ile her değişikliğin denetim kaydını sunar. Şu soruları konuşun:

• Bir geliştirici başka ekiplerin servislerinin üretim loglarını görmeli mi? Çoğu durumda hayır, kapsamlı görünümler bunu ifade edebilir.
• Yönetici yetkisi kimde? Grubu küçük tutun ve gözden geçirin.
• Bir denetçiye kimin erişimi olduğunu ve nasıl verildiğini gösterebilir misiniz? Dizin gruplarıyla eşleme burada yardımcı olur.

Saklama ve silme

Her şeyi sonsuza dek saklamak saklama sınırlaması fikrinin tersidir, üstelik pahalıdır. Her sinyal için saklama süresini gerekçesiyle tanımlayın. Kişisel içerikli loglar büyük ihtimalle en kısa süreyi hak eder, kişisel içeriği olmayan toplu metrikler daha uzun yaşayabilir.

Silme talepleri izleme verisinde zordur, log deposu bir kişiyi geçen her satırı bulmak için tasarlanmamıştır. Pratikte en güçlü konum, kısa saklama ve az kişisel veridir. Bu taleplerin operasyonel loglara nasıl uygulanacağını hukuk biriminiz söyleyebilir. Wrentrix'te saklama ayarlarını sürümünüz ve depolamanız için info@wrentrix.com üzerinden sorun.

Çevresindekileri de kontrol edin

Veri yerelliği APM arka ucundan ibaret değildir. Veri şu yollardan sessizce çıkar:

• Destek paketleri. Destek talebiyle üreticiye gönderilen loglar bir aktarımdır.
• Yedekler. Telemetri veritabanının kurum dışına veya buluta giden yedekleri aynı veriyi ve aynı soruları taşır.
• Alarm kanalları. Log parçası içeren bir alarm dış bir sohbet veya e-posta servisine gidiyorsa o parça çıkmış demektir. Alarm metnini kısa tutup platforma bağlantı verin.
• Webhook'lar. İçeriğin ne olduğuna ve nereye gittiğine bakın.
• Yapay zekâ araçlarına kopyalama. Bir mühendisin logları herkese açık bir yapay zekâ sohbetine yapıştırması tüm mimariyi boşa çıkarır. Yerel model onlara izinli bir seçenek sunar, gerisini açık bir politika halleder.

Log örüntü kümeleme de burada işe yarar: değişen alanları gösterdiği için orada olmaması gereken veriyi fark etmenin kolay bir yoludur.

Sık sorulan sorular

Telemetri verisi KVKK kapsamında kişisel veri midir?

Olabilir. URL'ler, IP adresleri, kullanıcı kimlikleri ve serbest metin loglar kimliği belirlenebilir bir kişiyle ilgili olabilir. Kendi verinizden örnek alıp bakın ve nasıl sınıflandırılacağını veri koruma sorumlunuza sorun. Bu genel bilgidir, hukuki görüş değildir.

Kurum içi APM beni KVKK'ya uyumlu yapar mı?

Hayır, hiçbir araç bunu tek başına yapmaz. Kendi altyapınız o veri için yurt dışı aktarım ve üçüncü taraf depolama sorularını ortadan kaldırır. Hukuki dayanak, veri minimizasyonu, saklama, erişim denetimi ve ilgili kişi hakları sizin sorumluluğunuzda kalır.

Trace'lerden kişisel veriyi nasıl çıkarırım?

Önce kaynakta, rota şablonları ve anlamsız kimliklerle çıkarın. Ardından OpenTelemetry Collector ile öznitelikleri dışa aktarmadan önce silin veya özetleyin. Düşük entropili değerleri özetlemek zayıf bir korumadır, değere ihtiyaç yoksa silmek genellikle daha doğrudur.

Wrentrix ağımın dışına veri gönderir mi?

Hayır. Ağınızdan 0 bayt telemetri çıkar, lisans çağrısı ve dış model yoktur. Giden trafiğin engellenip loglandığı bir ortamda çalıştırarak bunu doğrulayabilirsiniz. Alarm kanallarınız ve yedekleriniz ise sizin denetiminizde kalır, onları ayrıca gözden geçirin.

Log saklama süresi ne kadar olmalı?

Tek bir doğru cevap yok, süre verinin türüne ve tabi olduğunuz düzenlemelere göre değişir. Bazı kurallar belirli kayıtların asgari süreyle tutulmasını, kişisel veri ilkeleri ise gereğinden uzun tutulmamasını ister. Sinyal başına süreyi gerekçesiyle yazın ve hukuk biriminizle netleştirin.