Zaman damgası, bir elektronik verinin belirli bir anda var olduğunu ve o andan sonra değiştirilmediğini, yetkili bir elektronik sertifika hizmet sağlayıcısı aracılığıyla bağımsız olarak kanıtlayan bir kayıttır. 5651 sayılı Kanun ve ilgili Yönetmelik, bu terimi genel toplu kullanım sağlayıcılar için zorunlu tutmaz; ticari amaçla olanlar için ise kayıtların doğruluğunu, bütünlüğünü ve gizliliğini teyit eden bir değerin günlük kaydedilmesini ister. Zaman damgası, bu değeri güçlendiren, delil değerini artıran bağımsız bir araçtır.
Kısa cevap
Mevzuat hiçbir toplu kullanım sağlayıcı için "zaman damgası almak zorunludur" demez. Ticari amaçla olanlar için istenen şey, kayıtların bütünlüğünü teyit eden bir değerin günlük kaydedilmesidir; zaman damgası bunu yapmanın güvenilir, bağımsız bir yoludur ama mevzuatta adı geçen tek araç değildir. Ticari amaçla olmayan bir otel, kafe ya da ofis için bu madde doğrudan uygulanmaz; ancak aynı teknik yaklaşımı gönüllü olarak kullanmak, bir talep geldiğinde kaydın güvenilirliğini göstermeyi kolaylaştırır.
Resmî tanım (5070 md. 3/h)
5070 sayılı Elektronik İmza Kanunu, zaman damgasını şöyle tanımlar:
"Zaman damgası: Bir elektronik verinin, üretildiği, değiştirildiği, gönderildiği, alındığı ve / veya kaydedildiği zamanın tespit edilmesi amacıyla, elektronik sertifika hizmet sağlayıcısı tarafından elektronik imzayla doğrulanan kaydı,"
5070 sayılı Elektronik İmza Kanunu, madde 3/h — mevzuat.gov.tr
Tanımdaki kilit nokta "elektronik sertifika hizmet sağlayıcısı tarafından" ifadesidir: zaman damgası, sizin kendi sunucunuzun saatinden değil, bağımsız ve yetkili bir üçüncü taraftan (örneğin Kamu SM) gelir. Bu bağımsızlık, zaman damgasının delil değerinin kaynağıdır — kendi sisteminizde tuttuğunuz bir tarih alanını siz de değiştirebilirsiniz, ama bağımsız bir kurumdan alınan damgayı geriye dönük olarak değiştiremezsiniz. Sunucunuzun sistem saati yanlış ayarlanmış olsa bile, zaman damgası sağlayıcısının kendi saati ve imzası bağımsız bir referans noktası sunar; bu da iki tarafın anlaşmazlığında tarafsız bir hakem görevi görür.
5651 ile ilişkisi: bütünlük değeri
Yönetmelik, ticari amaçla internet toplu kullanım sağlayıcılar için şunu ister:
"(d) bendi gereğince kaydedilen bilgileri ve bu bilgilerin doğruluğunu, bütünlüğünü ve gizliliğini teyit eden değeri kendi sistemlerine günlük olarak kaydetmek ve bu verileri iki yıl süre ile saklamak,"
İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik, madde 5/1-e — mevzuat.gov.tr
Madde "zaman damgası" kelimesini kullanmaz; "doğruluğunu, bütünlüğünü ve gizliliğini teyit eden değer" der. Bu değer teknik olarak bir hash (özet) değeri, bu değerin bir dijital imzayla korunması ve isteğe bağlı olarak bağımsız bir zaman damgasıyla desteklenmesiyle oluşturulabilir. Bu madde yalnızca ticari amaçla kategorisini (internet salonu ve benzerini) bağlar; ancak teknik olarak aynı bütünlük yaklaşımını otel, kafe ya da ofis gibi ticari amaçla olmayan bir işletme de gönüllü olarak uygulayabilir ve bu, kendi kayıtlarının delil değerini güçlendirir.
Zaman damgası delil değerini nasıl güçlendirir
Düz bir metin log dosyası, diske erişimi olan biri tarafından satır eklenerek, silinerek ya da değiştirilerek kolayca bozulabilir ve bu değişikliğin yapıldığını sonradan kanıtlamak zordur. Üç unsur bir arada bu riski azaltır:
- Bütünlük (hash zinciri)Her kaydın özeti bir öncekinin özetini de taşır; aradan tek bir satır silinse ya da değiştirilse zincir kırılır ve bu anında tespit edilir.
- Kimlik doğrulama (dijital imza)Kayıt, kurulumunuza özel bir anahtarla imzalanır; imza olmadan üretilmiş sahte bir dosya doğrulamadan geçemez.
- Zaman kanıtı (zaman damgası)Bağımsız bir zaman damgası hizmeti, kaydın hangi anda var olduğunu kurumunuzdan bağımsız olarak onaylar; imzanın sonradan atılmadığını gösterir.
Doğru çerçeve şudur: yetkili bir elektronik sertifika hizmet sağlayıcısından alınan zaman damgası, kaydın delil değerini güçlendirir; "zaman damgası olmadan loglar geçersizdir" ya da "herkes için yasal zorunluluktur" ifadeleri mevzuatla uyumlu değildir. Bu üç unsurdan biri eksik olduğunda bütünlük iddiası zayıflar: imza olmadan hash zinciri tek başına "bu benim ürettiğim zincir" diyemez; zaman damgası olmadan imza "bu imza ne zaman atıldı" sorusunu bağımsız biçimde cevaplayamaz.
izgate'in bütünlük akışı
izgate'te arşiv kayıtları saatlik olarak SHA-256 hash zinciri ve Ed25519 dijital imzayla korunur. Buna ek olarak günde bir kez, Kamu SM'den nitelikli bir zaman damgası alınır ve her gece otomatik bir bütünlük doğrulaması çalıştırılır; zincirde bir bozulma tespit edilirse kritik alarm üretilir.
Bu akışta her segment kendinden öncekine zincirlenir; bir segmenti geçmişe dönük değiştirmek, zincirin tamamını yeniden imzalamayı gerektirir — bu da bağımsız zaman damgalarıyla pratikte imkânsız hâle gelir. Canlı arama için kullanılan veritabanı ile bu imzalı arşiv aynı anda ama ayrı disklerde tutulur; arama hızınız bütünlük garantisinden ödün vermez.
Doğrulama ve dışa aktarma
Panel üzerinden herhangi bir segmentin ya da tüm zincirin bütünlüğü tek tıkla doğrulanabilir: hash zinciri, imza ve zaman damgası birlikte kontrol edilir, sonuç "zincir sağlam" ya da hatanın nerede olduğu şeklinde raporlanır. Bir talep geldiğinde ilgili dönem; README, katalog, segment dosyaları, manifest ve zaman damgası belirtecini içeren imzalı bir paket olarak dışa aktarılabilir. Bu paket, karşı tarafın da kendi araçlarıyla bağımsız olarak doğrulayabileceği şekilde hazırlanır; yalnızca "biz doğruladık" demekle kalmaz, doğrulamanın kendisini de taşır.
Sık görülen yanlış ifadeler
- "Zaman damgası olmadan loglar geçersizdir." Mevzuat böyle bir hüküm içermez; zaman damgası delil değerini güçlendiren bir araçtır, geçerlilik koşulu değildir.
- "Zaman damgası tüm toplu kullanım sağlayıcılar için yasal zorunluluktur." Mevzuat bu terimi genel toplu kullanım sağlayıcılar için kullanmaz; ticari amaçla olanlar için istenen "bütünlük değeri"dir.
- "Herhangi bir tarih alanı zaman damgası sayılır." Sayılmaz; 5070 sayılı Kanun'a göre zaman damgası, bağımsız bir elektronik sertifika hizmet sağlayıcısı tarafından verilir.
Sıkça sorulan sorular
Zaman damgası almak zorunlu mu?
Hayır, mevzuat bu terimi genel toplu kullanım sağlayıcılar için zorunlu tutmaz. Ticari amaçla olanlar için kayıtların bütünlüğünü teyit eden bir değerin günlük kaydedilmesi istenir; zaman damgası bu değeri güçlendiren bir araçtır.
izgate zaman damgasını nereden alıyor?
izgate günde bir kez Kamu SM'den nitelikli bir zaman damgası alır; buna ek olarak kayıtlar saatlik olarak SHA-256 hash zinciri ve Ed25519 imzayla korunur.
Zaman damgası olmadan tuttuğum kayıtlar geçersiz mi?
Hayır. Kayıtlarınız geçerlidir; zaman damgası bunların delil değerini güçlendiren ek bir kanıttır, varlığı ya da yokluğu kaydın hukuki varlığını ortadan kaldırmaz.
Bütünlük bozulursa ne olur?
izgate her gece otomatik bir bütünlük doğrulaması çalıştırır; zincirde bir bozulma tespit edilirse kritik alarm üretilir ve hangi segmentte sorun olduğu panelde gösterilir.
Bu sayfa bilgilendirme amaçlıdır; mevzuatın güncel hâli için resmî metne (mevzuat.gov.tr) bakınız.
