Denetim kaydı (audit log): intranette kim, neyi, ne zaman değiştirdi?

Bir sabah bir çalışanın rolü "yönetici" olmuş, bir politika dokümanı değişmiş ya da bir departman silinmiş. Soru hep aynıdır: kim yaptı? Denetim kaydı olmayan sistemde cevap tahmindir; olan sistemde bir satırdır: kim, ne zaman, hangi kayıtta, eski değer ne, yeni değer ne.

Denetim kaydı iki iş yapar: olay incelemesinde ne olduğunu gösterir ve — daha önemlisi — herkesin izlendiğini bildiği bir ortamda yanlış işlem daha az yapılır. Caydırıcılık, kayıtların çoğunun hiç okunmayacak olmasını dert etmez.

Denetim kaydı neyi kaydeder?

Her şeyi değil. Sayfa görüntülemeyi kaydeden bir sistem gözetleme aracıdır ve kaydı okunmaz hâle getirir. Denetim kaydı yönetim işlemlerini ve veriyi değiştiren eylemleri tutar:

• Yetki: rol değişikliği, süper yönetici atama, kullanıcı pasifleştirme, davet
• Yapı: departman ekleme/silme, modül açma/kapama, marka ve ayar değişiklikleri
• İçerik: politika/doküman yayımlama, sürüm değiştirme, arşivleme, silme
• Hassas işlemler: toplu silme, veri dışa aktarma, entegrasyon ayarlarının değişmesi, KVKK başvurusuna cevap
• Oturum: giriş başarısızlıkları, şifre sıfırlama, iki adımlı doğrulama değişiklikleri

Kural: bir işlem geri alınamıyorsa ya da başka birini etkiliyorsa kayda girer.

Bir kayıt satırında ne olmalı?

Beş alan, hepsi zorunlu:

1. Kim — kullanıcı kimliği, ad değil (ad değişir, kimlik değişmez)
2. Ne zaman — sunucu saati, zaman dilimiyle
3. Ne — eylem tipi (role_changed, document_published)
4. Hangi kayıt — hedef nesnenin kimliği
5. Önce / sonra — değişen alanların eski ve yeni değeri

"Kullanıcı X, profil Y'yi güncelledi" yetersizdir; "rolü employee → admin yaptı" gereklidir. Önce/sonra olmadan kayıt, olayın olduğunu söyler, ne olduğunu değil.

Değiştirilemezlik

Denetim kaydının değeri değiştirilemez olmasındadır. Yönetici de dahil hiç kimse kaydı silememeli ya da düzenleyememelidir; aksi hâlde "kaydı da sildi" ihtimali her incelemeyi zehirler.

Bu, uygulamada iki şey demektir: kayıt tablosuna yalnızca ekleme yapılabilir (güncelleme ve silme yetkisi kimsede yoktur) ve kayıt, uygulama kodu tarafından değil veritabanı tetikleyicisi tarafından yazılır. Kod bir işlemi kaydetmeyi unutabilir; tetikleyici unutmaz. Wepilot'ta yetki ve içerik değişiklikleri bu şekilde, veritabanı seviyesinde kaydedilir — güvenlik sayfasında "arayüzde gizlemekle değil, veritabanında zorlamakla" ilkesinin bir parçası olarak anlatılıyor.

Kim okuyabilir?

Denetim kaydı yalnızca şirket yöneticisine (admin/owner) görünür; editör ve çalışan göremez. İki istisna:

• Çalışan kendi hesabına dair kayıtları görebilmelidir: "rolüm ne zaman değişti, kim değiştirdi". Bu şeffaflık, gözetleme hissini azaltır.
• Süper yönetici (platform) kiracı yöneticisinin yaptıklarını da görür — kiracı yöneticisi kendi kaydını inceleyemez.

Denetim kaydı okuma işleminin kendisi de kaydedilir: kim ne zaman kaydı inceledi.

Ne kadar saklanır?

Saklama süresi mevzuata ve sözleşmeye bağlıdır; makul bir taban: yetki ve güvenlik kayıtları 2 yıl, içerik kayıtları 1 yıl, giriş logları 6 ay. 5651 sayılı Kanun kapsamına giren erişim kayıtları için 2 yıl zorunludur. ISO 27001 denetiminde "kayıt var mı" kadar "saklama süresi yazılı mı" sorusu da gelir; süreyi KVKK aydınlatma metninde ve bilgi güvenliği politikasında yazın.

Denetim kaydı ile KVKK

KVKK'nın "veri güvenliğine ilişkin yükümlülükler" maddesi (m. 12) uygun teknik tedbir ister; Kurul'un teknik tedbirler listesinde "erişim logları" ve "yetki matrisi" açıkça geçer. Bir veri ihlali bildirimi hazırlarken ilk sorulan şey, hangi verilere kimin eriştiğidir — denetim kaydı bu sorunun tek cevap kaynağıdır.

Aynı zamanda denetim kaydının kendisi kişisel veri içerir (kim ne yaptı). Bu yüzden aydınlatma metninde anılmalı ve saklama süresi belirlenmelidir; çalışan verisi ve yetki modeli yazısında bu dengeyi anlattık.

Ne zaman bakılır?

Denetim kaydı bir pano değildir; olay olduğunda bakılır. Ama üç düzenli kontrol yararlıdır:

• Aylık yetki gözden geçirmesi: son 30 günde kim yönetici oldu, kim pasifleşti, beklenen dışı bir şey var mı.
• Ayrılan çalışan kontrolü: çıkış sürecinde son hafta yaptığı işlemler (toplu dışa aktarma, silme) incelenir.
• Entegrasyon değişiklikleri: dizin senkronu, webhook ya da SSO ayarı değiştiğinde kim yaptı, planlı mıydı.

Bu kontrollerin bir sahibi olmalı; sahibi olmayan kontrol yapılmaz.

Sık sorulan sorular

Denetim kaydı performansı etkiler mi? Yönetim işlemleri nadirdir; kayıt maliyeti ihmal edilebilir. Sayfa görüntüleme kaydedilmediği için hacim küçük kalır.

Dışa aktarılabilir mi? Evet; denetçi CSV ister. Dışa aktarma işleminin kendisi de kaydedilir.

Otomatik işlemler (senkron, planlı yayın) kaydedilir mi? Evet, "sistem" aktörüyle. Bir kaydın bir insana değil bir işe ait olduğu belli olmalıdır; dizin senkronu yüzlerce profili değiştirebilir ve her biri kayda girer.

Silme kaydedilir mi, silinen kaydın içeriği de mi? Silme olayı ve silinen kaydın son hâli kaydedilir; aksi hâlde "ne silindi" sorusu cevapsız kalır.