Sağlık Bakanlığı'nın bir sabah akıl almaz bir genelge yayınladığını hayal edin: "Bugünden itibaren cerrahi tıp merkezi ve acil klinik açmak isteyen herkes, e-Devlet üzerinden bir dilekçe verip vergi numarasını sisteme girerek anında 'Bakanlık Onaylı Resmi Cerrahi Operatör' belgesi alabilir. Fiziksel denetim yapılmayacaktır; ameliyathaneniz var mı, hekimleriniz diplomalı mı, odalarınız steril mi diye bakılmayacaktır. Yalnızca kestiğiniz faturanın ve girdiğiniz dilekçenin kaydı tutulacaktır." Bir hafta sonra ne olur? Mahalledeki oto tamircileri, kasaplar ve lise öğrencileri e-Devlet'ten bu belgeyi indirir. Web sitelerine ve dükkan vitrinlerine altın yaldızlı büyük bir amblem asarlar: "T.C. SAĞLIK BAKANLIĞI RESMİ ONAYLI CERRAHİ KLİNİĞİ - LİSANS NO: 4812". Müşteri devlete güvenir, "Devlet izin vermişse güvenlidir" diyerek içeri girer ve paslı aletlerin altında hayatını kaybeder. Sorumsuz bürokrasi, hiçbir teknik denetim yapmadığı halde dağıttığı o resmi logo ile katliama yasal bir kalkan sağlamıştır.

Türkiye bilişim ekosisteminde BTK (Bilgi Teknolojileri ve İletişim Kurumu) Bildirimli Yer Sağlayıcı Belgesi ve denetim mekanizması, maalesef bilişim dünyasında tam olarak bu sahte cerrahlık ruhsatının dijital karşılığıdır.

5651 Sayılı Kanun ve Yer Sağlayıcılığın Gerçek Amacı

Türkiye'de hosting, VDS veya alan adı hizmeti veren şirketlerin web sitelerinin en altında gururla sergilediği o meşhur ibareyi görürsünüz:
"BTK Faaliyet Belgeli Yer Sağlayıcı - Belge No: YS-(1425)"

Vatandaş veya kurumsal bir şirket bu ibareyi gördüğünde haklı olarak şöyle zanneder:
"Harika! Bu firma devletin siber güvenlik denetimlerinden geçmiş, yangın sistemleri incelenmiş, sunucularının kalitesi ve veri güvenliği onaylanmış resmi bir kuruluştur."

Oysa gerçek tam bir bürokratik illüzyondur.

5651 sayılı "İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun" kapsamında "Yer Sağlayıcı" olmanın şartları şunlardır:

  1. Bir şahıs veya şirket vergi levhasına sahip olmak.
  2. BTK'nın web portalına girip basit bir bildirim formu doldurmak.
  3. Alan adınızı ve iletişim bilgilerinizi sisteme kaydetmek.

HEPSİ BU KADARDIR.

Denetlenmeyenler Listesi: Bürokrasinin Kör Noktası

BTK, bir şirkete "Bildirimli Yer Sağlayıcı" statüsü verirken şu hayati soruların TEK BİR TANESİNİ BİLE SORMAMAKTADIR:

+------------------------------------------------------------------------+
|           BTK'NIN ASLA DENETLEMEDİĞİ KRİTİK ALTYAPI GERÇEKLERİ         |
|                                                                        |
|  ❌ Bu şirketin fiziksel bir sunucusu veya veri merkezi var mı?        |
|     (Yok! Yurtdışından 20 Euro'ya kiralanmış bir VPS ile bile olunur!) |
|                                                                        |
|  ❌ Bu şirkette diplomalı tek bir sistem/ağ mühendisi çalışıyor mu?    |
|     (Hayır! Şirket sahibi 18 yaşında bir lise öğrencisi olabilir!)     |
|                                                                        |
|  ❌ Müşteri veritabanları yedekleniyor mu, şifreleniyor mu?            |
|     (Devletin umurunda değil!)                                         |
|                                                                        |
|  ❌ Yangın söndürme, jeneratör, kesintisiz güç kaynağı (UPS) var mı?   |
|     (Hiçbir fiziksel teftiş yapılmaz!)                                 |
|                                                                        |
|  ❌ Kişisel Verileri Koruma Kanunu (KVKK) uyumluluğu var mı?           |
|     (Sıfır denetim!)                                                   |
+------------------------------------------------------------------------+

Devletin bu yasayla ilgilendiği tek bir konu vardır: Adli Bilişim Trafik Logları (Erişim Logları).
Yasa der ki: "Bana ne senin sunucunun kalitesinden. Bir gün bir web sitesinde hakaret, terör veya yasadışı bahis suçu işlenirse ve savcılık bana sorarsa; sen bana o IP'yi kullanan kişinin T.C. kimlik numarasını ve erişim logunu verebilecek misin? Verebileceksen al sana belge!"

Sahte Güven Tuzağı: Merdiven Altının En Büyük Silahı

İşte bu bürokratik boşluk, Türkiye'deki merdiven altı, odasında laptopla hosting satan korsan girişimcilerin en büyük pazarlama kalkanına dönüşmüştür.

Hiçbir sermayesi, hiçbir teknik bilgisi olmayan bir şahıs:

  • Babasının adına bir şahıs şirketi açar.
  • BTK portalına başvurur ve 3 gün içinde "Yer Sağlayıcı Bildirim Listesi"ne girer.
  • Web sitesinin en tepesine Türk bayrağı, BTK logosu ve resmi belge numarasını koyar.
  • Foruma ilan açar: "BTK ONAYLI DEVLET GÜVENCELİ KURUMSAL HOSTİNG!"

Müşteri o logoyu görür, devlete inanır ve tüm e-ticaret altyapısını, müşteri verilerini bu şahsın insafına teslim eder.
3 ay sonra sunucu yandığında veya şahıs tüm verileri silip kaçtığında müşteri BTK'ya şikayet eder: "Sizin onay verdiğiniz yer sağlayıcı verilerimi çaldı ve kaçtı!"

BTK'nın vereceği resmi yanıt ise dondurucudur:
"Kurumumuz yer sağlayıcıların ticari faaliyetlerini, hizmet kalitesini veya veri güvenliğini denetlememektedir. İhtilafınızı tüketici mahkemelerinde çözünüz."

Log Tutma Sahtekarlığı: Geriye Dönük Sahte Zaman Damgaları

5651 sayılı kanunun yer sağlayıcılara getirdiği tek teknik zorunluluk, iç IP dağıtım loglarını ve erişim kayıtlarını HASH (Zaman Damgası - Sha256) ile imzalayarak en az 1 yıl saklamaktır.

Ancak merdiven altı firmaların ezici çoğunluğu bu logları bile tutmaz:

  • Sunucuda auditd veya merkezi syslog yoktur.
  • Savcılıktan veya emniyet siber suçlar şubesinden resmi müzekkere geldiğinde panik başlar: "Falan tarihte falan IP'den suç işlenmiş, abonenin kimliğini verin!"
  • Kayıt olmadığı için ya sahte bir Excel tablosu uydurulur ya da "O gün sistemlerimizde arıza vardı, log tutulamadı" denilerek savcılığa yalan beyan verilir.

Bu disiplinsizlik, masum kullanıcıların IP çakışmaları (CGNAT) yüzünden haksız yere adli soruşturmalara maruz kalmasına yol açar.

Gerçek Güvenlik Standartları Nerede Başlar?

Bir firmanın güvenilir bir altyapı sağlayıcısı olduğunu anlamak için BTK listesinde adına bakmak yetersizdir. Gerçek kurumsal denetim şu bağımsız ve uluslararası sertifikasyonlarla kanıtlanır:

[GERÇEK KURUMSAL GÜVENCE MATRİSİ]

1. ISO/IEC 27001 (Bilgi Güvenliği Yönetim Sistemi)
   - Bağımsız akredite denetçiler tarafından fiziksel ve dijital güvenlik
     açıklarının yılda en az bir kez yerinde denetlenmesi.

2. ISO 22301 (İş Sürekliliği Yönetim Sistemi)
   - Deprem, yangın, elektrik kesintisi gibi felaket anlarında sistemin
     kaç dakika içinde yedek lokasyondan ayağa kalkacağının tatbikatı.

3. PCI-DSS Seviye 1 Sertifikasyonu
   - Kartlı ödeme sistemleri altyapı güvenliği.

4. Bağımsız SOC 2 / SOC 3 Tip II Raporları
   - Sistemlerin gizlilik, bütünlük ve erişilebilirlik metriklerinin
     tarafsız üçüncü taraf denetçiler tarafından denetlenip raporlanması.

Eğer bir sağlayıcı bu bağımsız denetim raporlarını (Audit Reports) şeffafça sunabiliyorsa orası güvenlidir. Sadece BTK logosunun arkasına saklanıyorsa, orası denetimsiz bir serbest bölgedir.

Sonuç

Tabelasında Sağlık Bakanlığı logosu olan her merdiven altı klinikte ameliyat masasına yatamazsınız; web sitesinde BTK Yer Sağlayıcı belgesi yazan her firmaya da şirketinizin dijital geleceğini emanet edemezsiniz.

BTK belgesi bir kalite veya siber güvenlik onay belgesi değil; yalnızca adli mercilere verilen bir adres bildirim kağıdıdır. Altyapınızı bürokratik süslemelere değil; uluslararası bağımsız denetimlerden geçmiş somut mühendislik disiplinine ve gerçek veri merkezi standartlarına emanet edin.