“Zaman damgası” dediğimizde çoğu İK uzmanı bunu bir onay ikonu gibi düşünür – bordroya tıklanınca beliren küçük bir mühür. Aslında arkasında oldukça sağlam bir sistem çalışıyor. Bu yazıda o sistemi, hiçbir mühendislik terimine boğulmadan, gündelik benzetmelerle anlatıyoruz. Amaç, “bu teknolojiye neden güvenebilirim?” sorusuna rahat bir cevap verebilmeniz.
Bir Noter Gibi Düşünün, Ama Dijital
Zaman damgasını en kolay şöyle hayal edebilirsiniz: Bir noterin önüne bir belge götürüyorsunuz, noter belgeye bakıyor, “bu belge bugün, şu saatte bana getirildi” diye mühür basıyor ve imzalıyor. TÜBİTAK Kamu SM’nin yaptığı da tam olarak bu – sadece kağıt üzerinde değil, dijital ortamda.
Fark şu: fiziksel noterde belge onun elinden geçer, okunabilir. Dijital zaman damgasında ise Kamu SM, bordronun kendisini hiç görmez. Sisteminiz, belgenin bir nevi “parmak izini” – teknik adıyla hash değerini – gönderir. Hash, bir belgeyi girdi olarak alıp sabit uzunlukta, geri döndürülemeyen bir koda çeviren matematiksel bir işlemdir (yaygın kullanılan versiyonu SHA-256’dır). Kamu SM bu koda bakar, tarih-saat bilgisini ekler ve kendi mührünü basar; işlem RFC 3161 adı verilen, dünya genelinde kabul görmüş bir teknik standarda göre yürütülür. Belgenin aslı hiçbir zaman dışarı çıkmaz; bu da çalışanın maaş bilgisi gibi hassas verilerin üçüncü bir sunucuda dolaşmaması anlamına gelir.
Neden önemli: Bu “parmak izi” mantığı sayesinde bordroda tek bir rakam bile değiştirilse, parmak izi anında değişir ve uyuşmazlık hâlinde bu fark net şekilde ortaya çıkar. Yani sistem, “bu belge sonradan oynandı mı?” sorusunu matematiksel kesinlikle cevaplayabiliyor.
Saat Neden Bu Kadar Önemli?
Zaman damgasının bütün değeri, kullandığı saatin şaşmaz olmasına bağlı. Kamu SM burada tek bir bilgisayar saatine güvenmiyor; GPS, GLONASS, Galileo ve BeiDou gibi birden fazla küresel uydu sisteminden aynı anda zaman bilgisi alıp bunları birbiriyle karşılaştırıyor ve sonucu UTC (Koordineli Evrensel Zaman) standardına göre kayıt altına alıyor. Yani “sunucunun saati yanlış ayarlanmış” gibi bir hata payı pratikte ortadan kalkıyor. Bu, bir bordronun “tam olarak ne zaman” oluşturulduğu iddiasını çok sağlam bir zemine oturtuyor.
Mühür Kim Tarafından, Nerede Basılıyor?
Kamu SM’nin bu işlemi yapmak için kullandığı “imza anahtarı”, HSM (Hardware Security Module) adı verilen, tıpkı bir bankanın kasası gibi çalışan özel bir donanım kutusunun içinde saklanır ve oradan hiç dışarı çıkmaz. Anahtarın kimliği, bir nevi dijital kimlik kartı işlevi gören X.509 sertifikası ile de doğrulanabilir durumdadır. Bu sayede mührün sahte üretilmesi ya da anahtarın çalınması pratik olarak imkânsız hale gelir. Üstelik her damganın kendine ait, tekrarlanmayan bir seri numarası vardır – yani her mühür, tek ve izlenebilir.
Peki Bir Uyuşmazlıkta Bu Nasıl Doğrulanır?
Bir mahkeme ya da denetçi, bir zaman damgasının gerçek olup olmadığını kontrol etmek istediğinde şunu yapar: elindeki bordronun “parmak izini” yeniden çıkarır ve bunun, damga anındaki parmak iziyle birebir örtüşüp örtüşmediğine bakar. Örtüşüyorsa belge o tarihten beri hiç değişmemiştir. Örtüşmüyorsa, bir yerlerde bir değişiklik yapılmış demektir. Bu kontrol tamamen otomatik ve nesnel bir işlemdir – yorum ya da takdire yer bırakmaz.
Uzun Yıllar Saklanan Bordrolar İçin Bir İnce Ayrıntı
Bordro gibi belgelerin yıllarca (bazen on yıla yakın) saklanması gerekir. Teknolojideki güvenlik yöntemleri zamanla eskiyebileceği için, Kamu SM sistemleri belirli aralıklarla eski damgaları daha güncel yöntemlerle “tazeler” – sanki noter onayının süresi dolmadan yeniden onaylanması gibi. Bu sayede bir bordronun 8-10 yıl sonra da aynı hukuki güvenceyi taşımaya devam etmesi sağlanır. Bu detayı bilmeniz gerekmez, ama arka planda bu tür bir “bakım” yapıldığını bilmek, sisteme duyulan güveni pekiştirir.
Hukuki Dayanağı da Sağlam
Bütün bu süreç, keyfi bir teknik tercih değil; 5070 sayılı Elektronik İmza Kanunu ve buna bağlı ikincil düzenlemeler çerçevesinde, uluslararası kabul görmüş güvenlik standartlarına uygun şekilde yürütülüyor. Yani anlattığımız her adım – parmak izi gönderimi, uydu saati, kasada saklanan anahtar – mevzuatın aradığı bir gerekliliğin karşılığı.
Özetle
İK ekibinin bilmesi gereken tek şey aslında şu: TÜBİTAK zaman damgası, bir bordronun “tam olarak ne zaman ve değiştirilmeden” oluşturulduğunu, arka planda çalışan sağlam bir güvenlik sistemiyle garanti altına alıyor. Bunu bir “dijital noter mührü” gibi düşünebilirsiniz – sadece çok daha hızlı, çok daha ölçeklenebilir ve kağıt gerektirmeyen bir versiyonu.