Asansör Bakım Planlama Yazılımı Veri Güvenliği Rehberi

İÇERİK

Asansör bakım firmalarında dijitalleşme hızlandıkça bakım takvimleri, teknisyen görevlendirmeleri, bina bilgileri ve imzalı servis formları yazılımlarda tutulmaya başladı. Bu dönüşüm operasyonu hızlandırırken yeni bir sorumluluk alanı da oluşturuyor: veri güvenliği. Asansör Bakım Planlama Yazılımı seçerken yalnızca programın bakım planı hazırlayıp hazırlamadığına bakmak yeterli değildir. Verilerin kim tarafından görülebildiği, nasıl yedeklendiği, personel ayrıldığında erişimin nasıl kapatıldığı ve olası bir kesintide kayıtların nasıl kurtarılacağı da değerlendirilmelidir. Bu rehber, firma sahiplerinin, teknisyenlerin ve bina yöneticilerinin güvenli bir sistem seçerken kontrol etmesi gereken noktaları somut örneklerle açıklamaktadır.

Asansör Bakım Yazılımında Hangi Veriler Korunmalıdır?

Bir bakım planlama sisteminde yalnızca asansörün bakım tarihi bulunmaz. İşletmenin büyüklüğüne ve kullanılan modüllere göre sistemde farklı önem düzeylerine sahip çok sayıda veri işlenebilir.

Başlıca veri grupları şunlardır:

• Apartman veya iş merkezi adı ve adresi
• Bina yöneticisinin adı, telefonu ve e-posta adresi
• Asansörün kimlik, konum ve teknik özellik bilgileri
• Bakım sözleşmesi ve sözleşme bedeli
• Aylık bakım planları ve tamamlanma durumları
• Arıza kayıtları, değiştirilen parçalar ve açıklamalar
• Teknisyenin adı, çalışma zamanı ve konumla ilişkili saha kayıtları
• Bakım formundaki fotoğraf, imza ve notlar
• Cari hesap, tahsilat ve fatura bilgileri
• Kullanıcı hareketleri ve işlem geçmişi

Bu bilgilerin tamamı aynı derecede hassas değildir. Ancak farklı kayıtların bir araya gelmesi, hem müşteri hem çalışan açısından önemli bir veri bütünü oluşturabilir. Örneğin bina yöneticisinin telefon numarası kişisel veridir. Teknisyenin hangi tarihte hangi binaya gittiğini gösteren ayrıntılı kayıtlar da çalışanla ilişkilendirilebiliyorsa dikkatli yönetilmelidir.

Veri güvenliği, yalnızca dışarıdan gelecek saldırıları engellemek değildir. Yanlış müşteriye belge göndermek, eski çalışanın sisteme girmeye devam etmesi veya herkesin tüm finansal kayıtları görebilmesi de veri güvenliği sorunudur.

Kullanıcı Yetkileri Göreve Göre Ayrılmalıdır

Bakım planlama yazılımında en sık karşılaşılan hatalardan biri, bütün çalışanlara aynı yetkilerin verilmesidir. Oysa saha teknisyeninin, muhasebe çalışanının ve firma sahibinin ihtiyaç duyduğu bilgiler aynı değildir.

En az yetki prensibi uygulanmalıdır. Bir kullanıcı yalnızca görevini yerine getirmek için gerekli ekranlara ve kayıtlara ulaşabilmelidir.

Kullanıcı rolü	Görmesi gereken bilgiler	Sınırlandırılması gereken işlemler
Firma sahibi	Genel operasyon, sözleşme, finans ve raporlar	Kritik ayarlar için ek doğrulama uygulanabilir
Operasyon sorumlusu	Bakım planları, personel atamaları, arıza kayıtları	Finansal kayıt silme ve sistem ayarları
Teknisyen	Kendisine atanan işler, bina ve cihaz bilgileri	Diğer teknisyenlerin işleri, fiyatlar ve genel müşteri listesi
Muhasebe personeli	Cari hesap, tahsilat ve fatura kayıtları	Teknik bakım notları ve personel yönetimi
Bina yöneticisi	Kendi binasına ait bakım ve arıza geçmişi	Başka müşterilere ait bütün veriler

Yeni bir çalışan başladığında hazır bir rol atanması, tek tek yetki açmaktan daha güvenlidir. Personelin görevi değiştiğinde yetkileri de güncellenmelidir. İşten ayrılan çalışanın hesabı ise aynı gün kapatılmalıdır. “Belki tekrar çalışır” düşüncesiyle açık bırakılan kullanıcı hesapları gereksiz risk oluşturur.

Asansorex gibi bakım takip yazılımlarında kullanıcıların görevlerine göre yetkilendirilmesi, saha ekibinin ihtiyaç duyduğu kayıtlara erişmesini sağlarken ticari ve finansal bilgilerin kontrollü tutulmasına yardımcı olur.

Parola ve Oturum Güvenliği Nasıl Değerlendirilir?

Güçlü altyapıya sahip bir yazılım bile zayıf kullanıcı parolaları nedeniyle risk altına girebilir. Özellikle bütün personelin aynı kullanıcı adı ve parolayı kullanması, asansör firmalarında kesinlikle kaçınılması gereken bir yöntemdir.

Her kullanıcıya ayrı hesap açılması üç önemli avantaj sağlar:

1. İşlemi kimin yaptığı belirlenebilir.
2. Ayrılan çalışanın erişimi diğer kullanıcıları etkilemeden kapatılabilir.
3. Şüpheli hareketler kullanıcı bazında araştırılabilir.

Güvenli kullanım için şu kurallar uygulanmalıdır:

• Kolay tahmin edilen şirket adı, plaka veya telefon numarası parola yapılmamalıdır.
• Aynı parola farklı uygulamalarda kullanılmamalıdır.
• Mümkünse iki aşamalı doğrulama etkinleştirilmelidir.
• Ortak bilgisayarda parola tarayıcıya kaydedilmemelidir.
• Telefon kaybolduğunda ilgili kullanıcının açık oturumları kapatılabilmelidir.
• Uzun süre işlem yapılmayan oturumlar otomatik olarak sonlandırılmalıdır.
• Başarısız giriş denemeleri sınırlandırılmalı veya izlenmelidir.

Teknisyenin telefonuna ekran kilidi koyması da sistem güvenliğinin bir parçasıdır. Telefonun servis aracında unutulması hâlinde açık durumdaki uygulama üzerinden müşteri adreslerine ve bakım kayıtlarına ulaşılmamalıdır.

Yedekleme Varsa Kurtarma Testi de Olmalıdır

“Veriler yedekleniyor” ifadesi tek başına yeterli değildir. Yedeğin hangi sıklıkla alındığı, nerede saklandığı ve gerçekten geri yüklenip yüklenemediği öğrenilmelidir.

Sağlıklı bir yedekleme yaklaşımında şu soruların cevabı bulunmalıdır:

• Yedekleme otomatik mı, manuel mi yapılıyor?
• Yedekler hangi sıklıkla alınıyor?
• Ana sistemden ayrı bir ortamda kopya tutuluyor mu?
• Yedekler yetkisiz erişime karşı korunuyor mu?
• Bir kaydın yanlışlıkla silinmesi durumunda geri dönüş mümkün mü?
• Felaket kurtarma prosedürü test ediliyor mu?
• Hizmet kesintisinde işlemlere ne kadar sürede devam edilebilir?
• Firma kendi kayıtlarını dışarı aktarabiliyor mu?

Yedek alınması ile hizmet sürekliliği aynı şey değildir. Bir sistemin günlük yedeği bulunabilir; ancak geri yükleme saatler veya günler sürebilir. Bu nedenle bakım firması kendi operasyonuna uygun iki hedef belirlemelidir: Ne kadar veri kaybı kabul edilebilir? ve Sistem ne kadar süre kapalı kalabilir?

Örneğin 1.500 asansöre hizmet veren bir firmanın pazartesi sabahı sistem kesintisi yaşaması, yüzlerce bakım görevlendirmesini etkileyebilir. Böyle bir işletmenin kurtarma beklentisi, 50 asansöre hizmet veren küçük bir firmadan farklı olacaktır.

KVKK Açısından Teknik ve İdari Tedbirler Birlikte Düşünülmelidir

6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri güvenliği yalnızca yazılım sağlayıcısına bırakılabilecek bir konu değildir. Kişisel Verileri Koruma Kurumunun açıklamasına göre veri sorumlusu; kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, ayrıca verilerin muhafazasını sağlamak için gerekli teknik ve idari tedbirleri almakla yükümlüdür.

Bakım firması açısından teknik tedbirler şunları kapsayabilir:

• Rol bazlı erişim yetkileri
• Güvenli veri iletimi
• Güncel yazılım ve cihaz kullanımı
• Güçlü parola politikası
• Yedekleme ve kurtarma sistemi
• İşlem ve erişim kayıtlarının tutulması
• Zararlı yazılımlara karşı koruma
• Gerektiğinde verilerin güvenli şekilde silinmesi

İdari tedbirler ise en az teknik önlemler kadar önemlidir:

• Hangi verinin hangi amaçla tutulduğunun belirlenmesi
• Çalışanlara veri güvenliği eğitimi verilmesi
• Kullanıcı açma ve kapatma prosedürü hazırlanması
• Gizlilik yükümlülüklerinin sözleşmelerde düzenlenmesi
• Saklama ve imha sürelerinin belirlenmesi
• Veri ihlali durumunda izlenecek yolun yazılı hâle getirilmesi
• Hizmet alınan yazılım firmasının güvenlik koşullarının değerlendirilmesi

Her bilgiyi süresiz saklamak güvenlik sağlamaz; aksine korunması gereken veri miktarını artırır. Verinin tutulmasını gerektiren amaç ve hukuki sebep ortadan kalktığında silme, yok etme veya anonimleştirme süreçleri değerlendirilmelidir. Firma, kendi iş süreçleri ve hukuki yükümlülükleri doğrultusunda saklama sürelerini belirlemeli; gerektiğinde hukuk veya KVKK uzmanından destek almalıdır.

İşlem Kayıtları Neden Önemlidir?

Bir bakım kaydının sonradan değiştirilmesi bazen operasyonel uyuşmazlığa neden olabilir. Bina yöneticisi bakımın yapılmadığını iddia ederken sistemde iş tamamlanmış görünebilir. Bu durumda yalnızca son kaydı görmek yeterli değildir.

İşlem geçmişinde mümkünse şu bilgiler izlenebilmelidir:

• Kaydı oluşturan kullanıcı
• Oluşturma tarihi ve saati
• Yapılan değişikliğin zamanı
• Durum değişikliğini yapan kullanıcı
• Görevlendirme ve tamamlama hareketleri
• Belge veya formun güncellenme geçmişi
• Başarısız ya da olağan dışı erişim denemeleri

Bu kayıtlar çalışanları gözetlemek için değil, işlemlerin izlenebilirliğini sağlamak için kullanılmalıdır. Erişim kayıtlarının kendisi de korunmalı ve yalnızca yetkili kişiler tarafından incelenebilmelidir.

Fotoğraf, müşteri imzası veya konum gibi kayıtlar toplanıyorsa “Lazım olabilir” yaklaşımı yerine amaç belirlenmelidir. İhtiyaç duyulmayan verinin hiç toplanmaması, en etkili güvenlik önlemlerinden biridir.

Yazılım Satın Almadan Önce Sorulacak Sorular

Ürün demosunda yalnızca bakım planının nasıl oluşturulduğunu incelemek eksik değerlendirme olur. Veri güvenliği için yazılım sağlayıcısına aşağıdaki sorular yöneltilmelidir:

1. Her personele ayrı kullanıcı hesabı açılabiliyor mu?
2. Kullanıcıların görüntüleme, ekleme, düzenleme ve silme yetkileri ayrılabiliyor mu?
3. Teknisyen yalnızca kendisine atanan işleri görebiliyor mu?
4. Kullanıcı işlemleri ve önemli değişiklikler kayıt altına alınıyor mu?
5. İşten ayrılan personelin tüm oturumları kapatılabiliyor mu?
6. Veriler aktarım sırasında güvenli bağlantıyla korunuyor mu?
7. Yedekleme sıklığı ve geri yükleme prosedürü nedir?
8. Kesinti veya siber olay durumunda iletişim süreci nasıl işliyor?
9. Firma verilerini kullanılabilir bir formatta dışarı aktarabiliyor mu?
10. Sözleşme sona erdiğinde verilerin teslimi ve silinmesi nasıl gerçekleştiriliyor?
11. Alt hizmet sağlayıcılar kullanılıyorsa sorumluluklar nasıl belirleniyor?
12. Güvenlik güncellemeleri ve hata düzeltmeleri nasıl yönetiliyor?

Yanıtların mümkünse sözleşme, hizmet koşulları veya teknik dokümanda yer alması istenmelidir. Sözlü olarak verilen “Merak etmeyin, sistem güvenli” cevabı ölçülebilir bir güvence değildir.

Firma İçinde Uygulanabilecek Aylık Güvenlik Kontrolü

Veri güvenliği bir kez yapılıp tamamlanan işlem değildir. Her ay 20–30 dakikalık bir kontrolle birçok risk erkenden fark edilebilir.

Aylık kontrolde şunlar yapılabilir:

• Aktif kullanıcı listesi gözden geçirilir.
• İşten ayrılan veya görevi değişen çalışanlar kontrol edilir.
• Gereksiz yetkiler kapatılır.
• Ortak hesap kullanılıp kullanılmadığı araştırılır.
• Son yedekleme durumu doğrulanır.
• Şüpheli giriş veya kullanıcı hareketleri incelenir.
• Firma telefonlarının ekran kilitleri kontrol edilir.
• Dışa aktarılan Excel ve PDF dosyalarının nerede tutulduğu değerlendirilir.
• E-posta ve mesajlaşma uygulamalarında gereksiz müşteri belgeleri temizlenir.
• Çalışanlara kısa bir güvenlik hatırlatması yapılır.

Burada kritik nokta, güvenliği yalnızca merkez ofisteki yazılımla sınırlamamaktır. Bakım formu sistemden güvenli şekilde indirilip kişisel telefondaki mesajlaşma grubuna gönderiliyorsa kontrol zinciri bozulabilir. Dışa aktarılan Excel dosyaları ve indirilen PDF belgeleri de korunmalıdır.

Sıkça Sorulan Sorular

Bulut tabanlı asansör bakım yazılımı güvenli midir?

Bulut tabanlı veya şirket sunucusunda çalışan bir sistem, yalnızca kurulum türü nedeniyle otomatik olarak güvenli ya da güvensiz sayılmaz. Yetkilendirme, güncelleme, yedekleme, erişim kayıtları, altyapı güvenliği ve işletmenin kullanım alışkanlıkları birlikte değerlendirilmelidir.

Teknisyenlerin ortak kullanıcı hesabı kullanması uygun mudur?

Hayır. Ortak hesap kullanıldığında hangi işlemi kimin yaptığı belirlenemez ve işten ayrılan bir çalışanın erişimini güvenli biçimde kapatmak zorlaşır. Her teknisyene ayrı hesap açılması daha güvenli ve izlenebilir bir yöntemdir.

Bakım formlarındaki imza kişisel veri sayılır mı?

Bir gerçek kişiyle ilişkilendirilebilen imza kişisel veri niteliği taşıyabilir. İmzanın hangi amaçla alındığı, kimlerin erişebildiği ve ne kadar süre saklanacağı belirlenmelidir. Gereksiz kullanıcıların imzalı belgelere erişmesi engellenmelidir.

Yedekleme ne sıklıkla yapılmalıdır?

Tek bir sıklık bütün firmalar için uygun değildir. Günlük işlem hacmi, kabul edilebilir veri kaybı ve hizmet sürekliliği ihtiyacı dikkate alınmalıdır. Kritik olan, yedeklerin otomatik alınması kadar geri yükleme sürecinin de düzenli olarak test edilmesidir.

Yazılım değiştirirken eski veriler ne yapılmalıdır?

Öncelikle veriler doğrulanmalı ve kullanılabilir formatta güvenli şekilde dışarı aktarılmalıdır. Yeni sisteme aktarım tamamlandıktan sonra eski sistemdeki kayıtların ne zaman ve nasıl silineceği hizmet sağlayıcıyla yazılı olarak netleştirilmelidir.

Asansorex veri güvenliği sürecine nasıl katkı sağlar?

Asansorex; bakım planlarının, saha kayıtlarının ve kullanıcı işlemlerinin dağınık dosyalar yerine merkezi bir yapıda yönetilmesine yardımcı olur. Ancak güvenli kullanım için firma tarafında doğru yetkilendirme, ayrı kullanıcı hesabı ve düzenli erişim kontrolü uygulanmalıdır.

Özet

Asansör Bakım Planlama Yazılımı veri güvenliği; güçlü parola belirlemekten çok daha geniş bir süreçtir. Kullanıcı yetkilerinin görev bazında ayrılması, her çalışana ayrı hesap açılması, yedeklerin geri yükleme testlerinin yapılması, işlem geçmişinin izlenebilmesi ve gereksiz verilerin saklanmaması temel kontrol noktalarıdır. Yazılım seçimi sırasında teknik özelliklerle birlikte veri teslimi, silme, kesinti yönetimi ve çalışan ayrılış süreçleri de sorgulanmalıdır. Güvenli bir sistem ile düzenli şirket prosedürleri birlikte uygulandığında bakım kayıtları hem günlük operasyonda hem de müşteri uyuşmazlıklarında daha güvenilir ve erişilebilir hâle gelir.